El chequeo de ciberseguridad: ¿La industria de la salud está haciendo lo suficiente?
No es de extrañar que los piratas informáticos siempre apunten a datos críticos de alto valor, por lo que entre algunas de las industrias más específicas se encuentra la atención médica; Los datos de pacientes altamente sensibles almacenados en esta industria crean un campo de juego listo para que los piratas informáticos lo exploten. Solo en los últimos cinco años, las infracciones de la atención médica han aumentado tanto en frecuencia como en tamaño, y la mayor ha afectado a 80 millones de personas.
El año pasado, el NHS sufrió una interrupción significativa de WannaCry, que puso de relieve la vulnerabilidad del sector de la salud. Este ataque contribuyó a 1.300 horas de tiempo de inactividad durante los últimos tres años, pero los problemas se reflejan a nivel mundial; En los EE. UU., el 45% de los ataques de ransomware en 2017 se dirigieron a organizaciones de atención médica con más de 175 millones de registros expuestos o robados desde 2009.
Con muchas organizaciones preparándose para volverse completamente digitales en los próximos años, los servicios de salud deben aprender de las violaciones de datos recientes si quieren proteger su infraestructura contra ataques cibernéticos. Pero, ¿qué puede hacer la industria de la salud para asegurarse de que están asegurando los datos de los pacientes y protegiendo sus redes?
Es un caso de cuándo, no si
Para cada organización que maneja datos, ya sean datos de clientes, financieros o de pacientes, la realidad es que experimentarán una violación de datos en algún momento. No se trata solo de la creciente sofisticación de los métodos utilizados por los piratas informáticos, sino que, igualmente importante, es el hecho de que los datos de atención médica ya no están en un solo lugar y ya no se accede a ellos dentro de los límites de una instalación.
Si bien los datos de los pacientes solían residir en hospitales y consultorios médicos, el sistema de salud distribuido actual se extiende por todo el país y, a veces, incluso por todo el mundo, a través de instalaciones, nubes públicas y nubes privadas. Estos datos críticos no solo se distribuyen al personal sanitario, sino a terceros cuyos dispositivos y políticas no se pueden controlar fácilmente. La superficie de ataque se está expandiendo considerablemente y los dispositivos móviles conectados y los dispositivos de Internet de las cosas (IoT) se han convertido en un lugar común en los entornos de atención médica: solo la gran cantidad de personal médico, clínico, de TI y de administración que necesita acceso a los datos del paciente, en todo momento y en varios configuración, hace que las medidas de seguridad heredadas que alguna vez se implementaron ahora sean incapaces de hacer frente a la red compleja y diversa de hoy.
Y solo se necesita un dispositivo comprometido para permitir que un pirata informático penetre y luego se mueva lateralmente a través de una red, infectando potencialmente miles de dispositivos y paralizando la red. Algunos NHS Trusts se vieron obligados a apagar su red para evitar infecciones durante el ataque WannaCry. Ninguna organización puede permitirse simplemente «desconectarse» para evitar un compromiso.
Una nueva mentalidad: comience con la seguridad
Los hospitales y las organizaciones de atención médica deben mirar más allá de la infraestructura de red y, en cambio, comenzar con una superposición de seguridad que cubrirá las redes, independientemente de su infraestructura, en lugar de adoptar un enfoque estrecho de construir la estrategia en torno a la infraestructura. Desde una perspectiva de seguridad de datos, la red debe volverse irrelevante, y con esto fluye una simplicidad natural en el enfoque.
Las organizaciones de atención médica deben considerar enfoques innovadores, como el cifrado de capa 4, que hace que los datos en sí sean indescifrables mientras están en tránsito y, por lo tanto, no tienen valor para los piratas informáticos, sin afectar la visibilidad operativa de la red empresarial y los flujos de datos.
Con las ciberamenazas en constante evolución y los ciberataques en curso, las organizaciones sanitarias pueden reducir sustancialmente la probabilidad de que se produzca una filtración de datos adoptando estrategias de seguridad sólidas diseñadas para las redes más complejas, distribuidas e híbridas de la actualidad. Con datos de pacientes tan críticos y sensibles en riesgo, las organizaciones de atención médica realmente no pueden permitirse el lujo de correr el riesgo.
– Paul German, director ejecutivo de Certes Networks
[tpr-boilerplate company=’null’]