Un simple clic en un enlace sospechoso, una contraseña poco segura o un pequeño descuido pueden poner en riesgo mucho más que nuestros sistemas informáticos. En un entorno hospitalario, la ciberseguridad es clave para proteger la información de los pacientes y garantizar la continuidad asistencial. Con motivo del Mes Europeo de la Ciberseguridad, HM Hospitales pone el foco en los principales riesgos digitales, los nuevos desafíos que plantea la inteligencia artificial y, sobre todo, en el papel fundamental que desempeña cada profesional del Grupo para prevenir posibles amenazas. Porque la seguridad digital es una responsabilidad compartida y una forma más de cuidar de quienes confían en HM Hospitales.
- Octubre es el Mes Europeo de la Ciberseguridad. ¿Por qué es especialmente importante la seguridad digital en un grupo hospitalario como el nuestro?
En un hospital, la ciberseguridad va mucho más allá de proteger ordenadores, sistemas o información. Estamos hablando de algo tan importante como la continuidad asistencial y, en primera instancia, de la seguridad de nuestros pacientes.
Hoy en día, prácticamente toda la actividad de un hospital depende, en mayor o menor medida, de la tecnología: desde acceder a una historia clínica hasta realizar una prueba diagnóstica, gestionar una cita o administrar un tratamiento. Por eso, cualquier incidente de ciberseguridad puede tener consecuencias que van mucho más allá de lo tecnológico.
Además, trabajamos con información especialmente sensible, que nuestros pacientes nos confían y que tenemos la responsabilidad de proteger. Creo que esa es la principal diferencia respecto a otros sectores: en sanidad, proteger la tecnología y la información también es una forma de cuidar de las personas.
- ¿Cuáles son las principales amenazas digitales a las que se enfrenta actualmente el sector sanitario? ¿Hay algún riesgo que deba preocupar especialmente a los profesionales?
El sector sanitario es especialmente atractivo para los ciberdelincuentes por dos motivos fundamentales: la sensibilidad de la información que manejamos y nuestra necesidad de mantener los servicios disponibles de forma permanente.
Entre las amenazas más relevantes encontramos el ransomware, que puede bloquear sistemas y comprometer la continuidad de la actividad; los ataques de phishing, que buscan engañar a los profesionales para conseguir credenciales o acceder a información; y los intentos de robo de datos o de suplantación de identidad.
Pero, más allá de las amenazas concretas, hay algo que me preocupa especialmente: la falsa sensación de que un ciberataque es algo lejano o que solo les ocurre a otras organizaciones. Muchas veces, los atacantes no necesitan utilizar técnicas especialmente sofisticadas. Les basta con que alguien abra un archivo malicioso, facilite sus credenciales o confíe en un mensaje que parece legítimo. Como ejemplos el famoso fraude del CEO, los falsos mensajes de Correos, AEAT, etc. e incluso últimamente un mensaje tan simple como pedirnos el boto para una hija bailarina. Siempre apelando a la bondad e ingenuidad de las personas.
Por eso es importante que todos mantengamos un nivel razonable de atención, sin caer en el alarmismo ni convertir nuestro trabajo diario en una carrera de obstáculos.
- ¿Somos realmente conscientes de la cantidad de información sensible que manejamos en nuestro día a día? ¿Qué consecuencias puede tener un descuido aparentemente sin importancia?
Creo que no siempre somos plenamente conscientes, y es comprensible. Cuando trabajamos todos los días con historias clínicas, informes, resultados de pruebas o datos personales, es fácil que acabemos normalizando el acceso a esa información.
Pero debemos recordar que detrás de cada dato hay una persona que ha depositado su confianza en nosotros. Una historia clínica no es simplemente un documento: contiene información sobre la salud y la vida privada de alguien.
Un descuido tan cotidiano como enviar un informe al destinatario equivocado, dejar una sesión abierta o compartir información por un canal inadecuado puede provocar una exposición de datos personales, generar problemas para el paciente y tener consecuencias legales y reputacionales para la organización.
Y hay algo importante que debemos entender: no hace falta que exista un ciberataque para que se produzca un incidente de seguridad. Un error humano, por pequeño que parezca, o caer en ataques de ingeniería social también pueden comprometer información sensible. La buena noticia es que muchos de estos incidentes se pueden evitar con hábitos bastante sencillos que no solo nos ayudan en nuestra empresa sino a nivel personal.
- ¿Cómo trabajamos en HM Hospitales para proteger sus sistemas y la información de los pacientes frente a posibles ciberataques?
La ciberseguridad en una organización como HM Hospitales tiene que abordarse de manera integral. No consiste simplemente en instalar herramientas de protección o disponer de un equipo especializado. Es un trabajo continuo que combina tecnología, procesos y, sobre todo, personas.
Desde el Dpto. de Seguridad y Sistemas particularmente y en toda el área de SSII de manera general, nuestro enfoque es anticiparnos a los riesgos, reducir las posibilidades de que se produzca un incidente minimizando la exposición y estar preparados para responder adecuadamente si llega a ocurrir. Para ello es fundamental trabajar en ámbitos como la protección de los sistemas, el control de accesos, la identificación y parcheo de vulnerabilidades, la detección de amenazas y la capacidad de respuesta y recuperación.
Pero también debemos ser realistas: la seguridad 100% no existe. Ninguna organización puede garantizar que nunca sufrirá un incidente. Lo importante es gestionar adecuadamente los riesgos, establecer las medidas de protección necesarias y desarrollar la capacidad de reaccionar con rapidez y eficacia.
Y, por supuesto, hacerlo sin perder de vista nuestra prioridad: que la tecnología sea un elemento facilitador de la actividad asistencial y no un obstáculo para los profesionales.
- Correos sospechosos, contraseñas poco seguras, enlaces fraudulentos… ¿Cuáles son los errores más habituales que cometemos y cómo podemos evitarlos?
Uno de los errores más frecuentes es actuar de forma automática, especialmente cuando tenemos prisa. Y los ciberdelincuentes lo saben perfectamente.
Recibimos un correo que aparentemente procede de alguien conocido, nos pide realizar una acción urgente y, casi sin pensarlo, pulsamos un enlace o abrimos un archivo. O utilizamos la misma contraseña en varios servicios porque resulta más cómodo recordarla.
Mi recomendación es aplicar algo muy sencillo: ante cualquier situación que nos genere la más mínima duda, dedicar unos segundos a comprobar antes de actuar.
Verificar quién envía realmente un correo, desconfiar de las solicitudes inesperadas, no compartir contraseñas o utilizar patrones simples/repetitivos y utilizar los mecanismos de autenticación establecidos por la organización son medidas básicas que pueden evitar muchos problemas.
Y quiero insistir en algo: si alguien cree que ha cometido un error, lo importante es comunicarlo cuanto antes. Ocultarlo por vergüenza o por miedo a las consecuencias puede convertir un incidente pequeño en un problema mucho mayor. Nosotros al menos agradeceremos este gesto ya que nos ayudará a identificar el problema mucho antes y a mitigarlo.
- La inteligencia artificial está cada vez más presente en nuestro entorno. ¿Está haciendo que los ciberataques sean más difíciles de detectar?
Sí, y probablemente es uno de los cambios más importantes que estamos viendo en los últimos años. Ya hemos podido observar que en un plazo de 1 año y medio hemos pasado de recibir 6K ataques diarios a 90K.
Hasta hace relativamente poco, muchos intentos de fraude eran fáciles de identificar porque contenían faltas de ortografía, expresiones extrañas o mensajes poco creíbles. Con la inteligencia artificial, los atacantes pueden generar comunicaciones mucho más elaboradas, personalizadas y difíciles de distinguir de las legítimas. ¡Son dignas de un artista!
Además, ya es posible crear voces, imágenes o vídeos falsos con un nivel de realismo suficiente como para intentar suplantar a otras personas. Esto significa que no siempre podemos fiarnos de que algo sea auténtico simplemente porque parece real.
Pero también hay que recordar que la inteligencia artificial no es solo una herramienta para los atacantes. También está ayudando a mejorar las capacidades de detección, análisis y respuesta de los equipos de ciberseguridad. Si bien, habitualmente los atacantes suelen tener más medios que los atacados. Básicamente porque suelen tener mafias y gobiernos detrás que invierten en ellos.
El reto está en aprovechar sus ventajas sin perder el sentido crítico. Y añadiría otro aspecto importante en nuestro entorno: debemos ser especialmente cuidadosos con la información que introducimos en herramientas de inteligencia artificial, sobre todo cuando hablamos de datos de pacientes o información interna de la organización. No todas las herramientas ofrecen las mismas garantías de privacidad y seguridad.
- En ocasiones se piensa que la ciberseguridad es responsabilidad exclusiva de los departamentos tecnológicos. ¿Qué papel desempeñan los profesionales de HM Hospitales, independientemente de su puesto de trabajo, en la protección de la información y los sistemas del Grupo?
Es una idea que debemos superar. Evidentemente, los equipos tecnológicos y de ciberseguridad tenemos una responsabilidad específica: establecer las medidas de protección, identificar riesgos y responder ante posibles incidentes. Pero no podemos hacerlo solos. De hecho, en nuestro gremio siempre se ha hablado del usuario como el eslabón débil de la cadena y es ese paradigma el que todos debemos cambiar ya sea por la empresa o por nosotros mismos.
La seguridad depende también de las decisiones que tomamos todos los días. Desde un profesional sanitario que consulta una historia clínica hasta una persona de administración que gestiona documentación, todos interactuamos con información o sistemas que debemos proteger.
La ciberseguridad es una responsabilidad compartida, aunque no todos tengamos las mismas responsabilidades. No esperamos que un médico, una enfermera o un administrativo sean expertos en ciberseguridad, del mismo modo que no tendría sentido esperar que un especialista en seguridad informática pudiera realizar su trabajo asistencial.
Lo que sí necesitamos es que todos conozcamos unas pautas básicas, entendamos los riesgos relacionados con nuestra actividad y sepamos cómo actuar cuando detectamos algo sospechoso.
Al final, la seguridad funciona mejor cuando forma parte de nuestra manera habitual de trabajar y no cuando la vemos como una obligación adicional.
- ¿Cuáles son los errores más frecuentes que pueden comprometer la seguridad digital en el entorno laboral y qué hábitos sencillos recomendaría incorporar al día a día para evitarlos?
Muchas veces no hablamos de grandes errores, sino de pequeños hábitos que repetimos sin darles demasiada importancia.
Dejar el ordenador desbloqueado al ausentarnos, compartir credenciales, enviar documentación sin comprobar los destinatarios, utilizar herramientas no autorizadas o acceder a enlaces sin verificar su procedencia son ejemplos bastante cotidianos.
Y aquí hay un factor que no debemos ignorar: el ritmo de trabajo en un entorno hospitalario puede ser muy exigente. Cuando estamos atendiendo a un paciente o resolviendo una situación urgente, es comprensible que la ciberseguridad no sea lo primero en lo que pensamos.
Precisamente por eso, tenemos que conseguir que los hábitos seguros sean sencillos y se integren de manera natural en nuestra actividad. Bloquear la pantalla al levantarnos, comprobar los destinatarios antes de enviar información, utilizar los canales corporativos y comunicar cualquier comportamiento extraño son acciones que apenas requieren esfuerzo. No se trata de trabajar con miedo a equivocarnos, sino de incorporar pequeñas precauciones que, entre todos, marcan una gran diferencia.
- ¿Qué importancia tienen la formación y la concienciación de los profesionales para consolidar una cultura de ciberseguridad en HM Hospitales?
Son fundamentales. Podemos invertir en las mejores soluciones tecnológicas, pero si las personas no entienden los riesgos o no saben cómo actuar ante determinadas situaciones, siempre tendremos una parte importante de nuestra seguridad sin cubrir.
Ahora bien, creo que debemos ir más allá de la formación tradicional. No basta con realizar un curso una vez al año o recordar periódicamente que no debemos abrir correos sospechosos.
La concienciación tiene que ser continua, práctica y adaptada a la realidad de cada puesto de trabajo. Los riesgos a los que se enfrenta un profesional asistencial no son necesariamente los mismos que los de alguien que trabaja en administración o en un departamento corporativo.
También es importante que las personas se sientan cómodas comunicando dudas o posibles incidentes. Una buena cultura de ciberseguridad no es aquella en la que nadie comete errores, sino aquella en la que sabemos identificarlos, comunicarlos y aprender de ellos.
Para mí, el verdadero objetivo es que la seguridad deje de percibirse como algo que nos exige el departamento de Ciberseguridad y pase a entenderse como una parte natural de nuestra responsabilidad profesional.
- Para terminar, ¿qué tres consejos básicos daría a todos los profesionales de HM Hospitales para contribuir a la ciberseguridad del Grupo?
Me quedaría con tres ideas muy sencillas.
La primera, pensar antes de hacer clic. No debemos confiar automáticamente en un correo, un enlace o una solicitud simplemente porque parece venir de alguien conocido. Ante la duda, siempre es mejor comprobar.
La segunda, cuidar la información como nos gustaría que cuidaran la nuestra. Detrás de cada historia clínica, cada informe y cada dato personal hay alguien que confía en nosotros. Utilizar correctamente los sistemas, proteger nuestras credenciales y compartir información únicamente cuando corresponde es parte de esa responsabilidad.
Y la tercera, comunicar cualquier situación sospechosa cuanto antes. No hace falta estar completamente seguro de que existe un incidente para avisar. Es preferible comunicar una falsa alarma que dejar pasar una amenaza real. Para ello ponemos a disposición nuestro correo [email protected].
Y terminaría con una reflexión: en HM Hospitales todos compartimos un objetivo, que es ofrecer la mejor atención posible a nuestros pacientes. La ciberseguridad también contribuye a ese objetivo. Porque proteger la información, los sistemas y la continuidad de nuestra actividad es, en definitiva, otra manera de cuidar de nuestros pacientes.
