Sergio Bravo, director de Ventas Iberia en Bitdefender

Las organizaciones del sector sanitario se encuentran en el punto de mira de los ciberdelincuentes. Aún resuenan ataques como el dirigido al Hospital Clínic de Barcelona, que logró interrumpir su actividad y cifrar gran parte de los datos alojados en sus sistemas, o el que sufrió Alliance Healthcare, unos de los distribuidores de medicamentos más importantes en España, que dejó sin suministro a un gran número de farmacias.

En los últimos años todas las organizaciones han llevado a cabo procesos de transformación digital. Esto implica la modernización de los sistemas antiguos, el cambio a un modelo de computación en la nube o la incorporación de múltiples dispositivos con acceso a la red corporativa a través de Internet. Los beneficios de esta evolución en cuanto a rentabilidad, agilidad o nivel de servicio son claros. La parte menos positiva es que en esta nueva realidad los riesgos aumentan. La superficie expuesta a ataques es mucho mayor y, por tanto, resulta mucho más complicado protegerla.

Todas las empresas son víctimas potenciales, pero las organizaciones sanitarias tienen un atractivo especial para los ciberdelincuentes debido a los datos con los que trabajan y al valor que estos alcanzan en el mercado negro. Datos personales de los pacientes, números de la seguridad social, informes médicos… todo se vende en la Dark Web a un buen precio.

Por otra parte, las consecuencias de un ciberataque en un hospital pueden llegar a ser más graves que en cualquier otro tipo de empresa. En todos los casos se produce una incidencia en el servicio y una pérdida económica, pero cuando la víctima es un hospital, lo que se está poniendo en riesgo es la vida de las personas. Un informe médico perdido o una cirugía cancelada pueden resultar una tragedia para el paciente.

Esto añade aún más presión a los responsables de seguridad de las organizaciones sanitarias, que deben ser capaces de diseñar y poner en marcha estrategias eficaces de ciberseguridad sorteando obstáculos como la falta de presupuesto, la escasez de talento especializado en ciberseguridad o la incomprensión de algunas medidas por parte de la dirección. En cualquier caso, para poder situarse al mismo nivel que los ciberdelincuentes, el primer paso siempre será ser conscientes de los riesgos y amenazas a los que habrá que enfrentarse en el futuro más próximo. Riesgos y amenazas como los siguientes.

La plaga del ransomware

El ransomware sigue siendo uno de los ataques más populares contra las organizaciones sanitarias. Además, los ciberdelincuentes están poniendo en práctica distintas modalidades de extorsión. Ahora no solo se centran en cifrar la información para que esta resulte inaccesible, sino que, además, también amenazan con hacerla pública.

En Estados Unidos, distintos organismos especializados en ciberseguridad, en inteligencia o departamentos  que controlan el funcionamiento de los servicios sanitarios, como son CISA, FBI o HHS, respectivamente, ya han advertido a hospitales y a otros proveedores de atención médica del país sobre los continuos ataques de ransomware que se están sufriendo.

Estos organismos recomiendan realizar copias de seguridad de los datos con regularidad y mantener estas copias en ubicaciones offline. También hacen hincapié en la formación y concienciación continua del personal. Asimismo, piden no pagar nunca los rescates, no solo para no fomentar la actividad delictiva, sino porque en un gran número de casos la información robada no se recupera nunca, ni siquiera después de haber pagado.

Ataques DDoS que impiden el normal desarrollo del servicio

Los ataques de denegación de servicio (DDoS) también se están convirtiendo en un problema para las organizaciones sanitarias. Generando una cantidad ingente de tráfico hacia un servicio online, los ciberdelincuentes logran que este servicio colapse y deje de estar disponible tanto para los pacientes como para el personal sanitario.

Si bien este tipo de ataques no se pueden prevenir, sí es posible tomar medidas para dificultar su éxito. Así, contar con una arquitectura IT sólida resulta fundamental para asegurar la continuidad de la actividad. Disponer de un ancho de banda capaz de absorber un gran volumen de tráfico; incorporar soluciones de protección adecuadas, como firewalls de red, firewalls de aplicaciones web y balanceadores de carga es también necesario. Finalmente, situar los recursos tecnológicos en distintas ubicaciones geográficas y en distintos centros de datos resulta conveniente.

El phishing sigue teniendo éxito

Parece mentira, pero los ataques de phishing siguen teniendo éxito. Es una técnica muy simple: se envía un correo electrónico con un enlace o un archivo adjunto malicioso y se espera a que un empleado pinche en el link o lo abra.

En el informe The Phishing Problem in Healthcare, de HealthITSecurity.com, se dice que el 42% de las violaciones de datos en servicios de atención médica tienen su origen en un correo electrónico.

El problema, una vez más, es el desconocimiento del empleado que abre ese correo. Así que no hay más remedio que seguir insistiendo en la formación de las personas de forma constante y a través de distintas vías de comunicación.

Implementar soluciones de detección y respuesta (EDR) e incorporar la autenticación multifactor para poder acceder a aplicaciones y servicios de IT, pueden ser unas vías apropiadas para evitar este tipo de ataque.

Aplicaciones vulnerables

A medida que los proveedores de atención médica continúan transformando digitalmente sus organizaciones, crece el número de aplicaciones web que utilizan. Por desgracia, la cantidad de aplicaciones web con fallos de seguridad es alta. Según el informe State of Security Software (SSOS) de Veracode, el 75% de las aplicaciones dentro del sector de atención médica tienen una vulnerabilidad de seguridad.

Adoptar prácticas de seguridad a la hora de desarrollar aplicaciones, escanearlas constantemente para descubrir posibles vulnerabilidades y llevar a cabo pruebas de calidad del software de forma periódica, son algunas prácticas imprescindibles.

Ataques a las nubes

La adopción del entorno cloud avanza a buen ritmo en el sector Salud. Al mismo ritmo, crecen sus amenazas. Según un informe de IDG, el 53% de las organizaciones de este sector admite haber sufrido una violación de datos dentro de un sistema alojado en la nube. Un 34% afirma que el incidente sufrido tuvo un coste de, al menos, dos millones de dólares.

La nube es un entorno que ofrece muchos beneficios, pero no es un entorno sencillo de gestionar. Requiere planificación, control, conocimiento… Igualmente, muchas organizaciones siguen pensando que la seguridad de sus activos depende exclusivamente de su proveedor cloud. Esto es un error. Aunque el proveedor pueda proporcionar una seguridad general al entorno, cada compañía es responsable de proteger sus activos en la nube y de controlar el acceso a los mismos.

Siempre se van a producir ataques que tengan éxito. A partir de esta realidad, disponer de un plan que incluya la búsqueda proactiva de amenazas y la capacidad de darles respuesta para eliminarlas o mitigar los posibles daños, es algo que tiene que ir de la mano con la puesta en marcha de unos servicios de salud cada vez más innovadores.