“El sector salud es probablemente el más atacado”: expertos llaman a reforzar las medidas de ciberseguridad

Fichas clínicas, resultados de exámenes, diagnósticos y antecedentes personales forman parte de la enorme cantidad de información sensible que diariamente circula por hospitales, clínicas y otros prestadores de salud. La digitalización ha permitido agilizar estos procesos y avanzar hacia sistemas cada vez más conectados, pero también ha aumentado la exposición frente a amenazas capaces de comprometer no solo los datos de los pacientes, sino también la continuidad de su atención.

Ese escenario estuvo en el centro de la 3ª Jornada Chilena de Ciberseguridad en Salud, instancia que reunió a representantes del sector público, la academia, instituciones de salud y especialistas en tecnología para analizar los desafíos que enfrenta el país ante el avance de la digitalización, las nuevas exigencias regulatorias y la irrupción de la inteligencia artificial.

Una de las principales advertencias llegó desde la Agencia Nacional de Ciberseguridad (ANCI). Su directora (s), Michelle Bordachar, sostuvo que la salud es “uno de los sectores que es probablemente el más atacado de todos”, debido, entre otras razones, al alto valor que posee la información de los pacientes en mercados ilícitos. El problema, agregó, es que ese nivel de exposición no siempre está acompañado por una protección equivalente: “No necesariamente es el sector que tiene las medidas de seguridad acorde al nivel de riesgo que tiene”.

Para Bordachar, uno de los principales obstáculos sigue siendo la dificultad de anticiparse a amenazas que muchas veces parecen lejanas hasta que ocurre un incidente. “Lamentablemente las instituciones no invierten en estos temas sino hasta después de haber sufrido un ciberataque”, señaló. Frente a ello, llamó a no entender la ciberseguridad como un proceso de “todo o nada”, sino a comenzar con medidas básicas y avanzar progresivamente hacia sistemas más robustos.

Entre esas acciones mencionó la segmentación de redes, la limitación de privilegios, el uso de gestores de contraseñas y el doble factor de autenticación. Esta última medida, aseguró, podría evitar cerca del 80% de los ciberataques, según la información que maneja la agencia. También enfatizó la importancia de que las instituciones de salud se inscriban en la plataforma de reporte de incidentes y comuniquen oportunamente los ataques, información que permite detectar nuevas amenazas y generar alertas para el sector.

Cuando un ataque afecta la atención

El riesgo, sin embargo, no termina cuando se evita la filtración de una ficha clínica. Durante su exposición sobre las nuevas exigencias regulatorias y tendencias globales, el exsenador y socio principal de H&CO Felipe Harboe planteó que la discusión está avanzando hacia una dimensión más amplia: qué ocurre con la atención de los pacientes cuando los sistemas de una institución dejan de funcionar.

Para Harboe, los hospitales concentran una gran cantidad de datos sensibles cuya filtración o manipulación puede tener consecuencias laborales, familiares y personales para los afectados. Pero el avance de la digitalización también obliga a considerar la disponibilidad de los propios servicios sanitarios. Por eso, sostuvo que el impacto de un incidente debería comenzar a medirse no solo por el número de registros filtrados, sino también por el tiempo que una institución permanece sin poder operar y por sus eventuales consecuencias sanitarias.

“En salud la ciberseguridad hoy día no protege datos. Lo que está protegiendo, en estricto rigor, es la continuidad de la atención y el bien jurídico protegido al final del día es la seguridad del paciente”, afirmó.

Esta preocupación se extiende además fuera de los hospitales y clínicas. Harboe advirtió que los atacantes están desplazando parte de su atención hacia la cadena de proveedores del sector, donde participan empresas tecnológicas, fabricantes de equipamiento, servicios asociados y actores del mercado farmacéutico. Así, una institución puede fortalecer sus propios sistemas y seguir expuesta a vulnerabilidades provenientes de terceros con acceso a información o infraestructura crítica.

La pérdida de confianza también puede tener consecuencias directas sobre la relación entre las personas y el sistema sanitario. Bordachar advirtió que, si los pacientes perciben que sus antecedentes médicos no están suficientemente protegidos, podrían comenzar a ocultar información o incluso evitar determinados exámenes. “Hay información que no le van a querer entregar a los médicos y eso nos podría generar un problema grave”, sostuvo.

Inteligencia artificial y nuevos desafíos

A estas amenazas se suma la rápida incorporación de inteligencia artificial, telemedicina, interoperabilidad, historias clínicas electrónicas y dispositivos médicos conectados. Tecnologías que ofrecen nuevas posibilidades para la atención, pero que al mismo tiempo amplían la cantidad de sistemas y puntos de acceso que deben protegerse.

El presidente de la Alianza Chilena de Ciberseguridad, Marco Antonio Álvarez, explicó que la inteligencia artificial ya está siendo utilizada por organizaciones criminales para automatizar ataques, generar campañas de phishing más personalizadas, desarrollar malware e incluso producir deepfakes capaces de engañar mecanismos de autenticación. Al mismo tiempo, advirtió que una vulneración en salud puede generar efectos mucho más concretos que la pérdida de información: puede retrasar procedimientos, afectar diagnósticos o interrumpir tratamientos.

En ese escenario, planteó que la ciberseguridad ya no puede quedar restringida a las áreas de tecnología de las instituciones. “Un hospital puede tener la mejor infraestructura física, pero si sus sistemas críticos dejan de operar, también se compromete la continuidad asistencial”, señaló, apuntando a la necesidad de incorporar la resiliencia digital como parte de la gestión del sector.

La jornada abordó precisamente estas distintas dimensiones a través de exposiciones y paneles sobre gobernanza y cumplimiento regulatorio, continuidad asistencial, interoperabilidad y seguridad clínica, protección y uso de datos e inteligencia artificial. También contempló un ejercicio práctico de gestión de incidentes, orientado a analizar cómo deben responder las organizaciones frente a una emergencia de ciberseguridad.

Al inicio del encuentro, la ministra de Salud, May Chomalí, envió un saludo en video en el que destacó que la transformación digital permite avanzar hacia una atención “más rápida, integrada y cercana”, pero recordó que esa evolución también incrementa las dependencias tecnológicas. El desafío, sostuvo, será proteger la información de las personas y asegurar la continuidad de las prestaciones mientras el sistema de salud continúa avanzando en su transformación digital.

La jornada completa la puedes ver aquí.