Sham (grup Relyens), Risk Manager especialista dels actors del sector sanitari i sociosanitari, ha presentat el 'Llibre Blanc de la Ciber vulnerabilitats Sanitàries' , en què analitza l'estat actual del ciberrisc per a institucions sanitàries d'Espanya i França. Aquest estudi mostra com a principal aspecte destacat el fet que la ciberseguretat és ja un aspecte determinant per a la continuïtat assistencial i, per tant, per a la seguretat del pacient.
Com són els ciberatacs que rep el sector sanitari
El 2020 s'ha produït un important augment dels ciberatacs dirigits contra el sector sanitari , amb greus conseqüències com ara: el cessament total o parcial de la seva activitat, pèrdues econòmiques, mala reputació, a més d'un greu perill per als pacients . Més de 500 institucions van notificar incidents o reportis de vulnerabilitat, cosa que va augmentar un 48% respecte a l'any anterior, segons l'Institut Nacional de Ciberseguretat d'Espanya (INCIBE), fruit de la telematització forçosa de l'assistència sanitària, derivada de l'avenç de la COVID-19 al nostre país.
L'estudi mostra que les àrees susceptibles d'atacs dels centres sanitaris i sociosanitaris s'amplien constantment pel nombre d'interfícies de comunicació i dispositius mèdics connectats que s'utilitzen, incloent-hi dispositius per al tractament i diagnòstic, com aquells coneguts com IoT-Internet of Things i IoMT-Internet of Medical Things, que també estan connectats a la xarxa i que estan connectats a la xarxa. A aquesta superfície d'atac més gran s'afegeix una segmentació deficient de la xarxa, controls d'accés febles i dependència de sistemes obsolets , segons mostra l'anàlisi dels experts.
D'aquesta manera, els ciberdelinqüents aprofiten totes aquestes debilitats dels sistemes per hackejar o robar informació personal o mèdica protegida , de gran valor al mercat, que podria alterar, interrompre o paralitzar l'activitat mèdica. Això comporta greus conseqüències per a la seguretat del pacient, o fins i tot l'economia de la institució, amb pèrdues financeres i reputacionals importants.
A Espanya, Sham fa referència a casos com el d'un ciberatac produït a la Comunitat de Madrid, que va bloquejar el suport informàtic d'un hospital i va tornar el personal a la gestió offline de qualsevol procediment.
L'estudi també explica que els dispositius mèdics són l'element més vulnerable a un ciberatac, malgrat la seva importància per salvaguardar vides i dur a terme altres tractaments sanitaris. El motiu bàsic és la manca de ciberseguretat implementada en aquests dispositius des del seu disseny i la dificultat per actualitzar-lo. Com que eren equips amb un llarg període d'ús, moltes vegades, el seu disseny no contemplava el paradigma actual de connectivitat al sector sanitari. A més, les actualitzacions no sempre es poden realitzar amb la freqüència necessària, en ser necessàries proves i certificacions pel fabricant. Cal emmarcar que només el 2019, el 2,4% dels sinistres amb lesions coberts per Xam ja estava vinculat a aquests dispositius.
En què consisteix el ciberrisc per a una institució sanitària i com gestionar-ho
El ciberrisc no contempla només les incidències derivades de ciberatacs. Així ho exposen dades com les publicades per l'INCIBE, mostrant que els ciberriscos no maliciosos suposen el 57% dels incidents notificats el 2019. Es tracta d'errors informàtics en programes de prescripció i dispensació que donen lloc a errors en les prescripcions mèdiques i la dispensació de medicaments, la pèrdua d'accés a internet. Aquestes són només algunes de les situacions que poden comportar l'aïllament amb altres centres assistencials o del seu entorn assistencial, a més d'impossibilitar l'accés als serveis i les dades que es requereixen en el dia a dia els professionals sanitaris, com històries clíniques informatitzades, resultats de laboratori, o els relatius a les plataformes radiològiques, entre d'altres.
D'altra banda, en clau ciberdelinqüència, s'ha produït un augment dels incidents sanitaris a Espanya i França, que principalment consisteixen en quatre tipus: programari maliciós, ramsomware, atac mitjançant denegació de servei i escoltes malicioses.
Tal com assenyalen els experts, durant el primer confinament molts missatges informatius aparentment innocus sobre la COVID-19 van resultar ser en realitat virus informàtics amb falsos correus electrònics de les autoritats sanitàries, o fins i tot falses alertes sobre l'evolució de la pandèmia. Un aspecte que fins i tot l'Agència Digital de la Salut de França (ANS) ha analitzat publicant un estudi realitzat per investigadors nord-americans, que mostrava que 86.000 dels més d'1,2 milions de noms de domini vinculats a la paraula clau COVID-19 serien maliciosos.
Com ser eficaços davant d'un ciberatac
- La preparació : Cal establir els processos i els mitjans necessaris per reaccionar en cas d'un ciber atac. La improvisació no és amiga de l‟eficàcia.
- La protecció : Una anàlisi de riscos ha de permetre a l'organització definir i establir les mesures necessàries per protegir-se davant d'un ciberatac. Els processos i les eines de seguretat s'han d'implantar i mantenir operatives en un sistema de millora contínua.
- La detecció L'organització ha de comptar amb un sistema de detecció primerenca d'atacs i un equip preparat per a la resposta. La integració de solucions i un equip expert és fonamental en aquesta fase.
- La resposta Un cop detectat l'atac, és el moment d'aplicar els plans definits per al control dels incidents. La col·laboració amb entitats expertes i la formació dels equips als plans de resposta serà clau per a una resposta eficaç.
- La recuperació: Un cop controlat l'atac, és el moment de restaurar les dades i els sistemes per tornar als nivells d'operació habituals com més aviat millor.
- Lliçons apreses Un cop resolt l'incident, és fonamental analitzar el que ha passat per veure punts de millora necessaris per evitar un incident o millorar la resposta en el futur.
Modelo «phygital»
No obstante, agentes y corredores insisten que necesitan más para ampliar información sobre asegurados y clientes potenciales para poder hacer ventas más eficaces. En el estudio señalan que las APIs (interfaz de programación de aplicaciones) y los análisis basados en la IA pueden ayudar a los agentes y corredores a comprender las preferencias de los clientes, responder a sus preguntas y ofrecer productos adecuados en función de los acontecimientos especiales de los asegurados. En este sentido, los autores del estudio apuntan que el futuro está en un modelo «phygital» basado en una mezcla de presencia física e interacción digital.
Mitjà: Carta de l'assegurança 21/05/21