El año pasado, el Departamento de Salud y Servicios Humanos lanzó una severa advertencia a los hospitales estadounidenses, en la que destacaba las crecientes amenazas cibernéticas a las que se enfrenta el sector sanitario. El informe de la agencia federal sobre la resiliencia cibernética de los hospitales señalaba que la adopción generalizada de la tecnología de la información sanitaria, impulsada por la Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH), la Ley de Asistencia Asequible y la Ley de Curas del Siglo XXI, ha aumentado la vulnerabilidad del sector sanitario ante los ciberataques.
«Los ataques de ransomware dirigidos directamente a interrumpir las operaciones clínicas constituyen una amenaza cibernética desmesurada y creciente para los hospitales», subrayó el HHS. «El ransomware es actualmente la mayor amenaza para este sector y merece una atención inmediata, especialmente teniendo en cuenta el impacto que la indisponibilidad de los servicios puede tener en la atención y la seguridad de los pacientes».
Los ataques de ransomware suelen ir acompañados del robo de datos confidenciales de los pacientes. Según el Programa de Ciberseguridad del Departamento de Salud y Servicios Humanos (HHS) de EE. UU., los historiales médicos electrónicos (EHR) son uno de los principales objetivos de los ciberataques, ya que contienen información médica protegida (PHI) de gran valor, como nombres, números de la Seguridad Social, datos geográficos y datos biométricos. Estos datos son muy rentables para los ciberdelincuentes y difíciles de proteger una vez expuestos.
Normativa de seguridad relativa a los EMR/EHR según la HIPAA
La advertencia del HHS pone de relieve importantes vulnerabilidades en los sistemas de información sanitarios que exponen a las organizaciones a ataques de ransomware, filtraciones de datos y otras amenazas cibernéticas. Los proveedores de asistencia sanitaria deben considerar estas advertencias como llamadas urgentes a la acción, y no como simples avisos rutinarios. Las implicaciones van más allá de las cuestiones técnicas: una seguridad inadecuada de los historiales clínicos electrónicos (EHR) genera responsabilidad legal, pone en peligro la atención al paciente y daña la reputación de la institución.
Las amenazas habituales a la seguridad de los EHR incluyen:
- Amenazas internas: miembros del personal que hacen un uso indebido, ya sea de forma accidental o intencionada, de su acceso a los historiales de los pacientes.
- Riesgos de terceros: proveedores y socios comerciales con acceso a los sistemas, pero con prácticas de seguridad potencialmente inadecuadas.
- Sistemas heredados: software y hardware obsoletos que ya no reciben actualizaciones de seguridad.
- Vulnerabilidades de los dispositivos móviles: teléfonos inteligentes y tabletas sin protección utilizados para acceder a la información de los pacientes.
- Fugas en la nube: protección inadecuada de los datos almacenados en la nube.
- Ataques de phishing: campañas dirigidas diseñadas para robar las credenciales del personal sanitario.
- Copias de seguridad inadecuadas: copias de seguridad insuficientes o no probadas que fallan durante los procesos de recuperación.
Estas amenazas están directamente relacionadas con el incumplimiento de la HIPAA cuando las organizaciones no implementan las medidas de seguridad necesarias. Por ejemplo, un ataque de ransomware que aprovecha un software sin parches constituye una violación de los requisitos de protección del sistema establecidos en la Norma de Seguridad de la HIPAA.
Las consecuencias económicas de estos ataques pueden ser graves. Según el informe de IBM de 2024 sobre el coste de una filtración de datos, las filtraciones en el sector sanitario suponen para las organizaciones un coste medio de 9,77 millones de dólares. Un ejemplo es el reciente acuerdo alcanzado tras un ataque de ransomware que afectó a Heritage Valley Health System, en el que la Oficina de Derechos Civiles impuso una multa de 950 000 dólares y exigió un plan de medidas correctivas. Incidentes como este ponen de relieve la importancia de contar con medidas sólidas de ciberseguridad para prevenir las filtraciones y reducir los riesgos.
Las normas de seguridad relativas a los EMR/EHR según la HIPAA incluyen la implementación de medidas de seguridad administrativas, físicas y técnicas razonables y adecuadas para proteger la ePHI. La norma de seguridad de la HIPAA establece requisitos específicos para la protección de los EHR. Exige a las entidades reguladas que dispongan de:
- Medidas administrativas: análisis de riesgos, procesos de gestión de la seguridad, formación del personal y planes de contingencia.
- Medidas de seguridad físicas: controles de acceso a las instalaciones, seguridad de las estaciones de trabajo y controles de dispositivos y soportes.
- Medidas de seguridad técnicas: controles de acceso, controles de auditoría, controles de integridad y seguridad de la transmisión.
- Requisitos organizativos: contratos con socios comerciales y requisitos de documentación.
- Políticas y procedimientos: aplicación de medidas de seguridad razonables y adecuadas.
Las organizaciones sanitarias deben llevar a cabo una evaluación exhaustiva de los riesgos de seguridad para identificar vulnerabilidades. A continuación, deben desarrollar un plan de corrección que priorice las deficiencias críticas, actualice las políticas y procedimientos de seguridad, implemente medidas de protección técnicas y proporcione formación al personal sobre los protocolos de seguridad. Las auditorías de seguridad periódicas ayudan a mantener el cumplimiento normativo y a adaptarse a las amenazas emergentes.
Medidas de seguridad de los EHR y su importancia
Dado que los EHR son objetivos prioritarios, la seguridad cobra cada vez más importancia. La seguridad de los EHR abarca medidas de protección especializadas diseñadas para proteger la ePHI dentro de los sistemas de información sanitaria. La seguridad de los EHR debe abordar tanto las vulnerabilidades técnicas de los sistemas digitales como los requisitos específicos de privacidad exigidos por la normativa sanitaria.
La base de una seguridad eficaz de los EHR según la HIPAA se sustenta en tres principios fundamentales:
- La confidencialidad protege contra el acceso no autorizado a los datos confidenciales de los pacientes.
- La integridad garantiza la precisión y la coherencia de los historiales médicos a lo largo de su ciclo de vida.
- La disponibilidad garantiza que los usuarios autorizados puedan acceder a la información esencial cuando sea necesario para la atención del paciente.
Medidas de seguridad esenciales para los EHR
Estas medidas de seguridad para los EHR pueden ayudar a las organizaciones sanitarias a proteger los datos de los pacientes y, al mismo tiempo, cumplir los requisitos de la HIPAA:
- Controles de acceso: permisos basados en roles que limitan el acceso a los datos al personal autorizado en función de su cargo y de la necesidad de conocerlos.
- Sistemas de autenticación: autenticación multifactorial que requiere varios métodos de verificación antes de conceder acceso al sistema.
- Cifrado: cifrado de datos tanto en reposo como en tránsito para proteger la información incluso en caso de que se produzca una violación de la seguridad de los sistemas.
- Registros de auditoría: registro exhaustivo de todas las actividades del sistema para realizar un seguimiento de quién ha accedido a los registros y qué cambios se han realizado.
- Análisis periódico de los riesgos de seguridad de los EHR: evaluación sistemática de las vulnerabilidades de seguridad e implementación de estrategias de mitigación.
- Copias de seguridad y recuperación: copias de seguridad periódicas de los datos con procedimientos de recuperación contrastados para mantener la disponibilidad durante los incidentes.
- Medidas de seguridad físicas: acceso físico restringido a los servidores y estaciones de trabajo que contienen ePHI.
- Formación en materia de seguridad: formación continua para todo el personal sobre protocolos de seguridad y reconocimiento de amenazas.
Preocupaciones sobre la privacidad y la seguridad de los EHR
La integridad y la privacidad de los datos representan aspectos distintos, pero interrelacionados, de las preocupaciones sobre la privacidad y la seguridad de los EHR. La integridad de los datos se centra en mantener la exactitud y la integridad de los registros médicos a lo largo de su ciclo de vida: prevenir alteraciones no autorizadas, detectar datos dañados y preservar la fiabilidad de la información médica.
La privacidad se centra en controlar quién puede acceder a la información de los pacientes y en qué circunstancias. Ambos elementos requieren medidas de protección específicas para garantizar el cumplimiento de la HIPAA.
Aunque el cifrado proporciona una capa de protección fundamental para los datos de los EHR, no puede servir como solución de seguridad integral frente a las violaciones de seguridad de los EHR. Los datos cifrados siguen siendo vulnerables si los controles de acceso son débiles, los sistemas de autenticación se ven comprometidos o los empleados hacen un uso indebido de sus privilegios de acceso legítimos. Las organizaciones sanitarias deben implementar un enfoque de seguridad multicapa que aborde todo el espectro de vulnerabilidades potenciales para hacer frente a los problemas de privacidad y seguridad de los EHR.
Los controles de acceso, los registros de auditoría y las evaluaciones periódicas de riesgos se combinan para garantizar tanto la integridad como la privacidad de los historiales médicos electrónicos. Los controles de acceso limitan la exposición de los datos en función del rol y la necesidad. Los registros de auditoría garantizan la rendición de cuentas al realizar un seguimiento de todas las interacciones con la información sanitaria protegida. Las evaluaciones de riesgos identifican las vulnerabilidades emergentes antes de que puedan ser aprovechadas.
«La transición a la nube ha cobrado impulso porque reduce la deuda técnica y mejora la seguridad», afirma Jaimie Fox, estratega tecnológico sénior de Microsoft. «La nube ofrece una seguridad mucho mayor que la de los hospitales individuales, lo que permite a los proveedores de atención sanitaria y a los proveedores de historias clínicas electrónicas (EHR) trasladar la infraestructura de forma segura mientras se centran en la innovación y la eficiencia».
Cada vez son más los proveedores de servicios sanitarios que reconocen la necesidad de aprovechar las ventajas de la nube frente a la infraestructura tradicional. Sin embargo, este cambio plantea una pregunta fundamental: ¿cómo pueden las organizaciones sanitarias proteger los sistemas críticos frente a las amenazas cibernéticas y garantizar al mismo tiempo que sigan funcionando para atender a los pacientes?
Mejora de la seguridad de los EHR en la nube
Ante el aumento de las amenazas cibernéticas a los sistemas de historias clínicas electrónicas, las organizaciones sanitarias deben adoptar estrategias contrastadas para mejorar su resiliencia cibernética. Entre los métodos clave se incluyen el aprovechamiento de la infraestructura de seguridad en la nube, la mitigación integral de riesgos y la integración de la inteligencia artificial en los flujos de trabajo de seguridad para mejorar la preparación frente a los ataques.
Con un personal de ciberseguridad limitado, las organizaciones sanitarias tienen la oportunidad de utilizar la nube para reforzar su postura en materia de ciberseguridad, así como para abordar la deuda técnica que afecta a la mayoría de los hospitales estadounidenses. Si bien es fundamental cumplir con las normativas federales, estatales y locales, mitigar los riesgos de ciberseguridad va más allá del simple cumplimiento de las normas.
«En materia de ciberresiliencia, proteger la disponibilidad de los datos es tan importante como garantizar su confidencialidad e integridad», afirma David Houlding, director de Seguridad Sanitaria Global y Estrategia de Cumplimiento Normativo de Microsoft. «Las organizaciones sanitarias también deben defenderse contra las violaciones de seguridad, las amenazas internas y los riesgos de terceros, que pueden provocar graves interrupciones, incluido el cierre de los sistemas».
La flexibilidad y la escalabilidad de la nube permiten la rápida integración de tecnologías avanzadas que hacen un uso intensivo de los datos y que ayudan a los profesionales de la ciberseguridad sanitaria a reforzar la seguridad, además de permitir a los médicos aplicar herramientas de vanguardia a la atención de los pacientes.
«Las capacidades de IA, que mejoran la productividad y reducen los costes en los sistemas de historias clínicas electrónicas, solo se pueden lograr en la nube», señala Fox. «Los sistemas locales tradicionales no pueden admitir estas funciones avanzadas de IA, lo que limita la innovación y las soluciones de vanguardia en la atención clínica».
La IA también puede revolucionar la ciberseguridad en el sector sanitario al identificar y responder rápidamente a posibles amenazas para los datos, los sistemas y las aplicaciones.
«Gracias a la IA, los analistas de seguridad pueden detectar y responder a ataques sofisticados, como el phishing y el spear phishing, que ahora se están generalizando y resultan más baratos de llevar a cabo debido a que los atacantes también utilizan la automatización impulsada por la IA», afirma Houlding. «Además, la IA puede proporcionar orientación en tiempo real, lo que ayuda a los equipos de seguridad a mejorar sus habilidades en el trabajo y los prepara mejor para hacer frente al panorama de amenazas en rápida evolución».
A medida que las organizaciones sanitarias se pasan a la nube, es fundamental encontrar el equilibrio entre innovación y seguridad.
Elegir al socio adecuado para la ciberresiliencia
Al aprovechar la seguridad en la nube y las protecciones impulsadas por la inteligencia artificial, los proveedores de atención sanitaria pueden proteger los sistemas críticos e impulsar al mismo tiempo las innovaciones clínicas en la atención al paciente.
«Commvault es un socio de confianza de Microsoft y un socio clave para las organizaciones sanitarias que buscan una verdadera resiliencia en la nube con Azure. Cuenta con una trayectoria inigualable y, como han comentado nuestros compañeros, su propuesta de valor es única y líder en el sector», afirma Karen Cox, directora de estrategia global de socios sanitarios de Microsoft.
«Commvault es líder y uno de los primeros participantes en el Programa de socios de Microsoft Copilot for Security, y utiliza la tecnología más avanzada para proteger a las empresas», continúa. «Sus soluciones están totalmente integradas con la seguridad de Microsoft, se han desarrollado conjuntamente con Microsoft y cumplen con los estándares de Azure Protection Services. Esto convierte a Commvault en el socio ideal para proteger las aplicaciones y los datos del sector sanitario, ya sea en la nube o en un entorno híbrido».
Las organizaciones sanitarias pueden reforzar sus estrategias de recuperación frente a los ataques a los EHR utilizando Commvault Cleanroom Recovery, la única solución validada por Enterprise Strategy Group que garantiza la recuperación en un entorno limpio. Dado que el ransomware supone una amenaza importante, es esencial contar con un plan de recuperación seguro y auditable para reanudar las operaciones de forma rápida y segura.
Al utilizar la avanzada plataforma de ciberresiliencia de Commvault, las organizaciones sanitarias pueden recuperarse de forma rápida y segura sin riesgo de reinfección, protegiendo los datos de los pacientes y garantizando la seguridad operativa a largo plazo. Descarga nuestra guía completa para preparar tu organización sanitaria con pasos prácticos y buenas prácticas para la recuperación cibernética.
