¿Qué es la ciberseguridad sanitaria?

Por qué es importante la ciberseguridad en la atención sanitaria

La prestación de asistencia sanitaria ha cambiado desde el inicio de la década. Los servicios de telesalud, las fuerzas de trabajo móviles, la IA, la adopción de la nube y el IoT médico han hecho más accesible la asistencia de calidad.

Sin embargo, estas nuevas modalidades de atención conllevan una mayor dependencia de Internet y de los servicios prestados en la nube. A medida que las organizaciones de atención médica buscan superponer esta nueva tecnología a su infraestructura heredada (a menudo con décadas de antigüedad), las redes tradicionales luchan por mantenerse al día. En última instancia, todo esto se traduce en un mayor riesgo de violación de datos.

Los malintencionados están explotando las vulnerabilidades de los servicios emergentes y abusando de las herramientas de inteligencia artificial para lanzar ciberataques más frecuentes y avanzados. Simultáneamente, amenazan con erosionar la confianza de los pacientes, exponer a los proveedores a sanciones e interrumpir la prestación de servicios sanitarios.

Dicho esto, las prioridades de las organizaciones sanitarias siguen siendo las mismas: ofrecer una atención excelente, mejorar los resultados de los pacientes y proteger sus datos. Para ello, la ciberseguridad se ha convertido en un imperativo estratégico en el sector sanitario.

El futuro de la seguridad de los datos sanitarios

Siendo una piedra angular de la seguridad sanitaria estadounidense, la Norma de Seguridad de la HIPAA ha experimentado relativamente pocos cambios desde 2013. Sin embargo, es probable que las actualizaciones previstas por el Departamento de Salud y Servicios Humanos de los EE. UU. den lugar a tres cambios clave en 2024:

1. Nuevos requisitos de seguridad para las entidades cubiertas que participan en Medicare o Medicaid
2. Nuevas normas de seguridad en la Regla de Seguridad de la HIPAA para favorecer la responsabilidad
3. Una mayor capacidad de la OCR para investigar y sancionar el incumplimiento de HIPAA

Estas actualizaciones son esenciales para proteger los datos de los pacientes en el cambiante panorama digital y de amenazas. En medio del crecimiento del IoT, la adopción de la nube, las amenazas avanzadas como el ransomware de doble extorsión y la complejidad de las redes heredadas, una seguridad eficaz es más importante que nunca.

Desafíos clave en la ciberseguridad sanitaria

Los equipos de seguridad y de TI de atención médica que trabajan para cerrar las brechas de seguridad a menudo implementan soluciones de propósito único, creando con el tiempo un mosaico costoso y engorroso. La seguridad cohesionada y eficaz suele ser difícil de conseguir en la sanidad debido a:

• Diversos ecosistemas informáticos: Mantener una seguridad unificada es un desafío en entornos con una gran variedad de dispositivos médicos, sistemas sanitarios e IoT, estos últimos a menudo carecen de funciones de seguridad sólidas.
• Sistemas anticuados: Los elevados requisitos de tiempo de actividad obligan a gran parte del sector sanitario a confiar en sistemas y software obsoletos, sin funciones de seguridad modernas. Muchos ya han llegado al final de su vida útil.

• Restricciones presupuestarias: Con márgenes operativos ajustados, el presupuesto para herramientas y personal de seguridad modernos a menudo pasa a un segundo plano para garantizar la continuidad de la atención.
• Orientación regulatoria: Es posible que marcos como HIPAA no siempre ofrezcan la orientación más actualizada o adaptable. Las ciberamenazas evolucionan demasiado rápido y las regulaciones pueden priorizar controles o herramientas específicas sin tener en cuenta las amenazas modernas.
• Priorizar la atención al paciente: Brindar atención de calidad al paciente es la prioridad número uno, por lo que cuando la accesibilidad y la eficiencia tienen que competir con la ciberseguridad, la seguridad puede quedar en un segundo plano.

Principales tipos de ciberamenazas sanitarias

Dado que manejan tantos datos privados, las organizaciones sanitarias y los socios de la cadena de suministro son objetivos principales de los ciberataques. Al abusar de credenciales robadas y vulnerabilidades no parcheadas, los atacantes acceden, roban y se benefician de información privilegiada.

Más recientemente, la pandemia del COVID-19, la IA generativa y los exploits de VPN han provocado una explosión de ataques al sector sanitario.

Phishing

El phishing sanitario aumentó más de un 250 % en 2022, ya que los pacientes reanudaron los tratamientos que habían suspendido al principio de la pandemia. Mientras tanto, la IA generativa ha hecho que lanzar ataques sea más rápido y sencillo.

Lea más en nuestro Informe de phishing de 2023.

Ransomware

En todos los sectores, los ataques de ransomware aumentaron más del 37 % entre abril de 2022 y abril de 2023. En el sector sanitario en particular, los ataques de ransomware aumentaron un descomunal 165.38 %.

Lea más en nuestro Informe sobre ransomware de 2023.

Ataques encriptados

El sector sanitario fue el cuarto objetivo más popular de los ataques cifrados en todo el mundo en 2023, con un 29 % más de ataques en comparación con 2022.

Lea más en nuestro Informe sobre ataques cifrados de 2023.

Exploits de dispositivos

En 2024, el 56 % de las organizaciones sufrieron al menos un ataque de exploits de sus VPN en los 12 meses anteriores. Los dispositivos heredados orientados al exterior se encuentran entre los principales vectores de ataque en el sector sanitario, y cada trimestre se descubren muchas vulnerabilidades nuevas.

Lea más en nuestro Informe de riesgos de VPN de 2024.

La necesidad de una ciberseguridad integral en la atención sanitaria

En medio de las crecientes amenazas, los pacientes y los proveedores necesitan maneras de acceder, gestionar y supervisar la atención con seguridad desde cualquier lugar. Para lograrlo, la mayor parte del sector está migrando a la nube. Esto destaca varias consideraciones clave para la seguridad y las operaciones.

Gestión de ciberriesgos

La telemedicina, la nube y el IoT han abierto nuevas vías para el acceso malicioso a los datos y sistemas sanitarios, y los ataques contra el sector de la salud se están disparando.

Las organizaciones deben:

• Reducir la superficie de ataque para restringir el acceso malicioso a los sistemas sanitarios. Para ello, hay que mantener a los usuarios y dispositivos fuera de la red, concediendo sólo a los usuarios autorizados un acceso directo y con privilegios mínimos a los recursos.
• Ocultar aplicaciones y dispositivos expuestos a Internet que puedan dejar puertas abiertas a los atacantes.

Costos y riesgos de las infraestructuras y las fusiones y adquisiciones

El sector sigue consolidándose mediante fusiones y adquisiciones, que tienden a agravar las complejidades y vulnerabilidades informáticas. Un estudio de 2023 de la Universidad de Dallas encontró que el riesgo de violación de datos se duplica para los hospitales estadounidenses en el año anterior y posterior a una fusión.

Las organizaciones deben:

• Aplicar una política unificada en todas las nubes y centros de datos.
• Conectar de manera segura a usuarios, dispositivos y aplicaciones durante la integración de fusiones y adquisiciones.
• Evitar los problemas de complejidad, compatibilidad y costos típicos de las fusiones y adquisiciones.

Asegurar los nuevos modelos de atención y el IoT médico

A medida que los sistemas sanitarios hacen más accesible la asistencia, también necesitan que los datos confidenciales sean accesibles de manera segura desde prácticamente cualquier lugar y en cualquier dispositivo. Los datos ampliamente distribuidos y los miles de puntos finales potencialmente vulnerables del internet de las cosas médico (IoMT) pueden dificultar enormemente esta tarea.

Las organizaciones deben:

• Asegurar y simplificar la conectividad de IoT para que puedan adoptar nuevas aplicaciones y dispositivos de manera segura.

Optimización del trabajo desde cualquier lugar

Las consecuencias de la recesión financiera, la escasez de mano de obra y el agotamiento siguen obstaculizando la prestación de una atención eficaz. Los nuevos modelos de distribución y soluciones en la nube pueden mejorar la satisfacción, la productividad y la eficiencia del personal. Sin embargo, ponen a prueba los límites de la envejecida infraestructura del sector.

Las organizaciones deben:

• Trascienda los firewalls tradicionales, las VPN y las infraestructuras de red basadas en el perímetro.
• Adopte una arquitectura Zero Trust diseñada para ofrecer una conectividad escalable y segura para nubes y fuerzas de trabajo híbridas.

Mejores prácticas de ciberseguridad en el sector sanitario

Es esencial contar con prácticas de seguridad sólidas para proteger los datos de los pacientes, mantener la integridad de los servicios médicos y conservar la confianza. Toda organización debería:

1. Cifrar datos confidenciales en tránsito y en reposo para evitar el acceso no autorizado.
2. Descifrar el tráfico entrante y saliente para bloquear amenazas ocultas y proteger datos confidenciales.
3. Reducir su superficie de ataque utilizando una arquitectura de proxy inverso para hacer que los dispositivos y aplicaciones sean invisibles para la Internet pública.
4. Realizar evaluaciones de riesgos de sistemas de TI, redes e IoT para encontrar y abordar problemas antes de que provoquen violaciones.
5. Aplicar el acceso con privilegios mínimos y la autenticación multifactor (MFA) para garantizar solo el acceso autorizado a información confidencial.
6. Educar al personal sobre las políticas de seguridad y las maneras de reducir el riesgo, particularmente en torno al phishing, el ransomware y la gestión de datos.
7. Mantener los sistemas actualizados con los últimos parches de seguridad.
8. Implementar procedimientos sólidos de supervisión y respuesta a incidentes para abordar rápidamente los incidentes de seguridad, reducir su impacto y acelerar la recuperación.
9. Adoptar una arquitectura Zero Trust para reducir los riesgos y desafíos de las redes perimetrales, firewalls y VPN, y garantizar el acceso basado en identidad a datos y aplicaciones.

Cómo puede ayudar Zscaler

Nuestro enfoque Zero Trust conecta de manera segura a usuarios y dispositivos directamente a las aplicaciones de sus sistemas sanitarios, no a su red, lo que ayuda a su organización a:

• Proteger a los pacientes, empleados, dispositivos y datos confidenciales de los ciberataques
• Preservar la confidencialidad y la integridad de los datos de los pacientes.
• Cumplir con las regulaciones del sector como HIPAA y HITECH
• Inspeccionar el 100 % del tráfico TLS/SSL para mitigar las amenazas y la pérdida de datos