Blindar las infraestructuras sanitarias críticas frente a la evolución de los ciberataques

Tras una inspección más detallada, te das cuenta de que las funciones críticas de la UCI, como el suministro de oxígeno, y la infraestructura clave para las operaciones quirúrgicas, como las máquinas de anestesia, están dejando de funcionar una por una, poniendo en peligro la vida de varios pacientes y paralizando los procedimientos médicos. Mientras intentas minimizar el peligro y averiguar por qué está ocurriendo esto, te informan de que el sistema de climatización del hospital ha fallado.

En medio del caos, se pone en contacto contigo un contacto anónimo que reclama la responsabilidad de este ciberataque a la tecnología operativa (OT) del hospital y empieza a exigir una importante suma de dinero para reanudar los servicios normales del hospital.

El ejemplo anterior es un esquema típico de un ciberataque a los sistemas de OT de un hospital. El escenario anterior puede ir más allá y afectar a los sistemas de TI del centro médico, poniendo en peligro los registros y posiblemente conduciendo a una violación de datos de información sanitaria sensible.

El problema es que en España ya hay ejemplos en la actualidad de lo peligrosos que pueden ser estos ataques. Desde la venta de datos médicos, la interrupción de tratamientos esenciales, o incluso consecuencias letales. Tristemente, todos los pronósticos apuntan a que seguirán creciendo.

Los ciberataques en el sector sanitario ya no se limitan a las TI. A medida que los dispositivos e infraestructuras médicas se vuelven más 'inteligentes', la superficie de ataque para los incidentes de seguridad también aumenta. Según un informe, las organizaciones sanitarias han experimentado el mayor coste medio de una violación de datos por undécimo año consecutivo. El coste medio de una filtración de datos en el sector sanitario se sitúa en 9,23 millones de dólares, casi el doble que en el sector financiero (que ocupa el segundo lugar en términos de coste de filtración de datos).

En 2021 se produjeron una media de dos violaciones de datos sanitarios al día. Algunas de las causas más comunes de las filtraciones fueron:

• Correo electrónico empresarial comprometido.
• Ransomware.
• Un servidor de red pirateado.
• Suplantación de identidad.
• Un incidente informático.

Teniendo en cuenta lo anterior, veamos cómo puede minimizar las ciberamenazas que afectan a los sistemas de TI y OT de su organización sanitaria.

Restringir el acceso a los dispositivos

Los atacantes pueden tomar el control de las instalaciones del hospital con solo conectar un dispositivo de memoria o un ordenador portátil y luego ejecutar un script que podría inutilizar las instalaciones sanitarias. Una forma de mitigar esto es bloquear el uso de dispositivos de almacenamiento externos. Esto puede hacerse mediante una solución de control de dispositivos que le permita vigilar los dispositivos y los puertos periféricos. Las organizaciones también pueden examinar los dispositivos conectados y analizar el comportamiento de los usuarios para identificar cualquier anomalía

Configurar el control de acceso

Desde el cirujano jefe hasta la enfermera más novata, todo el personal del hospital necesita un acceso rápido y fácil a los datos para fomentar una experiencia positiva del paciente. Un control de acceso adecuado garantiza que cada usuario tenga el acceso adecuado, reduciendo la necesidad de proporcionar acceso administrativo. Si el personal sanitario necesita acceder a recursos que requieren privilegios de administrador, puede elevar temporalmente sus privilegios para que puedan realizar su trabajo sin problemas. El control de acceso protege sus datos, proporciona responsabilidad mediante el seguimiento del acceso de los usuarios y garantiza el cumplimiento de las normativas de TI.

Habilitar la autenticación multifactorial

Si se aplica la autenticación multifactor, los usuarios tendrán que proporcionar dos o más capas de autenticación para poder acceder a la información de su organización. De este modo, incluso si la contraseña de un empleado se ve comprometida, sus otros factores de autenticación impedirán que los actores de la amenaza se conecten. Estos factores de autenticación adicionales suelen ser una contraseña de un solo uso basada en el tiempo, un escáner biométrico o un código de una aplicación de autenticación. La autenticación de múltiples factores ofrece muchas ventajas y es quizás el mecanismo de ciberdefensa más sencillo que las organizaciones pueden establecer.

Utilizar el cifrado

El cifrado de datos significa simplemente hacer que la información sensible de su organización, como los registros hospitalarios y los datos de los pacientes, sea ilegible para cualquiera que no deba tener acceso a ella, como los usuarios no autorizados o los hackers. Esto es especialmente útil en caso de un ataque de ransomware. Incluso si los datos se ven comprometidos, los autores de la amenaza no podrán divulgar el contenido de los datos, lo que mantendrá a la organización fuera de peligro; únicamente tienes que asegurarte de tener una copia de seguridad adecuada.

Automatizar los parches y las actualizaciones de software críticas

La tecnología sanitaria ha avanzado rápidamente, pero las organizaciones sanitarias no pueden permitirse restar importancia a la aplicación de parches y al mantenimiento de su software actualizado. Más que aplicar parches y actualizaciones manualmente, es importante automatizar estos procesos para limitar la exposición de la TI sanitaria a las vulnerabilidades. Los sistemas sin parches siguen siendo un objetivo crucial de los ciberataques, por lo que instalar parches y actualizaciones de software tan pronto como se publiquen es lo más adecuado.

Trabajar solo con proveedores certificados

Desde la comunicación y el almacenamiento en la nube hasta la facturación y el software de TI, las organizaciones sanitarias utilizarán una variedad de proveedores de terceros para registrar, procesar y almacenar información crítica. En el otro extremo, estas herramientas también tendrán que lidiar con información crítica del paciente procedente de otras partes interesadas, como el equipo de seguros o las instituciones financieras. Cualquier punto débil en todas esas interacciones con terceros proveedores puede ser aprovechado por los hackers, y la información puede ser mal usada. Y lo que es peor, si uno de los proveedores con los que trabaja es víctima de un ciberataque, existe la posibilidad de que también afecte a su organización.

Una forma de eliminar estos obstáculos es comprobar si el proveedor cumple con la HIPAA. Si un proveedor cumple con la HIPAA, sigue un conjunto estandarizado de medidas de seguridad para mantener la confidencialidad y seguridad de la información sanitaria protegida cuando se transfiere, recibe, maneja o comparte. Existen otras normativas de cumplimiento, como PCI DSS y NIST 800-171, que tienen un conjunto adicional de prácticas para salvaguardar la información privada.

El campo de la asistencia sanitaria nunca ha estado tan impulsado por la tecnología. Desde la telemedicina hasta las máscaras faciales capaces de detectar unas 800 enfermedades; cada vez será más difícil gestionar y asegurar estos complejos dispositivos. En la época en que la infraestructura informática sanitaria estaba en su fase inicial, una manera de proteger estos sistemas era aislarlos de la red. Sin embargo, esto ya no es así. A medida que los sistemas se vuelven más avanzados y desempeñan un papel más importante en la mejora de nuestras vidas, es igualmente importante que las organizaciones mejoren sus estrategias de gestión y seguridad de los puntos finales.