/ ¿Qué es la ciberseguridad sanitaria?
¿Qué es la ciberseguridad sanitaria?
La ciberseguridad sanitaria es esencial para proteger los datos de las organizaciones sanitarias, los pacientes y los dispositivos médicos contra ciberamenazas como el phishing y el ransomware. No mitigar estas amenazas puede afectar los resultados de los pacientes, provocar fugas de datos y violaciones de HIPAA, y dañar la confianza de los pacientes.
¿Por qué es importante la ciberseguridad en el sector sanitario?
La prestación de asistencia sanitaria ha cambiado desde el inicio de la década. Los servicios de telesalud, las fuerzas de trabajo móviles, la IA, la adopción de la nube y el IoT médico han hecho más accesible la asistencia de calidad.
Sin embargo, estas nuevas modalidades de atención conllevan una mayor dependencia de Internet y de los servicios prestados en la nube. A medida que las organizaciones de atención médica buscan superponer esta nueva tecnología a su infraestructura heredada (a menudo con décadas de antigüedad), las redes tradicionales luchan por mantenerse al día. En última instancia, todo esto se traduce en un mayor riesgo de violación de datos.
Los ciberdelincuentes están explotando las vulnerabilidades de los servicios emergentes y abusando de las herramientas de inteligencia artificial para lanzar ciberataques más frecuentes y avanzados. En el proceso, amenazan con erosionar la confianza de los pacientes, exponer a los proveedores a sanciones e interrumpir la prestación de servicios sanitarios.
Dicho esto, las prioridades de las organizaciones sanitarias siguen siendo las mismas: ofrecer una atención excelente, mejorar los resultados de los pacientes y proteger sus datos. Para ello, la ciberseguridad se ha convertido en un imperativo estratégico en el sector sanitario.
El futuro de la seguridad de los datos sanitarios
Siendo una piedra angular de la seguridad sanitaria estadounidense, la Norma de Seguridad de la HIPAA ha experimentado relativamente pocos cambios desde 2013. Sin embargo, es probable que las actualizaciones previstas por el Departamento de Salud y Servicios Humanos de los EE. UU. den lugar a tres cambios clave en 2024:
- Nuevos requisitos de seguridad para las entidades cubiertas que participan en Medicare o Medicaid
- Nuevas normas de seguridad en la Regla de Seguridad de la HIPAA para favorecer la responsabilidad
- Una mayor capacidad de la OCR para investigar y sancionar el incumplimiento de HIPAA
Estas actualizaciones son esenciales para proteger los datos de los pacientes en el cambiante panorama digital y de amenazas. En medio del crecimiento del IoT, la adopción de la nube, las amenazas avanzadas como el ransomware de doble extorsión y la complejidad de las redes heredadas, una seguridad eficaz es más importante que nunca.
¿Cuáles son los principales desafíos de ciberseguridad en el sector sanitario?
Los equipos de seguridad y de TI de atención médica que trabajan para cerrar las brechas de seguridad a menudo implementan soluciones de propósito único, creando con el tiempo un mosaico costoso y engorroso. La seguridad cohesionada y eficaz suele ser difícil de conseguir en la sanidad debido a:
- Diversos ecosistemas informáticos: Mantener una seguridad unificada es un desafío en entornos con una gran variedad de dispositivos médicos, sistemas sanitarios e IoT, estos últimos a menudo carecen de funciones de seguridad sólidas.
- Sistemas anticuados: Los elevados requisitos de tiempo de actividad obligan a gran parte del sector sanitario a confiar en sistemas y software obsoletos, sin funciones de seguridad modernas. Muchos ya han llegado al final de su vida útil.
- Restricciones presupuestarias: Con márgenes operativos ajustados, el presupuesto para herramientas y personal de seguridad modernos a menudo pasa a un segundo plano para garantizar la continuidad de la atención.
- Orientación regulatoria: Es posible que marcos como HIPAA no siempre ofrezcan la orientación más actualizada o adaptable. Las ciberamenazas evolucionan demasiado rápido y las regulaciones pueden priorizar controles o herramientas específicas sin tener en cuenta las amenazas modernas.
- Priorizar la atención al paciente: Brindar atención de calidad al paciente es la prioridad número uno, por lo que cuando la accesibilidad y la eficiencia tienen que competir con la ciberseguridad, la seguridad puede quedar en un segundo plano.
¿Cuáles son los principales tipos de ciberamenazas en el sector sanitario?
Dado que manejan tantos datos privados, las organizaciones sanitarias y los socios de la cadena de suministro son objetivos principales de los ciberataques. Al abusar de credenciales robadas y vulnerabilidades no parcheadas, los atacantes acceden, roban y se benefician de información privilegiada.
Más recientemente, la pandemia del COVID-19, la IA generativa y los exploits de VPN han provocado una explosión de ataques al sector sanitario.
Phishing
El phishing sanitario aumentó más de un 250 % en 2022, ya que los pacientes reanudaron los tratamientos que habían suspendido al principio de la pandemia. Mientras tanto, la IA generativa ha hecho que lanzar ataques sea más rápido y sencillo.
Lea más en nuestro Informe de phishing de 2023.
Ransomware
En todos los sectores, los ataques de ransomware aumentaron más del 37 % entre abril de 2022 y abril de 2023. En el sector sanitario en particular, los ataques de ransomware aumentaron un descomunal 165.38 %.
Lea más en nuestro Informe sobre ransomware de 2023.
Ataques encriptados
El sector sanitario fue el cuarto objetivo más popular de los ataques cifrados en todo el mundo en 2023, con un 29 % más de ataques en comparación con 2022.
Lea más en nuestro Informe sobre ataques cifrados de 2023.
Exploits de dispositivos
En 2024, el 56 % de las organizaciones sufrieron al menos un ataque de exploits de sus VPN en los 12 meses anteriores. Los dispositivos heredados orientados al exterior se encuentran entre los principales vectores de ataque en el sector sanitario, y cada trimestre se descubren muchas vulnerabilidades nuevas.
Lea más en nuestro Informe de riesgos de VPN de 2024.
La necesidad de una ciberseguridad integral en la atención sanitaria
En medio de las crecientes amenazas, los pacientes y los proveedores necesitan maneras de acceder, gestionar y supervisar la atención con seguridad desde cualquier lugar. Para lograrlo, la mayor parte del sector está migrando a la nube. Esto destaca varias consideraciones clave para la seguridad y las operaciones.
Gestión de ciberriesgos
La telemedicina, la nube y el IoT han abierto nuevas vías para el acceso malicioso a los datos y sistemas sanitarios, y los ataques contra el sector de la salud se están disparando.
Las organizaciones deben:
- Reducir la superficie de ataque para restringir el acceso malicioso a los sistemas sanitarios. Para ello, hay que mantener a los usuarios y dispositivos fuera de la red, concediendo sólo a los usuarios autorizados un acceso directo y con privilegios mínimos a los recursos.
- Ocultar aplicaciones y dispositivos expuestos a Internet que puedan dejar puertas abiertas a los atacantes.
Costos y riesgos de las infraestructuras y las fusiones y adquisiciones
El sector sigue consolidándose mediante fusiones y adquisiciones, que tienden a agravar las complejidades y vulnerabilidades informáticas. Un estudio de 2023 de la Universidad de Dallas encontró que el riesgo de violación de datos se duplica para los hospitales estadounidenses en el año anterior y posterior a una fusión.
Las organizaciones deben:
- Aplicar una política unificada en todas las nubes y centros de datos.
- Conectar de manera segura a usuarios, dispositivos y aplicaciones durante la integración de fusiones y adquisiciones.
- Evitar los problemas de complejidad, compatibilidad y costos típicos de las fusiones y adquisiciones.
Asegurar los nuevos modelos de atención y el IoT médico
A medida que los sistemas sanitarios hacen más accesible la asistencia, también necesitan que los datos confidenciales sean accesibles de manera segura desde prácticamente cualquier lugar y en cualquier dispositivo. Los datos ampliamente distribuidos y los miles de puntos finales potencialmente vulnerables del internet de las cosas médico (IoMT) pueden dificultar enormemente esta tarea.
Las organizaciones deben:
- Asegurar y simplificar la conectividad de IoT para que puedan adoptar nuevas aplicaciones y dispositivos de manera segura.
Optimización del trabajo desde cualquier lugar
Las consecuencias de la recesión financiera, la escasez de mano de obra y el agotamiento siguen obstaculizando la prestación de una atención eficaz. Los nuevos modelos de distribución y soluciones en la nube pueden mejorar la satisfacción, la productividad y la eficiencia del personal. Sin embargo, ponen a prueba los límites de la envejecida infraestructura del sector.
Las organizaciones deben:
- Trascienda los firewalls tradicionales, las VPN y las infraestructuras de red basadas en el perímetro.
- Adopte una arquitectura Zero Trust diseñada para ofrecer una conectividad escalable y segura para nubes y fuerzas de trabajo híbridas.
Mejores prácticas de ciberseguridad en el sector sanitario
Es esencial contar con prácticas de seguridad sólidas para proteger los datos de los pacientes, mantener la integridad de los servicios médicos y conservar la confianza. Toda organización debería:
- Cifrar datos confidenciales en tránsito y en reposo para evitar el acceso no autorizado.
- Descifrar el tráfico entrante y saliente para bloquear amenazas ocultas y proteger datos confidenciales.
- Reducir su superficie de ataque utilizando una arquitectura de proxy inverso para hacer que los dispositivos y aplicaciones sean invisibles para la Internet pública.
- Realizar evaluaciones de riesgos de sistemas de TI, redes e IoT para encontrar y abordar problemas antes de que provoquen violaciones.
- Aplicar el acceso con privilegios mínimos y la autenticación multifactor (MFA) para garantizar solo el acceso autorizado a información confidencial.
- Educar al personal sobre las políticas de seguridad y las maneras de reducir el riesgo, particularmente en torno al phishing, el ransomware y la gestión de datos.
- Mantener los sistemas actualizados con los últimos parches de seguridad.
- Implementar procedimientos sólidos de supervisión y respuesta a incidentes para abordar rápidamente los incidentes de seguridad, reducir su impacto y acelerar la recuperación.
- Adoptar una arquitectura Zero Trust para reducir los riesgos y desafíos de las redes perimetrales, firewalls y VPN, y garantizar el acceso basado en identidad a datos y aplicaciones.
Cómo puede ayudar Zscaler
Nuestro enfoque Zero Trust conecta de manera segura a usuarios y dispositivos directamente a las aplicaciones de sus sistemas sanitarios, no a su red, lo que ayuda a su organización a:
- Proteger a los pacientes, empleados, dispositivos y datos confidenciales de los ciberataques
- Preservar la confidencialidad y la integridad de los datos de los pacientes.
- Cumplir con las regulaciones del sector como HIPAA y HITECH
- Inspeccionar el 100 % del tráfico TLS/SSL para mitigar las amenazas y la pérdida de datos
Descubra cómo Zscaler ayuda a proteger la atención sanitaria moderna y a garantizar el cumplimiento de la HIPAA.
Preguntas frecuentes
Preguntas frecuentes
El sector sanitario es uno de los principales objetivos de los ciberataques porque los datos de los pacientes, la propiedad intelectual y otros datos médicos son valiosos en el mercado negro y como herramienta para el fraude financiero. Las organizaciones sanitarias son especialmente susceptibles a los ataques de ransomware debido a la necesidad crítica de evitar interrupciones en la atención.
La digitalización ha hecho que la atención médica sea más eficiente y accesible, pero transmitir y almacenar enormes cantidades de datos ha aumentado los riesgos de violaciones. El uso cada vez mayor de dispositivos IoT, que a menudo tienen una seguridad débil, también abre miles de nuevos vectores de ataque. Mientras tanto, la adopción de la nube y de servicios de terceros ha dificultado el mantenimiento de políticas de acceso sólidas.
Los ciberataques ponen en peligro la seguridad de los pacientes al amenazar la integridad, la disponibilidad y la confidencialidad de los datos de los pacientes y los sistemas de atención médica, además de alterar potencialmente los servicios. El ransomware y otros ataques pueden bloquear el acceso a los datos y provocar violaciones, fraude financiero, robo de identidad y más, lo que podría afectar los resultados de los pacientes.
La ciberseguridad en el sector sanitario es única en comparación con otras industrias debido a la naturaleza de los datos, las operaciones críticas y las amenazas en constante evolución. Los siguientes factores destacan sus desafíos específicos:
- Datos altamente confidenciales
- Interrupciones en operaciones de vida o muerte
- Requisitos reglamentarios
- Entornos de TI complejos
- Objetivo constante
Sí, los dispositivos sanitarios son vulnerables a los ciberataques, lo que supone riesgos significativos para la seguridad del paciente, la seguridad de los datos y las operaciones sanitarias. A continuación se describen las razones principales:
- La conectividad aumenta los riesgos: Muchos dispositivos sanitarios, como bombas de infusión, marcapasos y sistemas de imágenes, están conectados a redes hospitalarias o a Internet, lo que los hace susceptibles a ataques remotos. Con el auge de los dispositivos del Internet de las cosas (IoT) en el sector sanitario, los atacantes pueden explotar los puntos finales vulnerables para ingresar a la red.
- Tecnología obsoleta: Los dispositivos sanitarios antiguos a menudo carecen de medidas de seguridad integradas, lo que los hace vulnerables a las técnicas de ataque modernas.
- Deficiencias en el diseño de seguridad: Muchos dispositivos priorizan la funcionalidad sobre la seguridad, lo que crea brechas que pueden ser explotadas.
La telesalud impacta significativamente la ciberseguridad de los proveedores sanitarios al introducir nuevos riesgos y vulnerabilidades debido al uso de sistemas remotos, aplicaciones para pacientes e interacciones virtuales. A continuación se describen los aspectos clave:
- Riesgos del acceso remoto: La telesalud requiere sesiones remotas, lo que aumenta la exposición a ciberamenazas como el acceso no autorizado y los ataques de phishing dirigidos a proveedores y pacientes.
- Manejo de datos confidenciales: Los sistemas de telesalud procesan información confidencial de los pacientes, como afecciones médicas y datos financieros, que podrían ser robados o fugados.
- Canales de comunicación inseguros: Las plataformas sin cifrado pueden exponer las videoconsultas, los chats o los archivos compartidos a que sean interceptados.
- Aplicaciones de terceros: Muchas plataformas de telesalud dependen de herramientas de terceros que podrían contener vulnerabilidades.