Cuando una paciente falleció en Alemania en el año 2020 , después de que unos piratas informáticos especializados en ransomware paralizaran de hecho el hospital en el que los médicos querían atenderla, saltaron las alarmas en toda la comunidad sanitaria mundial.
El ataque fue el primer caso documentado en el que unos ciberdelincuentes provocaron directamente la muerte de una persona. Pero la tragedia no fue, en absoluto, una casualidad. Los ciberataques contra los proveedores de asistencia sanitaria se dispararon en 2020, impulsados en parte por el asombroso crecimiento de la telemedicina en la era de la COVID-19, lo que también provocó un aumento del número de piratas informáticos que buscaban aprovechar esa tendencia en su propio beneficio. Por ejemplo, los ataques globales de ransomware contra el sector sanitario se duplicaron a lo largo del año 2020, según el proveedor de software Check Point.
Los piratas informáticos llevan mucho tiempo considerando a las organizaciones sanitarias como objetivos fáciles debido a su dependencia de sistemas obsoletos, y como objetivos muy lucrativos debido al tesoro de información que guardan en sus archivos. Por eso, el enorme aumento de los ataques registrado el año pasado llevó a los directores de sistemas de información (CIO) y a los directores de seguridad de la información (CISO) del sector sanitario a replantearse su enfoque respecto a la higiene informática y la seguridad. Un ámbito en el que estos líderes están centrando su atención es el peligro que entraña en sectores cotidianos como la automatización de la asistencia sanitaria.
[Lea también: ¿Qué es la automatización de la seguridad?]
El impulso hacia la automatización de las tecnologías de la información en el sector sanitario
Las organizaciones sanitarias han estado realizando importantes inversiones en automatización e inteligencia artificial (IA) con el fin de aumentar la eficiencia y reducir los costes. Estas herramientas pueden resultar de ayuda en cirugía, radiología, enfermería, procesos administrativos, historias clínicas electrónicas, detección de fraudes y reducción de errores de dosificación; según Accenture, se prevé que el gasto alcance los 6.6 000 millones de dólares en 2021.
La inteligencia artificial resulta especialmente útil para ayudar a las personas a que la atención sanitaria sea más inteligente y eficiente. Por ejemplo, las organizaciones sanitarias están adoptando la inteligencia artificial y la automatización para ayudar a los profesionales sanitarios y al personal a dispensar medicamentos, manejar los respiradores, gestionar los niveles de personal y hacer frente a las autorizaciones previas de las compañías de seguros y a las decisiones sobre reclamaciones, lo que puede retrasar e incluso impedir que los pacientes reciban una atención adecuada.
«Al automatizar y eliminar las dificultades [que suponen las tareas rutinarias de autorización previa] para los médicos, el personal y los pacientes, la inteligencia artificial puede responder con mucha mayor rapidez a los cambios en las normas de las entidades aseguradoras», afirma Jody Ranck, analista sénior y autora de un informe titulado « » (La inteligencia artificial en la gestión de la autorización previa: un panorama del mercado), elaborado por Chilmark Research. La inteligencia artificial y la automatización pueden agilizar los procesos del sector de los seguros, como la tramitación de siniestros: «Antes se tardaba 20 días», afirma Ranck. «Ahora todo se reduce a milisegundos».
La automatización puede suponer un ahorro de miles de millones de dólares. Accenture estima que las tres principales aplicaciones que aportan valor a corto plazo son la cirugía asistida por robots (40 000 millones de dólares en ahorro), los auxiliares de enfermería virtuales (20 000 millones de dólares) y la asistencia en los flujos de trabajo administrativos (18 000 millones de dólares).
No es de extrañar que más de la mitad de los directores de sistemas de información (CIO) de centros de salud de la red « » encuestados por Gartner afirmaran que preveían invertir en la automatización robótica de procesos (RPA) basada en inteligencia artificial durante los próximos tres años, lo que supone un aumento con respecto al 5 % registrado en 2020.
El lado oscuro de la automatización
Sin embargo, la automatización en el sector sanitario plantea retos en materia de seguridad. En una encuesta del Ponemon Institute, el 90 % de los encuestados afirmó que su centro sanitario había sufrido al menos una brecha de seguridad durante el año anterior. Un análisis realizado por SecurityScorecard y DarkOwl sobre terabytes de datos procedentes de más de 30,000 organizaciones sanitarias, entre 2019 y 2020 , reveló un aumento de las vulnerabilidades y los ataques estrechamente relacionados con la reputación de las direcciones IP (incluido el malware procedente de intentos de phishing), los dispositivos finales y los parches de seguridad.
Los dramáticos ataques a la cadena de suministro de SolarWinds contra importantes organismos y organizaciones gubernamentales han puesto de manifiesto estas vulnerabilidades. Además, han puesto de relieve el valor de los datos sanitarios sustraídos. Cada expediente médico pirateado puede alcanzar un valor de hasta 1,000 dólares en la dark web, según la empresa de informes de crédito para consumidores Experian, debido a los datos altamente sensibles que contienen los expedientes de los pacientes.
Los dispositivos finales constituyen un eslabón especialmente débil en la cadena de seguridad. Para la red de hospitales y clínicas de Sutter Health, que presta servicio a más de 3 millones de californianos, uno de los principales problemas era una falta de visibilidad de los miles de dispositivos finales de su red. Para proteger los terminales, los equipos de TI tenían que acceder manualmente a los dispositivos mediante ordenadores de préstamo, lo que interrumpía el flujo de trabajo y aumentaba los costes.
[Descubra cómo su organización puede gestionar el cumplimiento de la HIPAA con Tanium]
La propia IA puede ser insegura, ya que se basa en algoritmos entrenados con enormes conjuntos de datos. Se sabe que los piratas informáticos han reentrenado algoritmos para alterar sistemas, redirigir datos hacia ellos o incluso «contaminar» datos engañando a los algoritmos para que consideren que el código malicioso es seguro. Los bots de IA suelen carecer de seguridad, ya que su programación combina código de código abierto y código personalizado que no ha sido escrito por especialistas en seguridad.
Existen otras vulnerabilidades derivadas de los sistemas que utilizan los algoritmos: las herramientas de automatización pueden encontrarse en cualquier dispositivo conectado a una red que tenga permiso para acceder al sistema, lo que supone posibles puntos de entrada para los actores malintencionados. Una vez que están dentro, los malhechores pueden causar problemas. En un ejemplo especialmente llamativo, el Sr. Ranck, de Chilmark Research, recuerda el caso de unos piratas informáticos que utilizaron imágenes radiológicas falsas para obtener reembolsos de seguros indebidos.
Los expertos en seguridad están preocupados, entre ellos Carlos Pérez, que dirige el departamento de investigación de la empresa de ciberseguridad TrustedSec. «La tendencia que me preocupa es que el sector sanitario ha estado recortando gastos y externalizando cada vez más sus servicios de seguridad», afirma Pérez. «No he observado que el sector sanitario haya tomado ninguna medida para abordar la seguridad de la información en el uso de la inteligencia artificial».
Los puntos débiles institucionales en el sistema sanitario
Los sectores altamente regulados, como el de la sanidad, suelen enfrentarse a un conflicto entre las necesidades empresariales y el cumplimiento normativo. Los hospitales suelen utilizar versiones antiguas de software que pueden presentar errores y vulnerabilidades. La actualización de los sistemas puede hacer que las empresas se enfrenten a problemas de cumplimiento normativo.
«Los hospitales cuentan con directrices más estrictas en lo que respecta a la aplicación de parches y la actualización de ordenadores y servidores debido a los sistemas que gestionan», afirma Marc Moring, director de cuentas estratégicas de Tanium. «Si actualizan un sistema operativo, podrían provocar el fallo de un respirador, un sistema de perfusión intravenosa o un sistema de administración de medicamentos, lo que podría poner en peligro la vida de los pacientes». «Los hospitales se han mostrado reticentes a actualizar sus sistemas y aplicar parches, lo que los hace extremadamente vulnerables a los ataques». Por ello, (gestión de parches), y (gestión de la configuración) son elementos fundamentales de las estrategias de TI y seguridad de los dispositivos finales.
Las estructuras organizativas también son responsables del deficiente perfil de seguridad de las tecnologías de la información en el sector sanitario. Investigadores de y Skybox Security descubrieron que existía una vulnerabilidad crítica derivada de la compartimentación entre los equipos de ciberseguridad y los equipos operativos encargados de supervisar la infraestructura. «La eliminación de estos compartimentos estancos debe llevarse a cabo mediante un cambio iterativo», señalaron los autores en su informe 2020 . «Los equipos encargados del funcionamiento de los dispositivos deben adquirir los conocimientos básicos necesarios para proteger estas áreas de la red, que son notoriamente difíciles de parchear».
El «Estudio sobre las deficiencias en la resiliencia de las TI» de Tanium ha identificado varias capacidades que contribuyen a mitigar estos riesgos. Las organizaciones resilientes hacen lo siguiente:
- Asegúrese de que sus equipos de seguridad informática, operaciones y gestión de riesgos colaboren para simplificar y proteger el entorno informático.
- Obtenga datos fiables para tomar decisiones con seguridad y mantener una actitud proactiva y ágil ante las constantes amenazas y los cambios.
- Adopten medidas para simplificar la infraestructura y eliminar la fragmentación existente en los sistemas y procesos de gestión de terminales.
- Unifíquense en torno a un conjunto común de datos procesables para lograr una verdadera visibilidad y control sobre todos los dispositivos de una red.
En definitiva, la automatización y la inteligencia artificial han llegado para quedarse. Los avances recientes están ampliando el potencial de lo que puede lograr la tecnología sanitaria. Y, al mismo tiempo, están generando presiones adicionales para reforzar la seguridad.
«Hace tres años, existía un gran escepticismo entre los médicos respecto a la inteligencia artificial», afirma Ranck. «Hoy en día se ve mucha inteligencia artificial integrada en los sistemas». Afirma que las organizaciones se encuentran en distintas fases en lo que respecta a su respuesta ante las amenazas emergentes, «pero, cada vez más, los responsables reconocen la necesidad de prepararse».
