Las vulnerabilidades más contagiosas en el sector sanitario
Si las inyecciones te dan miedo, piensa en el ciberataque al hospital Clínic de Barcelona en marzo de 2023, que resultó en la anulación de cirugías y en la solicitud de un rescate de 4,5 millones de dólares por la información cifrada.
Los desafíos de ciberseguridad que enfrentan los proveedores de atención médica son inmensos. Los datos de los pacientes deben estar protegidos constantemente, y una gran cantidad de dispositivos conectados deben operar de manera consistente y segura en un entorno donde pacientes, médicos, personal no médico, el departamento de IT y contratistas externos requieren diferentes niveles de acceso al sistema.
Cuando se consideran los desafíos de proteger dicho entorno junto con el alto valor de los datos de los pacientes, es fácil ver por qué la atención médica es la industria más frecuentemente atacada por los hackers. Un registro médico electrónico típico (EHR) puede contener información como el nombre, número de seguridad social, historial médico, información bancaria y de tarjetas de crédito, nombres de familiares, y mucho más que es de gran valor para los hackers.
En 2023, el sector sanitario informó filtraciones de datos con un coste medio de 10,93 millones de dólares por incidente, casi el doble que el sector financiero, que quedó en segundo lugar con un coste medio de 5,9 millones de dólares. También en 2023, las grandes brechas afectaron a más de 88 millones de personas, un 60 % más que el año anterior.
Las Vulnerabilidades del Sector Sanitario a Examen
Para entender cómo proteger mejor la IT de las organizaciones sanitarias, es esencial profundizar en las vulnerabilidades específicas y cómo pueden ser mitigadas.
Dispositivos IoT Conectados
Una de las mayores vulnerabilidades dentro de la industria de atención médica es que la infraestructura de IT tiende a tener un número muy alto de puntos de acceso.
Piensa en equipos como resonancias magnéticas conectadas, iPads del personal, computadoras de escritorio en estaciones de enfermería, portátiles en carros, repetidores inalámbricos y cualquier otro dispositivo conectado a una red. Sin la seguridad adecuada, cualquiera de estos puntos de acceso puede ser utilizado como puerta de entrada al sistema más amplio. Esto nos lleva a otra vulnerabilidad en el entorno de atención médica: departamentos de IT con poco personal y poco financiamiento.
Personal de IT insuficiente
Los hospitales y otras organizaciones de atención médica se enfocan principalmente en brindar atención al paciente. Sin embargo, con presupuestos enfocados en la atención al paciente, a menudo queda muy poco para el departamento de IT.
Esto significa que el equipo de IT es pequeño y opera con un presupuesto reducido, a pesar de tener listas de tareas largas que incluyen el cumplimiento de estrictas regulaciones de seguridad. A veces se recortan esquinas mientras el equipo de IT lucha por mantenerse al día con la carga de trabajo. No se trata de criticar a los equipos de IT; son profesionales capacitados que trabajan arduamente. Pero es cierto que los equipos de IT pequeños y sobrecargados son una vulnerabilidad potencial porque no pueden cumplir con todas las demandas que requiere una ciberseguridad adecuada.
Contratistas y Proveedores Externos
Dado que los equipos de IT son pequeños y enfrentan una lista de tareas abrumadora, a menudo se recurre a proveedores externos para realizar trabajos específicos.
Estas máquinas conectadas de alta tecnología requieren técnicos con licencia para manejar el mantenimiento y la calibración. Para hacer este trabajo, a menudo se otorga acceso privilegiado al sistema a los contratistas, ya sea de forma remota o en el sitio. Si dicho acceso no se monitorea y limita de cerca, un contratista puede tener libertad dentro del sistema o saltar a través de la red a otros objetivos valiosos. Esto crea una vulnerabilidad potencial en términos de seguridad y privacidad. Con acceso inapropiado, un contratista puede ver registros de pacientes o causar estragos con equipos que salvan vidas, incumpliendo protocolos de ciberseguridad y medidas de cumplimiento normativo como la NIS2 y RGPD.
Remedios para paliar estar vulnerabilidades
Dadas las necesidades particulares y el entorno de un proveedor de atención médica, cualquier solución diseñada para cerrar estas vulnerabilidades necesita tener varias cualidades clave. Una solución adecuada debe:
- Ser de bajo impacto, para que la prestación de atención médica no se vea afectada.
- Ser de alto resultado, para que se cierren las vulnerabilidades.
- Ser fácil de implementar, para que pueda ponerse en marcha rápidamente con mínima interrupción.
- Incorporar principios de seguridad por diseño, para minimizar la carga de trabajo de IT mientras se maximiza la seguridad en todo el sistema.
Estas cualidades son vitales, pero ¿qué problemas específicos debería abordar dicha solución y qué características debe tener para hacerlo? Una solución adecuada debe:
- Controlar el acceso remoto: Garantizar que solo los usuarios autorizados puedan acceder a los sistemas desde ubicaciones externas.
- Proporcionar supervisión de las sesiones de los usuarios: Monitorear y registrar las actividades de los usuarios dentro del sistema en tiempo real.
- Hacer cumplir el principio del menor privilegio: Asegurar que los usuarios solo tengan acceso a los datos y sistemas necesarios para realizar su trabajo.
- Optimizar la gestión para el equipo de IT/seguridad: Facilitar la administración y el control de los sistemas y datos.
- Garantizar el cumplimiento de las normativas: Asegurar que la solución cumpla con las numerosas normativas relacionadas con la atención médica.
Implementar estas medidas ayudará a proteger los datos sensibles de los pacientes y a fortalecer la ciberseguridad en el sector sanitario.
La Cura Eficaz: La Gestión de Acceso Privilegiado (PAM)
Una solución robusta de gestión de acceso privilegiado (PAM) puede cumplir con estos requisitos, pero solo si comprende varios componentes clave que funcionan juntos. Primero, debe tener un componente de gestión de acceso que otorgue a los equipos de seguridad control y visibilidad sobre el acceso privilegiado. Los gestores deben poder definir privilegios para cualquier usuario, asegurándose de que solo puedan ver los sistemas y realizar las tareas para las que están autorizados.
Además, debe proporcionar capacidades de gestión de sesiones tanto en tiempo real como automatizadas. El gestor de sesiones debe ser capaz de detectar actividad inapropiada y terminar automáticamente dichas sesiones o generar alertas en tiempo real. Debe registrar todas las sesiones, lo cual es crítico en un entorno de atención médica, proporcionando una pista de auditoría para el cumplimiento normativo y como herramienta de capacitación y diagnóstico.
Finalmente, una solución PAM adecuada debe tener un componente fuerte de gestión de contraseñas, asegurando que las contraseñas sean suficientemente fuertes y se roten regularmente. Las expiraciones de contraseñas basadas en sesiones son particularmente útiles para los contratistas, garantizando que no puedan reutilizarse sin el consentimiento del equipo de seguridad.
Al abordar estas vulnerabilidades críticas con una solución integral de gestión del acceso privilegiado (PAM), los proveedores de servicios sanitarios pueden mejorar significativamente su ciberseguridad, proteger los datos confidenciales de los pacientes y garantizar el cumplimiento de los estrictos requisitos normativos.
