Adoptar el IdC en el sector sanitario abre nuevas oportunidades para la seguridad
Los dispositivos médicos conectados —también conocidos como el internet de las cosas médicas, o IoMT (por sus siglas en inglés)— están revolucionando la sanidad, no solo desde el punto de vista operativo, sino también en lo relativo a la atención al paciente. En todo el mundo, los hospitales y demás establecimientos sanitarios los utilizan para prestar asistencia a sus pacientes y para realizar una gran variedad de funciones clínicas, desde bombas de infusión de medicamentos hasta monitores de constantes vitales, pasando por robots quirúrgicos, equipos de ambulancia y un largo etcétera. De lo que se trata es de mejorar la atención a los pacientes y los resultados que se obtienen con ellos, y la adopción del IdC en el sector sanitario abre nuevas oportunidades que tienen el potencial de cambiar vidas, además de funcionar bien desde el punto de vista operativo.
Sin embargo, el uso de la tecnología IdC con el objetivo de lograr resultados asombrosos para los pacientes no está exento de riesgos de seguridad tanto para estos como para los hospitales, una realidad de la que se hacen eco las noticias con demasiada frecuencia. El ransomware, por ejemplo, es una amenaza especialmente prevalente para los proveedores de atención sanitaria del mundo entero. En agosto de 2022, el hospital francés Centre Hospitalier Sud Francilien (CHSF) sufrió un ataque de ransomware que inutilizó los sistemas de obtención de imágenes diagnósticas y otros relacionados con los ingresos hospitalarios. Asimismo, en octubre del mismo año, la Cybersecurity and Infrastructure Security Agency (CISA) emitió un aviso de ciberseguridad advirtiendo a los proveedores de servicios sanitarios de la existencia de un grupo de ransomware y extorsión de datos que dirigía sus actividades al sector sanitario (tanto público como privado) y mostraba especial interés en acceder a los sistemas de bases de datos, de diagnóstico y de obtención de imágenes médicas presentes en las redes. Pero el ransomware no es el único riesgo que existe: según un informe publicado en el HIPAA Journal, los ciberataques al sector sanitario (sin discriminar por tipo) aumentaron en un 60 % en 2022,1, una subida que, lamentablemente, los convierte en un problema rutinario de la atención sanitaria para el que el sector debe estar preparado.
Por qué están en riesgo los dispositivos IdC médicos
La lista de motivos por los que los dispositivos IdC médicos están en riesgo es larga, pero entre los más comunes cabe destacar el hecho de que, en muchos casos, no se ha tenido en cuenta la seguridad a la hora de diseñarlos.
Un gran número de dispositivos conectados se comercializan con vulnerabilidades inherentes; por ejemplo, según un estudio de Unit 42, el 75 % de las bombas de infusión tienen vulnerabilidades sin actualizar2 más de la mitad (el 51 %) de los equipos de radiografías contienen vulnerabilidades y exposiciones comunes (CVE, por sus siglas en inglés) de gravedad alta (CVE-2019-11687) y alrededor del 20 % ejecutan una versión de Windows obsoleta.3
Unit 42 observó también que el 83 % de los escáneres de ultrasonido, resonancia magnética y tomografía computarizada ejecutaban sistemas operativos desfasados4 con vulnerabilidades conocidas que podrían explotarse. El modus operandi de los atacantes es de sobra conocido: se aprovechan de los dispositivos vulnerables para acceder a la red hospitalaria y, a continuación, se mueven lateralmente para infectar y dañar el resto de sus componentes.
Las consecuencias de las vulnerabilidades de los dispositivos IdC médicos son muy graves, pudiendo incluso costarles la vida a los pacientes. No siempre resulta sencillo (ni posible) actualizar estos dispositivos o aplicarles revisiones de seguridad, ya sea porque hacerlo requeriría interrumpir la prestación de los servicios sanitarios o por la falta de capacidad informática de muchos tipos de dispositivos. De ahí que en ocasiones se produzcan exposiciones de datos o se paralicen las operaciones de los hospitales. Es cierto que las probabilidades de ataque son altas, pero hay medidas que los proveedores de servicios sanitarios pueden tomar de forma proactiva para reducir al máximo los riesgos de seguridad relacionados con los dispositivos.
Cuatro medidas necesarias para mejorar la seguridad de los dispositivos IdC médicos
Uno de los desafíos a los que se enfrentan los establecimientos sanitarios y los profesionales de la salud es garantizar que ningún dispositivo conectado a la red escape a su radar; pero la visibilidad no es lo único que hace falta para mejorar la seguridad de los dispositivos médicos. Estas son las cuatro medidas que podemos tomar para protegerlos y reducir los riesgos:
- Garantizar la visibilidad y realizar una evaluación de riesgos de todos los dispositivos operativos y médicos conectados. Como no se puede proteger lo que no se ve, el primer paso para garantizar la seguridad del IdC en el sector sanitario es saber qué hay en el entorno. Pero la visibilidad no basta: también es necesario evaluar continuamente los riesgos que los dispositivos y sus vulnerabilidades —en constante cambio— representan para la red.
- Aplicar la segmentación de la red en función del contexto y establecer controles de acceso según el criterio del mínimo privilegio. Siempre ayuda tener constancia de la existencia de un dispositivo, y más útil aún es saber a qué información o recursos de la red puede acceder. Es aquí donde entra en juego la segmentación de la red para crear y aplicar políticas que limiten el acceso del dispositivo únicamente a aquellos recursos que necesite para realizar su función (y nada más).
- Supervisar constantemente el comportamiento del dispositivo y prevenir las amenazas conocidas y desconocidas. Todos estos dispositivos se comunican a través de distintos entornos clínicos y con redes y servicios externos, por lo que hay que asegurarse de establecer un comportamiento de referencia para ellos, supervisarlos por si se comportasen de forma anómala y proteger los que se conecten a la red de amenazas como el malware.
- Simplificar las operaciones. Para gestionar y proteger la ingente cantidad de dispositivos presentes en sus redes, los proveedores de servicios sanitarios necesitan una solución que se integre con los sistemas de TI y de seguridad que ya utilicen. Así, podrán eliminar los ángulos muertos de la red, automatizar los flujos de trabajo y reducir el número de procesos manuales tediosos con los que tienen que lidiar los administradores de redes.
Una seguridad de IdC más eficaz simplifica el cumplimiento normativo
Como es lógico, en el sector sanitario existen muchos requisitos de cumplimiento normativo que abarcan numerosos ámbitos —como la atención al paciente, los planes de atención gestionada, la privacidad y la seguridad, por poner unos ejemplos—, estipulados por diversos organismos y normativas —p. ej., en el caso de EE. UU., la Administración de Seguridad y Salud Ocupacional y la Ley de Transferibilidad y Responsabilidad del Seguro Sanitario (OSHA e HIPAA, respectivamente, por sus siglas en inglés)—. Si un ataque afecta a un sistema de gestión de pacientes o a un dispositivo IdC médico, es muy probable que se haya producido una infracción de la normativa y que el resultado sea la pérdida de datos confidenciales o el acceso a estos por parte de entidades no autorizadas. Cuando la visibilidad y las evaluaciones de riesgos son limitadas, resulta difícil cumplir los requisitos normativos, de auditoría y de la HIPAA. Por el contrario, con una visibilidad completa de todos los dispositivos y sus datos de uso, prepararse para las auditorías de cumplimiento normativo y redactar los informes correspondientes será menos trabajoso.
Implementación del modelo Zero Trust para los dispositivos IdC médicos
Las personas confiamos en los profesionales médicos para velar por nuestra salud y mejorarla, y estos, a su vez,confían en sus tecnologías. Pero la confianza no debería otorgarse por defecto, sino que hay que supervisarla y validarla constantemente. Y esto es justo lo que hace el modelo Zero Trust (confianza cero).
Simplificando mucho, Zero Trust es una estrategia de ciberseguridad que busca eliminar la confianza implícita en cualquier usuario, aplicación o dispositivo que acceda a la red de una organización. Zero Trust no es un producto: para muchos clientes, es un proceso continuo. Si queremos lograr una seguridad Zero Trust para los dispositivos IdC médicos, primero tenemos que tener claras una serie de cosas importantes:
¿Quién está utilizando el dispositivo?
¿De qué dispositivo se trata?
¿Qué se supone que debe hacer el dispositivo?
¿El dispositivo está desempeñando la función para la que ha sido diseñado?
El modelo Zero Trust (confianza cero) ayuda a reducir el riesgo de dos maneras: por un lado, supervisando constantemente los dispositivos y su comportamiento para detectar posibles amenazas, malware e infracciones de políticas y, por el otro, validando todas y cada una de las interacciones.
Zero Trust: la vía más fácil para mejorar la seguridad del IdC en el ámbito sanitario
Los equipos de seguridad y de TI del sector sanitario están desbordados, así que implementar la seguridad no debería ser un peso más sobre sus hombros. Del mismo modo, para mejorar la seguridad de los dispositivos IdC médicos, no debería ser necesario realizar una actualización que requiera grandes cambios en las redes hospitalarias.
La mayoría de los proveedores de servicios sanitarios ya tienen cortafuegos de red que funcionan como puntos de aplicación de la seguridad Zero Trust para los dispositivos. Facilitar la visibilidad, la evaluación de riesgos, la segmentación, las políticas según el criterio del mínimo privilegio y la prevención de amenazas durante la transición al modelo Zero Trust (confianza cero) debería hacerse de la forma más fluida posible. El aprendizaje automático (AA) también puede acelerar drásticamente la configuración de políticas, ya que permite automatizarla. Cuando la seguridad se convierte en otra gran empresa que requiere un esfuerzo considerable por parte de los equipos, sus probabilidades de éxito disminuyen. La seguridad debe estar integrada y tan automatizada como sea posible, además de ser fácil de implementar.
Los dispositivos IdC médicos ayudan a mejorar la atención sanitaria día tras día, pero, al igual que las personas tenemos que cuidarnos para no enfermar, lo mismo pasa con ellos: que gocen de buena salud es, literalmente, de vital importancia.
Lecturas recomendadas:
- Información sobre la solución Medical IoT Security.
- Informe técnico « The Right Approach to Zero Trust for Medical IoT Devices »(disponible en inglés).
1. «Healthcare Seeks 60% YoY Increase in Cyberattacks» (disponible en inglés), HIPAA Journal, 17 de noviembre de 2022,
https://www.hipaajournal.com/healthcare-sees-60-yoy-increase-in-cyberattacks/.
2. Aveek Das, «Know Your Infusion Pump Vulnerabilities and Secure Your Healthcare Organization» (disponible en inglés), Unit 42, 2 de marzo de 2022,
https://unit42.paloaltonetworks.com/infusion-pump-vulnerabilities/.
3. Jun Du, Derick Liang, Aveek Das, «Windows XP, Server 2003 Source Code Leak Leaves IoT, OT Devices Vulnerable» (disponible en inglés), Unit 42, 6 de noviembre de 2020,
https://unit42.paloaltonetworks.com/windows-xp-server-2003-source-code-leak/.
4. Ibid.