Los riesgos de seguridad en la industria de salud

30/04/2016 Alberto Marín Morán ESET

ESET acerca su estudio «El estado de la ciberseguridad en Organizaciones de Salud en 2016», el cual pone en evidencia la falta de control y medidas preventivas el en área de seguridad.

Las instituciones de salud como hospitales, clínicas y laboratorios se han convertido en un blanco atractivo para los cibercriminales, porque manejan información personal, financiera y médica de sus pacientes y personal. Ya no solo se trata de datos como nombre, teléfono, dirección o número de afiliado, sino que también entran en juego las dependencias a medicamentos, las necesidades de determinados tratamientos o prácticas especializadas y otros componentes que hacen a las personas.

Durante el año pasado la aseguradoras Anthem y Premera, sufrieron grandes filtraciones de datos debido a un malware que puso en evidencia la magnitud de información que está en riesgo cuando se trata de la industria de la salud. En el caso de Premera los datos de 11 millones de clientes se vieron afectados. Pero los códigos maliciosos y los ataques dirigidos no son los únicos riesgos que enfrentan las instituciones de la salud, ya que empleados (actuales o antiguos) también pueden ser causantes de incidentes de seguridad.

En este sentido, el equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, en conjunto con el Instituto Ponemon de Estados Unidos, desarrollaron el estudio titulado ´´El estado de la ciberseguridad en Organizaciones de Salud en 2016´´ donde analizaron el panorama actual de esta industria. El mismo devela que, en promedio, las organizaciones representadas en la investigación han tenido casi un ataque cibernético por mes durante los últimos 12 meses. Además, casi la mitad de los encuestados (48%) dicen que sus organizaciones han experimentado un suceso relacionado con la pérdida o la exposición de la información de sus pacientes durante este mismo período.

«El estudio que realizamos desde ESET demuestra que todavía queda un gran camino por recorrer en el sector de salud. Es evidente que la importancia de la seguridad de la información todavía no llegó a los directivos, como si ha sucedido en otras industrias que hace más tiempo trabajan en los riesgos que se asumen al no contar con un plan de seguridad integral de la información´´ mencionó Pablo Ramos, Jefe del Laboratorio de Investigación de ESET Latinoamérica.

Sorprendentemente según el estudio, el 39% de las personas encargadas de proteger datos en el sector de salud no tiene “ninguna comprensión de cómo protegerse contra ciberataques” y el 50% no tiene un plan de respuesta a incidentes. Asimismo 1 de cada 4 profesionales de TI en salud no pueden asegurar con exactitud:

• Cuántos ciberataques sufrió su organización en el último año.
• Si experimentaron un incidente resultante en pérdida o exposición de datos de pacientes.
• Si los ciberataques evadieron sus sistemas de prevención de intrusiones (IPS), sus soluciones antivirus u otros controles de seguridad tradicionales

«Hay una gran falta de planificación por parte del factor humano. Debe haber una evaluación de riesgos, planeamiento ante incidentes y educación a los empleados. Si el equipo de seguridad no tiene un plan de acción en caso de una amenaza, ¿qué los hace creer que el resto del personal lo tendrá?´´ aseguró Lysa Myers, investigadora de seguridad de ESET.

Aún no se toma dimensión de lo importante que es proteger la información en instituciones de salud. Desde ESET elaboramos una infografía que explica los distintos riesgos que enfrenta esta industria y también cómo afrontarlos para proteger a los pacientes y garantizar su seguridad. Medidas preventivas como el backup, la doble autenticación, el cifrado y los servicios profesionales que ayuden a detectar y corregir agujeros de seguridad en los sistemas, permiten a las instituciones de salud brindar un servicio más seguro a sus pacientes.