Spire Healthcare garantiza la evolución de sus servicios digitales con F5

Como proveedor líder de atención sanitaria privada en el Reino Unido, con 38 hospitales y más de 3700 especialistas, Spire Healthcare necesitaba reforzar la seguridad de sus aplicaciones a medida que trasladaba más servicios a Internet. Spire, que almacena datos de pacientes altamente confidenciales y colabora con socios como el Servicio Nacional de Salud británico (NHS) y las principales aseguradoras, también debía demostrar a las partes interesadas que su seguridad era de primer nivel y digna de confianza. En 2016, recurrió a F5 y Silverline (la plataforma en la nube de servicios gestionados para aplicaciones de F5).

Retos empresariales

A medida que Spire desarrollaba más servicios digitales orientados a los clientes, como su portal MySpire para reservar citas, consultar información personal y realizar pagos, también publicaba en Internet más datos confidenciales de los pacientes.

A medida que aumentaba el perfil de riesgo, el equipo técnico se encontró en una situación en la que carecía de información esencial sobre el comportamiento de los usuarios. El sistema existente no permitía saber qué dispositivos utilizaban los clientes para conectarse a los servicios de Spire ni cuándo podían estar haciéndolo de forma no segura. Esta falta de visibilidad limitaba la capacidad del equipo para implementar importantes mejoras de seguridad.

«Por ejemplo, no podíamos tomar la decisión de restringir el acceso mediante SSLv3 porque no sabíamos si había usuarios que se conectaban desde dispositivos que no eran compatibles con TLSv1.0», recordó Rob Sissons, director de Operaciones Técnicas.

Además de carecer de la información necesaria para realizar cambios técnicos cruciales, el equipo de TI a menudo no podía responder a las consultas internas de la empresa sobre la seguridad de los datos. También tenía que prepararse para las auditorías que llevan a cabo las principales aseguradoras y el NHS —entidades que derivan habitualmente pacientes a Spire— para cerciorarse de que sus datos se almacenan de forma segura.

Con el objetivo de mejorar la seguridad de sus servicios digitales sin dificultar el acceso de los clientes, Spire decidió buscar un proveedor de servicios gestionados de seguridad de aplicaciones.

Solución

Para satisfacer sus necesidades de seguridad en constante evolución, Spire optó por implementar F5® Silverline® Web Application Firewall (WAF) y F5® Silverline® DDoS Protection como servicios gestionados, con asistencia ininterrumpida del Centro de Operaciones de Seguridad (SOC), el centro de F5 que reúne a especialistas en seguridad dedicados a la atención al cliente.

«El SOC es lo que realmente nos aporta valor», comentó Sissons. «Nos da la tranquilidad de saber que, cuando implementamos un cambio, contamos con un segundo par de ojos expertos que lo revisan. Muy a menudo, el equipo nos hace recomendaciones sobre cómo optimizar lo que intentamos hacer».

El equipo del SOC se ha convertido en una parte integral del proceso de desarrollo e implementación de nuevas aplicaciones de Spire, incluidas las de desarrolladores externos. Spire define las políticas del WAF partiendo de una plantilla en blanco y, a continuación, añade a la lista de permitidos los falsos positivos identificados mediante pruebas reiteradas.

«Cuando solicitamos que se habilite algo, el SOC comprueba minuciosamente lo que proponemos», explicó Sissons. «Las aplicaciones clínicas especializadas no siempre son tan seguras como deberían. En algunas ocasiones, las observaciones de F5 nos han llevado a volver a contactar con desarrolladores de software externos para señalarles problemas en sus aplicaciones».

Durante el tiempo que Spire lleva trabajando con F5, su ecosistema de aplicaciones ha seguido diversificándose y volviéndose más complejo. Esto incluye la incorporación de API que permiten a las aseguradoras derivar pacientes y transferir sus datos con mayor facilidad. Silverline proporciona la seguridad que permite a Spire desarrollar y mejorar continuamente los servicios digitales que ofrece a sus clientes, consultores y socios clave.

Con el apoyo del SOC, los servicios de Silverline también han ayudado a Spire a implementar un nivel de seguridad de las aplicaciones acorde con los datos confidenciales que almacena, así como a responder rápidamente ante incidentes graves ocasionales.

Además, Silverline contribuye a la evolución de las políticas generales de seguridad de Spire, proporcionando visibilidad y datos sobre el comportamiento de los usuarios que ayudan al equipo de TI a perfeccionarlas. También ofrece una visión detallada, antes inexistente, de cómo acceden sus clientes a los servicios.

«Por ejemplo, para reforzar la seguridad de TLS, el equipo de Seguridad de la Información se ha apoyado en gran medida en los datos que proporciona Silverline sobre las conexiones entrantes y el origen de las conexiones no seguras», afirmó Sissons.

Asistencia personalizada, siempre disponible

Otra ventaja importante de Silverline es la capacidad de hacer frente a las amenazas activas contra la red de Spire. Durante un importante ataque DDoS reciente, el SOC participó activamente en la respuesta, proporcionando información sobre el origen del ataque e interviniendo en las conversaciones con el proveedor de servicios de Internet de Spire. «Ante un ataque a gran escala como ese, todo sucede muy rápido y hay que investigar sobre la marcha», recordó Sissons. «Mantuvimos un canal de comunicación abierto con el SOC en todo momento; participaron con nosotros en las llamadas y nos prestaron un apoyo inestimable».

En el día a día, Spire tiene la certeza de que siempre puede contar con los expertos del SOC. «Con muy poca antelación, podemos contactar con profesionales altamente cualificados como parte del servicio gestionado», añadió Sissons. «Nunca hemos solicitado nada que el SOC no haya podido hacer».

Garantía para las partes interesadas

Silverline también está teniendo un impacto positivo en el ecosistema más amplio de Spire. Las derivaciones de pacientes por parte de terceros son una parte importante de su modelo de negocio, y contar con F5 como proveedor de servicios gestionados ha contribuido a garantizar a estos socios que las políticas y medidas de protección de datos pueden cumplir unos estándares muy exigentes. Silverline incluso ha formado parte de la respuesta a las auditorías de las aseguradoras asociadas, así como del conjunto de herramientas de seguridad que constituye un requisito previo para incorporarse a la Red de Salud y Asistencia Social (HSCN) del NHS. «Nos viene muy bien poder afirmar en una auditoría externa que contamos con un equipo especializado en seguridad que protege estos servicios», añadió Sissons.