El aumento de los ciberataques está poniendo a prueba la capacidad de las organizaciones sanitarias para mantener sus operaciones diarias y proporcionar una atención médica oportuna y eficaz a los pacientes. Las perturbaciones causadas por estos ataques han llevado al FBI y al Departamento de Justicia a clasificarlos como delitos «contra la vida», lo que supone un grave riesgo para la seguridad de los pacientes y del público en general.
Para combatir estas amenazas, las organizaciones sanitarias deben implementar estrategias que refuercen la protección de datos y mejoren la ciberresiliencia. Estos enfoques mejoran la seguridad y reducen los costes, lo que permite reinvertir los fondos en innovación y nuevas tecnologías.
«Las organizaciones sanitarias están sometidas a una presión constante para reducir costes, lo que se extiende a los equipos de seguridad», afirma David Houlding, CISSP, CIPP, director de Estrategia Global de Seguridad y Cumplimiento Normativo en el Sector Sanitario de Microsoft.
«Los equipos de seguridad suelen carecer de personal suficiente, y los recursos cualificados son difíciles de encontrar, costosos y difíciles de retener», continúa Houlding. «Mejorar la velocidad, la escala, la precisión y la cualificación de estos equipos es fundamental, independientemente del tamaño del centro de operaciones de seguridad».
Reducir el riesgo, cumplir con los requisitos normativos y prepararse para los ciberataques no solo protege los datos y garantiza la calidad y la continuidad de la atención al paciente, sino que también genera ahorros y simplifica la gestión.
Retos a los que se enfrenta la seguridad de los datos sanitarios
Los proveedores de atención sanitaria se enfrentan a retos tanto internos como externos para mantener la seguridad de sus operaciones.
El Informe sobre investigaciones de violaciones de datos de 2023 de Verizon destaca un alarmante aumento de las amenazas externas al sector sanitario, siendo el ransomware especialmente perjudicial. Los atacantes externos fueron responsables del 66 % de las violaciones de datos, centrándose principalmente en la información personal y médica.
Según la Oficina del Director de Inteligencia Nacional, las reclamaciones por ransomware aumentaron un 74 % a nivel mundial en 2023, y los ataques contra el sector sanitario estadounidense se incrementaron en un 128 %. Este aumento afectó a 258 víctimas en 2023, frente a las 113 de 2022.
Las amenazas externas están aumentando, justo cuando el sistema sanitario lucha por mantener una plantilla de seguridad cualificada. La encuesta sobre ciberseguridad de HIMSS de 2023 revela que el 43 % de las organizaciones sanitarias carecen de presupuesto para contratar profesionales, y muchas de ellas señalan la falta de experiencia tanto en el ámbito sanitario como en el de la ciberseguridad. Además, el 37 % de las organizaciones tienen dificultades para encontrar candidatos cualificados y el 21 % señala que no hay suficientes competencias en la reserva de talento.
«Ofrecer orientación y oportunidades de aprendizaje en el puesto de trabajo mejora tus habilidades y tu eficacia a la hora de gestionar los retos de seguridad», señala Houlding.
Más allá de la escasez de personal, muchas organizaciones sanitarias utilizan sistemas obsoletos. Un informe del Departamento de Salud y Servicios Humanos de 2023 sobre la ciberresiliencia de los hospitales reveló una adopción inconsistente de medidas de seguridad críticas y un uso generalizado de sistemas obsoletos. En concreto, el 96 % de los hospitales siguen dependiendo de sistemas al final de su vida útil con vulnerabilidades conocidas.
No actualizar estos sistemas no solo pone en riesgo la seguridad de los pacientes, sino que también puede acarrear importantes costes económicos a las organizaciones sanitarias. La sanidad sigue siendo el sector más costoso en lo que respecta a las filtraciones de datos, con unos costes medios por filtración que alcanzarán los 9,77 millones de dólares en 2024, según el informe «Cost of a Data Breach» de IBM. Es precisamente la dependencia de este sector de tecnologías obsoletas lo que lo convierte en un objetivo atractivo, ya que los proveedores de servicios sanitarios no pueden permitirse interrupciones operativas.
Las interrupciones del servicio y las caídas del sistema tienen efectos inmediatos y duraderos, ya que comprometen la calidad y la seguridad de la atención al paciente, erosionan la confianza de este, ponen en peligro los resultados y amenazan la sostenibilidad de la asistencia sanitaria. Invertir en ciberseguridad y resiliencia es fundamental para prevenir estos riesgos.
Un camino seguro y rentable hacia el futuro
En el sector sanitario, el cumplimiento de la normativa y la mitigación eficaz de los riesgos son esenciales para proteger los datos confidenciales de los pacientes.
«La HIPAA establece normas importantes para la protección de los datos de los pacientes, pero en general se considera que son insuficientes para mitigar por completo los riesgos actuales», afirma Houlding. «En materia de ciberresiliencia, la disponibilidad de los datos es tan vital como la confidencialidad y la integridad. Los ataques como el ransomware y la denegación de servicio, dirigidos a la disponibilidad de los datos y los sistemas, pueden paralizar las operaciones. Abordar riesgos como el ransomware, las amenazas internas y las vulnerabilidades de terceros es crucial para mantener la seguridad».
Las organizaciones sanitarias deben evaluar periódicamente las brechas de seguridad utilizando marcos de ciberseguridad «Zero Trust», centrándose en estrategias a largo plazo para hacer frente a amenazas como el ransomware, al tiempo que optimizan los recursos limitados destinados a la resiliencia de los datos y la recuperación ante violaciones de seguridad.
Las soluciones de seguridad integradas reducen los costes y mejoran la eficiencia, evitando que los sistemas inconexos abrumen a los analistas y aumenten el riesgo de pasar por alto amenazas. Las soluciones basadas en inteligencia artificial pueden ayudar a mejorar la velocidad, la escala y la precisión de los equipos de seguridad, agilizando las operaciones, mejorando sus habilidades con orientación oportuna en momentos de aprendizaje y mejorando la detección y la respuesta ante amenazas.
A medida que los sistemas sanitarios, los hospitales y los grupos de médicos trabajan para reducir la deuda tecnológica mediante la modernización de su infraestructura informática y la migración a la nube, la resiliencia y la seguridad cobran aún más importancia.
«La transición a la nube, incluidos los modelos híbridos, requiere resiliencia y cumplimiento de extremo a extremo», explica Houlding. «Las organizaciones sanitarias están migrando sistemas como los historiales médicos electrónicos (EHR) a la nube para reducir la deuda técnica, mejorar la agilidad y la escalabilidad, y centrarse más en el desarrollo de aplicaciones sanitarias de alto nivel. Dado que las migraciones pueden llevar meses o años, es fundamental mantener la resiliencia para garantizar un acceso fluido a los datos y asegurar el cumplimiento normativo con el fin de proteger los sistemas y los datos durante la transición».
A medida que evolucionan las amenazas cibernéticas, las organizaciones sanitarias deben adoptar un enfoque proactivo e integrado en materia de seguridad y resiliencia. Dar prioridad a las estrategias a largo plazo y aprovechar herramientas avanzadas permite proteger los datos de los pacientes, fomentar la confianza y garantizar el buen funcionamiento de las operaciones. Invertir ahora en una ciberseguridad sólida, integrada y basada en la inteligencia artificial mitiga los riesgos inmediatos y refuerza la resiliencia futura.
«La inversión de Microsoft en el sector sanitario se ve reforzada por la amplia experiencia de Commvault en este ámbito», afirma Karen Cox, directora global de estrategia de socios sanitarios de Microsoft. «La experiencia de Commvault en cargas de trabajo sanitarias complementa la seguridad de Microsoft, lo que los convierte en un socio clave para ofrecer soluciones integrales».
La portabilidad «any-to-any» de Commvault mejora la ciberresiliencia de las organizaciones sanitarias, ya que permite una recuperación rápida y libre de infecciones, y protege los datos de los pacientes. Además, Commvault Cloud Cleanroom Recovery, validado por Enterprise Strategy Group de TechTarget, garantiza la recuperación en un entorno limpio, protegiendo contra el ransomware y asegurando los datos críticos.
