La concienciación sobre la ciberseguridad y el sector sanitario

La concienciación sobre la ciberseguridad es una cuestión empresarial fundamental para cualquier organización. Sin embargo, resulta sencillamente imprescindible en el sector sanitario, donde los datos son especialmente sensibles.

Los grandes volúmenes de datos confidenciales, junto con unos sistemas de seguridad a menudo vulnerables y una amplia red de dispositivos médicos conectados, convierten al sector sanitario en un objetivo prioritario para los ciberdelincuentes.

El sector sanitario es uno de los más vulnerables, ya que se ve afectado por una gran variedad de problemas relacionados con la ciberseguridad, tales como incidentes de seguridad, infracciones organizativas y robos de datos procedentes tanto de fuentes internas como externas.

La ciberseguridad en el sector sanitario se encuentra en estado crítico

El año pasado, las filtraciones de datos y los ataques de ransomware supusieron un coste estimado de 4.000 millones de dólares para los proveedores de asistencia sanitaria. De hecho, el 67 % de las organizaciones sanitarias han sufrido un incidente de ciberseguridad en los últimos doce meses.

Quizás el incidente más notorio tuvo lugar en 2017, cuando un devastador ciberataque a escala mundial paralizó los sistemas informáticos de los hospitales de todo el Reino Unido. El impacto del ciberataque «WannaCry» fue considerable, ya que este incidente cibernético interrumpió los servicios en un tercio de los consorcios hospitalarios y en alrededor del 8 % de las consultas de medicina general. El coste total estimado de la restauración de los sistemas afectados ascendió a 92 millones de libras esterlinas, según el Ministerio de Sanidad y Asistencia Social.

Más recientemente, los proveedores de asistencia sanitaria y las organizaciones de investigación médica han sufrido un aumento de los ataques de phishing relacionados con la actual crisis de la COVID-19. El Hospital Universitario de Brno, en la República Checa —uno de los centros de pruebas de COVID-19 del país—, fue víctima de un ataque de ransomware que provocó el aplazamiento de todas las intervenciones quirúrgicas.

En medio de un fuerte aumento de los ataques de phishing relacionados con el coronavirus en todo el mundo, el Departamento de Salud y Servicios Humanos de EE. UU. (HHS) también sufrió un ataque de denegación de servicio distribuido (DDoS), cuyo objetivo era entorpecer la respuesta de la organización ante la pandemia de COVID-19.

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) han informado de una serie de ataques contra organismos sanitarios, especialmente aquellos que han participado en la respuesta a la pandemia.

Preocupaciones en materia de ciberseguridad en el sector sanitario

Es evidente que los piratas informáticos seguirán lanzando ciberataques dirigidos al sector sanitario mientras haya beneficios que obtener, ya sea vendiendo datos robados de pacientes o secuestrando los sistemas sanitarios hasta que se satisfagan las exigencias de los delincuentes.

El sector sanitario ha experimentado un cambio significativo en los últimos años con la incorporación de nuevas tecnologías destinadas a facilitar la integración de datos, la participación de los pacientes y el apoyo clínico.

Esta transición desde los métodos tradicionales basados en papel conlleva un sinfín de oportunidades para los ciberdelincuentes, desde el malware que pone en peligro la privacidad de los datos de los pacientes hasta los ataques de denegación de servicio distribuido (DDoS) que impiden la prestación de asistencia sanitaria a los pacientes.

Sin embargo, las organizaciones suelen estar demasiado ocupadas en defenderse de las amenazas externas como para hacer frente a los riesgos, muy reales y peligrosos, que pueden acechar dentro de sus propias filas.

La amenaza interna

Al disponer de una gran cantidad de información sanitaria altamente confidencial y protegida (PHI) al alcance de la mano, los profesionales sanitarios tienen acceso a un gran volumen de datos de pacientes a los que debe poder acceder el personal, tanto de forma presencial como a distancia, y desde distintos dispositivos.

Es un hecho ampliamente reconocido que los ciberdelincuentes se centran en el punto más débil de las defensas de una organización y, con demasiada frecuencia, ese punto son sus empleados. El año pasado, la Oficina del Comisionado de Información del Reino Unido (ICO) reveló que el error humano fue la causa del 90 % de las filtraciones de datos cibernéticas.

En definitiva, los profesionales sanitarios son los guardianes de los datos, y las amenazas cibernéticas suponen actualmente un grave problema de salud pública.

Para mitigar este riesgo, la sensibilización en materia de seguridad debe convertirse en una parte integral de la estrategia global de seguridad del sector sanitario, con el fin de prevenir posibles ciberataques.

La prevención antes que la medicación

Dado que los ciberataques son cada vez más sofisticados y específicos que nunca, la concienciación sobre la ciberseguridad en el sector sanitario constituye el arma más poderosa contra estas amenazas y técnicas en constante evolución. A pesar de contar con múltiples capas de seguridad, la concienciación sobre la ciberseguridad sigue siendo un reto clave para muchas organizaciones. A menudo se adopta un enfoque puntual, pero es importante reconocer que la concienciación en materia de ciberseguridad es algo más que simples simulacros de phishing.

Para cambiar de verdad los hábitos en materia de ciberseguridad, las organizaciones deben comprometerse con un programa de sensibilización sobre ciberseguridad que permita al personal reconocer y asumir el importante papel que desempeña en la protección de los datos confidenciales de la organización.

Dado que el sector sanitario es cada vez más vulnerable a los ciberataques maliciosos, la clave para mejorar la concienciación sobre la ciberseguridad en este sector consiste en poner en marcha una campaña eficaz de concienciación cibernética y crear una cultura de concienciación cibernética.

Puesta en marcha de una campaña eficaz de sensibilización cibernética

• • Empiece por el liderazgo del director general

La ciberseguridad es responsabilidad de todos, pero las organizaciones resilientes cuentan con un liderazgo firme por parte de su director general. Si el director general se toma en serio la ciberseguridad, esta actitud se extenderá por toda la organización y contribuirá a crear una cultura de mayor concienciación en materia de ciberseguridad.

• • Conozca las tolerancias de su organización

Dedicar tiempo a identificar adecuadamente los riesgos puede ayudarle a definir el mensaje, la forma de transmitirlo y la orientación eficaz de su programa de sensibilización sobre ciberseguridad.

• • Defienda sus activos de información

Debe determinar cuáles son sus activos de información más valiosos, dónde se encuentran y quién tiene acceso a ellos. Cada activo debe clasificarse (por ejemplo, público, privado o confidencial) y protegerse en función de su valor. Esto resulta fundamental a la hora de identificar riesgos y establecer prioridades en las áreas que deben defenderse.

• • Atención especial a los grupos de alto riesgo

La clave para un programa eficaz de concienciación sobre seguridad consiste en garantizar que la formación adecuada se dirija a las personas adecuadas. Todos los usuarios son vulnerables a las amenazas cibernéticas; sin embargo, algunos empleados presentan un perfil de riesgo más elevado que otros. Por ejemplo, sus departamentos de Recursos Humanos y Finanzas serán blanco frecuente de amenazas de phishing debido a su acceso privilegiado a datos valiosos.

• • Haga que resulte atractivo mediante una narración eficaz

Contar historias es una de las formas más eficaces de dar vida a su campaña de sensibilización sobre ciberseguridad. Hay que reconocerlo: la ciberseguridad puede ser un tema árido, pero es fundamental que encuentre formas de captar el interés de su personal si desea influir positivamente en el comportamiento dentro de su organización. El mensaje es demasiado importante como para que se pierda entre las comunicaciones formales y corporativas.

• • Ponga al día su gestión de políticas

Las políticas son fundamentales para establecer los límites de conducta de las personas, los procesos, las relaciones y las transacciones dentro de su organización. Proporcionan un marco de gobernanza, identifican los riesgos y ayudan a definir el cumplimiento normativo, lo cual resulta importante en el panorama regulatorio actual, cada vez más complejo.

• • Empiece ya a prepararse para una filtración de datos

Ya no se trata de «si» su organización va a sufrir un ataque, sino de «cuándo». Debe empezar a prepararse para lo inevitable y establecer un plan que garantice una actuación adecuada y oportuna en caso de que se produzca una brecha de seguridad.

• • Reclute a defensores de la ciberseguridad

Nombrar campeones de ciberseguridad es una excelente forma de capacitar al personal y dotarlo de las habilidades necesarias para prevenir un ciberataque.

• • Considere su cadena de suministro

Cada proveedor y tercero que se relacione con su empresa supone un riesgo potencial, por lo que es fundamental que lleve a cabo evaluaciones detalladas de los riesgos asociados a terceros para abordar cualquier problema que pueda suponer una amenaza para su seguridad. De este modo, podrá determinar qué medidas de seguridad es necesario adoptar para garantizar la protección de sus datos.

• • Llevar a cabo una supervisión adecuada y revisiones periódicas

El panorama de amenazas está en constante evolución, por lo que su programa de sensibilización en materia de ciberseguridad debe adaptarse a ello. Es importante realizar revisiones periódicas del nivel de preparación del personal para identificar puntos débiles y determinar si es necesario actualizar las políticas y la formación actuales.

Fomentar una plantilla más concienciada en materia de seguridad

El programa «Concienciación sobre ciberseguridad para directivos» constituye un recurso indispensable para impulsar un cambio de comportamiento y fomentar una cultura de concienciación cibernética.

En esta guía, aprenderá:

• • Las amenazas cibernéticas más habituales en la actualidad que tienen como objetivo a las personas, entre las que se incluyen la suplantación de identidad, el riesgo interno y los ataques a la cadena de suministro

• • Cómo la gestión de riesgos humanos ayuda a las organizaciones a reforzar su defensa frente a ellos

• • Cómo alinear la conciencia cibernética con marcos como ISO 27001 y NIST CSF 2.0

• • El papel del liderazgo, la cultura y la presentación de informes en el desarrollo de la resiliencia cibernética a largo plazo

Haga clic aquí para solicitar su ejemplar gratuito de «Concienciación sobre ciberseguridad para líderes».