Actúe para prevenir los ataques de ransomware

Los efectos de los ataques de ransomware sobre las organizaciones de cuidado de la salud son de gran alcance. Un estudio sobre ataques de ransomware perpetrados contra organizaciones de cuidado de la salud entre 2016 y 2021 reveló que el 44,4 % de los ataques interrumpió la prestación de servicios de salud, incluido el tiempo de inactividad de los sistemas electrónicos (41,7 %), la cancelación de la atención programada (10,2 %) y el desvío de ambulancias (4,3 %).² Citando los resultados preliminares de un estudio, un economista de la salud de la Universidad de Minnesota señaló que la mortalidad intrahospitalaria aumenta entre un 20 % y un 35 % cuando los pacientes ingresan en un hospital que está sufriendo un ataque de ransomware.³ Los ataques de ransomware también pueden afectar las operaciones administrativas, como la facturación y la nómina, además de ocasionar un importante daño reputacional.

Los ciberataques pueden interrumpir sistemas críticos, impedir el acceso a los datos y comprometer la capacidad de los sistemas de salud para mantener la seguridad del paciente y brindar atención oportuna. En última instancia, quienes más sufren estas situaciones son los pacientes. Es posible que los profesionales clínicos no puedan realizar procedimientos ni recetar medicamentos, y que las farmacias tengan dificultades para acceder a la información necesaria para despachar las recetas. Además, los procesos de facturación de la organización se vuelven ineficientes, lo que afecta la cantidad de pacientes que puede atender.

Sin embargo, usted no está a merced de los ciberdelincuentes. Existen medidas que puede adoptar para reducir el riesgo de sufrir un ataque de ransomware, entre ellas comprender por qué las organizaciones de cuidado de la salud son vulnerables, cómo operan los ciberdelincuentes y cómo asociarse con empresas como Philips, que priorizan la ciberseguridad durante el desarrollo de software, puede ayudar a proteger su organización.

Los sistemas de salud son objetivos especialmente atractivos para el ransomware debido a la combinación de la digitalización de la información sanitaria, las redes complejas con múltiples puntos de acceso, los dispositivos que no se han actualizado con el software de seguridad más reciente, los factores humanos y la falta de control.

Los dispositivos médicos y los dispositivos wearable con bajos niveles de seguridad están cada vez más conectados a Internet, lo que proporciona puertas de acceso a las redes hospitalarias. En particular, los dispositivos con ciclos poco frecuentes de aplicación de parches pueden carecer de protección frente al malware más reciente. Otro factor es que las cadenas de suministro del cuidado de la salud se han vuelto cada vez más complejas, y hasta el sistema sanitario más pequeño implica numerosos componentes. Esta complejidad, sumada a la gran cantidad de proveedores y socios externos conectados a los sistemas hospitalarios, hace que sea prácticamente imposible para los hospitales tener plena visibilidad y control sobre todos los aspectos de sus redes, lo que incrementa el riesgo y el posible impacto de un ciberataque.

Entre los factores humanos se encuentran la escasez de personal clínico y administrativo. Con menos personal y jornadas laborales más largas, la ciberseguridad puede dejar de ser una prioridad, lo que aumenta la posibilidad de errores y abre la puerta a los ciberataques.

La capacitación en ciberseguridad también puede quedar relegada, lo que lleva a que los empleados ayuden involuntariamente a los ciberdelincuentes. El National Institute of Health informó que el 90 % de las brechas de seguridad comienzan mediante phishing (e-mails masivos) o spear phishing (e-mails dirigidos).⁴ En ambos casos, los atacantes utilizan e-mails o sitios web engañosos para obtener información, por ejemplo, credenciales de acceso al PACS. El informe cita un estudio estadounidense que reveló que los trabajadores del cuidado de la salud hicieron clic en uno de cada siete e-mails simulados de phishing.

Las historias clínicas electrónicas (HCE), que han facilitado el intercambio eficiente de información actualizada de los pacientes para mejorar la atención, también constituyen un entorno con abundantes datos valiosos que resulta muy atractivo para los ciberdelincuentes.

Una vez que el ransomware cifra los archivos de una organización, exige al usuario el pago de un rescate. Para la organización afectada, comienza una carrera contra el tiempo para recuperar el control del acceso a sus sistemas y/o de los datos de los pacientes. En un sistema de salud de grandes dimensiones, respaldar millones de registros es un proceso que requiere mucho tiempo y no puede completarse dentro del plazo exigido, algo que los ciberdelincuentes saben muy bien. Si no existe una copia de seguridad de los datos o si esas copias también fueron cifradas, la víctima se enfrenta a la decisión de pagar el rescate para recuperar los archivos.⁶ En muchos casos, las organizaciones de cuidado de la salud están dispuestas a pagar para restablecer los servicios y evitar la vergüenza pública y la pérdida de confianza.

Incluso si la organización se niega a pagar, los atacantes aún pueden obtener beneficios vendiendo la información en la dark web. La información sanitaria protegida (PHI) tiene más valor que otros tipos de datos porque puede explotarse de múltiples maneras, entre ellas presentar reclamaciones fraudulentas a aseguradoras, obtener recetas falsas o recibir tratamientos médicos.⁷ Los registros robados son un producto comercial y su valor depende tanto de su origen como de la oferta y la demanda. En una entrevista emitida por CNBC en marzo de 2024, un investigador en ciberseguridad afirmó que los registros médicos se venden por aproximadamente 60 dólares en la dark web, en comparación con los números de seguridad social, que se venden por 15 dólares, y la información de tarjetas de crédito, por 3 dólares.⁸

Cedric L. Truss, Director de programa y profesor clínico asistente de Informática de la Salud en Georgia State University, recomienda que las organizaciones adopten una serie de medidas lógicas para prevenir un ataque de ransomware,⁶

lo que incluye:

Philips sigue una política integral de ciberseguridad que incluye el monitoreo continuo de vulnerabilidades emergentes y posibles amenazas externas, además de la colaboración con organismos reguladores, socios de la industria y proveedores de cuidado de la salud, entre otros, para cerrar brechas de seguridad e implementar medidas de protección.

Informática de radiología aplica directrices de ciberseguridad durante todo el ciclo de vida de sus productos y servicios. El desarrollo de Informática de radiología incorpora plenamente valiosos estándares de seguridad, como NIST, ISO, DICOM, IHE y DIACAP (actualmente RMF). Además, revisamos cuidadosamente la legislación internacional, desde HIPAA hasta la Directiva de Protección de Datos de la Unión Europea, para identificar los requisitos de los productos e implementar las recomendaciones más recientes. La iniciativa Product Security Framework (marco de seguridad de producto) garantiza que los dispositivos médicos se diseñen siguiendo una estrategia de defensa en profundidad, incorporando múltiples capas de controles de seguridad que abarcan la seguridad de las aplicaciones, los sistemas informáticos, los datos y las redes. Estos controles, alineados con estándares internacionales de seguridad, se integran meticulosamente en nuestras soluciones médicas para mitigar eficazmente las amenazas cibernéticas.

En línea con las buenas prácticas estándar del sector, las medidas de ciberseguridad que implementamos en informática de radiología incluyen:

Dentro de nuestro marco de respuesta a amenazas, proteger la seguridad de activos críticos, como Vue PACS e Image Management Software, es una prioridad absoluta para el Centro de Operaciones de Seguridad (SOC) de Philips, que opera las 24 horas del día, los 7 días de la semana.* Empleamos un enfoque integral diseñado para responder de forma rápida y eficaz a los desafíos de ciberseguridad. Nuestra estrategia multifacética integra medidas proactivas —como la monitorización continua y la detección de amenazas— que aprovechan tecnologías de última generación.

Además, para los clientes que utilizan un sistema PACS/sistema de gestión de imágenes instalado en sus propias instalaciones, Informática de radiología de Philips ofrece el sistema de Protección de datos Philips HealthSuite Imaging, un nuevo servicio que permite a las organizaciones de cuidado de la salud proteger sus imágenes médicas y los sistemas de archivos del PACS frente a cualquier amenaza, incluidos ciberataques, virus y desastres naturales, aprovechando la tecnología de datos de Amazon Web Services (AWS). Las avanzadas funciones de seguridad de AWS incluyen cifrado de los datos tanto en tránsito como en reposo, además del cumplimiento de más de 50 estándares internacionales. Esta sólida protección reduce aún más el riesgo de ataques de ransomware, garantizando que los datos críticos de diagnóstico por imágenes permanezcan seguros y accesibles. Además, permite que las organizaciones de cuidado de la salud mantengan una atención ininterrumpida a los pacientes.

Las avanzadas funciones de seguridad de AWS incluyen cifrado de los datos tanto en tránsito como en reposo, además del cumplimiento de más de 50 estándares internacionales. El sistema de Protección de datos Philips HealthSuite Imaging garantiza el cumplimiento de las normativas, una alta durabilidad de los datos y una recuperación rápida ante desastres sin interrumpir el flujo de trabajo local de diagnóstico por imágenes ni la configuración del PACS. El servicio elimina la necesidad de realizar copias de seguridad en las instalaciones, reduce la carga administrativa y ofrece una escalabilidad rentable, lo que permite que las organizaciones de cuidado de la salud se concentren en la atención de los pacientes sin comprometer la integridad de los datos.