¿Os habéis fijado que, en la última década, los hospitales han dejado de ser organizaciones con edificios con habitaciones, salas y quirófanos para convertirse en complejos ecosistemas de datos y sistemas interconectados? Por tanto, hoy un ciberataque no solo bloquea servidores: apaga quirófanos, retrasa diagnósticos críticos y, en última instancia, pone en jaque la seguridad de quienes reciben atención.
Como empresa que ha ayudado a diversas organizaciones sanitarias, hemos visto de primera mano que en este sector, un sistema comprometido por un ataque puede tener consecuencias tan reales como una negligencia médica.
¿Y por qué los ataques tienen al sector salud en su diana?
La respuesta es sencilla: la información médica no caduca. Los historiales clínicos son una joya en el mercado negro:
- El valor del dato: mientras que una tarjeta de crédito se cancela en minutos, tu historial médico, tu perfil y tus enfermedades son permanentes. Por ese motivo, en la dark web un registro médico completo puede valer hasta diez veces más que los datos financieros.
- El rastro de incidentes: hemos visto cómo brechas masivas en el pasado han dejado al descubierto la intimidad de millones de personas. Estos incidentes no fueron errores de software: fueron fallos de estrategia que demostraron que el sector salud estaba operando con herramientas del siglo XXI pero protegidas como en el siglo pasado.
¿Qué hace que el entorno sanitario sea único?
A diferencia de un banco o una tienda online, la sanidad presenta retos que no se encuentran en ningún otro lugar. Como equipo de consultoría, estos son los tres pilares que siempre recalcamos:
- La paradoja de la disponibilidad absoluta
En banca, si hay un riesgo, puedes desconectar el sistema una hora para parchear. En un hospital, el «tiempo de inactividad cero» no es una meta, es un requisito. Por más que existan planes de continuidad ante una crisis, no es fácil reiniciar un servidor si de él depende la monitorización de una UCI o el flujo de una bomba de infusión, p. ej. Esta dependencia crítica hace que, por ejemplo, el ransomware sea especialmente devastador aquí ya que quienes atacan saben que el hospital tiene vidas en juego. - El ecosistema del IoMT (Internet de las Cosas Médicas)
Un hospital moderno tiene miles de dispositivos conectados: marcapasos, bombas de insulina, máquinas de resonancia. Muchos de estos equipos corren sobre sistemas operativos obsoletos (legacy) que no pueden actualizarse fácilmente. Por tanto, cada dispositivo puede ser una puerta trasera potencial y un riesgo a considerar. - El factor humano bajo presión
El personal sanitario está entrenado para salvar vidas, no para detectar phishing. En un entorno de alto estrés, la usabilidad suele ganar a la seguridad. Si una contraseña compleja retrasa un tratamiento de emergencia, el personal encontrará la forma de saltársela. La ciberseguridad aquí debe ser invisible y facilitadora, no un obstáculo.
…¡Y llegó la IA!
La integración de la IA en salud es un salto cuántico, pero desde la perspectiva de seguridad, expande la superficie de ataque de formas inéditas e incorpora nuevos riesgos. Entonces, ¿cómo gestionarlos de una manera completa? Desde ThinkUPC buscamos resolver esa perspectiva bajo tres escenarios:
"Contra la IA"
"Con la IA"
"Para la IA"
- “Contra la IA”. El nuevo valor de la IA para atacar —y del que nos tenemos que defender—. La IA ha pasado a ser un multiplicador para los delincuentes. Permite automatizar tareas que requerían semanas de trabajo y conocimientos profundos. ¿Cómo?:
• Automatizando el reconocimiento, escaneando masivamente perfiles públicos o identificando patrones de comportamiento de los empleados.
• Creando ingeniería social de «alta definición», con phishing que incluyen deepfakes de audio y vídeo, o generación de correos electrónicos perfectamente escritos, personalizados y persuasivos en cualquier idioma.
• Desarrollando un nuevo malware o reescribiéndolo para que no sean reconocidos.
• Además, la IA permite acelerar el aprovechamiento de los exploits analizando parches de seguridad para generar uno nuevo en cuestión de horas. - “Con la IA”. El nuevo valor de la IA para defender —y que se debe aprovechar—. La IA permite pasar de un enfoque reactivo (esperando el ataque) a un proactivo (anticipándose). Ejemplos de posibilidades:• Reconocimiento y visibilidad sobre nuestra infraestructura, como atacante.
• Gestión de alertas en un SOC (Centro de Operaciones de Seguridad), reduciendo el tiempo de respuesta y automatizando el análisis inicial. Permite a los humanos centrarse solo en amenazas reales y complejas.
• Pruebas de penetración autónomas en servicios expuestos, con validación continua, adaptándose a los cambios realizados en la infraestructura en tiempo real.
• Entrenamiento y simulacros de phishing, con incluso análisis de perfiles de empleados que caen en estafas y generar contenido educativo. - “Para la IA”. La IA, un nuevo activo a proteger —y que tenemos que cuidar—, a tres niveles:
• Garantizando la privacidad y el desempeño normativo, con identificación de riesgos o elaboración de las políticas a tener presente, así como su revisión continua.
• Monitorizando eventos por posibles alertas e incidentes (SOC).
• Gestionando integralmente las vulnerabilidades para determinar de forma proactiva el riesgo real de un posible incidente sobre un sistema con IA, con scans o pen tests, siguiendo la nueva metodología de OWASP para IA (https://genai.owasp.org), simulando ataques reales.
