Información general sobre el Servicio Nacional de Salud
El año pasado, el Gobierno del Reino Unido se fijó el ambicioso objetivo de que el Servicio Nacional de Salud (NHS) dejara de utilizar papel para el año 2020, una medida que supondrá la digitalización de cientos de miles de historiales de pacientes. En 2017, los hospitales estarán obligados a permitir que los pacientes consulten sus historiales médicos en línea, siguiendo el ejemplo de los médicos de cabecera del Reino Unido. Para adelantarse a los acontecimientos, muchos hospitales del NHS ya están transfiriendo los datos de los pacientes a redes en línea. Sin embargo, un número considerable de ellos no está tomando las medidas adecuadas para proteger estos datos personales sensibles frente a los piratas informáticos, tal y como reveló a finales del año pasado una investigación de Sky News (se abre en una nueva pestaña) .
Tras obtener acceso a los documentos en virtud de las leyes de libertad de información, Sky News descubrió que siete consorcios del NHS (grupos de hospitales bajo supervisión central), que prestan servicios a más de dos millones de pacientes, no destinaron ningún gasto a la ciberseguridad en 2015. Son 0 dólares. Quizás lo más preocupante es que el informe reveló un aumento de las infracciones cibernéticas, que pasaron de ocho de cada 2014 a 60 al año siguiente (entre los 97 consorcios que facilitaron datos).
Una brecha de seguridad puede paralizar las redes de los hospitales, lo que obliga a cancelar citas y operaciones, tal y como ocurrió en tres hospitales del Reino Unido (se abre en una nueva pestaña). Y, aunque resulte un inconveniente, lo más problemático es el riesgo de perder los datos privados y personales de los pacientes. Esta información no se puede modificar, al igual que el número de una tarjeta de crédito. Y dado que la información contiene más datos que un ciberdelincuente puede aprovechar —como el número de la Seguridad Social, el historial médico, la compañía aseguradora, las recetas médicas, etc.—, los datos sanitarios alcanzan precios más elevados, como se indica en , llegando a ser hasta 60 veces (se abre en una nueva pestaña) más caros que los datos de tarjetas de crédito robadas, lo que garantiza que sigan siendo un objetivo muy codiciado para quienes tienen malas intenciones.
Por razones obvias, cualquier administrador hospitalario le dirá que la prioridad número uno del NHS es la asistencia sanitaria, y no la seguridad de los datos. En consecuencia, los limitados recursos disponibles se destinan a salvar vidas, y no a reforzar los sistemas en línea. Sin embargo, la seguridad de los datos es hoy en día un elemento clave para la asistencia sanitaria y para salvar vidas, lo que exige a los responsables abordar tres retos con el fin de proteger mejor los datos de los pacientes.
Reto n.º 1: Asignación presupuestaria
Del mismo modo que las empresas han reasignado sus presupuestos operativos para financiar las medidas de ciberseguridad, los hospitales deben reasignar sus fondos para hacer lo mismo. El impacto de una brecha de seguridad en un hospital tiene repercusiones económicas similares a las de una gran empresa, ya que se interrumpen los servicios y se ve gravemente mermada la confianza de los clientes (en este caso, los pacientes). Para que los pacientes tengan la seguridad de que sus historiales están protegidos, deben saber que los hospitales están invirtiendo lo suficiente en las herramientas y la tecnología necesarias para impedir el acceso de los piratas informáticos.
Reto n.º 2 : Formación del personal
Como profesionales de la medicina, el personal hospitalario se encuentra entre los profesionales mejor formados y más cualificados de cualquier profesión. Sin embargo, en lo que respecta a las competencias cibernéticas, existe una grave escasez. Para hacer frente a esta situación, las competencias cibernéticas deberían formar parte del programa de formación y incorporación que se imparte al personal hospitalario. El objetivo no debería ser convertir a todos los médicos y enfermeros en «cazadores cibernéticos», sino fomentar una concienciación básica e inculcar las mejores prácticas en materia de ciberseguridad. Si se siguen unas medidas básicas, como establecer una autenticación mediante contraseñas seguras y tener cuidado al hacer clic en enlaces de correo electrónico, los profesionales sanitarios pueden evitar los errores más comunes que facilitan el acceso a los piratas informáticos.
Reto n.º 3 : Hospitales conectados
El mayor reto radica en la naturaleza del hospital moderno. Los hospitales actuales no son, en absoluto, analógicos. El creciente número de instrumentos conectados y sistemas de soporte vital implica que en cualquier hospital hay innumerables dispositivos conectados, y se prevé que, con el tiempo, se conecten muchos más. Sin la visibilidad y la protección adecuadas de la red, cada dispositivo, o punto final, representa una vulnerabilidad potencial ante posibles intrusiones.
Un NHS digital debería considerarse como el futuro de la asistencia sanitaria. Sin embargo, tal y como han puesto de relieve estos informes recientes, hay una serie de medidas que debemos adoptar primero si queremos garantizar ese futuro.
Acerca del autor
: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interna de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.
