Cómo COVID-19 ha aumentado el ciberriesgo en la sanidad, y qué hacer al respecto

En medio de una crisis sanitaria y financiera mundial, la ciberdelincuencia está floreciendo. Esto es una mala noticia para todos, pero especialmente para un sector sanitario que ya está al límite por el impacto de la pandemia. Los agentes de las amenazas están siempre al acecho de las lagunas en la seguridad informática que pueden aprovechar para introducirse en las redes. Y gracias al COVID-19 hay más infraestructura digital a la que apuntar y más posibilidades de que tengan suerte.
Las organizaciones sanitarias (HCO) deben asegurarse de que comprenden sus responsabilidades en cuanto a la protección de los datos y sistemas en la nube, o se arriesgan a sufrir una brecha perjudicial en el peor momento posible.

Atención sanitaria en la nube

Al igual que sus homólogos de todo el mundo, las empresas de servicios de salud de España han recurrido a la transformación digital y, especialmente, a las tecnologías en la nube para apoyar el trabajo masivo a distancia, agilizar los procesos y ahorrar costes. Casi la mitad (47%) de los responsables globales de TI en el sector dijeron recientemente a Trend Micro que la pandemia había acelerado “considerablemente” la adopción de la nube.
Puede tratarse de cualquier cosa, desde las apps de videoconferencia SaaS utilizadas por los trabajadores a domicilio hasta las herramientas de telemedicina e incluso las inversiones en infraestructura IaaS. El reto es que, a medida que estas organizaciones dependen cada vez más de estas herramientas, su perfil de riesgo cambia significativamente. En el último año, los hospitales han sido objeto de repetidos ataques por parte de grupos de ransomware que utilizan sofisticadas tácticas de tipo APT en varias fases para robar datos, desplazarse lateralmente y desplegar malware para bloquear los sistemas. Esto se suma a las amenazas habituales a las que se enfrentan las HCO, como el malware de robo de información, los mineros de monedas, los troyanos bancarios, etc.

¿Confianza injustificada?

En este contexto, el estudio global para descubrir las lagunas de conocimiento sobre la seguridad en la nube en el sector sanitario, de Trend Micro, reveló un nivel preocupante de confianza potencialmente errónea entre los responsables de la toma de decisiones de TI de este sector vertical. La mitad (46%) afirma que la pandemia ha aumentado su atención en las mejores prácticas de seguridad; el 63% confía en tener visibilidad de todos los datos de su organización y más de la mitad (58%) dice que su presupuesto de seguridad es suficiente para sus necesidades en la nube.
Sin embargo, cuando se indagó más, casi la mitad (43%) de los encuestados admitió que los retos de privacidad y seguridad eran una barrera “muy importante” o “importante” para la adopción de la nube. El establecimiento de políticas coherentes, la aplicación de parches y la configuración errónea de la nube se señalaron como los mayores dolores de cabeza del día a día. Aún más preocupante fue la confusión sobre el modelo de responsabilidad compartida, que describe qué parte del monto de la computación en la nube tienen que asegurar los proveedores y los clientes. Mientras que más del 80% afirmó estar seguro de entender el modelo y cumplir con sus obligaciones en virtud del mismo, el 61% también afirmó que su CSP proporciona “seguridad más que suficiente” para sus datos. De hecho, la seguridad de los datos es responsabilidad del cliente en un modelo IaaS.

Es hora de cambiar

No se trata de repartir culpas. Hoy en día, las organizaciones sanitarias son un objetivo importante para los ciberdelincuentes y esto continuará mientras sientan que los ataques pueden ser monetizados con éxito. Si hay confusión, corresponde a la industria de la ciberseguridad y al gobierno hacer un mejor trabajo de concienciación. Por ejemplo, casi la mitad (45%) de los responsables de TI de las HCO afirman que la introducción de herramientas de seguridad basadas en la nube había dificultado el trabajo de su equipo de seguridad TI, mientras que el 52% dijo que había aumentado los costes. Las herramientas de seguridad basadas en SaaS no deberían hacer ninguna de las dos cosas. De hecho, se recomiendan como una opción más flexible y fácil de desplegar y gestionar que también debería ayudar a reducir los costes generales.
Las mejores prácticas de higiene de TI contribuirán en gran medida a que las empresas de servicios sanitarios sean un objetivo más difícil. En combinación con el partner adecuado y un enfoque renovado en la formación interna, hay mucho que se puede hacer para abordar estos desafíos y mitigar el riesgo cibernético. Hagamos que 2021 sea un año destacado por todas las razones acertadas.