Blancos de los ciberdelincuentes, los hospitales han sufrido graves daños en los últimos meses, principalmente debido a un ransomware virulento. Como reaccionar ? ¿Qué soluciones se deben implementar para protegerse contra este tipo de ataque? ¿Cómo mejorar la ciberseguridad hospitalaria?
Según la edición de 2021 del estudio X-Force Threat Intelligence Index publicado por IBM Security, el sector de la salud ocupó el séptimo lugar entre las industrias más atacadas por los ciberdelincuentes en el mundo en 2020, lo que representa un salto de tres lugares desde 2019 en la lista de objetivos prioritarios. para los ciberdelincuentes.
Este sector también fue el objetivo del 6,6% de todos los ataques registrados, una proporción que se duplicó con creces año tras año. Casi el 28% de los ataques fueron ransomware. En Francia, 27 grandes ataques afectaron hospitales en 2020, es decir, un ataque cada dos semanas. En 2021, el ritmo se aceleró a un acto malicioso por semana.
Hospitales: un objetivo de elección
Varios factores explican por qué los ciberdelincuentes han intensificado sus ataques contra los actores de la salud durante la pandemia. El primero de ellos es que, bajo una presión muy fuerte por la afluencia de pacientes con Covid-19, los hospitales han sido objetivos prioritarios; incluso si la instrucción oficial es no pagar los rescates.
La segunda razón es que los hackers de datos de salud a los que acceden a través de sus ataques tienen un valor de mercado mucho más alto que otros conjuntos de datos. A mediados de mayo, un infame grupo de ciberdelincuentes paralizó, a través de ransomware, la red informática del sistema de salud de un país de Europa occidental. En total, se robaron 700 GB de datos médicos. Los ciberdelincuentes exigieron un rescate de 20 millones de dólares. El negocio altamente lucrativo de los datos de salud es ilimitado.
Gasto en ciberseguridad hospitalaria en gran medida inadecuado para los desafíos
Los hospitales también son el objetivo repetido de los ataques porque es relativamente fácil para los piratas informáticos penetrar en su sistema de información (SI). En la mayoría de los hospitales, la ciberseguridad ha sido hasta ahora el pariente pobre de las inversiones en TI. La ratio recomendada por la ANSSI (Autoridad Nacional para la Seguridad y Defensa de los Sistemas de Información), según la cual los CIO de los hospitales deberían destinar entre un 5 y un 10% de su presupuesto a la seguridad, está en muchos casos lejos de ser respetada.
Y, sin embargo, estos establecimientos se encuentran entre las organizaciones más informatizadas de la actualidad. Los HIS (sistemas de información hospitalaria) gestionan la planificación, los registros de actividad médica, los registros de pacientes, las autorizaciones del personal, pero también las nóminas, la facturación, el seguimiento del presupuesto, etc.
Equipos biomédicos, verdaderos caballos de Troya
Los quirófanos, las salas de examen y las habitaciones de los pacientes también están llenos de dispositivos médicos conectados. Las bombas de insulina, los monitores de presión arterial y otros desfibriladores conectados brindan a la profesión médica una valiosa ayuda e información de muy alta calidad. Los escáneres y las resonancias magnéticas también están permanentemente conectados a las salas de servidores para garantizar su correcto funcionamiento. Sin TI, sin conectividad, ninguna actividad es posible hoy.
El problema se deriva del hecho de que la decisión de comprar la mayor parte de este equipo biomédico depende en la mayoría de los casos de los médicos, sin que se produzca ninguna consulta sistemática con los miembros de la DSI. Conviven, por tanto, diversos y variados equipos biomédicos con los sistemas del departamento de TI, sin tener en cuenta la ciberseguridad en su conjunto.
Esto es aún más alarmante ya que estos materiales, incluso si están aislados en VPN, están muy expuestos y son vulnerables a los ataques. Esto se debe en particular al hecho de que su vida útil es muy larga: entre 10 y 20 años, a veces 30. Por lo tanto, estos equipos funcionan con sistemas operativos en su mayoría obsoletos, cuyos defectos ya no son objeto de arreglo durante mucho tiempo. . Sin embargo, estos SO no se pueden modificar, de lo contrario se perderá el marcado CE del equipo.
La heterogeneidad y la larguísima vida útil de estos equipos es, por tanto, una fuente de creciente complejidad para los CIO, pero también una puerta abierta de par en par a los ciberdelincuentes. La toma de control por parte de un atacante de uno de estos dispositivos no solo puede llevar al resto del SI sino también tener repercusiones dramáticas para los pacientes.
¿Qué se puede hacer concretamente para mejorar la ciberseguridad de los hospitales?
En este contexto, el primer proyecto que deben poner en marcha los hospitales es el de la visibilidad. Por ejemplo, al configurar un SOC (Security Operations Center: Centro de Operaciones de Seguridad), el establecimiento hospitalario puede identificar los incidentes de seguridad que ocurren en todos sus SI, ya sea que se trate de una falla de software a subsanar o un ataque comprobado.
Este es el primer nivel de ciberseguridad, sin el cual los CISO y los CIO permanecen ciegos a todas las señales débiles que les permiten anticiparse a los ataques que se están preparando. Los ciberdelincuentes preparan sus actos maliciosos con mucha antelación; incluso si el tiempo de disparo de la carga activa tiende a disminuir considerablemente. Sin detección upstream, solo podemos sufrir y, una vez que los servidores están encriptados, es demasiado tarde para reaccionar.
El siguiente paso es rodearte de recursos altamente cualificados. De hecho, es necesario que los expertos en ciberseguridad, internos o externos, monitoreen, califiquen y aborden los incidentes. Una brecha de seguridad o el comienzo de un ataque deben ser correctamente diagnosticados para poder corregirlos según sea necesario a partir de entonces.
Finalmente, una vez implantadas las soluciones para anticiparse a los ciberataques, es necesario pasar al siguiente paso y pensar en los dispositivos que dan capacidad a los hospitales para responder a este tipo de ataques y los medios para automatizar esta respuesta: la cuantificación. de riesgos, priorización en cuanto a impactos, preparación ante crisis, pruebas a gran escala de la capacidad de la organización para reducir el impacto, implantación de nuevas capas técnicas de seguridad… El camino es largo y hay mucho en juego: minimizar el impacto de actos maliciosos que amenazan la actividad operativa y, bien, la buena salud de los pacientes.
Para terminar con una nota «positiva», podemos señalar que mientras los primeros meses de 2021 estuvieron marcados por una notable atracción de ciberdelincuentes por el mundo hospitalario, a finales de año se inició una mejora probablemente ligada a las ayudas gubernamentales y los famosos cursos de ciberseguridad. ¿Cuáles serán los próximos objetivos: autoridades locales, salud, banca, seguros, energía, telecomunicaciones, medios de comunicación, transporte, etc.? La experiencia muestra que la respuesta es a menudo una mezcla del todo y que el riesgo digital es más que nunca parte de nuestra vida diaria.
___________________
Por Jardín SebastiánAsesor Ejecutivo de Seguridad chez Seguridad de IBM
y de Jerónimo LanniauxDirector de ventas en Becycura
Lea también sobre Ciberseguridad Hospitalaria:
[
