La llegada de los dispositivos IoT sigue ofreciendo infinidad de aplicaciones en distintos sectores industriales y en el hogar, pero también pueden convertirse en uno de los puntos más débiles dentro de las redes TI, según se desprende del último informe Security Report 2019 deCHECK POINT, proveedor de ciberseguridad a nivel mundial. IoT ya se ha convertido en un elemento fundamental en nuestro día a día, pero su relevancia es mucho mayor cuando su uso es médico.
“El sector médico ha llevado a cabo una importante transición hacia el Internet de las Cosas Médicas (IoMT, Internet of Medical Things)”, señala Eusebio Nieva, director técnico de Check Point para España y Portugal. “La tecnología de las máquinas ultrasonido, por ejemplo, han sido objeto de grandes avances durante los últimos años con el objetivo de ofrecer a los pacientes y profesionales médicos información detallada y crucial para salvar vidas. Sin embargo, estos avances no se han extendido al entorno de seguridad TI en el que se encuentran estos aparatos”, añade Nieva.
Una reciente investigación de Check Point ha puesto de manifiesto los peligros derivados de este hecho al analizar una máquina de ultrasonidos e investigar su funcionamiento. Los investigadores de la compañía descubrieron que el sistema operativo instalado en dicha máquina era Windows 2000, una plataforma que hace tiempo dejó de recibir parches y actualizaciones de seguridad. Por tanto, tanto el dispositivo como la información que este contiene son vulnerables a un ataque.
¿Por qué el sector médico?
En términos generales, el 18% de las organizaciones a nivel mundial experimentaron un incidente de seguridad en la nube el año pasado. Sin embargo, debido a las grandes cantidades de información personal que almacenan y transfieren vía electrónica, las organizaciones médicas se han convertido en el principal objetivo de los cibercriminales en el futuro próximo. “Obtener rédito económico es el principal objetivo de los cibercriminales en la actualidad, por eso en los próximos años el entorno médico será su principal objetivo debido a su bajo nivel de seguridad, lo que facilita acceder a grandes cantidades de información sensible, llegando incluso a poner en riesgo la vida de las personas”, asegura Eusebio Nieva.
El sector médico tiene el mayor coste por reparación de brecha de seguridad (408€ por expediente médico), según el estudio “El coste de las brechas de seguridad” de Ponemon Institute. Estas cifras superan ampliamente los 225€ de media que pagan las organizaciones del resto de sectores. Estos costes incluyen los gastos para investigar y reparar el daño causado, así como el pago de multas. Además de tener como resultado la pérdida de expedientes e información sobre los pacientes, estos ataques generan un daño permanente a la reputación de la institución médica en cuestión.
La naturaleza crítica de los entornos médicos implica que el acceso a la información de los pacientes sea inmediato, a través de cualquier dispositivo y aplicación. Por tanto, detener el flujo de información para actualizar e instalar parches de seguridad no es una opción viable. Además, las vulnerabilidades en dispositivos quirúrgicos médicos como las máquinas de ultrasonidos conectados al resto de la red de la organización, ponen de manifiesto la falta de capacidad para actualizar los dispositivos con parches de seguridad, así como la necesidad de cifrar la información confidencial almacenada.
En este contexto, la probabilidad de que los ciberataques pongan el foco en las instituciones médicas es muy elevada. Estas amenazas podrían derivar en la perdida de datos personales, alteraciones en el historial médico de los pacientes y los medicamentos que consumen, etc. Por tanto, la ciberseguridad de los dispositivos y aplicaciones médicas pone en riesgo la salud y privacidad de millones de usuarios.
¿Qué pueden hacer las instituciones médicas?
Las vulnerabilidades mencionadas resaltan la importancia que las organizaciones médicas deben otorgar a su estrategia de seguridad TI. A pesar de que todavía existen problemas y falta de decisión a la hora de estandarizar los protocolos de seguridad en torno a los dispositivos IoMT, hay muchas más cosas que las empresas pueden hacer para proteger la información de sus pacientes.
Para empezar, las instituciones médicas deben ser conscientes de la gran cantidad de puntos de acceso existentes en sus redes, ya que puede haber cientos o incluso miles de dispositivos conectados a la red TI, por lo que cualquiera de ellos puede contener vulnerabilidades que supongan un riesgo. Asimismo, la segmentación es fundamental. Separar los datos de los pacientes del resto de la red de TI ofrece a los profesionales del ámbito de la salud una visión más clara del tráfico de la red. De esta forma, se detectan movimientos inusuales que muestran una brecha de seguridad en un dispositivo de la red IoTM. La segmentación también permitiría a estas organizaciones evitar que tanto el robo de datos como los ataques por malware se propaguen más allá de la red, consiguiendo así aislar la amenaza.