El aumento de dispositivos conectados IoMT (Internet of Medical Things, por sus siglas en inglés) en el entorno hospitalario hace necesario analizar la ciberseguridad del sector desde un punto de vista ciberfísico, más allá del ámbito digital (TI). La ciberseguridad industrial (OT) es determinante en este espacio y tiene por delante retos que solo se solventarán con un trabajo de convergencia.
En el mercado negro, los datos médicos valen ya diez veces más que los económicos. A modo de ejemplo, solo un expediente clínico en la Dark Web puede costar alrededor de los mil dólares. Según el informe Servicios CCN-CERT Sector Salud del Centro Criptológico Nacional, la fuga de datos de salud (datos personales, historiales, etcétera) es el atractivo número uno para los ciberdelincuentes, y el ransomware ha evidenciado la debilidad de los sistemas de hospitales en todo el mundo.
Sin embargo, es necesario mirar más allá del ámbito digital. La ciberseguridad OT se convierte hoy en una prioridad para el sector y tiene que ver con sistemas ciberfísicos, aquellos que son gestionados mediante sistemas digitales (y producen información que se comparte con los distintos servicios del hospital) o que proporcionan algún servicio y pueden generar un efecto en las personas.
La ciberseguridad OT se convierte hoy en una prioridad para el sector de la salud
El fallo o intrusión en un sistema digital pondrá al descubierto nuestra información más personal. El fallo en un equipo hospitalario puede provocar problemas irreversibles en la salud física de los pacientes: se trata de la seguridad de un marcapasos, de un holter o de una bomba de insulina; del compromiso de máquinas de tomografía, de ecografía, de rayos X, de radioterapia, de medicina nuclear, de robots de cirugía, de equipos de endoscopia y láser, de desfibriladores y de todo tipo de wearables. Todo ello se comunica de forma electrónica con los sistemas digitales (IT) de un hospital, como señala el informe Good practices for the security of healthcare services de la Agencia de la Unión Europea para la Ciberseguridad.
Sistemas ciberfísicos
La principal problemática del sistema ciberfísico en el ámbito hospitalario es que la regulación de la FDA (the food and drug administration) y la naturaleza de los dispositivos médicos los hacen intocables. No se permite instalar ningún software de terceros en un terminal médico, ni parchear su sistema operativo por razones de seguridad, al no estar esta acción certificada por el fabricante. Cualquier modificación a este respecto lleva a perder la certificación frente a las entidades regulatorias.
Hoy, gran parte del software médico está fuera de soporte y muchos de los sistemas que se utilizan son anticuados y están profundamente implantados, por lo que puede ser costoso reemplazarlos. Además, los flujos de trabajo clínicos son complejos, lo que hace que las mitigaciones de red para la vulnerabilidad de los dispositivos médicos no sean algo trivial para compilar, implementar y hacer cumplir.
La interconexión entre las áreas IT-OT tiene que estar controlada por el riesgo que implica exponer un entorno industrial vulnerable a todas las amenazas de un entorno digital. Las herramientas de protección del ámbito IT, en algunos casos, resultan fallidas para la seguridad OT en el ámbito hospitalario.
Ciberseguridad en hospitales
La convergencia IT-OT requiere de un plan de seguridad específico. Garantizar la seguridad en entornos ciberfísicos pasa, en este sentido, por varias fases: descubrir, evaluar, proteger, monitorizar y optimizar.
- Descubrir. Lo primero es conocer el modelo digital del hospital y de todos sus activos conectados, hacer un inventario, saber qué máquinas están conectadas, qué conexiones existen entre un dispositivo y otro, dónde se consume su información, etcétera. Esto proporcionará un contexto clínico/funcional.
- Evaluar. Es necesario analizar todos los dispositivos conectados en busca de vulnerabilidades y calcular el riesgo de cada dispositivo, así como de cada grupo de dispositivos, para sentar las bases de un plan de acción de seguridad adecuado. Se trata de una fase de inventario y de evaluación de criticidades.
- Proteger. Esta etapa se basa en segmentar los dispositivos para decidir qué máquinas están autorizadas para acceder a la información de otras. Se trata de la necesidad de implementar buenas prácticas creando también accesos remotos controlados y seguros. También es relevante la colaboración entre equipos. Constituir un ecosistema en el que se involucre a profesionales de distintas áreas que sean capaces de identificar dispositivos críticos y que tengan conocimientos sobre la necesidad de mantenerlos seguros. Pero este punto es difícil en todo el sector industrial y mucho más en el ámbito hospitalario, puesto que no existe aún una figura que aglutine conocimientos tan multidisciplinares.
- Monitorizar. La supervisión es un punto especialmente relevante al hacerse difícil e ineficiente la instalación de soluciones de seguridad tradicionales. En el ámbito OT hay que convivir con el riesgo continuamente. Por ello, implementar un marco de detección y respuesta urgente es necesario para descubrir desviaciones de políticas y responder de manera efectiva.
- Optimizar. Al descubrir, evaluar y rastrear el comportamiento y el uso de dispositivos médicos se presentan oportunidades de eficiencia operativa que tienen el potencial de ahorrar un tiempo significativo para los operadores de dispositivos, así como aumentar el retorno de la inversión del programa mediante la optimización de la gestión del ciclo de vida del propio dispositivo.
Asignar responsabilidades
Dada la situación de amenaza real existente, el próximo paso estará en que las compañías y administraciones públicas asignen responsabilidades y establezcan planes específicos para estos entornos. Será necesario contar con las personas adecuadas siguiendo el proceso adecuado y utilizando la tecnología adecuada.
En este sentido, la recomendación es poder operar con tres equipos interconectados en el ámbito hospitalario. Uno será el encargado de la seguridad de la información y la disponibilidad operativa de la infraestructura, cuya responsabilidad recaerá sobre los CISO. Otro será el encargado de la infraestructura de red en un departamento de ingenieros que controle las máquinas y su conectividad.
Y un tercero estará especializado en ingeniería biomédica, cuyos profesionales conocerán tanto la funcionalidad del dispositivo como el contexto comercial y los flujos de trabajo clínicos. Además, a medida que las amenazas de seguridad se intensifiquen, será necesario sustituir los sistemas heredados obsoletos e imposibles de parchear o actualizar.
Aquellos capaces de entender el mundo OT y el mundo IT y su interlocución serán quienes puedan gestionar ambos espacios y quienes tengan una oportunidad de éxito y existencia en el futuro. El sector hospitalario es un activo nacional estratégico, y su seguridad se convierte en un escenario complejo que requiere cooperación de todas las partes implicadas.
