Aumento de ciberataques en el sector salud: ¿cómo prevenirlos?

Según un informe de INTERPOL, durante el 2020 se produjo un aumento alarmante de los ciberataques contra las administraciones y las infraestructuras sanitarias. La incertidumbre provocada por la pandemia y el aumento del teletrabajo han contribuido a un mayor crecimiento en el robo de información con un claro objetivo: farmacéuticas y centros de salud.

¿Por qué los centros de salud están siendo el blanco de los ciberataques?

Los centros médicos cumplen un papel fundamental en el bienestar de una sociedad, especialmente durante una crisis sanitaria como es la provocada por el COVID-19. La inestabilidad y la falta de recursos hacen de un centro médico un blanco ideal para los ciberataques. ¿Por qué? Especialmente por la sensibilidad de los datos que estos manejan.

Los historiales médicos de los pacientes contienen información privada, algo que resulta muy atractivo para los cibercriminales. En las manos equivocadas, estos datos serían usados como extorsión a cambio de una buena suma de dinero.

Sabemos por qué los hospitales y centros de salud son el blanco favorito pero, ¿por qué puede resultar sencillo vulnerar las defensas de estos centros? Básicamente porque el sector salud no está lo suficientemente protegido contra este tipo de ataques en la red.

¿Sus conocimientos sobre ciberseguridad y protección de datos son muy básicos? Le hemos preparado una pequeña guía con algunos términos que debe conocer:

Glosario básico sobre ciberseguridad

Análisis de riesgo

Según el INCIBE, "es un proceso que comprende la identificación de activos de información, sus vulnerabilidades y las amenazas a los que se encuentran expuestos, así como la probabilidad de ocurrencia y el impacto de las mismas, a fin de determinar los controles adecuados para tratar el riesgo."

Ciberataque

El ciberataque o ataque informático es un conjunto de acciones ofensivas que buscan provocar daños a un sistema de información con el fin de extorsionar a instituciones, personas o empresas. 

DDoS

También conocido como ataque distribuido de denegación de servicio, el objetivo de un ataque DDoS es inhabilitar un servidor, servicio o infraestructura. ¿Cómo lo consigue? Enviándole una cantidad de datos lo suficientemente grande para que supere la capacidad de dicho servidor y consiga saturarlo. 

Dominios malignos

Páginas con contenido maligno que tienen en la dirección de la web palabras clave muy buscadas, como "coronavirus".  Se trata de webs fraudulentas que atraen tráfico para difundir malware y phishing.

Encriptación o cifrado de datos

Procedimiento mediante el cual se cifran o "desordenan" los componentes de un archivo con un algoritmo con el fin de que este documento pasa a ser ilegible. De esta forma, si no se dispone de la clave correcta, la información (correos electrónicos, números de tarjetas, documentos de texto, contraseñas...) queda asegurada ante posibles ataques informáticos. Existen diversos tipos de encriptación según su nivel de complejidad.

Malware

Tipo de software que se infiltra sin consentimiento en un sistema de información para dañarlo. Proviene de la unión de los términos malicious software. Existen diversos tipos de malware: troyanos, spyware, gusanos...

Ransomware o malware de rescate

Tipo de programa dañino que bloquea archivos o dispositivos mediante la encriptación con la finalidad de reclamar un rescate. La mayoría de ciberataques recientes a centros de salud se han producido con este tipo de malware. Hay diversas maneras de infectarse, aunque la más habitual es a través del correo electrónico con archivos adjuntos o enlaces. Las formas más efectivas para evitar la infección por ransomware son (1) evitar abrir enlaces o adjuntos de correos desconocidos o sospechosos y (2) mantener los dispositivos actualizados.

Parche de seguridad

Según el INCIBE, "un parche de seguridad es un conjunto de cambios que se aplican a un software para corregir errores de seguridad en programas o sistemas operativos. Generalmente los parches de seguridad son desarrollados por el fabricante del software tras la detección de una vulnerabilidad en
el software y pueden instalarse de forma automática o manual por parte del usuario".

Phishing

Estafa mediante la cual se intenta conseguir información confidencial suplantando a una persona o empresa de confianza. Este tipo de ciberataque se llevan a cabo enviando comunicaciones que aparentemente parecen oficiales vía email, SMS o teléfono para pedir datos privados como cuentas bancarias o contraseñas.

VPN

De las siglas en inglés Virtual Private Network, se trata de una red que conecta uno o más dispositivos a una red privada utilizando Internet. Las empresas emplean las VPN para que su equipo pueda acceder de forma segura al entorno corporativo digital desde cualquier lugar. Esta red privada le permite, si se usa de forma correcta, asegurar la confidencialidad y la seguridad de la información.

Si desea ampliar sus conocimientos sobre términos relativos a este tema, le recomendamos el Glosario de términos de ciberseguridad creado por el Instituto Nacional de Ciberseguridad.

Ejemplos de ciberataques a centros médicos

Los ciberataques al sector salud, y en concreto a centros médicos y hospitales, son anteriores a la propagación del COVID-19. Estos son algunos de los ejemplos más mediáticos a nivel europeo:

• Ataque de ransomware Wannacry en el NHS (Reino Unido - 2017): descrito en su momento como un ciberataque sin precedentes, este ataque ransomware afectó a 16 hospitales públicos del Servicio nacional de salud del Reino Unido (NHS), además de a otras compañías a nivel mundial como Telefónica, FedEx o Deutsche Bahn. El ataque provocó la cancelación de más de 7.000 citas médicas y cirugías, con un total de 19.000 citas afectadas en Inglaterra y Escocia. Aunque el ataque no estaba dirigido al NHS, manifestó la falta de recursos en materia de ciberseguridad de la organización.
  
• Ataque de ransomware en el Hospital de Ruan (Francia - 2019): a finales del 2019, los ordenadores del hospital francés se vieron infectados por un ransomware, inutilizándolos durante horas y obligando a los sanitarios a volver al clásico papel y lápiz.
• Ataque de ransomware en el Hospital Universitario de Düsseldorf (2020 - Alemania): este ciberataque tuvo como consecuencia (de forma indirecta) la muerte de una mujer que, tras quedar el sistema inutilizado, tuvo que ser derivada a un hospital a 30 kilómetros de distancia. La BSI, una de las máximas autoridades en ciberseguridad en Alemania, concluyó a raíz de este incidente que los hospitales debían reservar al menos un 15% de sus fondos para mejorar la seguridad de sus datos.
• Ataque de ransomware a Adeslas (2020 - España): el pasado mes de septiembre, SegurCaixa Adeslas reportó un ciberataque que afectó durante semanas el acceso a los sistemas, tanto internos como externos. Según fuentes de El Confidencial, el ataque afectó gravemente a todos los centros médicos de la compañía a la hora de entrar a los historiales médicos, las agendas de citas... 
  Tras la aparición del coronavirus, los casos de ciberataques a centros de salud ha aumentado de forma alarmante, poniendo en evidencia la falta de recursos destinados a proteger los sistemas de información de pequeños, medianos y grandes centros médicos.

Consejos para empezar a proteger su centro ante posibles ciberataques

Estos consejos básicos le permitirán construir la base que necesita un centro de salud para estar protegido frente a un posible robo de datos.

1. Cree un análisis de riesgos

Empiece a analizar qué información podría ser más atractiva para los ciberdelincuentes y ordénela por orden de protección necesaria. Por ejemplo, el historial clínico de sus pacientes debería tener la máxima seguridad. Luego, repase qué vulnerabilidades en cuanto a seguridad informática puede tener en la clínica y el impacto económico y legal que supondría un ciberataque.

Basándose en las vulnerabilidades del sistema y el orden de prioridad para asegurar los datos, establezca mecanismos de seguridad en la red tales como mantener actualizados el hardware y el software, contar con una VPN (red privada virtual), o tener un sistema de copias de seguridad. Le recomendamos solicitar ayuda de un experto.

Por último, no olvide marcar en su calendario revisiones periódicas de seguridad para disminuir aún más el riesgo.

2. Establezca unas normas para el uso de las herramientas en su centro:

Especialmente ahora que muchos equipos están trabajando desde la distancia, es vital establecer qué herramientas están aprobadas por la empresa para poder trabajar con seguridad. Es muy importante que su equipo entienda que usar herramientas o programas no aprobados por la empresa podría abrir una puerta a posibles ciberataques. 

Para entrenar al personal en seguridad de datos, le recomendamos crear una guía con las normas de seguridad que deben seguirse en el centro. También puede crear un test online (por ejemplo, con Typeform) para asegurarse de que el equipo entiende las normas y los conceptos básicos de seguridad digital.

3. Implemente herramientas digitales pensadas para el sector salud

El aumento de ciberataques en el sector salud es una realidad, pero esto no debe pararle a la hora de digitalizar su centro médico. Más allá de crear una página web del centro o abrir perfiles en las redes sociales, debe contar con las herramientas de gestión necesarias para poder dar el paso de la agenda y las carpetas físicas a lo digital.

Aunque existen soluciones gratuitas como Excel o Google Calendar, e incluso algunas agendas de pago para todo tipo de negocios, es primordial contar con una plataforma digital que cumpla con todos los protocolos de seguridad y que esté especialmente diseñado para el sector sanitario. 

Cuando hablamos de la seguridad de los datos de sus pacientes, es importante contar con una solución que le pueda ofrecer:

• Almacenamiento en la nube en territorio europeo
• Cumplimiento del RGPD
• Roles de usuario y gestión de accesos
• Consentimiento informado
• Encriptación de datos
• Copias de seguridad automáticas
• Actualizaciones y revisiones de seguridad periódicas 
• Formación y asesoría personalizada para resolver dudas

Estos consejos son solo una base para empezar a proteger mejor los datos de su centro. Además de implementar herramientas digitales seguras específicamente creadas para centros de salud, como es el caso de los servicios que ofrecemos en Doctoralia, le recomendamos que se asesore por expertos en protección de datos y ciberseguridad para blindar su centro.

Está claro que, cuanta más información de valor en formato digital haya en la red, mayor será el número de ciberataques. Es por ello que contar con las herramientas adecuadas, además de un asesoramiento profesional, le ayudará a prevenir el robo de datos sensibles que maneja en su centro de salud.