Protegiendo la sanidad: una revisión del estado de la ciberseguridad en el sector

Los hospitales y otros proveedores de servicios sanitarios en Europa también deben ser conscientes de los riesgos, ya que han sido un objetivo cada vez más popular para los ciberdelincuentes y otros actores maliciosos en los últimos años

Incluso antes de la invasión rusa de Ucrania, existía un temor considerable a que la escalada militar se extendiera (aún más) al ciberespacio y fuera seguida por una serie de impactantes ataques digitales con implicaciones internacionales. Por lo tanto, se ha instado a las organizaciones de todo el mundo a mejorar su ciberseguridad y a prepararse y responder a ciberataques que pueden terminar siendo altamente dañinos, ya sean intencionados o accidentales. En este sentido, ESET, empresa líder en ciberseguridad, hace un repaso sobre las principales amenazas y riesgos enfrentados por las organizaciones sanitarias en materia de ciberseguridad y cómo afrontarlos.

Un sector en el que lo que está en juego no podría ser más importante es el de la sanidad. Las amenazas digitales a las que se enfrenta el sector y, de hecho, la infraestructura crítica en su conjunto, han ido aumentando durante años, y la invasión rusa de Ucrania ha incrementado aún más el nivel de esta amenaza. En respuesta, el Departamento de Salud y Servicios Humanos de los Estados Unidos, por ejemplo, ha emitido una alerta para el sector, señalando a HermeticWiper, un nuevo malware destructor de datos descubierto por los investigadores de ESET, como un ejemplo de riesgo importante.

Obviamente, los hospitales y otros proveedores de servicios sanitarios en Europa también deben ser conscientes de los riesgos, ya que han sido un objetivo cada vez más popular para los ciberdelincuentes y otros actores maliciosos en los últimos años. La agencia de ciberseguridad de la UE, ENISA, informó hace unos meses de que los ataques al sector aumentaron casi un 50% interanual en 2020.

Hay mucho más que dinero en juego: un estudio de 2019 afirmaba que las violaciones de datos pueden incluso aumentar la tasa de mortalidad a los 30 días de las víctimas de ataques cardíacos. De hecho, aunque se cree que un incidente de ransomware ahora famoso en Alemania no causó directamente la muerte de un paciente, fue uno de los precursores más importantes del impacto potencial en el mundo real de los ataques virtuales, como, por ejemplo, cuando se desconectan los sistemas de soporte vital.

A medida que las organizaciones sanitarias europeas sigan digitalizándose en respuesta a las presiones provocadas por la COVID-19, un personal trabajando de forma cada vez más remota y el progresivo envejecimiento de la población, estos riesgos no harán más que aumentar. Sin embargo, podemos hacer frente a estos desafíos mediante la mejora de la higiene informática y otras buenas prácticas en ciberseguridad, así como la mejora de la detección y la respuesta a los incidentes, siendo este un camino a seguir para el sector.

Por qué la sanidad está expuesta a los ciberataques

 El sector sanitario representa un segmento importante de las infraestructuras críticas nacionales (CNI) en toda Europa. Según las estimaciones más recientes, emplea a casi 15 millones de personas, es decir, el 7% de la población activa. La sanidad también es única en cuanto a la amplitud de los retos a los que se enfrenta, lo que hace que esté más expuesta a las ciberamenazas que otros sectores. Entre ellos se encuentran:

A lo lago de los años, hemos asistido a múltiples ataques graves contra las organizaciones sanitarias, que ofrecen oportunidades para que el sector aprenda y mejore su capacidad de recuperación en el futuro. Entre ellos se encuentran:

El Servicio Nacional de Salud (NHS) del Reino Unido, que se vio gravemente afectado por el gusano ransomware WannaCry en 2017, después de que los HCO no parchearan una vulnerabilidad de Windows. Se calcula que se cancelaron 19.000 citas y operaciones. Esto terminó costando al servicio de salud 92 millones de libras en horas extras de TI (72 millones de libras) y pérdida de producción (19 millones de libras).

El Health Service Executive (HSE) de Irlanda, que fue atacado en 2021 por el grupo de ransomware Conti, después de que un empleado abriera un documento Excel utilizado como cebo en un correo electrónico de phishing. Los atacantes pudieron pasar desapercibidos durante más de ocho semanas hasta que desplegaron el ransomware. Entre las lecciones aprendidas se encuentran:

Los ataques de ransomware a los hospitales franceses de Dax y Villefranche-sur-Saone obligaron a desviar a los pacientes a otros centros en plena crisis del COVID-19. Los sistemas telefónicos e informáticos quedaron fuera de servicio y los médicos tuvieron que utilizar papel y boli para llevar los registros. La agencia de seguridad francesa ANSSI vinculó los ataques a la inteligencia rusa, lo que puede ser un signo de un mayor intercambio de herramientas y técnicas entre la ciberdelincuencia clandestina y los actores estatales.

Ante la creciente presión, las empresas sanitarias deben encontrar la manera de mitigar los riesgos cibernéticos de forma más eficaz, sin que ello suponga un gasto excesivo ni afecte a la productividad de sus trabajadores. La buena noticia es que muchos de los pasos de las mejores prácticas que pueden crear resiliencia en otros sectores de las infraestructuras críticas nacionales funcionarán aquí. Entre ellas se encuentran:

Las organizaciones sanitarias europeas tienen obligaciones de cumplimiento no solo de la Directiva de Seguridad de las Redes y de la Información (NIS) de la UE para la continuidad del servicio, sino también del GDPR (para la protección de datos), así como de las leyes y reglamentos locales. La ENISA quiere ver equipos de respuesta a incidentes de seguridad informática (CSIRT) dedicados a la sanidad en cada Estado miembro. Pero, mientras tanto, las organizaciones sanitarias deben actuar por su cuenta. Sin una base informática segura en la que apoyarse, la asistencia sanitaria de la región estará siempre a merced de fuerzas malignas.