La Agencia Europea de Seguridad de las Redes y de la Información ha publicado un estudio sobre las principales amenazas que afrontan los llamados hospitales inteligentes. El estudio destaca el malware como el principal factor de riesgo para esta tipo de centro médico y advierte de que cada nuevo dispositivo conectado es un objetivo potencial para un ataque.

Las consecuencias de un ataque informático a un hospital son especialmente graves dada la enorme importancia de lo que hay en juego, la vida de los pacientes y la integridad de sus datos personales sanitarios.

Un hospital inteligente se define, según este estudio, como aquel que se apoya en el Internet de las Cosas para mejorar los procedimientos de atención a los pacientes. Lo que hace que un hospital sea inteligente por lo tanto es el uso de sistemas y aparatos interconectados que llevan a mejorar la atención y tratamiento de los pacientes. Un ejemplo sería el uso de máquinas de soporte vital que reaccionan automáticamente ante un cambio en las constantes vitales de un paciente.

Las posibilidades que estas nuevas tecnologías pueden proporcionar a la práctica médica son muy significativas pero al mismo tiempo el enorme flujo de información dentro del entorno del hospital plantea nuevos retos de seguridad. Estos riesgos incluyen entre otros la filtración o robo de datos de salud de los pacientes, la manipulación remota de aparatos con el consiguiente riesgo para la integridad física del paciente o el error humano.

El estudio destaca la responsabilidad que tienen los centros sanitarios inteligentes de seguir las mejores prácticas en materia de seguridad y de crear un plan específico de formación para empleados sobre medidas de seguridad con el doble objetivo de minimizar riesgos y concienciar sobre la importancia de seguir los procedimientos de seguridad. También se pone énfasis en la responsabilidad de los fabricantes del equipamiento inteligente a la hora de incorporar la seguridad en el mismo diseño de sus productos.

El estudio realiza una serie de recomendaciones a los directivos de los hospitales inteligentes para mantener un adecuado nivel de seguridad en sus instituciones:

  • Establecer medidas de gestión efectivas para la ciberseguridad
  • Implementar medidas de seguridad de última generación
  • Proporcionar requerimientos específicos de seguridad para los componentes del Internet de la Cosas que se empleen en el hospital
  • Invertir en soluciones de seguridad de la información en redes
  • Establecer un mecanismo de seguridad para las transferencias de información
  • Llevar a cabo valoraciones de riesgo y vulnerabilidad

Los principales escenarios de ataque a un hospital inteligente

Los profesionales consultados para la elaboración del estudio identificaron cinco escenarios distintos de riesgo para la seguridad de los hospitales inteligentes.

1- Ataques basados en ingeniería social

Este tipo de ataques engañan a empleados para que revelen datos y claves de acceso a los sistemas de información. Un ejemplo sería el empleado que recibe un email con un archivo adjunto que en el caso de ser abierto ejecuta un programa de malware que toma el control del dispositivo.

2- Manipulación de dispositivos médicos

La posibilidad de que ciber criminales tomen el control de dispositivos médicos conectados es muy inquietante pero desgraciadamente es una realidad. Cuando un dispositivos médico está conectado a una red, es susceptible de ser hackeado y esto incluye aparatos que pueden estar manteniendo con vida a un paciente. Los ciber criminales pueden usar estos dispositivos como puerta de entrada al sistema o incluso pueden llegarse a plantear situaciones de ransomware en las que piden un rescate a cambio de cesar en el ataque.

3- Robo de equipamiento

El robo de equipamiento informático es una realidad en cualquier sector pero en el sanitario adquiere una especial gravedad por los datos que un aparato normalmente contiene. Un simple portátil robado en un hospital puede contener datos de miles de pacientes que pueden acabar en manos de cibercriminales.

4- Ramsonware (peticiones de rescate)

El ramsonware se da cuando los cibercriminales toman el control de aspectos fundamentales del sistema informático de un hospital y exigen un rescate para devolverlo. Un ejemplo sería la encriptación de los datos y la exigencia de una cantidad de dinero a cambio de las claves de decodificación.

5- DDOS Ataques de denegación de servicio

Este tipo de ataques buscan inutilizar los sistemas de información del hospital como su página web a través de un envío masivo de tráfico a los servidores de modo que éstos se ven sobrepasados y dejan de prestar servicio.

 

Enlaces relacionados: 

Enlace al estudio de la Agencia Europea de Seguridad de las Redes y de la Información

https://www.enisa.europa.eu/publications/cyber-security-and-resilience-for-smart-hospitals