Us heu fixat que, en l’última dècada, els hospitals han deixat de ser organitzacions amb edificis amb habitacions, sales i quiròfans per convertir-se en complexos ecosistemes de dades i sistemes interconnectats? Per tant, avui un ciberatac no només bloqueja servidors: apaga quiròfans, endarrereix diagnòstics crítics i, en última instància, posa en perill la seguretat de qui rep atenció.
Com a empresa que ha ajudat diverses organitzacions sanitàries, hem vist de primera mà que en aquest sector, un sistema compromès per un atac pot tenir conseqüències tan reals com una negligència mèdica.
I per què els atacs tenen el sector salut en el punt de mira?
La resposta és senzilla: la informació mèdica no caduca. Els historials clínics són una joia al mercat negre:
- El valor de la dada: mentre que una targeta de crèdit es cancel·la en minuts, el teu historial mèdic, el teu perfil i les teves malalties són permanents. Per aquest motiu, a la dark web un registre mèdic complet pot valdre fins a deu vegades més que les dades financeres.
- El rastre d’incidents: hem vist com bretxes massives en el passat han deixat al descobert la intimitat de milions de persones. Aquests incidents no van ser errors de software: van ser errors d’estratègia que van demostrar que el sector salut operava amb eines del segle XXI però protegides com al segle passat.
Què fa que l’entorn sanitari sigui únic?
A diferència d’un banc o una botiga online, la sanitat presenta reptes que no es troben en cap altre lloc. Com a equip de consultoria, aquests són els tres pilars que sempre recalquem:
- La paradoxa de la disponibilitat absoluta
En la banca, si hi ha un risc, pots desconnectar el sistema una hora per aplicar un pegat. En un hospital, el «temps d’inactivitat zero» no és una meta, és un requisit. Per més que existeixin plans de continuïtat davant d’una crisi, no és fàcil reiniciar un servidor si d’ell en depèn la monitorització d’una UCI o el flux d’una bomba d’infusió, per exemple. Aquesta dependència crítica fa que, per exemple, el ransomware sigui especialment devastador aquí, ja que els atacants saben que l’hospital té vides en joc. - L’ecosistema del IoMT (Internet de les Coses Mèdiques)
Un hospital modern té milers de dispositius connectats: marcapassos, bombes d’insulina, màquines de ressonància. Molts d’aquests equips funcionen sobre sistemes operatius obsolets (legacy) que no es poden actualitzar fàcilment. Per tant, cada dispositiu pot ser una porta del darrere potencial i un risc a considerar. - El factor humà sota pressió
El personal sanitari està entrenat per salvar vides, no per detectar phishing. En un entorn d’alt estrès, la usabilitat sol guanyar la seguretat. Si una contrasenya complexa endarrereix un tractament d’emergència, el personal trobarà la manera d’esquivar-la. La ciberseguretat aquí ha de ser invisible i facilitadora, no un obstacle.
…I va arribar la IA!
La integració de la IA en la salut és un salt quàntic, però des de la perspectiva de la seguretat, amplia la superfície d’atac de formes inèdites i incorpora nous riscs. Aleshores, com es poden gestionar d’una manera completa? Des de ThinkUPC busquem resoldre aquesta perspectiva sota tres escenaris:
"Contra la IA"
"Amb la IA"
"Per a la IA"
- «Contra la IA». El nou valor de la IA per atacar —i del qual ens hem de defensar—. La IA ha passat a ser un multiplicador per als delinqüents. Permet automatitzar tasques que requerien setmanes de feina i coneixements profunds. Com?:
• Automatitzant el reconeixement, escanejant massivament perfils públics o identificant patrons de comportament dels empleats.
• Creant enginyeria social d’«alta definició», amb phishing que inclouen deepfakes d’àudio i vídeo, o generació de correus electrònics perfectament escrits, personalitzats i persuasius en qualsevol idioma.
• Desenvolupant nou malware o reescrivint-lo perquè no sigui reconegut.
• A més, la IA permet accelerar l’aprofitament dels exploits analitzant pegats de seguretat per generar-ne un de nou en qüestió d’hores. - «Amb la IA». El nou valor de la IA per defensar —i que s’ha d’aprofitar—. La IA permet passar d’un enfocament reactiu (esperant l’atac) a un de proactiu (anticipant-se). Exemples de possibilitats:
• Reconeixement i visibilitat sobre la nostra infraestructura, actuant com un atacant.
• Gestió d’alertes en un SOC (Centre d’Operacions de Seguretat), reduint el temps de resposta i automatitzant l’anàlisi inicial. Permet als humans centrar-se només en amenaces reals i complexes.
• Proves de penetració autònomes en serveis exposats, amb validació contínua, adaptant-se als canvis realitzats en la infraestructura en temps real.
• Entrenament i simulacres de phishing, incloent-hi l’anàlisi de perfils d’empleats que cauen en estafes i la generació de contingut educatiu. - «Per a la IA». La IA, un nou actiu a protegir —i que hem de cuidar—, a tres nivells:
• Garantint la privacitat i el compliment normatiu, amb identificació de riscs o elaboració de les polítiques que cal tenir presents, així com la seva revisió contínua.
• Monitoritzant esdeveniments per possibles alertes i incidents (SOC).
• Gestionant integralment les vulnerabilitats per determinar de forma proactiva el risc real d’un possible incident sobre un sistema amb IA, amb scans o pen tests, seguint la nova metodologia d’OWASP per a IA (https://genai.owasp.org), simulant atacs reals.
