La tecnología ha evolucionado mucho en los últimos años, permitiendo que dispositivos que hace poco parecían de ciencia ficción, hoy los consideremos parte de nuestro día a día.

Como era de esperar, estos avances se han incorporado en otros ámbitos, como es el caso de la medicina, con el propósito de mejorar los servicios sanitarios: desde mantener controlada la medicación que se suministra a cada paciente, pasando por ejecutar acciones que requieran de mucha precisión hasta el control y manejo de implantes, entre muchas otras aplicaciones.

Y todas estas tecnologías tienen algo en común: requieren de conexiones con el exterior, ya sea por red o radiofrecuencia, para poder ser controladas y obtener información.

Esta situación ha supuesto un gran avance para la sanidad, pero al mismo tiempo hace depender la salud de los pacientes en su buen funcionamiento; y es aquí donde aparece el riesgo, ya que estos dispositivos electrónicos se están viendo afectados por diversos ciber ataques que afectan su operación.

Uno de los más conocidos son los originados por el malware conocido como ransomware, que inhabilita estos dispositivos poniendo en riesgo la vida de los pacientes.

La modernización de los sistemas de salud (quizá acelerada por la pandemia) está viniendo acompañada de un incremento de ciberataques y un mayor número de vulnerabilidades por diversos motivos, como por ejemplo, que muchos de estos dispositivos se conecten a internet sin estar correctamente actualizados con los últimos parches de seguridad.

Otro vector de ataque son los canales de comunicación; hay muchas ocasiones en las que las comunicaciones que usan estos dispositivos no están protegidas correctamente, ya sea por el uso inadecuado de los protocoles de cifrado o directamente por la ausencia de cifrado, permitiendo que cualquier persona pueda interceptar, entender y modificar la información en tránsito.

Un ejemplo de esta situación fue la que se dio con las bombas que se usan para controlar el suministro de insulina de pacientes diabéticos; se comprobó más tarde que la comunicación necesaria para este control no estaba cifrada. Por este motivo, un atacante hubiera podido, por ejemplo, modificar la cantidad de insulina suministrada. Un ejemplo que remarca la importancia que supone la inversión en seguridad sobre las tecnologías, especialmente si estas afectan directamente a nuestra salud.

¿Qué hacer entonces?

Para que las compañías de salud puedan estar a la altura de las necesidades de seguridad de la información que manejan, van a tener que superar diversos desafíos; pero uno de ellos y muy importante es trabajar en la cultura de los empleados:

• Aumentar la cultura en ciberseguridad en toda la organización, pública o privada, involucrando a todo el personal para sentirse parte de esa cultura de ciberseguridad y estar preparados ante posibles incidentes es clave para que baje el número de ataques exitosos.
• La formación y la concienciación de los empleados debe ir orientada a ponerlos en el centro de la ciberseguridad; y las técnicas usadas deben ser acordes a los tiempos actuales, para que puedan captar nuestra atención.

Es clave disponer de políticas y procedimientos que definan claramente los comportamientos en cuento a seguridad de los profesionales, siempre alineados con los estándares y regulaciones que afecten al sector; este capítulo será fundamental para una buena estrategia de ciberseguridad que mitigue los riesgos existentes llegando, en esto caso, a pérdidas de vidas humanas.

María Pilar Torres, Head of Cybersecurity en everis.