El análisis se basa en un total de 215 incidentes informados públicamente en la UE y países vecinos.

El Grupo de Cooperación NIS publica su informe sobre amenazas y gestión de riesgos en el sector de la salud bajo la Directiva NIS, revelando una realidad preocupante para la Unión Europea. El informe destaca los desafíos de ciberseguridad que enfrenta el sector de la salud y proporciona recomendaciones para mitigar los riesgos y garantizar la continuidad comercial.

El estudio exhaustivo se basa en más de dos años de análisis de 215 incidentes informados públicamente en la UE y países vecinos. Los resultados muestran que el sector de la salud europeo ha experimentado una cantidad significativa de incidentes, con proveedores de atención médica representando el 53% del total. Los hospitales fueron los más afectados, con el 42% de los incidentes reportados, seguidos de las autoridades, organismos y agencias de salud (14%) y la industria farmacéutica (9%).

Uno de los principales riesgos identificados en el informe es el ransomware, que representó el 54% de los incidentes en el sector de la salud. Se espera que esta amenaza continúe creciendo en el futuro. Alarmantemente, solo el 27% de las organizaciones encuestadas en el sector de la salud tienen un programa de defensa de ransomware dedicado. Los ciberdelincuentes, impulsados por ganancias financieras, amenazan con divulgar datos personales y confidenciales, afectando tanto a las organizaciones de salud como a los pacientes. Los datos de los pacientes, incluidas las historias clínicas electrónicas, fueron los activos más atacados (30%). Además, casi la mitad de todos los incidentes (46%) tenían como objetivo robar o filtrar datos de organizaciones de salud.

El informe también resalta el impacto y las lecciones aprendidas durante la pandemia de COVID-19. Durante este período, el sector de la salud se convirtió en un objetivo principal para los atacantes, especialmente los motivados por la ganancia financiera y el valor de los datos de los pacientes. Hubo múltiples casos de filtraciones de datos relacionados con COVID-19 y laboratorios de pruebas en varios países de la UE. Las causas principales de estas filtraciones fueron las personas internas y las prácticas de seguridad deficientes, incluyendo configuraciones incorrectas. Estos incidentes enfatizan la importancia de prácticas sólidas de ciberseguridad, especialmente en momentos de necesidades operativas urgentes.

El informe también destaca las vulnerabilidades en los sistemas de salud, ya que los ataques a las cadenas de suministro y a los proveedores de servicios de atención médica provocaron interrupciones y pérdidas para las organizaciones de salud. Además, los desarrollos geopolíticos y la actividad hacktivista resultaron en un aumento de los ataques de denegación de servicio distribuido (DDoS) contra hospitales y autoridades sanitarias.

Estos incidentes tuvieron consecuencias significativas, como filtraciones o robo de datos, interrupción de servicios de atención médica y servicios no relacionados con la atención médica. Además, las organizaciones de salud sufrieron pérdidas económicas, con un coste medio estimado de 300.000€ por incidente de seguridad importante en el sector sanitario, según el estudio ENISA NIS Investment 2022.

La seguridad del paciente se destaca como una preocupación primordial, ya que los incidentes cibernéticos pueden causar retrasos en la clasificación y tratamiento médico. El informe insta a la comunidad de atención médica y a los responsables políticos a implementar medidas robustas de ciberseguridad para proteger tanto los datos de los pacientes como la continuidad de los servicios de salud.