PROTECCIÓN DE DATOS Y CIBERSEGURIDAD EN LOS NUEVOS MODELOS ASISTENCIALES ESPECIAL
La OT Médica, en el centro de las vulnerabilidades en las redes hospitalarias Javier Alonso Cyber Sales Manager SHAM
Actualmente la OT médica se puede considerar como el eslabón débil de las redes sanitarias respecto a la ciberseguridad. Es imprescindible una gestión adecuada para detectar y mitigar los riesgos derivados de sus vulnerabilidades. Durante el pasado Foro de Ciberseguridad y Datos personales organizado por SEIS en Madrid, unos de los temas que se trataron en diferentes sesiones fue la problemática respecto a la ciberseguridad asociada a los equipos médicos en los centros sanitarios. La gestión de los dispositivos médicos tiene unas características específicas diferenciadas de la gestión de los entornos TIC debido a sus requisitos respecto a la seguridad del paciente (disponibilidad y seguridad en la operación) y a los periodos de reposición y actualización de los equipos. Los equipos y sistemas involucrados en las operaciones TIC (sistemas de información, conectividad y redes, bases de datos) son sistemas donde es habitual disponer de actualizaciones que, además de mejorar funcionalidades, resuelven problemas de seguridad detectados. Estas actualizaciones se pueden realizar por el equipo técnico del hospital, contando incluso con herramientas automatizadas para su gestión. Y aún con estas actualizaciones constantes, tenemos ventanas de oportunidad para la explotación de vulnerabilidades hasta que son conocidas y corregidas (vulnerabilidades Zero Day). La existencia de estos fallos en los sistemas de información y las redes parece algo difícil de
evitar, ya que el rápido desarrollo de aplicaciones, interconectividad y protocolos y servicios hace imposible la verificación de todos los posibles fallos a detectar. La solución pasaría por realizar análisis del código y certificaciones rigurosas, actividades que se realizan tan solo en aplicaciones con altos requisitos de seguridad. Esta problemática de los equipos TIC se acentúa en los equipos médicos. En general, son equipos con un periodo de utilización muy alto, sobre todo si lo comparamos con los ‘tiempos TI’, pero estos equipos incorporan software embebido con la misma problemática que los sistemas TI: vulnerabilidades que los exponen a un ciberataque. Y estas vulnerabilidades están expuestas a ser explotadas desde el momento en el que se conectan a las redes del hospital. Sin embargo, debido a criterios de seguridad del paciente, estos equipos están sometidos a verificaciones y homologaciones que hacen que las actualizaciones de software tengan unos plazos de despliegue no asumibles en un mundo conectado. Incluso tenemos equipos con S.O obsoletos que ya no tienen posibilidad de actualización. Por otro lado, en muchas ocasiones la OT médica presenta problemas para ser detectada e inventariada, por lo que el equipo de ciberseguridad no tiene visibilidad sobre 149 INFORMÁTICA + SALUD _ 21
