Las organizaciones sanitarias deben estar preparadas para los riesgos de seguridad de los datos y las interrupciones operativas derivadas de los ciberataques. La implementación de las mejores prácticas mejora la resiliencia cibernética, lo que garantiza una respuesta y una recuperación eficientes cuando se producen estos incidentes.
«La resiliencia en el sector sanitario es fundamental», afirma David Houlding, director de Estrategia Global de Seguridad y Cumplimiento Normativo en el Sector Sanitario de Microsoft. «Sin ella, se pone en peligro el acceso oportuno y fiable a los datos, lo que puede afectar gravemente a la atención al paciente. El acceso a los datos en el punto de atención es esencial, y cualquier interrupción puede obstaculizar significativamente la prestación de la asistencia sanitaria, mermando la calidad de la atención al paciente o, en el peor de los casos, poniendo en peligro su seguridad».
Para reforzar la resiliencia y mantener un acceso ininterrumpido a los datos críticos, las organizaciones sanitarias deben aplicar las siguientes prácticas recomendadas.
1) Realizar una evaluación exhaustiva de los riesgos.
Una evaluación exhaustiva de los riesgos ayuda a las organizaciones sanitarias a identificar y subsanar las brechas de seguridad antes de que puedan ser aprovechadas por amenazas cibernéticas.
La Norma de Seguridad de la HIPAA obliga a las entidades sujetas a su aplicación a realizar una evaluación de riesgos y a aplicar las medidas adecuadas para abordar las áreas clave y proteger la información sanitaria protegida en formato electrónico. El Risk Analysis debe ser un proceso continuo en el que las entidades sujetas a la norma y sus socios comerciales evalúen constantemente los riesgos y las medidas de seguridad. Las evaluaciones eficaces identifican y priorizan los riesgos, y ayudan a las organizaciones a centrar su tiempo y sus recursos limitados en los riesgos de mayor prioridad. Para cada riesgo identificado, pueden determinar a su vez las vulnerabilidades asociadas, entre las que se incluyen redes no seguras, sistemas sin parches y muchas otras en todo el ámbito de las tecnologías de la información.
«Medir el nivel de seguridad mediante evaluaciones de riesgos es fundamental para identificar deficiencias y mitigar riesgos», señala Houlding. «Los marcos de cumplimiento fiables también ayudan a dirigir los recursos limitados hacia donde pueden mejorar mejor la seguridad y reducir los riesgos».
Durante una evaluación de riesgos, los profesionales de la seguridad identifican los riesgos para la confidencialidad, la integridad y la disponibilidad de los datos sanitarios sensibles y, a continuación, los priorizan en función de su impacto y la probabilidad de que se produzcan. Aunque una evaluación de riesgos no elimina los ciberataques, ayuda a orientar los recursos limitados hacia los riesgos de máxima prioridad, donde pueden resultar más eficaces a la hora de mejorar la postura de seguridad. Esto dificulta los ataques a los autores de las amenazas y proporciona al equipo de seguridad una mayor visibilidad, lo que mejora las tareas de supervisión, detección, respuesta y Recovery.
2) Implementar políticas y procedimientos sólidos de ciberseguridad.
Tras identificar las brechas de seguridad mediante una evaluación de riesgos, las organizaciones sanitarias deben implementar controles de ciberseguridad sólidos y reforzar los procedimientos para reducir la incidencia y el impacto de los ciberataques. Por ejemplo, segmentar los sistemas críticos de la red puede ayudar a impedir que los actores maliciosos se muevan lateralmente dentro de la organización sanitaria y accedan a sistemas esenciales, minimizando así el riesgo de interrupciones en la atención al paciente.
Como medida preventiva, los profesionales de la seguridad deben abordar las vulnerabilidades conocidas y proteger los dispositivos médicos propensos a ser objeto de ataques. Las vulnerabilidades comunes y las configuraciones inseguras en el sector sanitario incluyen vulnerabilidades en aplicaciones web y software no compatible, según muestran los datos de la Agencia de Seguridad Cibernética y de Infraestructuras.
Garantizar que todos los sistemas estén protegidos mediante la autenticación multifactorial (MFA) es otra forma de reducir la incidencia y el impacto de los ciberataques. Los datos del programa HHS 405(d) revelaron que, aunque más del 90 % de los hospitales utilizan la MFA, su aplicación irregular genera brechas de seguridad. La implementación de la MFA en todos los sistemas refuerza la seguridad de la red y dificulta la actuación de los actores maliciosos.
Las copias de seguridad de los datos y un cifrado sólido también son fundamentales para ahorrar tiempo y dinero en caso de una violación de la seguridad. Las mejores prácticas contrastadas, como la segmentación de redes, la autenticación multifactorial (MFA) y la gestión de vulnerabilidades, pueden ayudar a las organizaciones a mitigar los riesgos y prepararse para los ataques.
3) Desarrollar planes de respuesta y recuperación.
El primer paso es reconocer que es probable que se produzca un ciberataque o una filtración de datos. A partir de ahí, los expertos en seguridad pueden planificar las medidas de respuesta y recuperación para prepararse ante un incidente. La HIPAA exige que las entidades afectadas elaboren un plan de respuesta ante incidentes, junto con un plan de copia de seguridad de datos, recuperación cibernética y funcionamiento en modo de emergencia para mantener el cumplimiento normativo.
Cuando se produce un incidente cibernético, las organizaciones sanitarias deben estar preparadas para interactuar con las partes interesadas, los asesores legales, las fuerzas del orden y los pacientes. Realizar simulacros con las partes interesadas clave antes de que se produzca un incidente cibernético puede ayudar a las organizaciones a responder de manera más eficiente y eficaz en caso de que se produzca un incidente real.
Los planes de respuesta ante incidentes deben incluir estrategias de comunicación, formas alternativas de acceder a los historiales de los pacientes durante el tiempo de inactividad del sistema de historias clínicas electrónicas (EHR) y procedimientos para garantizar la disponibilidad de los datos sanitarios críticos. Una vez contenida la amenaza, la atención se centra en ejecutar un plan de recuperación que restablezca los datos y los sistemas lo antes posible.
«La nube ofrece una seguridad superior en comparación con los hospitales individuales, lo que permite a las organizaciones sanitarias implementar planes de respuesta y recuperación más eficaces, al tiempo que trasladan la infraestructura de forma segura y se centran en la innovación y la eficiencia», señala Jaimie Fox, estratega tecnológico sénior de Microsoft.
Aunque los ciberataques pueden ser inevitables, las organizaciones sanitarias pueden controlar aspectos como la realización de evaluaciones de riesgos, la aplicación de las mejores prácticas de seguridad y la puesta en práctica de medidas de respuesta y recuperación ante incidentes.
4) Asociarse con un socio estratégico de tecnología y servicios
Colaborar con un proveedor de protección de datos especializado en ciberresiliencia y Recovery en el sector sanitario ofrece varias ventajas fundamentales. Las organizaciones sanitarias con una infraestructura mixta (local, híbrida, en la nube y multinube) necesitan un socio que unifique la ciberresiliencia y la protección de datos en todos los entornos para garantizar una seguridad y una disponibilidad constantes. La consolidación de los sistemas de copia de seguridad en una única solución reduce los costes, elimina la infraestructura redundante y minimiza la deuda técnica, lo que se traduce en una mayor eficiencia. Un socio especializado en recuperación de datos también mejora la ciberresiliencia al garantizar la recuperación en entornos limpios, lo que reduce el riesgo de reinfección tras un ataque.
Por último, un proveedor de protección de datos y gestión de la información que ofrezca funciones avanzadas en materia de almacenamiento, portabilidad y accesibilidad de los datos puede facilitar el traslado y la reutilización fluidos de los datos, lo que favorece la adopción de la nube y mejora la continuidad del negocio. La automatización basada en la inteligencia artificial simplifica aún más los procesos de protección, gobernanza y recuperación de datos, lo que reduce la carga administrativa de los equipos de TI y permite una recuperación más rápida y segura frente al ransomware y otras amenazas.
La solución «Cleanroom Recovery» de Commvault ofrece una solución innovadora para las organizaciones sanitarias que se enfrentan a ataques de ransomware, ya que garantiza la recuperación en un entorno limpio y reduce el riesgo de reinfección. Validada por Enterprise Strategy Group, utiliza su exclusiva portabilidad «any-to-any» para una recuperación de datos eficiente y segura. Esta capacidad es fundamental para reforzar la ciberresiliencia y permitir una restauración rápida y segura de las organizaciones sanitarias tras un ataque.
«Commvault es un socio clave para las organizaciones sanitarias que buscan la nube con Azure», afirma Karen Cox, directora global de estrategia de socios sanitarios de Microsoft. «Gracias a su profunda integración con la seguridad de Microsoft, las soluciones avanzadas de Commvault protegen los datos y las aplicaciones sanitarias en entornos híbridos de nube».
