El sector sanitario sigue siendo uno de los objetivos preferidos de los atacantes, ya que se enfrenta a un aumento de los incidentes de seguridad y a tiempos de recuperación prolongados. Los presupuestos ajustados y los complejos esfuerzos de modernización de las infraestructuras generan inevitablemente brechas de ciberseguridad. Aunque el ransomware afecta a todos los sectores, en el ámbito sanitario las amenazas se deben cada vez más a ataques dirigidos a las aplicaciones, especialmente mediante la explotación de vulnerabilidades y el uso de credenciales comprometidas.
Cumplir normativas como la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA), la Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH) y el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI-DSS) es un imperativo empresarial, pero proteger la información sanitaria personal (PHI) es fundamental para mantener la competitividad y la confianza de los clientes en un sector que cambia rápidamente.
En esta entrada del blog, analizamos cómo las organizaciones sanitarias afrontan el reto cada vez más complejo de encontrar el equilibrio entre ofrecer experiencias personalizadas a pacientes y proveedores —ahora mejoradas con IA— y protegerse frente a las crecientes amenazas de seguridad del ransomware dirigidas contra las aplicaciones y API que los conectan.
Las aplicaciones, las API y la IA son fundamentales para la atención al paciente
La comodidad de acceder en línea a los portales de pacientes a través de los sistemas de historia clínica electrónica (HCE), así como la posibilidad de realizar pagos por internet, son requisitos básicos.
Esto no ha pasado desapercibido para los actores maliciosos. Los agentes de amenazas alteran las cadenas de suministro y plantean importantes riesgos para las infraestructuras críticas al aprovechar vulnerabilidades en aplicaciones en la nube para obtener acceso no autorizado a datos confidenciales.
Según las predicciones de Forrester, la mitad de las 10 principales aseguradoras de salud de EE. UU. utilizarán la IA para reforzar la defensa de sus afiliados. Epic, empresa pionera en este ámbito, señala que a uno de cada cuatro pacientes le preocuparía que su sistema sanitario no utilizara IA. Dado que los ecosistemas de IA están conectados mediante API y que sus cadenas de suministro de software subyacentes incluyen componentes que abarcan entornos híbridos y multinube, la IA aumentará aún más la exposición al riesgo y los incidentes de seguridad, como la explotación de vulnerabilidades y el abuso de la lógica empresarial mediante bots y automatización maliciosa. Estos mismos riesgos se aplican a las interfaces de procesamiento del lenguaje natural (PLN) disponibles para pacientes y proveedores, cuyo objetivo es mejorar la experiencia del cliente y agilizar la atención mediante IA generativa.
Los requisitos de cumplimiento empiezan a endurecerse
Las organizaciones sanitarias estadounidenses se están encontrando rápidamente en una situación de riesgo insostenible. A pesar de que las brechas de seguridad relacionadas con ataques informáticos han aumentado un 239 % desde 2018, solo el 42 % tiene previsto mantener la inversión en tecnologías que mejoran la ciberseguridad y protegen la privacidad, y algunas organizaciones incluso podrían reducirla. Esta brecha persiste pese a que los servicios de inteligencia y las asociaciones del sector llevan tiempo alertando sobre amenazas inminentes para los datos asistenciales de los pacientes. Aunque las normativas HITECH y PCI-DSS exigen asumir la responsabilidad de garantizar una seguridad adecuada, el sector sanitario debe comprender que limitarse a cumplir los requisitos normativos ya no es suficiente.
“El punto de partida no es el cumplimiento normativo, sino las mejores prácticas de ciberseguridad.”
Los ataques a aplicaciones están impulsando el ransomware
En 2024, los vectores de ataque más habituales en los ataques de ransomware contra el sector sanitario fueron la explotación de vulnerabilidades y el uso de credenciales comprometidas, y la recuperación está llevando más tiempo debido a la mayor complejidad y gravedad de los ataques. Por ejemplo, desde enero se vienen produciendo una serie de ataques activos que explotan una vulnerabilidad de una aplicación y ejecutan código arbitrario sin autenticación. Los actores de amenazas aprovechan estos fallos para desplegar shells web que posteriormente se utilizan para llevar a cabo otras actividades maliciosas.
Además de las vulnerabilidades, la lógica de negocio expuesta por las aplicaciones y las API es intrínsecamente susceptible al uso indebido por parte de bots. Según F5 Labs, los bots persistentes avanzados que atacan los procesos de inicio de sesión son especialmente frecuentes en el sector sanitario. Por ejemplo, el declive de la empresa de pruebas genéticas 23andMe se atribuyó, en parte, a una campaña de relleno de credenciales que expuso información sobre la salud y la ascendencia de sus clientes. Dado que los bots utilizan credenciales legítimas y no intentan explotar vulnerabilidades de software, es posible que no activen ninguna alerta de seguridad. La autenticación multifactor (MFA) puede ayudar a prevenir el relleno de credenciales, pero, debido al auge de los proxies de phishing en tiempo real (RTPP), no es infalible.
Es necesario establecer un nuevo punto de referencia
La buena noticia es que el sector de la seguridad ya lleva ventaja. Desde hace años, las organizaciones optimizan sus capacidades de inspección de seguridad mediante el direccionamiento dinámico y basado en políticas del tráfico SSL/TLS para maximizar sus inversiones, simplificar las políticas y detectar el ransomware en infraestructuras y aplicaciones mediante un enfoque de defensa en profundidad.
Las plataformas de protección de aplicaciones web y API refuerzan aún más las defensas de seguridad de las aplicaciones frente al ransomware. Los controles integrados pueden mitigar la explotación de vulnerabilidades y proteger la lógica de negocio frente a usos indebidos —en aplicaciones web, API y de IA— en múltiples entornos, incluidos los navegadores de los clientes, los dispositivos móviles, la nube, las nuevas interfaces interactivas y el ciclo de vida del desarrollo de software.
Las soluciones de F5 para el sector sanitario ayudan a las organizaciones a frenar la curva, cumpliendo los requisitos normativos y reduciendo la exposición de los datos de pacientes y proveedores al impedir los ataques de ransomware en cualquier aplicación, API y ubicación.
Para obtener más información, consulte «Soluciones de F5 para el sector sanitario».
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.