Cómo el sector sanitario puede prevenir las filtraciones de datos
Según un informe publicado por IBM y Ponemon, el sector de la salud tiene las tasas más altas de violaciones de seguridad y ataques cibernéticos a nivel mundial. El costo promedio de una violación de datos para las organizaciones de atención médica es de alrededor de $10.1 millones, mientras que el promedio global para todas las industrias se encuentra en alrededor de la mitad de esa cantidad, alrededor de $4.35 millones.
Las organizaciones sanitarias a menudo no dan prioridad a la ciberseguridad, lo que da lugar a medidas de seguridad deficientes, falta de cumplimiento normativo y falta de planes de resiliencia cibernética. Sin embargo, las violaciones de la ciberseguridad HIPAA (Ley de Portabilidad y Responsabilidad de Seguros Médicos) y HITECH (Tecnología de la Información Sanitaria para la Salud Económica y Clínica) pueden dar lugar a importantes multas y sanciones, lo que hace que las organizaciones sanitarias asegúren la seguridad de sus redes, almacenamiento de datos y seguridad de proveedores externos.
Este artículo discutirá cómo la industria de la salud puede mejorar sus prácticas de ciberseguridad y seguridad de la información para evitar que ocurran violaciones de datos.
¿Por qué los ciberdelincuentes atacan la atención médica?
El sector de la salud tiene desafíos únicos que ameritan abordar específicamente sus estrategias de prevención de violaciones de datos. Las empresas del sector sanitario contribuyen a la infraestructura crítica en todo el mundo y combinan:
- Grandes cantidades de datos: según el Foro Económico Mundial, los hospitales pueden producir alrededor de 50 petabytes de datos cada año. Cuantos más datos se recopilen, más valiosa puede ser la información.
- Datos confidenciales: los registros clínicos son algunos de los datos más confidenciales. Los centros de atención médica almacenan no solo información de identificación personal (PII), sino también detalles de enfermedades y afecciones, resultados de tratamientos e información financiera.
- Transiciones lentas de sistemas heredados: con tantos más registros médicos que nunca y la capacidad de almacenarlos en discos duros y servidores, los hospitales continúan alejándose de los sistemas basados en papel u otros sistemas heredados en favor de soluciones de almacenamiento modernas, incluidos los servicios en la nube. Esta transición puede implicar cierta confusión, errores de comunicación y configuraciones incorrectas, lo que puede proporcionar vulnerabilidades que los ciberdelincuentes pueden explotar.
- Falta de seguridad de terceros: los terceros, como los servicios de almacenamiento en la nube y los servicios de TI gestionados, tienen acceso a datos confidenciales. Aumentan la superficie de ataque de las instituciones a las que sirven.
Descubra por qué las entidades sanitarias deberían contratar un seguro cibernético y cómo pueden reducir sus primas >
Las regulaciones sanitarias ayudan a prevenir las filtraciones de datos
Una de las mejores maneras de prevenir una violación de datos es mantener el cumplimiento de las regulaciones de atención médica. Están diseñados para proteger la privacidad de la información del paciente y pueden ser un factor motivador para las organizaciones que se enfrentan a una violación de datos.
El gobierno de EE. UU. considera que la atención médica es un sector crítico para la economía y la infraestructura de EE. UU. Naturalmente, está muy regulado. Cualquier empresa de atención médica involucrada en una violación de datos puede esperar el escrutinio de las agencias de aplicación de la ley y la prensa relevantes.
Una empresa de atención médica puede incurrir en multas significativas si un organismo regulador decide que sus sistemas de seguridad de la información y sus políticas y procedimientos de privacidad de datos fueron inadecuados durante una violación de datos. Estas multas pueden acumularse, ya que pueden calcularse por incidente por día. Además, la violación de datos promedio puede pasar desapercibida durante más de 200 días.
- La Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (HIPAA) es una ley federal que exige que las organizaciones sanitarias tomen las medidas de seguridad adecuadas para mantener la seguridad de la información sanitaria protegida (PHI), como los resultados de las pruebas, los historiales médicos y la información del seguro médico.
- Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica de 2009 (HITECH) - Uno de los objetivos de esta legislación es garantizar la privacidad y la seguridad. Incentivó la adopción de la tecnología de la información sanitaria, ayudó a ampliar los intercambios de información sanitaria y fortaleció las disposiciones de privacidad y seguridad de la HIPAA.
- NOTA: HITECH extendió la regla de seguridad de HIPAA a los "Socios comerciales de las entidades cubiertas" y aumentó las sanciones para financiar las acciones de cumplimiento del Departamento de Salud y Servicios Humanos (HHS) y la Oficina de Derechos Civiles.
Aprenda a elegir el mejor producto de gestión de superficies de ataque para el sector sanitario >
11 formas de prevenir una violación de datos en la atención médica
La razón principal por la que los ciberdelincuentes atacan constantemente a los proveedores y organizaciones de atención médica es que la información de salud protegida (PHI), que incluye datos de pacientes, registros médicos e información de seguros, es información extremadamente valiosa que los delincuentes pueden vender en el mercado negro o en la web oscura. La información robada o expuesta del paciente a menudo se rescata a la organización, que no tiene más remedio que pagar el rescate para continuar con las operaciones o arriesgarse a perder por completo los datos confidenciales del paciente.
Además, los estándares de cumplimiento de HIPAA requieren que los proveedores de servicios de atención médica cuenten con protocolos de ciberseguridad para continuar con las operaciones o correr el riesgo de incurrir en sanciones severas, especialmente si la falta de seguridad conduce a que la privacidad del paciente se vea comprometida.
Para obtener una guía más técnica sobre cómo prevenir las violaciones de datos, lea esta publicación.
1. Evaluar los riesgos de seguridad en la infraestructura de TI
Las evaluaciones de riesgos cibernéticos y las evaluaciones de seguridad deben realizarse anualmente para abordar nuevas vulnerabilidades, brechas de seguridad y políticas obsoletas que podrían poner en riesgo a la organización. Las auditorías de ciberseguridad pueden ser realizadas internamente o por un tercero para obtener una visión más completa de toda la infraestructura de TI. Los riesgos de seguridad en la infraestructura de TI no se limitan a la seguridad de la red o del correo electrónico, sino que también se aplican a la seguridad de los dispositivos físicos que los empleados pueden utilizar para acceder a la red principal de la organización.
Una parte importante de la evaluación de la seguridad debe ser la identificación de los activos y datos más importantes que deben protegerse. Las organizaciones sanitarias deben implementar protecciones de seguridad más sólidas para los registros de los pacientes y los datos personales de sus empleados.
Además, las instituciones sanitarias deben preparar evaluaciones de riesgos y pruebas anuales para determinar si su seguridad es adecuada para defenderse de las amenazas cibernéticas actuales. Las pruebas de penetración, las simulaciones y las evaluaciones de vulnerabilidad pueden medir si los sistemas de seguridad de las empresas pueden disuadir posibles ataques cibernéticos.
Descubra cómo las organizaciones sanitarias pueden medir sus riesgos cibernéticos >
2. Mantener el cumplimiento de HIPAA
HIPAA es un conjunto de regulaciones y marcos de atención médica que determinan la capacidad de una organización de salud para proteger los datos y los registros de salud de los pacientes. Las organizaciones pueden utilizar las regulaciones de HIPAA como hoja de ruta para mejorar la privacidad de los datos.
También es en el mejor interés de la institución seguir los estándares de cumplimiento de HIPAA para evitar incurrir en sanciones y multas por la falta de prácticas de seguridad de datos. La HIPAA se aplica a cualquier entidad que maneje datos confidenciales de pacientes, incluidos:
- Proveedores de atención médica
- Centros de intercambio de información sobre el cuidado de la salud
- Socios comerciales
Conozca los peores casos de violación de HIPAA >
3. Implementar la segmentación de la red
La segmentación de red es una práctica de seguridad de datos muy eficaz que utiliza subredes divididas para limitar el acceso a los datos en toda la red de servidores de una organización, especialmente en organizaciones más grandes u hospitales. La segmentación de red es una práctica proactiva y preventiva que segmenta los datos en varias redes individuales para organizar mejor la infraestructura de red y evitar el acceso libre de usuarios no autorizados.
La idea detrás de la segmentación de la red es que si un hacker obtiene acceso a una subred, es extremadamente difícil saltar a otra subred dentro de la organización. Cada subred tiene sus propias reglas de seguridad, privilegios de acceso y bolsas de información confidencial que impiden el acceso fácil sin autorización. Si una organización solo utiliza una estructura de red plana, corre el riesgo de exponer todos sus datos a través de una sola vulnerabilidad explotada.
La segmentación de redes es un proceso muy complicado e intrincado que requiere una inversión significativa y tiempo para implementarlo correctamente. Sin embargo, si se implementa correctamente, la segmentación de la red en las organizaciones sanitarias más grandes puede aumentar significativamente su postura de seguridad y evitar una violación completa de los datos si se produce un ciberataque.
Más información sobre las prácticas recomendadas de segmentación de red >
4. Hacer cumplir la capacitación y educación en ciberseguridad
Una de las principales causas de las violaciones de datos sanitarios es que los trabajadores y empleados no están informados sobre los riesgos cibernéticos y no tienen la formación necesaria para reconocer las amenazas. Cualquier organización, desde pequeños proveedores hasta grandes hospitales, necesita proporcionar una educación adecuada en ciberseguridad para que el personal pueda ser la primera línea de defensa contra los ataques.
Las organizaciones sanitarias deben impartir formación en ciberseguridad al nuevo personal y seguir reforzando las mejores prácticas de protección de datos para los empleados relevantes con acceso a datos confidenciales. La capacitación debe actualizarse a medida que surjan las amenazas o vulnerabilidades cibernéticas más recientes. La educación y la capacitación cibernéticas deben incluir prácticas de seguridad de datos como:
- Cómo crear contraseñas seguras
- Prácticas seguras de navegación por Internet
- Reconocimiento de posibles ataques de phishing
- No conectarse a redes Wi-Fi no seguras con dispositivos personales o de trabajo
- Configuración de la autenticación de dos factores o multifactor
- Nunca proporcionar números de seguro social (SSN) o información de tarjetas de crédito a través de canales no seguros.
- Protección de dispositivos físicos
La mejor protección contra los ciberataques es aplicar una mejor seguridad de los datos y limitar el error humano tanto como sea posible.
Aprenda a usar ChatGPT para establecer un programa de resiliencia al phishing >
5. Actualice el software y el hardware obsoletos
Es posible que muchos hospitales u otras organizaciones de atención médica aún estén trabajando con sistemas y tecnología heredados, lo que pone en grave riesgo la información importante de atención médica y los registros médicos electrónicos (EHR). Los piratas informáticos se dirigen a las organizaciones que aún operan con software, aplicaciones y hardware obsoletos porque tienen una protección mínima y un software de seguridad sin parches que no puede defenderse de los ataques cibernéticos modernos.
Otra razón para actualizar la tecnología obsoleta es que muchos dispositivos médicos están conectados a la red principal, aunque no sean directamente accesibles a través de Internet. Estos se conocen como dispositivos IoT (Internet de las cosas) y es común que los delincuentes pirateen y accedan a la red si no están protegidos mientras están conectados a redes inalámbricas.
Una vez que se viola este vector de ataque, los delincuentes pueden implementar malware, ransomware o ataques DDoS que pueden paralizar todo un sistema de atención médica. Los grandes hospitales a menudo usan miles de dispositivos médicos que pueden no estar seguros, lo que crea un sinfín de puntos de entrada para que los piratas informáticos los exploten.
Aprenda a elegir un producto de remediación de riesgos cibernéticos para la atención médica >
6. Establecer programas de retención de datos
El almacenamiento de datos innecesarios aumenta el daño potencial que puede causar una violación de datos. Además de limitar el acceso de los empleados a la información de los pacientes, la institución sanitaria puede limitar el tiempo que almacena los datos confidenciales.
El establecimiento de atención médica haría bien en tener una política escrita sobre cuánto tiempo conserva los registros de salud electrónicos (EHR). Al eliminar los archivos históricos, se pueden perder o robar menos datos. Los programas de retención ayudan a garantizar que la ePHI se elimine cuando ya no sea necesaria.
La destrucción de datos digitales debe realizarse de forma segura, ya que el simple hecho de desechar discos duros o eliminar archivos no garantiza una eliminación adecuada de los datos. Las empresas certificadas de destrucción digital son una solución para que las organizaciones de salud destruyan de forma segura los datos antiguos. Los documentos digitales se pueden triturar electrónicamente para evitar su recuperación, y eso debe realizarse de forma supervisada, controlada y sistemática por personas con las credenciales de acceso adecuadas.
7. Utilice el monitoreo en tiempo real
Al registrar y rastrear la actividad de la red y de los usuarios, las empresas de atención médica pueden monitorear el acceso no autorizado a la PHI, rastrear la actividad sospechosa de la red e identificar los riesgos de seguridad antes de que puedan ser explotados. También puede realizar un seguimiento de quién tiene acceso a qué información y cuándo en un sistema con acceso por niveles. El análisis de la información de supervisión puede ayudar a identificar las amenazas y ponerles fin antes de que empeoren.
Si se produce una violación de datos, los registros de los sistemas de monitoreo en tiempo real pueden ser fundamentales para identificar y contener los daños durante las primeras etapas de un plan de respuesta a una violación de datos. Las alertas en tiempo real pueden ayudar a las empresas sanitarias a responder más rápidamente a las amenazas y prevenir las filtraciones de datos.
8. Utilice el control de acceso basado en roles (RBAC)
El control de acceso basado en roles (RBAC) es una forma de seguridad basada en roles que asigna permisos específicos a cada usuario de la empresa. Al administrar permisos, las organizaciones tienen un control más estricto sobre los privilegios de acceso a los datos en función del rol del usuario en la empresa. El RBAC es especialmente necesario en organizaciones grandes, como hospitales, con miles de empleados y cientos de puestos.
La implementación de RBAC es una de las mejores formas de prevenir las violaciones de datos, ya que limita la cantidad de datos que los piratas informáticos pueden robar si de alguna manera obtienen acceso a la cuenta de un empleado. Por ejemplo, si un empleado de nivel inferior es hackeado, el actor de amenazas no puede acceder a datos de alto valor a través del acceso limitado de los empleados, lo que evita eficazmente una violación de datos completa.
RBAC emplea el principio de privilegio mínimo y el modelo de confianza cero que restringe automáticamente a los empleados el acceso a datos fuera de las necesidades de su rol al asumir que todos los niveles de datos tienen el potencial de acceso no autorizado.
Más información sobre el control de acceso basado en roles >
9. Gestione los riesgos de los proveedores externos
Debido a que ciertos proveedores externos manejan, almacenan o transmiten datos críticos y confidenciales, aumenta la superficie de ataque de sus socios. Los terceros incluyen contratistas, otras clínicas, socios comerciales, proveedores de servicios en la nube y más.
Es esencial llevar a cabo la debida diligencia de terceros y garantizar que los proveedores de terceros mantengan prácticas sólidas de seguridad y privacidad de datos. Los acuerdos de socios comerciales (BAA) basados en el cumplimiento de HIPAA son parte de la forma en que las organizaciones de atención médica pueden establecer los requisitos y expectativas de seguridad de datos para terceros.
Además, las instituciones de atención médica que trabajan con proveedores externos deben asegurarse de leer y revisar todos los acuerdos de nivel de servicio. No permita que ninguna casilla se marque o desmarque automáticamente. Si un proveedor externo necesita acceder a los registros médicos y otros datos del paciente, debe cumplir con la HIPAA. Cualquier cosa menos pone en riesgo el negocio de la salud y sus pacientes.
Las violaciones de HIPAA pueden resultar en multas y sanciones significativas tanto para el proveedor como para la organización de atención médica. Las organizaciones deben considerar la posibilidad de designar a una persona designada para que se encargue de los procesos de cumplimiento y adquisición de terceros.
10. Crear planes de resiliencia cibernética
Los planes de resiliencia cibernética son cruciales para que cualquier organización los cree e implemente. La resiliencia cibernética incluye la recuperación ante desastres, la continuidad del negocio y los planes de respuesta a incidentes que permiten a la organización resistir un ataque cibernético y planificar una posible violación de datos. Aunque estos planes no evitarán las filtraciones de datos, son esenciales para detallar los protocolos de mitigación y corrección.
Por ejemplo, los planes de respuesta a incidentes identificarán las funciones y responsabilidades del equipo de TI en caso de un ciberataque activo y detallarán los procesos de informes específicos, las acciones de mitigación y la identificación y corrección de vectores de ataque para limitar el alcance del ataque rápidamente.
Aprenda a implementar un programa de ciberseguridad para la industria de la salud >
11. Contrata a un equipo de TI
Los establecimientos de atención médica pueden ser grandes organizaciones con una gran cantidad de registros y departamentos. Pueden abarcar no solo varios departamentos y jefes de departamento, sino también varios hospitales, residencias de ancianos y otros centros en amplias ubicaciones geográficas. Un equipo de TI dedicado puede ayudar significativamente a prevenir una violación de datos y hacer que las cosas vayan mucho más rápido, fluidas y asequibles si un ataque, un error humano o un desastre natural compromete los datos.
Mantenerse al tanto de los requisitos de seguridad de la información para una organización de atención médica puede ser un desafío importante. El nombramiento de puestos, como un CISO, para liderar los esfuerzos de seguridad de TI de la empresa es una forma eficaz de mantener el negocio en marcha e implementar un plan de respuesta a violaciones de datos de manera efectiva cuando sea necesario.
Independientemente de su tamaño, las organizaciones sanitarias deben enfrentarse necesariamente al reto de proteger los datos de los pacientes. Un equipo de TI dedicado puede monitorear amenazas, mantener firewalls y software de detección de amenazas, mantener los sistemas actualizados, monitorear y modificar permisos, y monitorear proveedores externos y otros socios.
Descubra cómo UpGuard ayuda al sector sanitario a prevenir las filtraciones de datos >