El sector sanitario sufre importantes fallos de seguridad
El sector sanitario ha atravesado un par de años especialmente difíciles en lo que respecta a la seguridad. Según la base de datos en línea « » del Departamento de Salud y Servicios Humanos de EE. UU., (se abre en una nueva pestaña), actualmente se producen ataques informáticos contra hospitales y planes de salud casi a diario. Según se ha informado, en 2015 se produjeron filtraciones que afectaron a más de 100 millones de historiales de pacientes, lo que equivale a un tercio de la población de Estados Unidos. Este año no ha sido mejor: casi el 80 % de los proveedores sufrió un «incidente de seguridad significativo», según una reciente encuesta de « » (se abre en una nueva pestaña) realizada por la Sociedad de Sistemas de Información y Gestión Sanitaria (HIMSS), una asociación sectorial del sector de las tecnologías de la información aplicadas a la salud.
El problema no va a desaparecer. Los historiales médicos y los dispositivos médicos estarán cada vez más conectados, a gran escala y a un ritmo acelerado. Y, aunque esta tendencia hacia sistemas más conectados es positiva, también hará que los proveedores de asistencia sanitaria sean aún más vulnerables a los ataques informáticos si el sector no da prioridad a la ciberseguridad.
La buena noticia es que tanto los proveedores como el Gobierno están empezando a reconocer que existe un problema grave. Ese mismo estudio de HIMSS reveló que los proveedores de asistencia sanitaria están dando mayor prioridad a la seguridad de la información; concretamente, el 87 % de los proveedores de cuidados agudos y el 81 % de los proveedores de cuidados no agudos. Por otra parte, el HHS ha puesto en marcha un Grupo de Trabajo sobre Ciberseguridad (se abre en una nueva pestaña) y, a principios de este mes, ha anunciado que a partir de ahora investigará las filtraciones de menos de 500 registros , reconociendo que, en lo que respecta a los historiales médicos, ninguna filtración es demasiado pequeña como para justificar la adopción de medidas.
Sin embargo, el sector sanitario sigue enfrentándose a algunos problemas graves y persistentes que lo han convertido en un blanco fácil para los piratas informáticos. La mayoría de los proveedores siguen utilizando sistemas antiguos que no se diseñaron teniendo en cuenta la seguridad. A menudo carecen de los fondos necesarios para actualizar sus sistemas a otros más seguros o para contratar personal especializado. Y, tal y como demuestra la dificultad para implantar los historiales médicos electrónicos, el sector sanitario suele ir a la zaga del resto en lo que respecta a la tecnología.
Los historiales médicos son, además, uno de los tipos de información más lucrativos que un pirata informático podría sustraer, ya que en los mercados negros se obtienen ingresos considerablemente mayores que con las tarjetas de crédito robadas o los números de la Seguridad Social por sí solos. Con un historial médico, se tiene acceso a toda la identidad de una persona y, en muchos casos, también a la de su familia. Todo esto pone de manifiesto por qué nosotros —los profesionales sanitarios, las empresas de ciberseguridad y las autoridades públicas— debemos convertir la ciberseguridad en el sector sanitario en una prioridad absoluta.
Entonces, ¿cuál es la solución?
En pocas palabras, hay que sentar unas bases sólidas y hacer que los sistemas sanitarios sean más resilientes a medida que se van introduciendo mejoras. Antes de incorporarme a Tanium, dediqué seis años a investigar incidentes de ciberseguridad. Muchas de las empresas con las que trabajé en aquella época —y el 61 % de los encuestados en el estudio de HIMSS en la actualidad— estaban preocupadas por las «amenazas avanzadas». Sin embargo, la gran mayoría de las filtraciones —incluso aquellas relacionadas con amenazas avanzadas— podrían evitarse con unas prácticas básicas de seguridad.
Cinco formas en que el sector puede mejorar su higiene cibernética
A continuación se presentan cinco formas en las que el sector puede mejorar su higiene cibernética:
- Conozca su red en. Como pueden confirmar muchos especialistas en gestión de incidentes, la mayoría de las organizaciones no saben decir cuántos ordenadores gestionan, y mucho menos identificar todas las vulnerabilidades de seguridad que presentan dichos ordenadores. Para comprender a fondo una red —incluido su inventario de hardware y software, sus vulnerabilidades y sus configuraciones— es necesario que disponga de acceso oportuno a todos los dispositivos.
- Garantice la visibilidad en tiempo real. La visibilidad constante y en tiempo real de su red también ofrece a las organizaciones la capacidad de identificar y detener rápidamente los ataques en cuestión de minutos. Cuando investigaba las filtraciones de datos, en la mayoría de los casos los piratas informáticos habían conseguido el acceso meses o años antes de que se iniciara la investigación. La gravedad y el coste de una intrusión suelen ser directamente proporcionales al tiempo que un atacante ha permanecido en su red sin ser detectado.
- Determine un estado «deseado» — que concilie la seguridad con la facilidad de uso. Los diseños deben incorporar prácticas habituales del sector, como la autenticación multifactorial, la segmentación de la red, la creación de listas blancas de aplicaciones y la limitación del número de usuarios con privilegios. La información en tiempo real sobre su red también puede utilizarse para establecer prioridades presupuestarias, en lugar de lo que muchas organizaciones se ven obligadas a hacer: adivinar.
- Fomente entre sus empleados un comportamiento más seguro. Forme al personal para que utilice correctamente los sistemas y detecte los correos electrónicos potencialmente maliciosos. Explíqueles cuáles son las distintas amenazas y cómo proteger los datos confidenciales. Esto no detendrá todos los ataques —no se equivoquen, ninguna solución de seguridad lo hará—, pero reducirá el número de ataques y permitirá a los empleados informar de aquellos que detecten.
- Visite. A medida que una organización va madurando, debe recurrir a terceros para que sometan sus sistemas a pruebas continuas, lo que se conoce como «red teaming». Esto permite a los expertos en ciberseguridad poner a prueba continuamente la resiliencia de su red y a las organizaciones ajustar constantemente sus medidas de defensa y perfeccionar sus técnicas.
El sector sanitario se encuentra en un momento crítico. En los próximos cinco años, su aspecto será notablemente diferente al actual. Los pacientes dispondrán de un acceso más fácil y amplio a la asistencia sanitaria, a medida que los proveedores conecten un mayor número de sus sistemas al Internet de las cosas. A medida que se van realizando las actualizaciones, este es el momento idóneo para implementar una arquitectura más segura y resistente.
Acerca del autor,: Como director de seguridad, David Damato se encarga de la dirección estratégica del desarrollo de módulos para la plataforma Tanium y gestiona el programa de seguridad interno de la empresa. David aporta a Tanium una amplia experiencia en materia de seguridad, que abarca la respuesta ante incidentes y el análisis forense, las evaluaciones de vulnerabilidades, el desarrollo de programas de seguridad, las operaciones de seguridad y la arquitectura de redes y seguridad. Antes de incorporarse a Tanium, David ocupó el cargo de director general en Mandiant, una empresa de FireEye, donde su equipo dirigió las labores de respuesta ante incidentes y de recuperación tras las brechas de seguridad en más de 100 empresas de la lista Fortune 500 . En Mandiant, David también desempeñó un papel fundamental en el desarrollo de nuevas capacidades en los servicios de respuesta ante incidentes y en la creación de oficinas de consultoría tanto a nivel nacional como internacional. Antes de incorporarse a Mandiant, David dirigió equipos de consultoría en materia de seguridad en PwC, dentro de su área de práctica federal de Washington, y ocupó puestos en el ámbito de las tecnologías de la información en Raytheon, centrados en la gestión de redes internas y gubernamentales. David suele compartir sus conocimientos y opiniones en eventos del sector y con los medios de comunicación.
