Felipe Silgado, director de servicios de consultoría en ciberseguridad de KPMG Colombia, explica que es necesario entender qué es un ciberataque y su impacto en las organizaciones, para asumir la obligación de la protección de los datos y la información, “nunca antes las empresas habían sido tan dependientes de la tecnología digital, por tanto, la ciberseguridad y la resiliencia son claves para construir confianza digital”.

De acuerdo con el informe Insigths de 2022 sobre ciberconfianza, esta la debe empezar a generar el equipo de seguridad dentro de las organizaciones mediante un debido manejo y gestión, para que colaboradores, clientes, la alta dirección, accionistas y demás personas que interactúan con la organización tengan más confianza en trabajar con ella y en utilizar sus servicios.

Según datos de varias encuestas a nivel mundial, el costo de una brecha de datos en una entidad del sector salud aumentó un 42 % entre 2020 y 2022. Esto significa que, cuando una entidad sufre un ataque efectivo, se llevan datos o afectan de alguna manera los datos, lo que implica costos para la organización por temas regulatorios, sanciones y reconstrucción de la información.

Según Silgado, el sector sanitario en 2022 registró un aumento del 45 % en ataques de ransomware respecto de 2021. De 381 empresas de salud encuestadas en 2022, el 66 % de estas fueron atacadas, el 61 % de ellas pagaron el rescate y el 64 % obtuvieron de vuelta los datos. Más de 59 millones de registros de pacientes fueron violados, se presentaron 956 incidentes y hubo un aumento del 30 % de violaciones de datos relacionados con empresas asociadas.

Los ataques de ransomware son los que más impactan las organizaciones y en empresas del sector salud impiden el acceso de los usuarios a los servicios. Vienen aumentando exponencialmente desde 2020, a raíz de la pandemia por COVID-19. Algunos de los más sonados en el mundo fueron los ataques a Allergy Partners, Apex Laboratory, Ireland HSE, CHwapi y al NHS (Servicio Nacional de Salud del Reino Unido), que afectó a hospitales británicos, cirugías en todo el país y rutas de ambulancias, así como canceló alrededor de 92 millones de citas y la atención en Urgencias (al final se pagó el rescate para recuperar los datos y, por lo tanto, los servicios). 

Explica el experto que en ataques de ransomware secuestran datos, los cifran para que los usuarios de la organización no tengan acceso ni disponibilidad a ellos, y con la copia de los datos extorsionan a la empresa a cambio de recuperar la disponibilidad y la no divulgación pública. Ese rescate generalmente se exige en monedas digitales no rastreables como los bitcoins y, si la organización no paga, podría no recuperar el acceso a sus datos; cuando la organización decide no pagar, el atacante le muestra su información y empieza a divulgarla: si tiene una base de datos de un millón de registros, divulga 100, 500 o 1.000 registros para demostrar que sí tiene una copia de esa base de datos. Pueden ser datos de personas, informes de la organización, resultados de exámenes de pacientes. Además, agrega Silgado: “En la medida en que la organización entra en el juego del atacante, se puede ver afectada no solo su operación, sino también su reputación y su imagen”.

Por ejemplo, el grupo delictivo RansomHouse (Casa de Rescate) hace ataques como el de Keralty en Colombia, activa el malware llamado Mario (sale el muñequito de Mario Bross), secuestra los datos y saca una copia. Aclara Silgado: “Recomendamos que no se pague rescate; a nivel mundial hay instituciones que pagaron y no todas recuperaron la información; el atacante se cierra después de ese pago y no devuelve las llaves del cifrado de la información. En encuestas a nivel mundial, casi el 22 % decidió pagar el rescate y, del porcentaje que lo paga, solamente el 65 % recupera los datos (reporte de defensa digital de Microsoft). Cuando se pagan rescates, se fomenta que eso siga ocurriendo y que a la misma organización la vuelvan a atacar más adelante”.

¿Por qué no pagar un rescate? No hay absolutamente garantías de nada, porque un cibercriminal no tiene ninguna obligación de devolver la información y probablemente está en otra jurisdicción o país. En algunas jurisdicciones es ilegal pagar por un rescate, así que debe asesorarse muy bien respecto a consecuencias legales, normativas y regulatorias que eso puede traer. Además, al pagar se envía una señal al mercado criminal de que hay un negocio y crean métodos más sofisticados, hacen mejores campañas de ingeniería social, mejoran sus tácticas, técnicas y procesos, y todos podemos seguir siendo víctimas.

Otros cibercriminales utilizan herramientas de cifrado; instituciones de seguridad como la Interpol, el FBI y la Policía Nacional recuperan llaves de cifrado cuando capturan a estas personas y las usan para descifrar la información. Silgado explica que lo primero que uno puede hacer es utilizar las herramientas públicas para tratar de descifrar la información con llaves ya existentes, y si no funcionan procurar la recuperación a partir de copias de respaldo: “La reacción es activar sus planes de contingencia para darle continuidad al negocio, planes de recuperación de desastres, recuperar los datos a partir de copias de seguridad; si no hay acceso al servidor o donde se guarda la información, hacer reinstalar otra vez desde cero y recuperar a partir del back-up. Lo importante es tener mecanismos, que puedas decir: «yo tengo copias de respaldo, un plan de continuidad, un plan de recuperación, el día que pase algo podría recuperarme, aunque me tome algún tiempo»”.

Principales conductores de cambio

Deben identificarse los riesgos llamados “conductores de cambio”, que obligan a hacer una gestión de ciberseguridad en las organizaciones.

1. Regulación. La regulación del país en protección de datos en entes de vigilancia como la Superfinanciera o Superindustria y Comercio, regulación internacional aplicable a organizaciones en Colombia como el GDPR o el SEC, y la legislación de protección de datos personales.
2. Amenazas de cyber. Amenazas constantes y crecientes para la empresa y sus clientes; y ataques de ransomware, pishing, malware, DDoS, exfiltración de datos, entre otros.
3. Cambios en la organización. Llevan a extremar medidas de ciberseguridad de manera diferente, por ejemplo, proyectos de digitalización, incremento en el uso de aplicaciones, desarrollo de aplicaciones nuevas, fusiones y adquisiciones, objetivos de reducción de costos, entre otros.
4. Cambios en el ambiente. Cambios sociales, económicos y políticos del país y del mundo; crecimiento en la tasa de cambio del dólar; cambios en los clientes de la organización; cambios postpandemia; modas y seguidores. Por ejemplo: en pandemia la gente tuvo que trabajar de manera remota, se tuvieron que crear controles nuevos para que se conectaran con seguridad.

Riesgos para la organización

Silgado indica que los ciberataques generan riesgos en la operación, en la reputación y legales, o riesgo de litigios costosos. En términos de riesgos para la organización, el riesgo de ciberseguridad generalmente se enmarca en la operación, es un riesgo operacional en la continuidad, en el trabajo del día a día, que proyecta pérdidas de ingresos porque se detiene el negocio.

Pero cuando se materializan riesgos a partir de un incidente se activa también el riesgo reputacional, porque empieza a verse la empresa comprometida públicamente; empiezan sus usuarios a quejarse; las entidades de vigilancia y control aparecen a hacer revisiones y a cuestionar la gestión interna; es posiblemente el más difícil de reparar, porque cuando se afecta la imagen de la organización es muy difícil recuperar la confianza de los usuarios.

Asimismo, un incidente también activa el riesgo legal por incumplimientos regulatorios y de contratos, por demandas de usuarios, por supervisión de la Superindustria y otros, donde incluso los representantes legales o de la alta dirección y la junta directiva pueden ser afectados directamente al tener que responder por la organización que administran cuando no hay una debida administración de la ciberseguridad. Se afecta el principio de seguridad demostrada cuando no se puede demostrar que hubo un debido trabajo, un debido cuidado y una debida gestión de seguridad. Toda la planeación de la organización debe darse hacia mitigar no solo el riesgo operacional, sino también el riesgo legal sobre todo desde el punto de vista del manejo de crisis, algo que debe tenerse en cuenta en un plan de continuidad del negocio.

¿Por qué el sector salud es un objetivo para los atacantes?

Silgado presentó varios aspectos que hacen atractivo el sector salud para los ciberataques:

• La información privada de los pacientes vale mucho dinero para los atacantes.
• Los dispositivos médicos son un punto de entrada fácil para los atacantes, pues no tienen un ambiente de seguridad suficientemente robusto.
• El personal necesita acceder a los datos a distancia, lo que abre más posibilidades de ataque.
• Los trabajadores no quieren interrumpir sus cómodas prácticas laborales con la introducción de nuevas tecnologías; estos servicios no necesariamente son prácticas seguras.
• El personal médico y de apoyo no está sensibilizado generalmente sobre los riesgos en línea; se necesita un plan de sensibilización, porque normalmente el trabajo del día a día no permite que haya mucha sensibilización en términos de ciberseguridad.
• El número de dispositivos utilizados en los hospitales dificulta el control de la seguridad, porque muchos que se conectan a la red requieren conexión a los datos y controlarlos es una tarea difícil.
• Las organizaciones de salud más pequeñas también están en peligro: mientras más pequeñas, hacen menos inversiones en temas de ciberseguridad.
• La tecnología obsoleta hace que el sector salud no esté preparado para los ataques, por lo que debe gestionar este tema, ya que las vulnerabilidades y debilidades empiezan a verse con el tiempo y permiten que ocurran ataques.

Debe anotarse que el ransomware se incrementó seis veces más desde la pandemia por COVID-19 y Colombia empezó a recibir muchos más ataques que antes (recibe el 30 % de ataques de ransomware de Latinoamérica). Por ello, hay que hacer un trabajo más formal y estructurado de ciberseguridad en las organizaciones. El costo de los negocios para recuperarse del ransomware cuesta en promedio USD $1,4 millones, y el tiempo de recuperación es de un mes.

Tipos de amenazas al sector salud

Además del ransomware, existen otros tipos de amenazas para el sector salud. Las Insider Threats o amenazas internas, por personas que trabajan en las instituciones y tienen acceso a la información, y que podrían por descuido u omisión compartir o afectar información, o porque quiere hacerle algún daño a la institución.

También hay riesgos de los proveedores externos de la cadena de suministro, que no cumplan buenos estándares de seguridad y que ponen en riesgo la organización. Los ataques de phishing permiten capturar datos de la organización: estos ataques también vienen creciendo; cada vez son más sofisticados y hacen que las personas no noten la diferencia entre un correo de una persona real y otra que sea ataque de phishing. Otro riesgo es la vulnerabilidad en los dispositivos médicos, aquellos de ambientes de IoT (Internet de las Cosas) o IoMT (Internet de las Cosas Médicas).

En el sector salud, este es uno de los riesgos emergentes en temas de tecnología, y hay dos interesados en atacar el sector: los cibercriminales que quieren dinero, hacen el ataque y solicitan un pago del rescate en bitcoins; y los llamados Nation-State que atacan Estados (cuando un gobierno quiere atacar a otro, afecta las infraestructuras críticas del país, dentro de las cuales están los servicios de salud, de transporte, servicios públicos como el agua, el gas, la electricidad).

Advierte Silgado que hay ataques relacionados con falta de protecciones de los datos que impactan las aplicaciones y repositorios en donde se trabaja la información, por lo que se deben implementar unas debidas protecciones en las organizaciones. Por ello, reitera que el tema se enfoca más en la prevención, en tratar de evitar que ocurra, planear para evitar que ocurra, pero que en el momento en el que ocurra, enterarse lo más rápido posible para tomar una acción: “En estas capacidades que tenga la organización de reaccionar más rápido, hace que este impacto del incidente se contenga y sea mucho menor y no se vea afectada de manera severa”.

Recomendaciones de ciberseguridad inmediata

• Revise su estrategia de continuidad del negocio. Valide que tenga su plan actualizado, que las estrategias establecidas de recuperación de los servicios operen ante un incidente de ciberseguridad; asimismo, que tiene los protocolos de respuesta de incidentes y manejo de crisis implementados y probados. Es necesario revisar que la cobertura del plan va a servir para escenarios de nuevas afectaciones como una amenaza de ransomware, planear para las amenazas que pueden afectar a la organización y cómo se recupera de esas amenazas.
• Hacer una prueba de sus procedimientos de respuesta a incidentes. No basta tener un plan, sino ponerlo a prueba. Valide que sus procedimientos contemplen los diferentes escenarios de ataques de ciberseguridad; diseñe y ejecute simulacros de prueba de estos escenarios en ejercicios de escritorio o tipo Table Top, incluyendo a la alta dirección como participantes, y que las personas los conozcan, porque a veces estos planes no se divulgan y el día que ocurre algo buscan el plan, lo que hay que hacer, las actividades, lo cual demora aún más la recuperación.
• Revise los controles fundamentales de prevención y reacción. Debe implementar estos controles fundamentales para prevenir la ocurrencia de ataques.
• Doble factor de autenticación para conexiones remotas, para accesos de administradores y para acceso de cuentas privilegiadas.
• Parches de seguridad al día, al menos para vulnerabilidades críticas y altas. Son actualizaciones que pide el sistema operativo de las aplicaciones y las bases de datos que mantienen el sistema protegido, cierra posibles huecos en la infraestructura y en vulnerabilidades críticas y altas. 
• Antimalware o antivirus, y XDR instalado y actualizado: el antimalware o antivirus evolucionó a una tecnología llamada XDR que tiene un sonido de respuesta, que no solo dice ‘aquí viene un virus’ sino que, a partir del comportamiento de las conexiones, del acceso a las aplicaciones, la internet y demás, permite ver si hay algún tipo de intento de ataque o no. Y cuando lo hay, la herramienta alerta, habla con otras herramientas y deciden prevenir y bloquear.
• Datos sensibles y confidenciales protegidos con DLP y cifrado: el DLP es una herramienta de prevención de fuga de información. Cuando se identifica la información más sensible y más confidencial de la organización, se ubica y clasifica, esta herramienta la protege.
• Protección anti-x para el correo electrónico: antivirus, antispam, antiphishing, antitipos de ataques.
• Back-ups de la información frecuentes y probados: entre más frecuentes es mejor, porque así se pierde menos información en un ataque. Esos back-up tienen que estar fuera de la red y de los sistemas de la organización, porque cuando están dentro del mismo servidor o en otro servidor que puede ser potencialmente atacado no sirven ni serán efectivos.
• Bloqueo de las USB: porque pasan por muchos sitios y resultan infectadas.
• Realizar monitoreos a los eventos de los controles de ciberseguridad, considerar el uso de servicios de SOC (internos o externos): el monitoreo permite saber que está pasando. Al hacer monitoreo de dos o tres herramientas mencionadas, al tener control del monitoreo se sabe si alguien está haciendo algo y si se debe tomar alguna acción.
• Cree una campaña de sensibilización especial de alerta a todos sus empleados y terceros. Incluya en la campaña mensajes frecuentes que ayuden a los usuarios a identificar los tipos de escenarios de incidentes (mensajes de correo o de intranet), capacitarlos en qué hacer en caso de identificar un incidente (autoestudio o sesiones virtuales o presenciales), y evalúe conocimientos de los usuarios (pruebas de phishing y de ingeniería social telefónica). Si en un ataque la persona está bien sensibilizada, no comete el error de abrir un correo sospechoso o un link. Este control se vuelve indispensable y muchas veces puede ser más fuerte que cualquiera de los otros, porque se enseña al usuario cómo prevenir, cómo identificar riesgos y advertencias.

Otro punto relevante, concluye Silgado, es darle la importancia desde la alta dirección a este tema en la organización, porque muchas veces se subestima y dicen “seguridad es una pequeña área de la tecnología, es una persona que ni siquiera trabaja tiempo completo para seguridad o el administrador de algo al que vuelven administrador de seguridad, y se cree que con eso es suficiente”. Afirma el experto: “No necesariamente una organización tiene que invertir millones para tener una buena salud en seguridad, pero sí debe tener una buena identificación de sus puntos débiles y cómo asegurarlos, eso debe ser lo fundamental”.