Ágora sobre ciberseguridad en centros sanitarios

Son la peor pesadilla de los centros sanitarios. Los ciberataques se multiplican y afectan gravemente a las organizaciones sanitarias, dado el alto valor de sus datos. Para combatirlos, se están movilizando equipos, implementando medidas de seguridad y se están produciendo cambios en las organizaciones y en la mentalidad del sector. Estos ciberataques fueron el tema central del foro celebrado en Healthcare Week Luxembourg el 21 de septiembre. Este evento fue organizado por la revista SIH Solutions. A continuación, se presentan algunos de los temas tratados por nuestros invitados.

Una cadena integral

En abril de 2022, la región de Grand Est se vio gravemente afectada por un ciberataque. Aprovechando una vulnerabilidad en uno de los cortafuegos, un hacker se infiltró en el sistema de información que conecta los ocho centros del Grupo Hospitalario Coeur Grand Est. Posteriormente, se filtraron datos administrativos a la dark web. En respuesta, se cortó el acceso a internet para detener el ataque. El resultado: un servicio de emergencias degradado, sistemas de nóminas, mensajería y tesorería afectados, y sondas de monitorización fuera de servicio… «Casi 18 meses después, seguimos en la fase de subsanación», señala con consternación Nadia Foubet, CIO del GHT (Groupement Hospitalier de Territoire – Territorial Hospital Group). Esto ilustra la magnitud del incidente. Cabe destacar que «la importancia vital de nuestros datos hace que los centros sanitarios sean muy atractivos para los hackers», subraya Stéphane Barcik, CISO de Pulsy, el GRADeS (Groupement de Recherche et d’Action de Sécurité – Grupo Regional de Investigación y Desarrollo en el Sector Sanitario) de la región de Grand Est. «Fraude, robo de identidad, información para los sectores de seguros o banca, e incluso para la investigación… Los datos pueden tener múltiples usos», destaca Jérôme Gauthier, CISO de la Agencia de Salud Electrónica de Luxemburgo. Sin embargo, en Luxemburgo no se han registrado ataques importantes en centros sanitarios. Si bien intervienen diversos factores, la dedicación de los equipos parece explicar en parte esta situación. «Cada una de nuestras instalaciones cuenta con un equipo de Responsables de Seguridad de la Información (ISSO) y un equipo de Operaciones de Seguridad (SOC)», explica Jérôme Gauthier. «Sus miembros provienen del mundo de las pruebas de penetración y, por lo tanto, tienen una amplia experiencia en ataques. Su implicación es muy sólida y se extiende a todos los niveles de la instalación: dirección, profesionales sanitarios, técnicos… Todos están plenamente comprometidos». Stéphane Barcik coincide: «La ciberseguridad es responsabilidad de todos. Es una verdadera cadena. Corre el riesgo de romperse donde hay un eslabón débil». Por eso es fundamental que la información fluya libremente y que la formación sea adecuada.

Formación, Recuperación y Remediación

Para los fabricantes, la seguridad es, obviamente, una prioridad absoluta. Se implementan todos los filtros y barreras para combatir los ataques. Pero si se producen ataques, saber cómo reaccionar es igualmente crucial. «Un hospital está para salvar vidas», insiste Emmanuel Canes, Director de Campo de Salud para EMEA en Dell Technologies. “En caso de un ataque, los profesionales deben poder acceder rápidamente a una estación de trabajo restaurada y en buen estado”. La cuestión de la recuperación de datos es, por lo tanto, una parte tan importante del problema como la protección, y debe recibir el mismo nivel de planificación. Esto es esencial para mantener las operaciones hospitalarias. Y es también durante esta fase cuando deben abordarse ciertas cuestiones. Según Nadia Foubet, “Durante un ataque, conviene plantearse si reconstruir un sistema de información de 10 o 15 años de antigüedad exactamente igual que antes, o asignar inmediatamente recursos para optar por una estructura más reciente, más resistente y más convergente”. Por consiguiente, deben asignarse presupuestos. Esta es un área donde Emmanuel Canes encuentra una debilidad en Francia. “Los presupuestos son demasiado bajos, con un promedio de alrededor del 1,6 %”. Luxemburgo, por otro lado, tiene un mayor nivel de madurez digital, con presupuestos que representan más del 2 % de los presupuestos de los centros sanitarios. Jérôme Gauthier lo deja bien claro: «En Luxemburgo, el dinero no es un problema en lo que respecta a la ciberseguridad. Cuando se identifica un proyecto como necesario para proteger nuestros sistemas, se asignan los recursos para su implementación». Es fundamental comprender que no se pueden emprender grandes proyectos institucionales sin definir el marco de seguridad que los respaldará y los costes asociados. Esta es la opinión de Philippe Mayer, director general de GIP (Groupement d’Intérêt Général) Okantis, que ayuda a los centros sanitarios a mejorar sus sistemas de información. «Los centros no pueden embarcarse en grandes proyectos que involucren historiales clínicos, convergencia o comunicación entre la comunidad y el hospital sin determinar cómo alcanzarán sus objetivos de seguridad. Es como instalar una obra maestra en casa sin puerta». Es esencial realizar una evaluación exhaustiva de la ciberseguridad antes que nada. Y esto requiere un presupuesto significativo que no debe pasarse por alto. «Nuestra segunda área de enfoque gira en torno a la detección y respuesta a los ataques», señala Nadia Foubet. Esto implica implementar herramientas de monitoreo, pero también abordar el tema de los recursos humanos y el tiempo disponible. Y este es, sin duda, el quid de la cuestión. En el sector sanitario, la contratación suele ser un reto. La escasez de perfiles especializados y las elevadas exigencias salariales de las instituciones públicas a menudo dificultan la ampliación de sus equipos. Más allá de la contratación, la formación es un área clave que todos destacan. Muchos ciberataques están relacionados con el mal uso y pueden prevenirse fácilmente reforzando las buenas prácticas. Esta vigilancia se logra mediante un enfoque de calidad en la formación. Esto cobra aún mayor importancia porque, sin prevención y ante una atención urgente, pueden producirse acciones inapropiadas. Como podemos observar, si bien todos comparten las líneas de actuación identificadas, las realidades son muy diversas. Esta diversidad enriqueció enormemente el debate del 21 de septiembre.

Marion BOIS

[pdf-embedder url=“https://www.sih-solutions.fr/wp-content/uploads/2023/10/014SIHMAG_v02.pdf” title=“Revista SIH Solutions”]