La guerra cibernética en el sector sanitario

Amaya Bretón OESIA

En un mundo cada vez más tecnológico, los ataques contra la seguridad de la información, los datos personales y la privacidad tienen como caldo de cultivo la utilización de Internet. Si bien hoy en día conocemos las diferentes afecciones que puede tener el concepto “guerra”, ya sea civil, comercial, atómica, nuclear, biológica, etc, nos encontramos ante un nuevo escenario bélico, el ciberespacio, en el que los objetivos de ataque son los sistemas informáticos que soportan organizaciones, edificios o infraestructuras con el objetivo de robar información, paralizar o destruir cualquier servicio o actividad proporcionado por los mismos mediante diferentes técnicas de ingeniería social, especialmente mediante el uso de ransomware, aprovechando las vulnerabilidades o deficiencias en sus sistemas. Hablamos de una guerra cibernética.

En el contexto actual, un ataque cibernético o tecnológico puede originarse en cualquier momento. Un ejemplo de ello son los ciberataques que se están produciendo a raíz del conflicto entre Rusia y Ucrania. El hecho de que los sistemas de información de una organización estén conectados a la red multiplica exponencialmente la probabilidad de que se materialicen las amenazas contra los mismos, en forma de fuga de información, denegación del servicio o paralización de la actividad. Uno de los sectores que por su especial naturaleza e importancia en la sociedad puede ser objeto de un ataque tecnológico a gran escala es el sector sanitario. De hecho, a raíz de la pandemia motivada por el Covid-19, los ciberataques a hospitales, centros médicos y laboratorios de investigación han aumentado de forma exponencial y la tendencia (preocupante) sigue creciendo. ¿Cómo impacta un ciberataque a una entidad u organismo sanitario? o, en otras palabras, ¿Qué pasa si se produce un ataque contra los sistemas de información de un hospital, clínica, farmacia o laboratorio de investigación biomédica que paralice el servicio, extorsione, robe o destruya la información contenida en sus sistemas de información? ¿Cuántas personas pueden verse potencialmente afectadas por ese ataque y qué consecuencias tiene para la vida de las mismas? Si lo trasladamos a un escenario de conflicto armado como el actual, la respuesta es bastante clara: devastadora. En el ámbito sanitario hay dos máximas que sobresalen respecto a todas las demás, la privacidad y la confidencialidad de los datos de los pacientes. En un ciberataque las máximas son el daño y perjuicio a la víctima, que pueden ir además acompañados de la consecución de un beneficio económico por parte del atacante. La privacidad es el ámbito de la vida privada que debe protegerse frente a cualquier intromisión, es uno de los principios esenciales sobre los que versa la Declaración Universal de Derechos Humanos de 1948 y un derecho fundamental reconocido por la Constitución Española (artículo 18). A su vez, la protección de las personas físicas en relación con el tratamiento de sus datos personales es un derecho fundamental recogido en la Carta de los Derechos Fundamentales de la Unión Europea y protegido como tal en nuestra Constitución (artículo 18.4). Pero, además, si hablamos de pacien-

tes, nos referimos a datos de salud o relacionados con la misma, esto implica que estamos ante información especialmente sensible o de categoría especial, tal como lo define el artículo 9 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), ypor tanto, objeto de máxima protección. Volviendo a los objetivos de un ciberataque, el daño o perjuicio a un organismo sanitario mediante la destrucción de sus sistemas informáticos o la toma de control de los servidores y dispositivos empleados para paralizar o inactivar sus servicios (atención médica, urgencias, operaciones) en un escenario de conflicto bélico, es evidente. El robo o secuestro de la información almacenada en sus sistemas de información con la finalidad de extorsionar o pedir un rescate económico es el otro objetivo fundamental de un ciberataque. Y cuanto más sensible o confidencial sea la información atacada, mayor será el importe económico solicitado por los ciberdelincuentes para recuperarla. Ante una situación como esta, en aras de proteger la seguridad de los sistemas, la información, los datos personales y la privacidad, es imprescindible disponer de una estrategia de ciberseguridad basada en la implantación de un Centro de Operaciones de Seguridad (SOC) que permita reforzar y mejorar la capacidad de detección, análisis, prevención, monitorización y vigilancia de amenazas en las actividades diarias y servicios proporcionados por una organización, así como la respuesta a incidentes de seguridad y la elaboración de planes de contingencia frente a posibles ciberataques. Esta estrategia de ciberseguridad debe fundamentarse en 5 aspectos esenciales: • Identificación de los objetivos y contexto de la organización: establecer una comprensión organizativa de la gestión de los riesgos de ciberseguridad en relación con los sistemas, activos, recursos y capacidades de la misma. • Medidas de protección: desarrollo e implementación de las medidas de seguridad apropiadas para garantizar la seguridad de la organización, ya sea información, tecnología, infraestructuras o personas y minimizar cualquier efecto resultante de un incidente de ciberseguridad. • Detección de amenazas: vigilancia digital y monitorización continua para identificar, a tiempo, cualquier actividad inusual o anomalía que pueda convertirse en una potencial amenaza para la organización. • Capacidad de respuesta: aplicación de las medidas pertinentes en relación con un incidente de ciberseguridad detectado y capacitar a la organización para adaptarse a su impacto. • Recuperación del servicio o actividad: elaboración de un plan estratégico para restaurar cualquier servicio o actividad que haya sido dañado como consecuencia de un incidente de ciberseguridad.

La guerra cibernética ya es una realidad, no es ciencia ficción.