Avances digitales frente a confianza digital
La búsqueda de la innovación en casi todas las industrias se enfrenta paralelamente a una nueva serie de amenazas que combatir. Para la industria médica, el mundo perfecto podría significar una eficiencia sin fisuras para los pacientes, los médicos y su cadena de suministro, la reducción de los errores humanos, la mejora de los tratamientos, la reducción de los costes y la optimización de los sistemas. No cabe duda del impacto positivo de la tecnología en la industria sanitaria, pero lamentablemente la progresión hacia lo digital se está quedando atrás, lo que podría deberse en gran medida a la falta de confianza en los sistemas digitales unida a la información altamente sensible -a veces incluso potencialmente mortal- que puede quedar al descubierto.
Especialmente ahora, cuando practicamos diligentemente el distanciamiento social para combatir la propagación del COVID-19, se ha producido un aumento significativo de la telesalud, también conocida como teleconsulta, en la que los pacientes buscan servicios médicos digitalmente. La conectividad a través de la teleconsulta ha aportado un enorme valor de eficiencia al sector sanitario. Con un desarrollo acelerado en el espacio de la teleconsulta, se ha producido un fuerte aumento de la Información Sanitaria Protegida (PHI) y de la Información de Identificación Personal (PII) que se comparte a través de la nube como Historial Clínico Electrónico (EHR) con los proveedores sanitarios. Sin embargo, con la progresión en el espacio de la sanidad digital, surgen nuevas oportunidades para los ciberdelincuentes. Para poner las cosas en perspectiva, esto ha ampliado el alcance de los retos de ciberseguridad, ya que existe un mayor riesgo de que los estafadores con malas intenciones puedan infiltrarse en el entorno sanitario para contrarrestar un ataque y amplificar cualquier vulnerabilidad dentro de su ecosistema digital.
Para muchos, la adaptación al nuevo entorno operativo que presenta la COVID-19 también ha llevado a las empresas a apresurar los plazos de innovación y adoptar nuevas tecnologías, lo que crea el riesgo de que los nuevos proveedores y socios tengan acceso a datos confidenciales de los pacientes.
Necesidad de eficiencia en el sector sanitario
El sector sanitario siempre ha sido muy sensible a los costes, pero a medida que avanzamos hacia la cobertura universal en el espacio sanitario digital, lo lógico es adoptar soluciones de seguridad eficientes. La eficiencia se cuantifica en términos de evaluación de las capacidades de seguridad existentes dentro de un presupuesto fijo. Por desgracia, a pesar del aumento de estos ataques, sobre todo desde que comenzó la pandemia, al sector sanitario le ha pillado desprevenido y no estaba bien preparado para ello. Según una encuesta realizada por la empresa de software de seguridad Irdeto, el 88% de los responsables de tecnología médica de Estados Unidos no cree que su organización esté preparada para un ciberataque. En caso de ciberataque, los datos confidenciales PHI y PII se verán comprometidos, violando requisitos de cumplimiento como la Ley de Portabilidad y Responsabilidad de la Información Sanitaria (HIPAA), el Reglamento General de Protección de Datos (GDPR) y, más que probablemente, esto dará lugar a multas significativas.
Sin duda, estos requisitos de cumplimiento han orientado la atención de los CISO y los responsables de privacidad hacia la protección de los datos PHI y PII, y dado que los datos médicos son extremadamente sensibles, hay mucho en juego. Sin embargo, leyes como la HIPAA suelen funcionar a un nivel abstracto y no siempre garantizan que las organizaciones sanitarias dispongan de una arquitectura de seguridad elaborada que almacene los datos sensibles de los pacientes de forma segura. Otro factor que contribuye a la lentitud del desarrollo digital en este sector es el hecho de que los especialistas tanto en seguridad como en digitalización siguen estando muy infradotados de personal, y no son el objetivo principal de la industria sanitaria en comparación con otras industrias.
¿Cómo se compara este panorama con el de una nación que abraza lo digital?
Si nos fijamos en Israel, podemos ver claramente un ecosistema que adopta la innovación sanitaria digital, con instituciones, hospitales y organizaciones de mantenimiento de la salud interesados en probar cosas nuevas y desafiar el enfoque anticuado. Un claro caso de éxito de la innovación en el sector sanitario se ha hecho visible durante la pandemia: Israel vacunó a aproximadamente la mitad de toda su población contra el COVID-19 en solo dos meses.
Israel pudo conseguirlo gracias a las cuatro Organizaciones para el Mantenimiento de la Salud (HMO) del país, que dan servicio a toda su población y tienen capacidad para poner en marcha con éxito procesos complejos y a gran escala en un breve plazo de tiempo; prueba de ello es el programa de vacunación de Israel, catalogado por los expertos como el mejor del mundo.
Ciberseguridad y retos tecnológicos en los servicios sanitarios digitales
Alrededor del 60% de los proveedores de asistencia sanitaria han convertido los servicios digitales en una prioridad absoluta para atender a una gran parte de su clientela, acostumbrada a la eficiencia digital, a compartir información en línea y a llevar dispositivos que rastrean sus datos médicos y almacenan su información. Es importante mencionar que el riesgo de ciberataques puede variar en gravedad de impacto. Además, la pérdida de datos PII y PHI puede quemar el bolsillo de las organizaciones sanitarias.
Los historiales médicos contienen PHI sensible que no se puede cambiar o borrar fácilmente. De hecho, la PHI es información extremadamente valiosa que puede venderse por hasta 363 dólares en el mercado negro. La PHI que es valiosa para los ciberdelincuentes incluye:
-
Nombre
-
Dirección
-
Número de teléfono
-
Número de la Seguridad Social
-
Datos biométricos
-
Imágenes de diagnóstico
No es difícil entender por qué existe una falta de confianza tanto por parte de los pacientes como de los proveedores de asistencia sanitaria. Los ciberataques a organizaciones sanitarias de todo el mundo van en aumento y sus repercusiones pueden ser graves. Para que sigamos buscando la eficiencia y la innovación, tenemos que tomar las medidas adecuadas para proteger los datos de pacientes, médicos y cuidadores, siendo más astutos que los malintencionados. No es tarea fácil, pero seguro que los beneficios merecen la pena.
Pero no todos los riesgos están relacionados con la cibernética. Hace siete años, el sitio web healthcare.gov prometía ofrecer intercambios de seguros médicos en el marco de la Ley de Asistencia Asequible. Sin embargo, su lanzamiento anticipado se vio empañado por graves problemas tecnológicos, que dificultaron la inscripción del público en el seguro médico y colapsaron el sitio tras sólo dos horas. Todo ello en un sitio web que tuvo un coste global de 500 millones de dólares antes de su lanzamiento. Al observar el fracaso de la iniciativa, queda claro que los retos no siempre se limitan a las ciberamenazas, sino que también pueden reducirse a la mera infraestructura tecnológica. La tecnología ha avanzado mucho en 7 años, pero fracasos como éste no hacen sino aumentar la desconfianza en los sistemas sanitarios digitales. Será interesante ver las tendencias en un mundo post-pandémico, ¿volverán las organizaciones a despreocuparse y a invertir poco? ¿A qué se dará prioridad?
Normativa para hacer frente a la amenaza: HIPAA y NIST
Cumplir la normativa que protege la PHI exige una combinación de estrategias sólidas de privacidad y seguridad. La Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios (HIPAA ) establece la base para la protección de los datos de los pacientes. La HIPAA se aplica a las empresas de salud digital, tanto si contratan como proveedores (asociados comerciales) o como proveedores de atención sanitaria (entidades cubiertas). Los terceros, especialmente los que manejan PHI, tienen el potencial de exponer a las empresas sanitarias a violaciones de datos e incumplimientos. Al margen de la HIPAA, el Instituto Nacional de Normas y Tecnología (NIST ) publicó una guía útil titulada: Marco para mejorar la ciberseguridad de las infraestructuras críticas.
El marco del NIST se centra en la utilización de los impulsores empresariales para orientar las actividades de ciberseguridad y en la consideración de los riesgos de ciberseguridad como parte del proceso de gestión de riesgos de la organización. El marco consta de tres partes: Framework Core, Framework Profile y Framework Implementation Tiers.
El Marco del NIST es un conjunto de directrices de ciberseguridad comunes a la mayoría de las organizaciones con una infraestructura crítica. En última instancia, los niveles de implantación del Marco ayudan a la organización a ver y entender cómo alinea sus actividades de ciberseguridad con sus necesidades, tolerancias y recursos.
Tanto la Norma de Seguridad de la HIPAA como el Marco del NIST pueden reducir en gran medida los riesgos de ciberseguridad de una organización o proveedor sanitario. Cuanto más presupuesto y recursos se dediquen al personal de seguridad informática, mejor le irá a la organización cuando inevitablemente aparezcan las ciberamenazas.
Enfoques para el ecosistema sanitario
Encontrar el equilibrio entre innovación y protección es increíblemente importante. Para lograrlo, existen herramientas y prácticas de seguridad que podemos aplicar para forjar un ecosistema sanitario digital más seguro. Al fin y al cabo, cuando se hace bien se obtienen grandes beneficios. Algunas prácticas clave que las organizaciones sanitarias deberían adoptar para mejorar la confianza digital son:
-
Programa de garantía del cumplimiento de la seguridad en la nube
-
Programa de cumplimiento y evaluación de riesgos de terceros
-
Seguridad desde el diseño
-
Servicios gestionados de detección y respuesta 24/7
-
Detección, vigilancia y respuesta mediante la tecnología
-
Evaluaciones periódicas de la ciberresiliencia
COVID puede ser el catalizador que cambie no solo la mentalidad, sino las decisiones de inversión del sector sanitario. Nos encontramos en un punto de inflexión en el que los procesos digitales y el aumento de la eficiencia ya no pueden ignorarse. De cara al futuro, la nueva tecnología de macrodatos podría salvar la brecha entre la privacidad y la mejora de la comprensión de los datos mediante capas de anonimización y seudonimización. La innovación nos empuja hacia adelante, el éxito depende de cómo respondamos.
¿Está interesado en obtener más información sobre la solución de Alyne para el cumplimiento de HIPAA y NIST? ¿Por qué no programar una reunión con un experto de Alyne aquí?
