El hecho de que un ciberataque tenga éxito no significa que el sistema de salud o el hospital que lo haya sufrido haya sido negligente. Al contrario. Esta es la opinión de Ricard Martínez, una de las voces de referencia en el ámbito de la protección de datos sanitarios. Extremadura, como ya hemos contado en este periódico, reaccionó con presteza y activó las medidas de contención, mitigación y reparación oportunas. Su denuncia ante la Policía Nacional ha conducido, además, a la detención del autor del ciberataque.
PREGUNTA. Los datos sustraídos (historial clínico indexado con enfermedades, diagnósticos y tratamientos) son categoría especial bajo el RGPD. ¿Qué diferencia de gravedad jurídica y de riesgo real para el paciente hay entre esta brecha y un 'ransomware' que "solo" cifra?
RESPUESTA. Déjeme hacer una reflexión general. Los sistemas de información clínica [como el extremeño, que ha sufrido un ciberataque] son una infraestructura crítica porque se utilizan para la prestación del servicio sanitario y la preservación de la vida humana. Ya sólo por eso tienen la máxima consideración. Pero, además, desde una perspectiva geopolítica, son infraestructuras críticas de país: atacar una infraestructura de un hospital o de un sistema de salud de un país implica reducir su capacidad de reacción y de respuesta ante una crisis.
Por otra parte, los datos en salud poseen un valor económico e intrínseco en el mercado y son susceptibles de reventa.
Pero la gravedad jurídica y el riesgo real para el paciente depende no tanto de la naturaleza de los datos como de los riesgos que generen para los, digamos, titulares de los datos. Es decir: entre los datos que me han robado hay información suficiente no solo para suplantar mi información, sino para vender mi historial médico, o para hackear un dispositivo médico conectado, o datos cuya explotación sea valiosa en investigación, porque un conjunto de datos bien estructurado, especialmente en ámbitos como el cáncer, se cotiza en centenares de miles de dólares.
Todos estos elementos deben ser considerados a la hora de atribuir la gravedad en la sustracción de los datos.
P. El Servicio Extremeño de Salud notificó a la AEPD y a los 18.416 afectados. Cumplidos los trámites, ¿qué puede hacer la Agencia ahora? ¿Es previsible una sanción y de qué orden, o basta con demostrar medidas correctoras?
R. La obligación de seguridad es una obligación de medios, no de fines. Que un ciberataque a un hospital o un sistema de salud tenga éxito no significa que estos lo hayan hecho mal. A veces ni siquiera significa que sea responsable. Extremadura ha notificado a la Agencia Española de Protección de Datos en un plazo de 72 horas y, además, ha notificado a los afectados.
Ante una situación como esta, Extremadura no sólo ha tenido que documentar lo que ha ocurrido, sino notificar todos y cada uno de los pasos que ha seguido, porque el regulador, la AEPD lo que pide es que evalúen lo que ha sucedido: en qué ha consistido el ataque, cuál era la vulnerabilidad, de qué modo se ha producido, a qué volumen de datos ha afectado, a qué tipo de datos, en qué puede consistir el daño o qué riesgos se podrían derivar.
Además, la AEPD también pide que se notifique lo que has hecho y, aquí está el elemento nuclear, si lo podías haber detectado a tiempo, si has sido diligente y tenías herramientas para estar al tanto del ataque, si has reaccionado de modo inmediato, si tenías un plan de contingencia y cómo se materializó
En cuanto a la notificación a los pacientes, está la obligación de transparencia, pero no solo eso. Además de notificarle que existe un riesgo, debes tranquilizarle e incluso indicarle qué debería hacer. Por ejemplo, imaginémonos un caso de un paciente que tenga un dispositivo conectado que exigiera un cambio inmediato de contraseña, o que tenga que pasarse por el hospital para recalibrarlo. Para este tipo de situaciones es para lo que sirve la notificación al usuario: te digo lo que ha pasado, si tus datos están afectados o no y te explico los riesgos que podrían surgir para que adoptes medidas de autoprotección.
Todo este proceso es el que la AEPD va a revisar. Y si el Servicio Extremeño de Salud ha actuado de modo diligente, no procederá la apertura de expediente sancionador. Si alguno de los puntos de todo este proceso falla, es cuando tenemos un problema y el regulador da orden de proceso de inspección e instrucción.
P. El ataque fue masivo y automatizado contra un portal ciudadano. ¿Qué obligaciones de diseño (autenticación reforzada, pseudonimización, limitación de acceso masivo) exigen el RGPD (Reglamento General de Protección de Datos) y el ENS (Esquema Nacional de Seguridad) nivel alto a un portal sanitario público, y cuáles suelen fallar en la práctica?
R. La atribución de un nivel de seguridad en el ENS define un esquema de riesgo. Por tanto, lo que tendrá que hacer un portal ciudadano con acceso a información médica es, a partir de su inventario de activos y de su análisis de riesgos, establecer que medidas de seguridad toca aplicar conforme al ENS. Sé que la respuesta es genérica, pero no es mi área de expertise. Probablemente un experto informático podría dar más información. Lo que sí puedo decir es que las entidades públicas deberán tomarse en serio el ENS. Y si busca la excelencia, debería tratar de certificar ese sistema de información. ¿Por qué? Porque es el frontend, es el punto más directo de cooperación con el ciudadano. Tener un ataque de esa naturaleza pone en riesgo tu reputación. Poner en riesgo tu reputación es poner en riesgo la credibilidad del sistema frente a los pacientes. Eso puede tener efectos perniciosos desde el punto de vista de la confianza de la tranquilidad del propio paciente, más allá de si efectivamente se ha afectado o no a la seguridad y puede repercutir especialmente y de manera muy severa en espacios como la investigación con datos.
P. Con el Espacio Europeo de Datos Sanitarios a punto de exigir compartir historiales entre Estados, ¿incidentes así erosionan la confianza que ese proyecto necesita? ¿Debería cambiar algo en su diseño de seguridad?
R. El Espacio Europeo de Datos busca precisamente garantizar esa confianza. Desde el punto de vista de la seguridad y de la interoperabilidad, la historia de clínica se ha convertido en un producto que tiene que estar estandarizado, que tiene que reunir ciertos requisitos y tiene que ser objeto de validación certificada por un tercero de confianza, lo que se suele llamar en muchos ecosistemas normativos un organismo notificado.
Que un sistema público de salud o un hospital sufra un ataque es, digamos, normal: tienen un gran volumen de datos. Pero la pregunta que hay que hacerse es cómo está la situación en países con sistemas de reembolso, donde, por ejemplo, la atención primaria se ofrece a través de médicos individuales en su casa. En estos países los sistemas no son tan robustos como los que se han diseñado en los entornos públicos. ¿Qué hacemos en ese caso? Lo que aporta el Espacio Europeo es el despliegue de una historia clínica estandarizada, cuyos requisitos de seguridad se alinean con las filosofías de las directivas, especialmente con la última, y cuya seguridad debe ser testada porque si no, nadie va a validar el recurso de software que tú estás creando o entrenando.
En respuesta a su pregunta, ¿los incidentes de seguridad pueden erosionar la confianza en el sistema?, sí, pero esto ocurre cuando no se comunican bien, cuando el usuario tiene más miedo y desconocimiento que conocimiento y capacidad de acción.
P. ¿Qué debe hacer un paciente notificado? ¿Qué riesgos reales tiene (phishing sanitario, extorsión, seguros) y qué derechos puede ejercer, incluida la indemnización por daño moral?
R. El paciente notificado debe entender que quien le notifica la situación está actuando correctamente. Y si se le exige alguna comprobación o validación, debe hacerla. Yo he gestionado ataques de este estilo en el que se han robado datos de estudiantes. Naturalmente, no es algo tan serio como una historia clínica, pero sí que contenían información que permitía suplantar una identidad. Y es obvio que en ese caso, hicimos unas recomendaciones: oiga, si sus datos realmente han sido robados podría sufrir una suplantación de identidad, dese una vuelta por Linkedin y otras redes sociales para comprobar que no ha ocurrido, verifique que no hay movimientos aparentemente extraños en su banco, por si alguien ha contratado algo a su nombre. Pero todo es contextual a la brecha. Es decir, la notificación nos dará acciones reales de autoprotección que deben cumplir.