Los sistemas sanitarios forman parte de la infraestructura crítica de un país. Y, sin embargo, siguen estando expuestos en un momento crítico.
Cada día, miles de subidas de archivos permiten el funcionamiento de los portales para pacientes, las plataformas de telesalud, los historiales médicos electrónicos basados en la nube y las herramientas de colaboración clínica. Estos archivos confidenciales son fundamentales para la prestación de la asistencia sanitaria, pero también constituyen un punto único de fallo, ya que los controles nativos de la nube no están diseñados para proteger las subidas de archivos.
Como consecuencia, el malware, las fugas de datos y los riesgos de incumplimiento normativo pueden colarse precisamente por el canal que mantiene el sistema en funcionamiento.
Si la infraestructura sanitaria es fundamental, no se puede dejar sin supervisar la fase de carga: es necesario implementar procesos de análisis, depuración y aplicación de políticas en el momento de la carga.
Cloud suponen un riesgo creciente para la seguridad en el sector sanitario
Según HIMSS, más del 80 % de las organizaciones sanitarias utilizan actualmente servicios en la nube para almacenar o procesar datos sanitarios. Cada día llegan a los entornos sanitarios miles de archivos procedentes de:
- Pacientes que utilizan dispositivos personales no gestionados
- Proveedores externos y especialistas
- Laboratorios de diagnóstico y centros de diagnóstico por imagen
- Compañías de seguros, socios de facturación y redes de derivación
Estos archivos parecen inofensivos.
Los archivos PDF, los formularios escaneados, las imágenes, los archivos ZIP y los archivos DICOM son habituales en los procesos de trabajo del sector sanitario, por lo que quienes los manejan confían en ellos de forma natural.
El riesgo radica precisamente en esta aparente normalidad. Los mismos archivos que contienen datos confidenciales de pacientes u opciones de tratamiento pueden ocultar metadatos, scripts u objetos incrustados que las herramientas tradicionales no detectan.
La sanidad moderna no puede funcionar sin servicios basados en la nube.
Las plataformas de telesalud permiten compartir documentos antes y después de las consultas virtuales. Los sistemas de historias clínicas electrónicas (HCE) se basan en integraciones en la nube para intercambiar datos entre los distintos proveedores.
A medida que aumenta el volumen de archivos subidos, también lo hace la superficie de ataque. Por desgracia, reducir la superficie de ataque no es una opción, ya que implicaría volver a métodos de comunicación obsoletos. Dar un paso atrás de este tipo es absurdo; además, ralentizaría todo el proceso y haría que la atención al paciente fuera mucho menos eficiente.
Incluso las medidas de seguridad más sólidas en el ámbito sanitario siguen dejando expuestas las subidas de archivos
A fin de cuentas, no es que los servicios sanitarios desconozcan el tema de la ciberseguridad.
Más por desconocimiento que por malicia, estos sistemas se basan en la seguridad integrada de sus proveedores de servicios en la nube o en herramientas de seguridad externas que protegen determinadas áreas de los flujos de trabajo: motores antivirus, DLP, CASB (Cloud Security Brokers) o controles de seguridad nativos de la nube.
Sin embargo, de todas las herramientas de seguridad implementadas, pocas se diseñaron para proteger completamente la subida de archivos.
- Los motores antivirus detectan principalmente amenazas conocidas, por lo que a menudo pasan por alto el malware avanzado o de «día cero» oculto en estructuras de archivos complejas.
- El DLP (Prevención de la pérdida de datos) puede identificar y ocultar datos confidenciales, pero no sirve para detectar ni neutralizar posibles amenazas en los archivos.
- Las soluciones CASB se centran en el control de acceso y la supervisión del uso, pero no realizan una inspección en profundidad ni una limpieza de los archivos subidos.
- Los proveedores Cloud protegen la infraestructura, pero no asumen ninguna responsabilidad por la seguridad del contenido de los archivos en sí
Esto deja una laguna importante en el momento de la subida.
Los atacantes pueden aprovechar aún más esta vulnerabilidad para ocultar códigos maliciosos en archivos de apariencia inofensiva, inyectar malware de día cero en archivos comprimidos o utilizar subidas de archivos maliciosos para penetrar en el sistema.
Cloud sin medidas de seguridad dan lugar a infracciones de la HIPAA
La ley federal HIPAA establece normas estrictas a nivel nacional para la protección de la información médica protegida (PHI). Tanto los médicos como los hospitales y las aseguradoras están obligados a cumplir estas normas.
Sin embargo, a menudo se introducen en los sistemas sanitarios archivos que contienen información médica protegida (PHI) o malware oculto, a través de subidas a la nube que no se someten a inspección. La información médica protegida (PHI) puede quedar expuesta de múltiples formas:
- Campos visibles del documento
- Metadatos incrustados
- Capas de imagen
- Objetos ocultos
El malware puede estar oculto en facturas, formularios de consentimiento o archivos de imagen.
Si entran en los sistemas sanitarios archivos que contengan información médica protegida (PHI) o archivos que contengan malware, se produce una infracción directa de la HIPAA.
La transparencia, exigida por la HIPAA, también es un problema.
Una vez que los archivos se almacenan en plataformas SaaS, las organizaciones suelen perder la visibilidad sobre cómo se accede a los datos, cómo se comparten o cómo se conservan.
La falta de visibilidad da lugar a deficiencias en materia de confidencialidad, integridad y disponibilidad, requisitos fundamentales de la HIPAA.
De hecho, las organizaciones suelen pasar por alto la evaluación y la mitigación de los riesgos que plantean las nuevas tecnologías, incluida la gestión de archivos en la nube, tal y como ha destacado la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos (HHS) de Estados Unidos.
Lo que se necesita es un enfoque más riguroso en materia de seguridad de las cargas de datos, que evite la filtración de información médica protegida, mantenga la visibilidad y prevenga las intrusiones de malware. Sin él, las organizaciones se enfrentan a problemas de auditoría, al incumplimiento de las obligaciones de notificación de violaciones de seguridad y a la pérdida de la confianza de los pacientes.
La ciberseguridad en el sector sanitario es una cuestión de seguridad de los pacientes
Cuando se vulnera la seguridad de los historiales médicos, las consecuencias que se derivan de ello van mucho más allá del fraude económico para las personas cuyos datos han sido robados.
Entre las posibles consecuencias del robo de datos sanitarios se encuentran el robo de identidad, las reclamaciones fraudulentas a las aseguradoras o el acceso ilegal a recetas médicas.
Y lo que es peor, estas filtraciones revelan información de carácter profundamente personal. Esta violación de la privacidad puede exponer a las personas que reciben atención de salud mental, servicios de salud reproductiva o apoyo por consumo de sustancias al riesgo de sufrir estigmatización, discriminación y daños emocionales duraderos.
Incluso los pacientes con historiales médicos sin complicaciones pueden perder la confianza en el sistema, lo que les lleva a retrasar la búsqueda de atención médica o a ocultar información esencial a los profesionales sanitarios.
Dicho esto, subsanar cualquier deficiencia en materia de seguridad en las organizaciones sanitarias se convierte en una cuestión de atención integral al paciente.
En situaciones más graves, un ataque de ransomware puede bloquear el acceso a historiales médicos esenciales o inutilizar sistemas críticos, poniendo en peligro vidas humanas.
Así ocurrió en 2017, con el ataque de WannaCry a los sistemas del NHS. El ataque provocó la cancelación de operaciones quirúrgicas y el desvío de ambulancias, lo que demostró una vez más cómo los incidentes cibernéticos pueden derivar rápidamente en crisis de salud pública.
Cómo sonCloud Secure Cloud en el sector sanitario
Dado que los ciberataques en el sector sanitario ponen en peligro tanto la atención al paciente como la reputación de la organización, los principales proveedores de servicios sanitarios están cambiando su enfoque en materia de ciberseguridad.
Lo que antes era «un problema informático», que se resolvía mediante contratos con proveedores externos, ahora se convierte en una cuestión de seguridad del paciente.
Si garantizar la seguridad de sus datos y planes de tratamiento es la clave para ofrecer una atención sanitaria de calidad, entonces la carga de archivos ya no puede seguir siendo, por así decirlo, un foco de infección.
Las subidas Secure requieren múltiples niveles de inspección, y los archivos deben someterse a varios procesos de análisis y escaneo antes de que se acepten en los sistemas en la nube.
Una lista de comprobación de seguridad para la subida de archivos en el ámbito sanitario incluye:
- Análisis de malware con múltiples motores para mejorar la precisión de la detección
- CDR (Content Disarm & Reconstruction) para eliminar el contenido activo sin afectar al archivo
- Inspección exhaustiva de los archivos antes de almacenarlos o compartirlos para detectar malware evasivo o sofisticado
- Detección (y ocultación) de información médica protegida y datos confidenciales en los archivos
- Aplicación de políticas conforme a los requisitos de la HIPAA
Este enfoque convierte las subidas de archivos, que antes se consideraban actos de confianza ciega, en procesos controlados y auditables.
CómoCloud MetaDefender Cloud Cloud en el sector sanitario
MetaDefender Cloud actúa como una capa de seguridad específica para la recepción de archivos sanitarios.
Intercepta y analiza los archivos antes de que lleguen a las plataformas en la nube, a los sistemas de historias clínicas electrónicas o a los sistemas de colaboración.
La plataforma utiliza métodos avanzados de detección de malware mediante el uso de varios motores de análisis en paralelo. Esto mejora la cobertura frente a amenazas conocidas y desconocidas.
CDR elimina scripts, macros y objetos incrustados de los documentos médicos sin afectar a su utilidad clínica.
La inspección de datos confidenciales ayuda a reducir la exposición de la información médica protegida (PHI) al identificar y ocultar el contenido confidencial antes de que los archivos se compartan o almacenen. Además, clasifica los tipos de datos confidenciales y establece cómo deben gestionarse, almacenarse y protegerse.
La integraciónAPI permiteCloud MetaDefender Cloud los flujos de trabajo de archivos sanitarios, incluidos los portales para pacientes, las plataformas de telesalud y los sistemas de admisión de terceros.
Casos de uso en el sector sanitario
MetaDefender Cloud una amplia variedad de situaciones en el ámbito sanitario.
| Caso de uso | ¿Qué pasa? | MetaDefender Cloud |
|---|---|---|
| Portales para pacientes | Los pacientes suben formularios, documentos de identidad y resultados de pruebas desde sus dispositivos personales. | Analiza los archivos antes de subirlos para detectar malware. La solución Proactive DLP y oculta la información médica protegida (PHI) que queda expuesta. |
| Plataformas de telesalud | Los archivos se comparten durante las visitas virtuales. | Comprueba estos archivos en segundo plano sin interrumpir las visitas. |
| Documentos de laboratorios externos y de derivación | Los socios externos envían archivos PDF, escaneos y archivos ZIP. | Desinfecta los archivos entrantes antes de que lleguen a las redes internas, lo que reduce el riesgo de que se propague contenido malicioso por los sistemas clínicos. |
| Colaboración entre proveedores | Los equipos de atención comparten archivos a través de herramientas en la nube. | Analiza los archivos una vez antes de compartirlos para reducir la propagación de malware. |
MetaDefender Cloud rápidamente en entornos en la nube y se adapta automáticamente al volumen de pacientes. Funciona en segundo plano y no requiere ninguna intervención manual por parte del personal médico.
La solución es compatible con las arquitecturas sanitarias de «confianza cero», ya que valida los archivos antes de que accedan a los sistemas de confianza. Los flujos de trabajo clínicos no se ven afectados, mientras que la seguridad se refuerza.
Preguntas frecuentes: Seguridad Cloud en el sector sanitario
¿Qué riesgos plantean los archivos subidos por los pacientes?
Los archivos subidos por los pacientes pueden contener malware oculto, información médica protegida (PHI) expuesta o contenido activo peligroso que elude los controles tradicionales.
¿Se puedeCloud MetaDefender Cloud con los portales para pacientes?
Sí. MetaDefender Cloud mediante API integraciones nativas (por ejemplo, Salesforce) para inspeccionar y depurar los archivos antes de que lleguen a los sistemas de backend.
¿En qué medida ayuda esto en las auditorías sanitarias?
Los resultados y los informes de las inspecciones constituyen una prueba de que se aplican medidas de protección proactivas acordes con los requisitos de la HIPAA.
¿Cómo pueden las subidas a la nube dar lugar a infracciones de la HIPAA?
Las cargas de archivos no revisadas pueden revelar información médica protegida (PHI) o poner en peligro la integridad del sistema, infringiendo así los requisitos de confidencialidad e integridad de la HIPAA.
¿Cómo pueden las organizaciones sanitarias proteger la subida de archivos?
Mediante la inspección de los archivos antes de su carga, el uso de Metascan Multiscanning, la aplicación de la tecnología Deep CDR™ y la aplicación de políticas conformes con la HIPAA.
¿Qué es el CDR y por qué es importante para la asistencia sanitaria?
CDR elimina el contenido activo de los archivos, lo que reduce el riesgo de ataques basados en la ejecución y las amenazas de día cero, al tiempo que preserva la información médica.
