Actualmente las instituciones de salud y los servicios médicos en general utilizan sistemas avanzados de información de los que dependen un gran número de servicios, así como de proveedores y pacientes. El sector salud tiene una actividad constante los 365 días del año a través de sistemas, equipos y dispositivos que generan, procesan, almacenan y transmiten datos e información sensitiva de cientos de miles de pacientes que son atendidos día con día.
Estos datos de salud y la información sensible de los pacientes son oro puro para los ciberdelincuentes, ya que se encuentran muchas veces sin los controles de seguridad necesarios, lo que los hace sumamente atractivos para ser blancos de algún ciberataque y con ello, perpetrar venta en el mercado negro, eliminar su acceso a través de cifrado y posteriormente solicitar rescate, extorsiones, y hasta fraudes relacionados con seguros de gastos médicos, pues a diferencia de otros datos, como los del sistema bancario, la información proporcionada a cualquier servicio de salud difícilmente puede ser reemplazada.
Actualmente, el tipo de ataque más frecuente y más impactante hacia el sector salud es el ransomware, pues los servicios de salud, al ser de suma importancia, son un objetivo constante de los cibercriminales para poder monetizar sus esfuerzos de forma muy rápida y obtener grandes retornos de inversión. Un ataque de este tipo puede ser desastroso para la organización y los pacientes, no solo por la interrupción de los servicios o la incapacidad de salvaguardar la información personal, sino también supone un enorme costo económico, así como un gran daño reputacional.
La ciberseguridad en el sector salud es una prioridad, y sin embargo, es común encontrar sistemas con software desactualizado o carecer de recursos financieros para reparar y actualizar dichos sistemas que soportan los activos e información de salud de los pacientes; esto aunado a la falta de información por parte del personal acerca de las ciberamenazas y las formas en que realizan sus ataques.
Entonces es frecuente la exposición a ataques por medio de engaños a quienes utilizan sistemas, computadoras, y hasta dispositivos IoT (Internet of Things) que se conectan a la red hospitalaria e Internet, que son altamente sensibles aumentando la posibilidad de ser vulnerados.
La Agencia de Alimentos y Medicinas de Estados Unidos ya ha alertado en diferentes ocasiones sobre la existencia de estos escenarios de riesgo e incluso ha identificado tipos y modelos específicos de sistemas y dispositivos médicos vulnerables a problemas de ciberseguridad.
Otro factor a tomar en cuenta es la interconectividad que ha hecho que las redes hospitalarias sean compartidas, lo que ha traído nuevos y mayores riesgos, pues los equipos de computación obsoletos poseen antiguas contraseñas por default o fáciles de adivinar con opciones de cifrado que no satisfacen las normas actuales. Es por ello que las instituciones de salud deben contar con infraestructuras altamente seguras para proteger los sistemas y la información de los pacientes, pues si estos son robados, pueden poner en riesgo incluso la vida de estos.
Estos escenarios de riesgo pueden ser gestionados en conjunto con todo el ecosistema y en las etapas de diseño, desde los fabricantes de dispositivos, centros de desarrollo y clusters de innovación, hasta los proveedores de servicios de salud y las personas que utilizamos dichos dispositivos médicos. Es indispensable capacitar al personal médico, así como contar con una correcta configuración, implementación, operación, actualización y mantenimiento de los dispositivos a través de tecnología especializada de ciberseguridad que prevenga errores humanos o ataques cibernéticos que sean capaces de poner en riesgo la vida de las personas o expongan datos confidenciales tan deseados por los ciberdelincuentes.
