..Rafael Jiménez. Director general de Vigylia.
Lo hemos leído en innumerables ocasiones: “Los hospitales de todo el mundo son probablemente el eslabón más débil de la ciberseguridad”. Pero, ¿qué es lo que realmente hace tan atractivo ciberatacar el sector de la sanidad? Ojalá, hubiera una única razón, pero lamentablemente son varias y de calado. Los ciberataques están a la orden del día, aunque la mayoría no son ni percibidos por los servicios de seguridad de las organizaciones.
El primer motivo no puede ser otro que el de que la sanidad es una parte crítica de la economía. En pura lógica, ¿dónde se puede hacer más daño? donde hay una mayor preocupación en el ciudadano medio. Es decir, donde la repercusión será mayor, el ciberhacker encuentra un placer especial: el reconocimiento aunque no sea público.
Ciberatacar será más atractivo donde más daño hace
Otro motivo es el mismo hecho de encontrarnos ante un sector en el que el dolor y la vida están a la “orden del día”. Esto hace que el sistema sanitario sea muy sensible a cualquier problema, como un ciberataque. Esto implica que la extorsión económica puede ser directa, con el agravante de un sector con un nivel económico relevante. Al poner en peligro la seguridad de un paciente, el daño a la reputación provocará que el responsable de un centro se plantee muy mucho el no abonar la cuantía del chantaje. Provocar errores en las listas de espera, paralizar diagnósticos o tratamientos o incluso modificar o falsificar los resultados de los pacientes, puede tener efectos irreversibles en la reputación de un hospital.
¿Qué decir, igualmente, del hecho de que existe en el sector un gran número de equipos sin soporte de un software actualizado con protección propia? Al tener acceso directo a internet hay una ventana abierta a la interceptación de comunicación y de acceso en consecuencia a la información.
Los equipos informáticos conectados a internet son una puerta abierta a la interceptación de comunicaciones
No obstante, el motivo más relevante y que hace atractivo ciberatacar sanitario es la inmensidad de datos personales de los que dispone. Estos datos además son sensibles, según la normativa sobre Protección de Datos. A ningún ciudadano – y pocos son los que se libran de pasar por un centro de salud-, le gusta que datos sensibles se encuentren expuestos al público. Pueden servir para denegar un préstamo, una ausencia de responsabilidad de una aseguradora o que un posible empleador deje de contratarnos.
También hay que tener en cuenta que las indemnizaciones que pueden recaer sobre un centro de salud tras una demanda pueden ser millonarias. Aparte hay que tener en cuenta la pérdida de reputación.
El objetivo es que el autor se lo piense, que le resulte difícil. Cada grupo hospitalario debe tener de un equipo experto en ciberseguridad integral. Debe incluir técnicos informáticos, letrados de justicia, formadores de trabajadores, un seguro que responda realmente a las necesidades propias y específicas de cada hospital, e incluso de una agencia de comunicación que palie el daño de imagen ocasionado por un ciberataque.
Es complejo que un hospital pueda disponer de todos esos profesionales. Sin embargo, existen medios para contratar a esos equipos con precios accesibles. Son los profesionales los que acordonarán la zona para que el delincuente se plantee muy mucho si le merece la pena el daño.
Si duda, el futuro de la ciberseguridad está en los equipos multidisciplinares con el objetivo común de ahorrar dinero a los clientes. Para cualquier centro hospitalario no sería un gasto sino una inversión en su propia supervivencia.
