La seguridad de la información y la privacidad de los datos son preocupaciones fundamentales para las organizaciones sanitarias de todo el mundo en la era digital actual. En 2022 Los ciberataques mundiales a la atención sanitaria aumentaron un 74%, y la atención médica fue el segundo sector más atacado en los Estados Unidos, un aumento del 57% año tras año. Y no hay grandes sorpresas por qué la atención médica recibe tanta atención por parte de los ciberdelincuentes: es una mina de oro de datos valiosos e información de salud protegida (PHI), junto con tecnología heredada, sistemas de red mal administrados y desafíos presupuestarios y de personal. Todo esto convierte a los proveedores de atención médica en un objetivo fácil con recompensas potencialmente altas.
Los desafíos críticos para los proveedores de atención médica son dobles;
- Datos del paciente: A medida que el sector depende cada vez más de la tecnología para brindar servicios, se almacena e intercambia en línea información más confidencial de los pacientes. Los proveedores de atención médica deben priorizar la seguridad de la información y la privacidad de los datos para salvaguardar la información personal de los pacientes.
- Entrega operativa: Los ciberataques a las organizaciones sanitarias pueden alterar servicios sanitarios críticos, como la atención al paciente, la investigación médica y la funcionalidad de los dispositivos médicos. Las amenazas a la ciberseguridad también pueden comprometer la seguridad y precisión de los registros médicos y los datos clínicos, lo que provoca errores graves de diagnóstico, tratamiento y medicación.
Esta publicación de blog resaltará la importancia de seguridad de la información y privacidad de datos en la industria de la salud y los riesgos de descuidarlos. Exploraremos las últimas amenazas que enfrentan los proveedores de atención médica, como ataques de ransomware, estafas de phishing y amenazas internas, y profundizaremos en los requisitos de cumplimiento normativo, como HIPAA, NIS2, GDPR y Ley de Privacidad. Finalmente, discutiremos las mejores prácticas para que las organizaciones de atención médica fortalezcan su postura de seguridad de la información y privacidad de datos.
Únase a nosotros mientras navegamos por el complejo panorama de la ciberseguridad de la atención médica y aprenda cómo los proveedores de atención médica pueden proteger los datos de sus pacientes y mantener la integridad de sus servicios críticos.
Las ciberamenazas que enfrenta el sector sanitario
Ransomware
Los ataques de ransomware son una de las amenazas más importantes para los proveedores de atención médica. Según un reciente Informe sanitario de Ponemon, El 60% de los encuestados mencionó el ransomware como su mayor preocupación y el 40% afirmó haber experimentado más de tres ataques de ransomware en los últimos dos años.
Estos ataques implican que los piratas informáticos encripten los datos de un proveedor de atención médica, dejándolos inutilizables hasta que se pague un rescate. Si no se paga el rescate, el pirata informático puede amenazar con eliminar los datos, causando un daño significativo a las operaciones del proveedor y a la atención al paciente o, en el caso de Medibank en Australia, publicar esos datos en línea, lo que no sólo causa angustia y daño a los pacientes afectados, sino también un daño financiero y de reputación sustancial por el hecho de que la organización no mantenga los datos de los pacientes seguros y no cumpla con las regulaciones obligatorias.
Ataques DDoS
Los ataques DDoS implican abrumar la red de un proveedor de atención médica con tráfico para provocar su falla y dejarla inutilizable. Esto puede afectar la capacidad del proveedor para acceder y utilizar los datos del paciente, lo que genera retrasos en la atención al paciente y potencialmente compromete la seguridad del paciente. A menudo, los ataques DDoS sirven como una distracción mientras los delincuentes implementan malware más siniestro en la red de sus víctimas.
El Tácticas de ciberataque en curso de KillNet demuestran perfectamente el impacto que puede tener un ataque DDoS. Este grupo hacktivista ha estado atacando activamente al sector sanitario de EE. UU., provocando interrupciones del servicio durante muchas horas, lo que ha provocado retrasos en las citas, imposibilidad de acceder a registros médicos electrónicos y desvíos de ambulancias.
Proveedores externos + ataques a la cadena de suministro
Los proveedores de atención médica son tan seguros como sus proveedores externos y su cadena de suministro. Cualquiera que acceda a los sistemas de una organización de salud puede comprometer de forma maliciosa o accidental los datos protegidos y la prestación de servicios, provocando desde interrupciones del servicio a corto o largo plazo que afecten la atención al paciente, la prestación de servicios y los resultados financieros.
Según el Ponemon Healthcare Report, el 71% de las organizaciones de atención médica creen que son susceptibles a verse comprometida la cadena de suministro. En promedio, el 50% de las organizaciones sanitarias han sufrido más de cuatro ataques a la cadena de suministro que les impidió prestar servicios en los últimos dos años.
El Internet de las cosas (IoT)
La creciente adopción del Internet de las cosas (IoT) en la atención médica es otra tendencia tecnológica con preocupantes implicaciones para la seguridad. A medida que los sistemas de los proveedores de atención médica están cada vez más conectados a otros sistemas médicos y operativos, también ha habido un movimiento significativo hacia dispositivos médicos conectados a Internet, como bombas de insulina y marcapasos.
La creciente conectividad del IoT podría poner en peligro la capacidad de los proveedores médicos para prestar servicios, la seguridad de sus pacientes y la operatividad de sus negocios. Estos dispositivos contribuyen a la expansión de la TI, carecen de medidas de seguridad integradas adecuadas y aumentan las superficies de ataque de los proveedores de atención médica y la salud y el bienestar de los pacientes que utilizan dispositivos médicos conectados. Es alarmante que el 63% de las organizaciones sanitarias afirman haber experimentado una incidente de seguridad debido a dispositivos IoT no administrados en los últimos 12 meses.
El impacto de las malas prácticas de seguridad de la información y privacidad de datos en la atención sanitaria
No tomar en serio la seguridad de la información y la privacidad de los datos puede afectar profundamente a los pacientes, los proveedores de atención médica y las organizaciones de atención médica.
Consecuencias para el proveedor de atención médica
Si se viola el sistema de un proveedor, se pueden producir interrupciones en la atención al paciente, retrasos en el tratamiento y pérdida de ingresos. Los proveedores también pueden enfrentar consecuencias legales y financieras, incluidas multas y acciones legales, si se determina que no cumplen con las normas de seguridad de datos.
Además, los proveedores de atención médica pueden sufrir daños a su reputación y pérdida de la confianza de los pacientes luego de una violación de la ciberseguridad. Es posible que sea menos probable que los pacientes que sientan que su privacidad se ha visto comprometida busquen atención de ese proveedor en el futuro, lo que podría tener consecuencias financieras a largo plazo para el proveedor.
Consecuencias de la atención al paciente
Aunque la ciberseguridad puede costar a los proveedores de atención médica miles de millones de dólares en pérdidas de ingresos, pagos y daños a la reputación, la consecuencia más inmediata y obvia es el impacto potencial en los pacientes. Si un ciberataque deja inoperable una instalación u organización de atención médica, es posible que los pacientes que requieren atención oportuna no la reciban.
Al mismo tiempo, millones de personas en todo el mundo ya tienen escaso acceso a la atención sanitaria. Es un hecho bien conocido que existe una escasez significativa de proveedores de atención médica, lo que significa que los pacientes a menudo tienen que esperar semanas o meses antes de poder ver a un médico. Por lo tanto, cuando las malas prácticas de seguridad de la información y privacidad de los datos provocan retrasos en la atención al paciente, pueden deteriorar significativamente las condiciones de salud de millones de personas y comunidades en todo el mundo.
Los datos comprometidos de los pacientes también pueden provocar otros resultados adversos, incluido el robo de identidad, el fraude financiero y el fraude médico. Los pacientes también pueden correr el riesgo de que su información de salud personal (PHI) esté expuesta, lo que puede tener una variedad de consecuencias negativas, como discriminación por parte de empleadores o aseguradoras, estigma social y vergüenza.
El impacto de una mala seguridad de la información y privacidad de datos Las prácticas pueden tener repercusiones significativas cuando afectan tangiblemente la vida de los pacientes. Por tanto, la infraestructura de ciberseguridad es sin duda una de las principales prioridades para los proveedores de atención sanitaria.
¿Cuáles son las regulaciones clave de ciberseguridad en la atención médica?
El Reglamento general de protección de datos (GDPR)
GDPR es una regulación de la Unión Europea (UE) que entró en vigor el 25 de mayo de 2018. Se aplica a todas las organizaciones que procesan el datos personales de residentes de la UE.
El GDPR impone requisitos específicos a las organizaciones que procesan datos personales dentro del sector sanitario. Las organizaciones sanitarias deben procesar los datos personales de forma legítima, incluida la obtención del consentimiento válido de las personas o para tratamientos médicos. Las personas tienen derechos mejorados según el RGPD, incluido el derecho a acceder a sus datos, rectificar inexactitudes, solicitar la eliminación y restringir el procesamiento.
Cuando es probable que las actividades de procesamiento representen un riesgo significativo para los derechos y libertades de las personas, las organizaciones de atención médica deben realizar una evaluación de impacto de la protección de datos (DPIA). También deben implementar medidas técnicas y organizativas para garantizar la protección de datos desde el diseño y por defecto, como la seudonimización, el cifrado y la autenticación. Además, las organizaciones de atención médica deben informar las violaciones de datos personales a las personas y a las autoridades dentro de las 72 horas posteriores a tener conocimiento del incidente.
El RGPD también exige que las organizaciones sanitarias designen un responsable de protección de datos (DPO) para garantizar el cumplimiento y servir como punto de contacto para personas y autoridades.
Ley de Protección de Datos 2018
La Ley de Protección de Datos de 2018 (DPA 2018) es una ley del Reino Unido que establece cómo se deben procesar, almacenar y utilizar los datos personales. Describe varios requisitos relacionados con la ciberseguridad en el sector sanitario.
La ley exige que las organizaciones de atención médica lleven a cabo investigaciones exhaustivas. evaluaciones de riesgos de su procesamiento de datos actividades, incluidas prácticas de ciberseguridad, para identificar posibles vulnerabilidades. Y luego implementar medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales, incluido el cifrado, controles de acceso y pruebas de seguridad periódicas.
La ley también incluye reglas estrictas sobre la notificación de violaciones, donde las organizaciones de atención médica deben informar cualquier violación de datos a las autoridades pertinentes dentro de las 72 horas posteriores a tener conocimiento de la violación.
Las organizaciones de atención médica deben garantizar que los procesadores externos con los que trabajan cumplan con la ley, incluidos los requisitos de ciberseguridad.
NIS 2
NIS 2 (Directiva de la UE sobre seguridad de redes y sistemas de información) describe varios requisitos relacionados con la ciberseguridad en el sector sanitario. Éstas incluyen:
- Identificación de servicios y operadores esenciales: las organizaciones sanitarias deben identificar los servicios y operadores esenciales necesarios para mantener actividades sociales y económicas críticas.
- Gestión de riesgos y notificación de incidentes: las organizaciones sanitarias deben realizar evaluaciones de riesgos e implementar medidas de gestión de riesgos para garantizar la seguridad y la resiliencia de sus sistemas y redes. También deben informar de los incidentes a las autoridades nacionales pertinentes y tomar las medidas adecuadas para mitigar el impacto del incidente.
- Medidas de seguridad: las organizaciones sanitarias deben implementar medidas técnicas y organizativas adecuadas para garantizar la seguridad y la resiliencia de sus sistemas y redes. Estas medidas deben incluir medidas para evitar el acceso no autorizado, proteger contra malware y otras amenazas cibernéticas y garantizar la disponibilidad de servicios críticos.
- Cooperación e intercambio de información: las organizaciones sanitarias deben cooperar con otros operadores y autoridades públicas para salvaguardar la seguridad y la resiliencia de sus sistemas y redes. También deben compartir información sobre amenazas e incidentes con organizaciones y autoridades relevantes.
- Cumplimiento y aplicación: las organizaciones de atención médica deben cumplir con los requisitos de NIS 2 y cualquier otra normativa de ciberseguridad aplicable. Las autoridades nacionales son responsables de hacer cumplir el cumplimiento y pueden imponer sanciones por incumplimiento.
Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA)
HIPAA es una ley que protege la información de salud contra el acceso y la divulgación no autorizados en los Estados Unidos. Las entidades cubiertas, normalmente proveedores de atención médica, deben cumplir con estrictos estándares de seguridad para proteger esta información.
Según HIPAA, las entidades cubiertas deben implementar medidas de seguridad sólidas al manejar información médica protegida (PHI), como cifrado, procedimientos de autenticación y otras salvaguardas, para evitar el acceso o la divulgación no autorizados.
Además, HIPAA exige que las entidades cubiertas informen a las personas sobre sus derechos legales. Esto incluye notificar quién puede acceder a su PHI, cómo solicitar copias y qué sucede si cambian de opinión acerca de compartir la información.
La Ley de Privacidad de Australia de 1988 (Ley de Privacidad)
Esta ley describe los requisitos de los proveedores de atención médica para proteger la información personal de sus pacientes contra amenazas de ciberseguridad. Algunas de las disposiciones clave de la Ley de Privacidad relacionadas con la ciberseguridad en el sector de la salud incluyen:
- Seguridad de los datos: los proveedores de atención médica deben tomar medidas razonables para proteger la información personal que poseen contra el uso indebido, la interferencia, la pérdida y el acceso, modificación o divulgación no autorizados. Deben contar con medidas de seguridad adecuadas para evitar amenazas a la ciberseguridad, como piratería informática, ataques de malware y acceso no autorizado.
- Notificación de violación de datos: en caso de una violación de datos, los proveedores de atención médica deben notificar a las personas afectadas y a la Oficina del Comisionado de Información de Australia (OAIC) lo antes posible. La notificación debe incluir la naturaleza de la violación, el tipo de información personal involucrada y las medidas tomadas para mitigar el riesgo de daño.
- Evaluación de impacto en la privacidad: antes de implementar nuevas tecnologías o procesos que involucren el manejo de información personal, los proveedores de atención médica deben realizar una evaluación del impacto en la privacidad (PIA) para identificar y evaluar los riesgos para la privacidad de las personas. Este proceso debe incluir una revisión de los riesgos de ciberseguridad y las medidas implementadas para mitigarlos.
- Proveedores externos: si los proveedores de atención médica utilizan proveedores externos para servicios como computación en la nube o almacenamiento de datos, deben asegurarse de que estos proveedores cumplan con los requisitos de la Ley de Privacidad. Esto incluye garantizar que el proveedor externo tenga medidas de ciberseguridad adecuadas para proteger la información personal.
Las consecuencias de no cumplir con la normativa de ciberseguridad sanitaria
Las implicaciones de no cumplir con las regulaciones de privacidad de datos e información de atención médica pueden ser graves, incluidas consecuencias legales, financieras y de reputación.
En el Reino Unido, el incumplimiento de las normas de protección de datos puede dar lugar a multas de hasta el 4% de los ingresos globales de una organización o £17.5 millones (lo que sea mayor), así como posibles acciones legales y daños a la reputación.
En los EE. UU., las infracciones de la HIPAA pueden dar lugar a importantes sanciones económicas, con multas que oscilan entre 100 y 50,000 1.5 dólares por infracción (hasta un máximo de XNUMX millones de dólares al año por cada categoría de infracción). Además de las multas, las organizaciones de atención médica pueden enfrentar publicidad negativa, pérdida de negocios y acciones legales por parte de las personas afectadas.
En Australia, el incumplimiento de las normas de privacidad puede dar lugar a sanciones de hasta 2.1 millones de dólares para las organizaciones y 420,000 dólares para las personas, así como posibles acciones legales y daños a la reputación.
Además de estas consecuencias específicas, el incumplimiento de las normas de privacidad de la información y los datos en la atención sanitaria puede tener implicaciones más amplias para la seguridad y la confianza del paciente. En ese caso, puede provocar daños graves a los pacientes, erosionar la confianza en los proveedores e instituciones de atención médica y dañar la reputación de la industria de la salud en su conjunto.
Un enfoque basado en estándares para la ciberseguridad sanitaria
Para las organizaciones que buscan cumplir con las múltiples regulaciones de ciberseguridad, seguridad de datos y de la información en el ámbito de la atención médica, la certificación contra ISO 27001, para la seguridad de la información y ISO 27701, porque la privacidad de los datos podría ser un primer paso decisivo.
Muchas de las propias regulaciones sanitarias mencionan que cualquier medida que las empresas adopten para cumplirlas debe considerar el "cumplimiento de las normas internacionales". Por ejemplo, las directrices técnicas emitidas por la Agencia de Ciberseguridad de la Unión Europea (ENISA) para NIS 2 asignan cada objetivo de seguridad a varios estándares de mejores prácticas, incluida la ISO 27001.
Un sistema de gestión de la información (SGSI) compatible con ISO 27001 permite a las organizaciones reducir su riesgo y exposición a amenazas de seguridad al identificar las políticas relevantes que necesitan documentar, las tecnologías para protegerse y la capacitación del personal para evitar errores. También exigen que las organizaciones realicen evaluaciones de riesgos anuales, lo que les ayuda a mantenerse a la vanguardia del panorama de riesgos en constante cambio.
Al implementar un marco de seguridad de la información, las organizaciones obtienen una estructura clara y consistente para organizar y almacenar datos, lo que facilita que las empresas tomen decisiones informadas. Esto puede conducir a una mejor planificación estratégica, gestión de incidentes y cumplimiento de las regulaciones. Además, las políticas de privacidad claras brindan un enfoque estructurado para manejar cualquier incidente de privacidad, lo que también puede reducir el tiempo de inactividad.
Una vez establecido, agregar cualquier requisito regulatorio regional, HIPAA y GDPR adicional es mucho más sencillo. La ISO 27001 también puede certificarse de forma independiente, proporcionando evidencia a proveedores, partes interesadas y reguladores de que se han tomado las medidas técnicas y organizativas “apropiadas y proporcionadas”.
En resumen, un enfoque de estándares ISO 27001 puede beneficiar a las empresas de atención médica que buscan cumplir con múltiples regulaciones de atención médica porque ayuda a cumplir con los requisitos regulatorios, protege los datos confidenciales de los pacientes, genera confianza con los pacientes y las partes interesadas, mejora la postura general de seguridad y proporciona un marco para la mejora continua. .
Lograr una seguridad de la información y privacidad de datos efectivas nunca ha sido más crítico
Las organizaciones y proveedores de atención médica deben priorizar las medidas de ciberseguridad para proteger sus datos y sistemas. Esto incluye implementar salvaguardias técnicas, como firewalls y cifrado, y establecer políticas y procedimientos para la privacidad y seguridad de los datos. Los programas de formación y sensibilización de los empleados también pueden ser fundamentales para prevenir violaciones de seguridad, ya que los empleados suelen ser la primera línea de defensa contra los ciberataques.
Dar prioridad a la ciberseguridad en la atención médica no es solo una cuestión de cumplimiento o gestión de riesgos: es una responsabilidad fundamental proteger los datos de los pacientes y garantizar su seguridad. Las organizaciones y proveedores de atención médica deben tomar medidas para implementar medidas sólidas de ciberseguridad para salvaguardar sus datos y sistemas y mantener la confianza de los pacientes y las partes interesadas.
Fortalezca su cumplimiento de la atención médica hoy
Si está buscando comenzar su viaje hacia una mejor seguridad de la información y privacidad de los datos, podemos ayudarlo.
Nuestra solución ISMS permite un enfoque simple, seguro y sostenible para la privacidad de datos y la gestión de la información con ISO 27001 y potencia otros marcos como HIPAA, GDPR y más. Desbloquee su cumplimiento de atención médica hoy.
