Bases de Datos
Internet
Ciberseguridad
Amenazas
Kaspersky

La 'medicina inteligente', un foco de inseguridad para nuestra salud digital

La medicina ha avanzado a pasos agigantados gracias a la tecnología, pero ésta también puede ser su gran enemigo si no se presta atención a la información y datos de los pacientes, amenazados por los ciberdelincuentes.

Sanidad

La tecnología mejora nuestra calidad de vida. Lo vemos con las casas inteligentes o con los coches inteligentes. Pero también con la medicina. Hospitales, centros de salud e instituciones cuentan ahora con sistemas de procesamiento de información. Pero también su personal ha visto mejoradas sus condiciones laborales. Gracias a los dispositivos personales, los equipos médicos pueden interactuar con los sistemas y redes clásicas.

Es decir, una nueva vía abierta en la seguridad que puede ser aprovechada por los ciberdelincuentes. Hasta el punto de que pueden alcanzar a los sistemas de salud, según un informe de Kaspersky Lab.

No en vano, los datos personales del paciente y la información sobre su salud son el principal vector de los ataques en el contexto de la industria médica. Para evaluar la seguridad de estos datos, primero hay que identificar los puntos de la infraestructura de las instituciones médicas que pueden acumular datos médicos o que pueden ser utilizados por un atacante.

Estos puntos pueden agruparse de la siguiente manera:

· Sistemas informáticos (servidores, estaciones de trabajo, paneles de administración de equipos médicos, etc.) de la red informática de la institución médica que pueden estar conectados a Internet.

· Equipos médicos conectados a la red corporativa.

· Equipos médicos que no son nodos de red pero que están conectados a una estación de trabajo (por ejemplo, mediante USB).

· Dispositivos móviles del paciente (pulseras deportivas avanzadas, marcapasos y monitores, bombas de insulina, etc.), así como dispositivos móviles con funciones de seguimiento de los indicadores de salud (teléfonos móviles, relojes “inteligentes”).

· Otros sistemas de información, accesibles a través de una conexión inalámbrica (Wi-Fi, Bluetooth, RF): electroencefalógrafos móviles, oxímetros, sensores de acontecimientos para supervisar pacientes de riesgo elevado, etc.

Datos médicos en Internet

Las instituciones médicas utilizan sistemas automatizados de almacenamiento de datos médicos (SHMD) para almacenar información heterogénea sobre el paciente (resultados de los diagnósticos, datos sobre los fármacos, anamnesis, etc.).

La infraestructura de dicho sistema puede incluir diversos componentes de hardware y software que se pueden combinar en una red de almacenamiento de información y que, de una u otra forma, está accesible desde Internet. Una característica distintiva de estos sistemas es que, para administrarlos, se usa una interfaz web (aplicación web) que puede contener vulnerabilidades que un delincuente puede utilizar para obtener acceso a información y procesos valiosos.

Sistemas “no médicos”

Los sistemas descritos anteriormente procesan datos médicos muy importantes, y sus requisitos de seguridad deben ser proporcionalmente altos. Sin embargo, según Kaspersky Lab, no se debe olvidar que, aparte de los posibles puntos de entrada, el atacante todavía tiene muchos otros que no están directamente relacionados con los sistemas de salud, pero que se encuentran en la misma infraestructura que los valiosos datos médicos. Es el caso de:

· Cualquier tipo de servidor (servidores web, servidores FTP, servidores de correo electrónico, etc.) instalado en la red y accesible desde Internet.

· Hotspots de WiFi públicos de las instituciones médicas.

· Impresoras de oficina.

· Sistemas de vigilancia por vídeo.

· Controladores SCADA.

· Sistemas automatizados de administración de componentes mecánicos y eléctricos del sistema de edificios (Building management system, BMS).

Cada uno de estos sistemas puede contener una vulnerabilidad que podría ser explotada por un atacante para obtener acceso a la infraestructura médica.

Para evitar que los atacantes roben los datos médicos de una institución, junto con las medidas necesarias para proteger la infraestructura corporativa, usuarios e instituciones, deben contar con una solución de seguridad reconocida y reputada, pero también es necesario tomar otras medidas que ayudarán a las empresas del sector mantenerse protegidas:

· Excluir del acceso externo a todos los sistemas de información que procesen los datos médicos y demás información sobre los pacientes

· Crear un segmento separado para todo el equipo médico que se conecte a una estación de trabajo (o nodo de la red), cuyos parámetros se puedan modificar mediante esta estación de trabajo (o de forma remota). Cualquier sistema de información en línea debe estar disponible en una “zona desmilitarizada” o mejor aún, fuera de la red corporativa.

· Hacer un seguimiento constante de las actualizaciones para sistemas médicos publicadas y actualizarlas periódicamente.

· Cambiar las contraseñas predeterminadas que configuradas en los paneles de inicio de sesión de los sistemas de atención médica, y eliminar las cuentas innecesarias de la base de datos (por ejemplo, las cuentas de prueba).

· Crear contraseñas complejas para todas las cuentas.

INFORMACIÓN ADICIONAL

 

Prueba gratis durante 30 días Kaspersky Endpoint Security for Business Select.