El análisis de datos en salud abre la puerta a mejorar la prevención, anticipar enfermedades y avanzar en la investigación de nuevos tratamientos. "La parte médica se basa muchísimo en la estadística y al final la estadística son datos. Con su análisis podemos ver en porcentaje, por ejemplo, qué probabilidad vamos a tener de sufrir una enfermedad", explica a este periódico Celia Martín, ingeniera biomédica en el Hospital Universitario de La Paz. Sin embargo, la apertura y el intercambio de información sanitaria también conlleva riesgos. "Estos datos son de carácter personal y puedes comprometer la salud y la integridad de las personas. El peligro está en que estás ampliando la superficie en la que se exponen estos datos", advierte.
El uso de datos sanitarios crece, pero también lo hacen las amenazas contra los hospitales y centros de salud que almacenan esos datos. La Agencia de la Unión Europea para la Ciberseguridad (Enisa) señala al sector sanitario como el más afectado por incidentes significativos de ciberseguridad en Europa durante cuatro años consecutivos, entre 2020 y 2023. La preocupación ha llevado a la Unión Europea a trabajar en un plan de acción específico sobre la ciberseguridad de hospitales y prestadores de asistencia sanitaria. "La probabilidad de sufrir un ciberataque en el ámbito sanitario no es en absoluto despreciable. El sector se ha convertido en uno de los objetivos preferidos de los ciberdelincuentes, precisamente por el valor de los datos que maneja y por lo crítico de sus servicios", subraya a Redacción Médica el rector y catedrático de la Universidad de Salamanca, Juan Manuel Corchado, especializado en inteligencia artificial y ciberseguridad.
El ransomware es la amenaza que más preocupa. Es el secuestro del sistema, deja la infraestructura inutilizada. En estos casos, hay un robo de la información. Pero el impacto va mucho más allá de ello. Paralizar un hospital puede retrasar operaciones y derivaciones y obligar incluso a recuperar los registros en papel, lo que puede derivar en la pérdida posterior de esos datos. "La seguridad clínica se ve directamente comprometida: sin acceso a la historia clínica, a las pruebas o a los sistemas de prescripción, el riesgo de error aumenta. A largo plazo, además, estos ataques erosionan la confianza de los ciudadanos en la digitalización de la sanidad, que es justo lo contrario de lo que necesitamos", afirma.
Víctor Yeste, profesor de la Universidad Europea de Valencia y director del máster universitario en Inteligencia Artificial, pone cifras a las consecuencias de estos ataques. Un informe del American Economic Journal documenta que la mortalidad intrahospitalaria durante un ataque de ransomware subió entre un 28 por ciento y un 34 por ciento. El impacto, además, puede extenderse a otros centros sanitarios. "La parada cardíaca intrahospitalaria pasó de una supervivencia del 40 al 4,5 por ciento y estamos hablando de los hospitales de alrededor, no de los que sufrieron ataques. Porque, claro, si empeoras, si de alguna manera afectas al trabajo de un hospital, obviamente los pacientes se van a los de alrededor y congestionan todo ese trabajo", señala.
Las fracturas de los sistemas sanitarios frente a un ciberataque
La ciberseguridad se ha convertido también en una cuestión de seguridad hospitalaria. Proteger los sistemas informáticos de los centros sanitarios requiere inversión, profesionales cualificados, formación específica y medios adecuados. Celia Martín recuerda, además, que los hospitales españoles deben cumplir con el Esquema Nacional de Seguridad (ENS), que establece medidas para proteger la información y garantizar un uso seguro de los sistemas. Su aplicación obliga a los centros a reforzar sus infraestructuras e implantar nuevas medidas de protección, entre ellas los modelos de confianza cero.
"Tiene que ver con toda la parte de identificación de los propios usuarios del hospital, de los propios profesionales que entran, con cambiar las contraseñas para que no puedan entrar otras personas ajenas a la organización", explica. La prevención pasa también por monitorizar de forma constante las amenazas y contar con planes de contingencia que permitan reaccionar ante un ataque. "Es estar preparados por si acaso se sufre una amenaza", resume.
Sin embargo, Corchado advierte de que la protección frente a los ciberataques no admite una solución definitiva. "La seguridad no es un estado que se alcanza, es un proceso que no termina nunca". Mientras la innovación tecnológica avanza, también lo hace la ciberdelincuencia. "Es una actividad muy rentable, cada vez más profesionalizada, que cuenta con medios sofisticados y que ataca de forma masiva y sistemática", denuncia.
El problema es que esa evolución no siempre va acompañada del mismo ritmo de inversión y actualización de los sistemas sanitarios. Infraestructuras que han crecido por acumulación, equipamiento antiguo, redes insuficientemente segmentadas o plantillas de ciberseguridad reducidas son algunos de los factores que menciona al presentar los problemas en ciberseguridad sanitaria. Para él, esta asimetría es, precisamente, la grieta que aprovechan los atacantes. "La respuesta pasa por seguir elevando el nivel: más inversión sostenida, más personal especializado y una revisión continua de las arquitecturas tecnológicas", relata.
¿Cómo cubrir las grietas del sistema para evitar los ciberataques?
La seguridad en un ecosistema sanitario no depende de un único elemento. Es un entramado complejo en el que intervienen los sistemas informáticos, las aplicaciones, las personas que las utilizan y los dispositivos desde los que se accede a los datos. "Es una cadena, y como toda cadena, su resistencia la marca el eslabón más débil", resume Corchado.
En este sentido, defiende que los sistemas y aplicaciones que están en manos de profesionales suelen ser muy seguros: hay un diseño con criterios exigentes, una auditoría y un trabajo de actualización. Así, una parte de los problemas puede estar en los propios usuarios y en la forma en que acceden a los sistemas. "Una contraseña débil o reutilizada, un correo de phishing abierto sin pensar, un dispositivo personal sin protección conectado a la red corporativa. En muchos casos es aquí donde está el problema", reconoce.
Los sistemas mejor protegidos cuentan con un Centro de Operaciones de Seguridad (SOC), que dispone de herramientas y personal especializado para la protección de los datos. Su función es monitorizar toda la infraestructura de la organización, redes, servidores y dispositivos de forma ininterrumpida. El objetivo es detectar, investigar y responder a los ciberataques en tiempo real para minimizar los daños y, en el ámbito sanitario, garantizar la continuidad asistencial.
En esta estrategia, la inteligencia artificial desempeña un papel cada vez más relevante. Víctor Yeste señala que "la IA no sustituye, pero sí puede reducir el tiempo de detección". Esto es clave para evitar que un incidente termine afectando a un servicio concreto o llegue a paralizar un hospital entero. En un entorno hospitalario una de sus mayores ventajas es la capacidad de alertar sobre comportamientos inusuales en los dispositivos médicos. También su capacidad de hacer un cribado de las brechas de seguridad del centro para saber al instante cuáles son críticas o están bajo ataque.
Sin embargo, el catedrático, que también sostiene este diagnóstico, lanza el contrapunto. "La IA puede detectar un patrón anómalo en segundos, pero la otra cara de la moneda es que los atacantes también utilizan inteligencia artificial", lamenta.
La seguridad, en el centro de la investigación con datos de salud
El análisis de los datos sanitarios abre la puerta a nuevas oportunidades para la investigación y la atención a los pacientes. "Vamos a intentar ver un montón de historias clínicas con el objetivo de poder ayudar a los pacientes. Con toda esa información se pueden mejorar muchas cosas, pero hay que hacer un balance y siempre hay que colocar la seguridad en primer plano", ilustra Celia Martín.
Lograr una investigación que respete y garantice la privacidad y la seguridad de los pacientes pasa por aumentar la inversión y reforzar los Centros de Operaciones de Seguridad. También son necesarias herramientas como sistemas de monitorización continua apoyados en inteligencia artificial, cifrado de datos, autenticación robusta de los usuarios, segmentación de las redes y copias de seguridad bien diseñadas, junto con planes de contingencia que permitan mantener la atención a los pacientes incluso durante un incidente. Sin embargo, Juan Manuel Corchado es quien señala el recurso "decisivo": las personas.
Es necesario formar a los usuarios para que sepan qué deben hacer, qué tienen que evitar y cómo reconocer un engaño o actuar ante cualquier sospecha. Esa formación, además, debe ser continua, práctica y adaptada al día a día de cada perfil profesional, desde el personal administrativo hasta el clínico.
Corchado insiste en que la seguridad es una responsabilidad compartida que debe convertirse en una prioridad estratégica. "Ninguna herramienta, por avanzada que sea, sustituye a una organización concienciada. Cuando la tecnología, los profesionales y la cultura de seguridad van de la mano, el entorno resultante es verdaderamente seguro, y ese es el escenario en el que la sanidad digital puede desplegar todo su potencial con tranquilidad", concluye.