Ante el aumento de incidentes de alto riesgo en el sector sanitario, las organizaciones deben aprender a gestionar la seguridad de la información, la protección de datos y los riesgos de la IA como un desafío de gobernanza interconectado. ¿Cómo lograrlo?
Por Kate O'Flaherty
El 14 de diciembre de 2025, DXS International, que proporciona información sanitaria y apoyo a la toma de decisiones clínicas para aproximadamente el 10 % de todas las derivaciones del NHS en Inglaterra, sufrió una violación de datos que afectó a los servidores de su oficina.
En un comunicado presentado ante la Bolsa de Valores de Londres, DXS International afirmó que la brecha de seguridad fue "controlada de inmediato" gracias a un esfuerzo conjunto de sus equipos internos de seguridad informática, en estrecha colaboración con el NHS England. Sin embargo, poco después, el grupo de ransomware DevMan afirmó haber robado 300 GB de datos, incluidos presupuestos internos y archivos financieros.
Si bien el incidente en sí tuvo un impacto mínimo y los servicios clínicos de primera línea de la empresa siguieron operativos, es un excelente ejemplo de cómo el riesgo de terceros puede propagarse a través de la cadena de suministro.
Ante el aumento de incidentes como este, las organizaciones sanitarias deben aprender a gestionar la seguridad de la información, la protección de datos y el riesgo de la IA como un desafío de gobernanza interconectado. ¿Cómo se puede lograr esto?
Un problema importante
Dado que los servicios de DXS International se mantuvieron operativos, es fácil descartar la filtración como algo sin importancia. Sin embargo, aunque los servicios clínicos de primera línea se mantuvieron operativos, podrían surgir otros problemas más adelante, afirma Skip Sorrels, director de tecnología y director de seguridad de la información de campo de Claroty. "Al comprometer la estructura administrativa de la atención médica, se generan riesgos a largo plazo, como el robo de identidad, las campañas de phishing y la pérdida de confianza de los pacientes".
Sorrels señala que “operativo” no significa “seguro”: “Los atacantes apuntan deliberadamente a los sistemas administrativos más flexibles porque saben que estos proveedores a menudo carecen del mismo rigor de seguridad que la infraestructura clínica que respaldan”.
Kevin Curran, miembro sénior del IEEE y profesor de ciberseguridad en la Universidad del Ulster, coincide con esta evaluación: «Los datos robados pueden utilizarse indebidamente, afectando la privacidad del paciente durante años».
Describe cómo las repercusiones financieras, incluyendo los costos de investigación, los honorarios legales y las posibles multas, podrían agotar los recursos ya de por sí limitados de los servicios de salud pública. «Además, pone de relieve problemas sistémicos en la infraestructura de salud digital, lo que impulsa un análisis más profundo de cómo las tecnologías interconectadas gestionan la información sensible».
Riesgos de terceros
El sector sanitario del Reino Unido ha reforzado continuamente sus medidas de ciberseguridad desde que el ataque de ransomware WannaCry afectara al NHS en 2017. Los reguladores están prestando cada vez más atención a las cadenas de suministro y, reconociendo que las vulnerabilidades en los proveedores de servicios gestionados o en los proveedores críticos pueden tener repercusiones de gran alcance, afirma Katharina Sommer, directora de asuntos gubernamentales del grupo NCC.
Los riesgos de terceros y de la cadena de suministro representan “uno de los desafíos de seguridad más urgentes en la atención médica”, ya que el sector depende cada vez más de proveedores externos para servicios esenciales, dice Curran.
«Los ataques a la cadena de suministro de software son muy peligrosos y cada vez más frecuentes porque explotan la interconexión del desarrollo de software moderno», explica Curran a IO . «Estos ataques se dirigen a vulnerabilidades en las dependencias, los procesos de compilación o los componentes de terceros, lo que a menudo permite a los atacantes comprometer a varias empresas a través de un único punto de fallo».
Más allá del impacto inmediato, los problemas pueden ser causados por organizaciones más pequeñas con “grandes huellas sistémicas, pero una madurez de seguridad limitada”, dice Tracey Hannan-Jones, directora consultora de seguridad de la información y GRC y DPO del grupo en UBDS Digital.
Para empeorar las cosas, el sector sanitario se enfrenta a un reto de visibilidad, según Sorrels de Claroty. «La mayoría de las organizaciones sanitarias tienen dificultades para comprender plenamente la postura de seguridad de sus proveedores externos. No se puede externalizar un servicio y creer que se ha externalizado el riesgo».
Expectativas regulatorias
Además de la seguridad de la cadena de suministro, la regulación exige cada vez más que servicios críticos como la atención médica adopten medidas adicionales para aumentar su resiliencia. Cuando se producen brechas de seguridad, se espera que quienes operan en el sector protejan los datos y cumplan con estrictos requisitos de información.
La filtración de datos de DXS International ofrece una perspectiva sobre las expectativas regulatorias que rigen los datos sanitarios en el Reino Unido y la UE, en particular en virtud del Reglamento General de Protección de Datos (RGPD) y las leyes británicas de protección de datos conexas. «Estos marcos normativos exigen que las organizaciones que procesan datos personales, incluida la información sanitaria, garanticen medidas de seguridad sólidas y respondan con transparencia ante los incidentes», afirma Curran, de la Universidad de Ulster.
En este caso, la “notificación inmediata” de DXS a la Oficina del Comisionado de Información (ICO) y a las autoridades policiales se alinea con el Artículo 33 del RGPD, que exige informar sobre las infracciones dentro de las 72 horas si existe un riesgo para los derechos y las libertades de las personas, dice Curran.
De manera similar, los requisitos del Reino Unido en virtud de la Ley de Protección de Datos de 2018 hacen hincapié en la rendición de cuentas, obligando a las entidades a documentar y mitigar los riesgos asociados con el manejo de datos, afirma Curran. «La evaluación continua del incidente por parte de la ICO refleja cómo los reguladores examinan no solo la violación en sí, sino también la adecuación de las medidas de respuesta, incluidos los protocolos de contención e investigación», declara a IO.
Los reguladores exigen cada vez más evidencia de una gestión proactiva de riesgos porque los enfoques reactivos han demostrado ser insuficientes frente a las amenazas en evolución, como lo demuestra el creciente número de incidentes cibernéticos en la atención médica, según Curran.
Riesgos interconectados
Llega en un momento en que los riesgos cibernéticos, de privacidad e IA se están volviendo inseparables en los entornos sanitarios debido a los sistemas conectados, el intercambio de datos y la automatización. Mientras tanto, las herramientas basadas en IA están transformando los perfiles de riesgo.
El incidente de DXS International ejemplifica esta convergencia, donde la violación de la seguridad de un proveedor podría “potencialmente exponer redes integradas que manejan datos de pacientes, combinando amenazas de ciberseguridad con preocupaciones sobre la privacidad”, dice Curran.
El intercambio de datos entre ecosistemas —entre proveedores, distribuidores e incluso entidades transfronterizas— erosiona aún más las fronteras tradicionales, señala. «En marcos como la Red de Salud y Asistencia Social del NHS , la información fluye dinámicamente. Esta interconexión puede provocar que un incidente cibernético derive en violaciones de la privacidad, como la divulgación involuntaria de historiales médicos confidenciales».
Teniendo en cuenta este riesgo, tratar los riesgos cibernéticos, de privacidad y de inteligencia artificial de forma aislada dentro de los entornos de atención médica “fomenta puntos ciegos importantes”, afirma Curran.
En cambio, las empresas necesitan adoptar un enfoque integrado para la gobernanza de riesgos. Esto requiere el uso de marcos integrados que integren la seguridad de la información, la protección de datos y la gobernanza de la IA para impulsar la resiliencia, la confianza y el cumplimiento normativo a largo plazo.
Por ejemplo, las organizaciones deben considerar a los agentes de IA y a los humanos como una fuerza laboral combinada que interactúa con el software y la infraestructura, afirma Javvad Malik, asesor principal de CISO en KnowBe4. «Para ello, necesitamos una rendición de cuentas clara, garantías para los proveedores y una supervisión que integre los datos, los humanos y la IA para fomentar la confianza y la resiliencia».
Según Sommer, del Grupo NCC, marcos como el Marco de Evaluación Cibernética del Centro Nacional de Ciberseguridad ( NCC) , la norma ISO 27001 y el Marco de Ciberseguridad del NIST proporcionan «herramientas prácticas para integrar controles, políticas y métricas de riesgo». «Esto ayuda a las organizaciones a generar confianza, demostrar el cumplimiento normativo y gestionar el riesgo cibernético de forma coherente y sólida».
Curran, de la Universidad del Ulster, recomienda establecer “equipos multifuncionales” compuestos por expertos en ciberseguridad, privacidad e inteligencia artificial para colaborar en las evaluaciones de riesgos, garantizando que las amenazas se evalúen a través de “una lente multifacética”.
Resilientes, confiables y preparados para el futuro
Las organizaciones de atención médica y los proveedores de los que dependen deben trabajar para desarrollar prácticas de gestión de riesgos más resilientes, confiables y preparadas para el futuro.
Para obtener resultados, las organizaciones necesitan adoptar un enfoque unificado de gestión de riesgos, afirma Ivan Milenkovic, vicepresidente de tecnología de riesgos para EMEA en Qualys. «En lugar de reinventar la rueda, los mejores equipos integran en un solo motor los estándares internacionales establecidos de seguridad, privacidad y la vanguardia emergente de la gestión de la IA».
Para ello es fundamental incorporar la gestión de riesgos en la cultura organizacional a través de políticas unificadas que exijan “auditorías regulares e integradas”, aconseja Curran, de la Universidad del Ulster.
Mientras tanto, implemente un modelo de responsabilidad compartida con sus proveedores, recomienda Sorrels de Claroty. "No trate los contratos con proveedores como algo que se establece y se olvida. Exija transparencia continua, pruebas de seguridad y que demuestren que cumplen con los estándares básicos".
