Podcast de salud digital: de los riesgos cibernéticos en hospitales y dispositivos médicos

Una red inalámbrica abierta en un hospital alemán permitió el acceso no autorizado a infraestructura crítica, incluidas las puertas que conducen a salas de operaciones y departamentos de emergencia. Un denunciante alertó al medio de comunicación heise en línea sobre la vulnerabilidad, que posteriormente se verificó en el lugar. El sistema se basó en credenciales predeterminadas, con el nombre de usuario y la contraseña establecidos como admin, una configuración explícitamente documentada en el manual del dispositivo. Aunque el hospital había sido notificado de la falla antes, el personal inicialmente ignoró la advertencia. La acción se tomó sólo después de la investigación de los medios, aunque los horarios de vacaciones retrasaron el cierre inmediato de la brecha de seguridad.

Todavía no se ha emitido una declaración del hospital con respecto al incidente. Martin Tettke, ex jefe de certificación para dispositivos médicos en Berlin Cert GmbH, que actualmente trabaja en la división de redes y seguridad del Instituto Federal para la Evaluación de Riesgos, discutió el caso en un podcast de salud digital. Describió la situación como un fracaso a través de múltiples niveles de responsabilidad. Los proveedores de servicios nunca deben entregar sistemas con los datos de acceso estándar intactos. Los hospitales, a su vez, deben verificar que se cumplen los requisitos básicos de seguridad durante las pruebas de aceptación. Tettke etiquetó este caso específico como un claro fracaso organizativo.

Señaló que las redes para la administración, la tecnología médica y el control de acceso requieren una estricta separación. La dirección del hospital es responsable en tales casos. Los riesgos adicionales surgen de la informática en la sombra, donde los empleados conectan puntos de acceso inalámbricos personales a las redes institucionales. Los representantes de la Asociación de Informática de Hospitales se quejaron en primavera de que muchas clínicas carecen de los fondos y del personal necesarios para priorizar estos riesgos de manera efectiva. Las clínicas necesitan entender qué procesos operativos dependen de sistemas específicos. Por ejemplo, el fallo de un servidor de correo electrónico conlleva consecuencias diferentes a la interrupción de una máquina corazón-pulmón conectada.

Los fabricantes y los proveedores de servicios deben considerar las necesidades de los operadores, utilizando potencialmente proyectos de software de materiales similares a los utilizados en el desarrollo de productos médicos. Los informes indican que la complejidad del cumplimiento de las TI para los hospitales está aumentando. Los equipos de tecnología de la información deben participar desde el principio en el proceso de adquisición de nuevos dispositivos. El panorama de las amenazas ha cambiado significativamente, según Tettke. Anteriormente, había tiempo suficiente para parchar las vulnerabilidades después de la divulgación. Hoy en día, las organizaciones deben evaluar inmediatamente si ya han sido comprometidas. La colocación de parches dos o tres días después probablemente sea demasiado tarde.

Si bien los modelos de inteligencia artificial ayudan a los atacantes, también se pueden utilizar para auditar las redes internas. Una reciente simulación de crisis realizada por investigadores de Fraunhofer demostró la impredecible dinámica de los ciberataques contra los hospitales. La respuesta rápida requiere personal entrenado. Tettke argumentó que el alto costo y la escasez de trabajadores calificados son justificaciones débiles para descuidar la seguridad, y señaló que un solo incidente de seguridad cuesta múltiplos de contratar de uno a tres nuevos empleados. Recordó una experiencia en la que los servicios de radiología estuvieron inactivos durante una semana en un hospital debido a un problema técnico.