Ciberseguridad en el ámbito sanitario

Autores:

Eva María Azagra Galindo (Gestión Función Administrativa)

Begoña Latre Espuña (Función Administrativa)

Pilar Sandra Azagra Asín (Administrativo)

Carlos Azagra Galindo (Función Administrativa)

Sergio Bayona Morón (Gestión Función Administrativa)

Natalia Duce Salomón (Administrativo)

Resumen

Los avances tecnológicos han supuesto una revolución en el sector sanitario, el inconveniente son las nuevas amenazas a las que está expuesta tanto la información como todo el sistema sanitario y es por ello por lo que se deben tomar medidas que sean sólidas y eficientes en cuanto a la ciberseguridad que eviten los riesgos que presentan los datos confidenciales de los pacientes.

Este artículo tiene como objetivo analizar el papel de la ciberseguridad en el sector sanitario, identificar las vulnerabilidades de dicho sector, determinar los principales ataques a los que se enfrenta y sus posibles consecuencias y buscar estrategias y soluciones necesarias para protegerlo frente a los ciberataques.

Palabras clave: ciberseguridad; protección de datos; acceso no autorizado; robo de identidad; ciberataques.

Introducción

La ciberseguridad es trascendental porque de ella depende la seguridad de la información confidencial de los pacientes. Con ella se pretende defender tanto a ordenadores, servidores, dispositivos móviles, redes, sistemas electrónicos y datos de los pacientes de posibles ataques maliciosos.

Los datos sanitarios es información altamente sensible y crítica que identifica a las personas, historiales médicos, resultados de pruebas, datos del seguro médico y cualquier otra información personal relacionada con la salud. Toda esta información es especialmente valiosa para los ciberdelicuentes por su gran valor en el mercado negro o porque puede ser utilizada para chantajear a los responsables del sector sanitario, quienes podrían ceder y pagar para evitar los perjuicios que podría ocasionarles tanto en la asistencia sanitaria (por ejemplo, desactivación de equipos médicos o alteraciones en datos sanitarios) como en su reputación. Por esta razón, es fundamental proteger los datos del paciente, ya que el robo de esta información puede causar la usurpación de identidad y ser utilizada para cometer delitos o fraudes financieros en nombre de ellos.

El objetivo de la ciberseguridad debe de ser el minimizar todos los posibles riesgos que puedan poner en peligro esta información tan relevante, cumpliendo con las obligaciones que las leyes exigen a las instituciones a la hora de proteger la información de los pacientes.

Objetivos

• Detectar las vulnerabilidades que presenta el sector sanitario respecto a posibles ataques cibernéticos.
• Los principales ataques a los que se enfrentan y sus consecuencias.
• Determinar las estrategias necesarias para mejorar la ciberseguridad en el sector sanitario.

Metodología

Para la realización de este artículo se ha llevado a cabo una revisión de literatura científica e informes relacionados con la ciberseguridad en el ámbito sanitario.

Se realizaron búsquedas en artículos científicos, publicaciones de revistas donde tratan de la seguridad de los datos y especialmente de la ciberseguridad. Además, se analizaron diferentes leyes que regulan la protección de datos y las medidas que aseguren un alto nivel de ciberseguridad.

Resultados

Se ha detectado que los dos motivos más importantes que ponen en peligro la información sanitaria son: los sistemas de información del sector sanitario, por ser complejos y multidisciplinarios que facilitan que se pueda vulnerar la información; y, por el otro lado, sus empleados al no conocer las buenas prácticas en ciberseguridad, lo que facilita que puedan existir errores humanos que supongan una brecha en la seguridad.

Sobre el primero diremos que la infraestructura de los centros sanitarios es compleja debido a que está compuesta por equipos tanto de tecnología antigua como de tecnología más avanzada, la hiperconectividad de tanto equipo y sistemas heterogéneos la convierten en más frágil a los ataques cibernéticos. La otra vulnerabilidad que presenta son las brechas en la seguridad que pueden generarse dentro del sistema, tanto por la falta de celo de sus empleados como por su intención dolosa.

Los principales ataques a la ciberseguridad en el sector sanitarios se producen a través de diversas técnicas: phishing; software malicioso (malware) y el secuestro de datos (ransomware). Este último representa una de las mayores amenazas, ya que con esta técnica los ciberdelincuentes pueden obtener grandes ganancias extorsionando a las autoridades y pacientes al amenazar con revelar los datos de naturaleza sensible. Además, existen filtraciones de los datos debido a vulnerabilidades en el software o hardware utilizado en el sector sanitario. Otros ataques se derivan por desarrollos geopolíticos, así como de ataques de denegación de servicio (DDoS), que consiste en sobrecargar una web, servidor o un recurso de red con tráfico maliciosos con el objeto de bloquear o para que no pueda funcionar. Estos ataques pueden tener consecuencias nefastas para los pacientes, crear alarma social y dañar gravemente la reputación de las instituciones afectadas.

Consecuencias de los ataques

Robo de la identidad personal del paciente y fraude; accesos no autorizados a los historiales médicos; posibles acciones legales e infracciones a las entidades sanitarias por no cumplir con sus obligaciones de proteger los datos de los pacientes y poner en peligro la seguridad de los pacientes.

Estrategias para mejorar la ciberseguridad

Realizar constantemente evaluaciones de los posibles riesgos para identificarlos y abordarlos; Revisar los sistemas y equipos médicos para comprobar si existen riesgos de posibles fallos de seguridad en su software; Una adecuada educación al personal en ciberseguridad puede disminuir los riesgos por descuidos humanos; Implantar medidas de seguridad de última generación como puede ser: cortafuegos (firewalls), sistemas de detección de intrusos y software antimalware; Evitar accesos no autorizado a través de la encriptación de los datos de los pacientes tanto en el almacenamiento como en su transmisión; Controlar los accesos a esa información para que no pueda acceder el personal que no esté autorizado; Realizar una actualización continua de los programas y sistemas para evitar amenazas; Contar con planes eficaces de hacer copias de seguridad y de recuperación rápida de los datos en caso de ataque cibernético.

Se debe tener en cuenta que los tratamientos de los datos de salud deben de contar con el máximo nivel de seguridad cumpliendo con los requisitos legales que se exige al sector sanitario respecto a la protección de los datos de los pacientes. Así, como adaptarse a los cambios normativos que se producen en relación con la ciberseguridad, en la actualidad está vigente la Directiva Europea NIS2.

Discusión-conclusión

La información que maneja el sector sanitario es tan valiosa que siempre va a ser objeto de ciberataques. Por este motivo, es primordial contar con una ciberseguridad adecuada que mantenga la información a salvo y garantice que la atención de los pacientes no se vea afectada.

Para ello, es necesario realizar la inversión necesaria en medios y recursos que eviten los ataques en ciberseguridad. Además, es fundamental contar con una estrategia en ciberseguridad que analice los posibles riesgos continuamente. Con este fin, deben de organizarse de tal manera que los equipos médicos trabajen con los equipos de especialistas en informática y con los equipos de seguridad para que la instalación y conexión preserven la seguridad de la infraestructura y la información.

Asimismo, es fundamental la concienciación de todo el personal del sector sanitario para que cumplan con los estándares de seguridad y cifrado, realicen comunicaciones seguras y la segmentación que operan con los datos de los pacientes.

Bibliografía

1. DIRECTIVA (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre medidas para un alto nivel común de ciberseguridad en toda la Unión Europea, más conocida como DIRECTIVA NIS2.
2. Ley orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
3. REGLAMENTO (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2.016. Reglamento General de protección de Datos.
4. REGLAMENTO (UE) 2017/745 del Parlamento Europeo y del Consejo, de 5 de abril de 2.017, sobre los productos sanitarios.
5. Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y derechos y obligaciones en materia de información y documentación clínica.
6. Real Decreto 311/2022, de 3 de mayo, por el que se se regula el Esquema Nacional de Seguridad (ENS) en el ámbito de la Administración Electrónica.
7. Norma UNE-EN 80001. Aplicación de la gestión del riesgo para las redes de tecnología de la información que incorporan dispositivos médicos.
8. Normas UNE-ISO 27001 sobre Sistemas de Gestión de la Seguridad de la Información.
9. Noonan, L. “Retos de la ciberseguridad en la sanidad”. Metacompliance. 2.024: Disponible en: https://www.metacompliance.com/es/blog/c yber-security-awareness/healthcare.
10. He rnández Armas, JA: “Ciberseguridad en el entorno sanitario”. “Hospitecnia”, 2.020. Disponible en: https://hospitecnia.com/tecnologia/ciber seguridad/ciberseguridad-entorno-sanit ario/.
11. Díez González, J. “Ciberseguridad en el sector salud: características, amenazas y recomendaciones”. Incibe. (2.024) Disponible en: https://www.incibe.es/incibe-cert/blog/c iberseguridad-en-el-sector-salud-carac teristicas-amenazas-y-recomendaciones.
12. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) ha publicado su primer informe sobre el panorama de amenazas cibernéticas para el sector de la salud. Portal administración electrónica. (2.023). Disponible en: https://administracionelectronica.gob.es /pae_Home/pae_Actualidad/pae_Noticias/ Anio2023/Julio/Noticia-2023-07-06-ENIS A-informe-ciberseguridad-sector-salud.html.