Ciberseguridad, un gran reto en las organizaciones sanitarias

Entrevista a Miguel Ángel Martín Peña. CEO, Founder de Hack By Security y experto en ciberseguridad del Área de Asesoramiento Gratuito al Soci@ de SEDISA (asesoramiento@sedisa.net)

Guest Post

En la actualidad, a pesar de la relevancia de la ciberseguridad, en el sector de la salud hay mucho camino por recorrer. La prevención, la concienciación, la formación y el control de riesgos y del impacto de éstos, son acciones fundamentales y conceptos que el Directivo de la Salud debe tener presentes en su labor profesional. Y es que el Directivo de la Salud debe liderar la seguridad de las organizaciones sanitarias en todos los seguros y, en este marco, la ciberseguridad es componente clave en la gestión sanitaria profesionalizada, de calidad y eficiente, más cuando los datos de salud son sensibles según la legislación vigente de Protección de Datos.

Hemos entrevistado a Miguel Angel Martín Peña, CEO, Founder de Hack By Security y experto en ciberseguridad del Área de Asesoramiento Gratuito al Soci@ de SEDISA, quien nos ha dado su visión sobre este aspecto en el sector de la salud y las organizaciones sanitarias.

Pregunta: ¿Cómo definiría la situación de análisis, vigilancia y acción en el ámbito de la ciberseguridad en las organizaciones sanitarias?

Respuesta: En España, mal que nos pese, somos reactivos, hasta que no pasa algo grave, no nos damos cuenta del peligro. Pasa igual con la ciberseguridad; si no existiesen los ciberdelincuentes no seríamos necesarios, pero como existen hay que tratar de prevenir y minimizar tanto los ataques como el impacto de los mismos.

P.: ¿La situación es diferente entre centros sanitarios públicos y privados?

R.: La situación es similar, si bien es cierto que en los centros privados los accesos físicos a las instalaciones suelen estar mejor controlados, una vez dentro suele ser igual de sencillo realizar algunos tipos de ataque. Recordemos que los ciberdelincuentes no solo pueden realizar ataques desde fuera, sino también desde dentro.

P.: ¿Cuáles cree que son los retos para hacer frente a la ciberseguridad en nuestro país en el ámbito asistencial-sanitario?

R.: La concienciación y la preparación son los pilares fundamentales de la ciberseguridad. Por un lado, los profesionales del sector sanitario deben conocer y aplicar una serie de normas en ciberseguridad básica y, por otro lado, los técnicos informáticos que gestionan las redes, aplicaciones, páginas web, etcétera deben de estar formados y conocer las técnicas de ataque y defensa. Si a todo esto se añade que un grupo de expertos independientes analicen el estado de la seguridad cíclicamente, se minimiza la posibilidad de recibir un ataque.

P.: ¿Y cuáles los peligros y amenazas para las organizaciones sanitarias?

R.: Como peligro, independientemente del sector, tenemos que fijarnos en los activos que maneja dicho sector, en este caso tanto información sensible como la salud y el estado de bienestar de una sociedad. Como amenazas, cualquiera que le pueda sacar algún tipo de beneficio, desde grupos terroristas para generar caos y daño a un estado a algo más trivial como puede ser conocer el estado de salud de un deportista para realizar apuestas.

P.: ¿Cree que los directivos de la salud son conscientes en España de estos peligros?

R.: En general, creo que no son conscientes. En este sentido, creo que deben ser responsables y tomar medidas.

P.: ¿Cuáles pueden ser las consecuencias de un ataque de ciberseguridad?

R.: Como indicábamos anteriormente, si cierta información que puede manejar un centro sanitario se hiciese pública, podría dañar la imagen de los implicados o si se realizase un ataque de denegación de servicio sobre algún tipo de dispositivo médico, por ejemplo, un escáner, paralizaría las pruebas que dicho escáner tiene que hacer. Pero ¿qué sucede si el ataque es a todos los escáneres del mismo centro sanitario? Pues que el problema se agrava y podría verse en peligro la salud de algún paciente. Este es el último extremo, por mucho que suene a ciencia ficción, si un marcapasos o una bomba de insulina no han seguido unos estándares de seguridad en su fabricación, el acceso a estos dispositivos por parte de un ciberdelincuente es real y las consecuencias pueden ser funestas.

P.: ¿Qué requiere una organización sanitaria para hacer frente a posibles ataques de este tipo?

R.: La ciberseguridad se parece más de lo que parece a la sanidad. Y es que, igual que se previenen ciertas enfermedades con vacunas, éstas serían la formación y las auditorías cíclicas del estado de la seguridad de los sistemas.

P.: En comparación con otros países, ¿cuál es la situación de las organizaciones sanitarias de nuestro país en casos de ataque de ciberseguridad e iniciativas puestas en marcha para hacer frente a dichos ataques?

R.: En España, actualmente, no hay ningún foro de ciberseguridad específico para el sector sanitario. Se han celebrado algunas sesiones, pero no hay nadie al frente que organice y marque unas pautas de obligado cumplimiento, por lo que, hasta que dichas pautas no se marquen será un sector altamente vulnerable.

P.: ¿Y en nuestro país, si comparamos las organizaciones sanitarias con respecto a organizaciones o empresas de otros sectores?

R.: Hay de todo, e incluso hay mucha diferencia entre el sector público y el privado. Existen sectores más concienciados porque les toca más directamente, por ejemplo, las operadoras de telecomunicación; es un sector privado y un ataque a estas operadoras podría suponer la pérdida de mucho dinero, además de imagen y, por otro lado, hay sectores que no ven el peligro, por ejemplo, el sector agrícola. ¿Qué sucedería si un ciberdelincuente modificase los sensores de temperatura de los almacenes de conservación de los alimentos? Que toda la cosecha se podría perder.