El mercado negro de los datos de salud

Uno de cada cuatro ciberataques se produce sobre información sanitaria, no sólo sobre la económica. Los códigos de tarjetas bancarias robados se pagan a unos 10-15 dólares mientras que los sanitarios a unos 20.

Juan R. de Rivera. Madrid | dmredaccion@diariomedico.com | 30/09/2017 10:00

Pablo López, Juan Díaz García, David Lleras, Carlos Royo Sánchez, David Reche Martínez, Javier Jarauta, Alfredo Reino, y Ramsés Gallego

Pablo López, segundo jefe del Departamento de Ciberseguridad del Centro Criptológico Nacional; Juan Díaz García, reponsable de la Unidad de Gestión de Riesgos Digitales del Servicio Andaluz de Salud; David Lleras, subdirector de Sistemas de Información Sanitaria del Servicio Madrileño de Salud; Carlos Royo Sánchez, director de Desarrollo de Negocio de Sanidad GMV; David Reche Martínez, responsable técnico de Sanidad en Intersystems; Javier Jarauta, director de Consultoría del Grupo SIA; Alfredo Reino, senior manager en Accenture Managed Security Services y Ramsés Gallego, estratega de Symatec. (DM)

Desde que en el mes de mayo Telefónica denunciara un importante ciberataque que le obligó a detener varios sistemas de información, algunos servicios sanitarios han comenzado a observar con desconfianza la incorporación de las TIC (Tecnologías de la Información y la Comunicación) al mundo de la salud y al depósito en ellas de los datos privados de los pacientes.

"El impacto mediático de estos ciberataques ha sido muy grande, sin embargo, no se debe crear pánico en la sociedad, sino comenzar a medir la seguridad en todo momento", ha destacado Pablo López, segundo jefe del Departamento de Ciberseguridad en el Centro Criptológico Nacional.

La Sociedad Española de Informática de la Salud (SEIS) ha organizado y celebrado en Mérida el debate Ciberseguridad: ¿estamos preparados para el reto de la seguridad digital? como parte de la VII reunión del Foro para la Gobernanza de las TIC en Salud, donde los profesionales de la sanidad y de la seguridad en las nuevas tecnologías han compartido sus opiniones sobre este tema.

"Los ciudadanos consideran que los ataques informáticos sólo se dirigen a la banca, sin embargo, el 26 por ciento de los ciberataques se producen contra la sanidad", ha advertido Javier Jarauta, director de consultoría del Grupo SIA. Según ha afirmado Jarauta, en algunas plataformas de Internet pertenecientes a la web oscura (páginas donde está presente el mercado negro) el valor de los datos sanitarios de una persona es superior al de sus datos bancarios. "Mientras que los códigos de las tarjetas bancarias de un usuario se pagan a un precio de entre los diez y los quince dólares, los datos de salud pueden llegar a alcanzar los veinte dólares".

Concienciar a la población

La mayoría de quienes han participado en el debate coincide en que la solución está en que la ciudadanía tome conciencia de la importancia de proteger sus datos a través de mejores sistemas. Y, en concreto, los profesionales sanitarios "están perdidos en cuanto a la ciberseguridad y, en ocasiones, muy mal asesorados", según ha declarado Carlos Royo Sánchez, director de Desarrollo de Negocio de Sanidad de GMV. "Muchos siguen utilizando sistemas obsoletos que constituyen un posible problema de seguridad. Aún no estamos preparados culturalmente para confiar en las TIC en la sanidad, pero empieza a haber soluciones".

Prevenir amenazas

Juan Díaz García, responsable de la Unidad de Gestión de Riesgos Digitales en el Servicio Andaluz de Salud, ha aplaudido la nueva norma que obligará a las empresas españolas, a partir del próximo año, a publicar informes cuando se produzcan en ellas fugas de datos. Según ha explicado, en países como Canadá o Estados Unidos, se informa de fugas de millones de datos al día mientras que en España "no existen ese tipo de referencias debido a que la ley no exigía denunciar estos casos. Debemos admitir que no estamos todo lo seguros que nos gustaría, no todos los sistemas sanitarios de las Comunidades Autónomas tienen sus sistemas actualizados".

La gran mayoría de los datos se ha venido guardando en grandes silos durante años, sin embargo, almacenar información en estructuras físicas tiene riesgos de seguridad y altos costes. "Hoy es tecnológicamente posible y económicamente viable hacer un sistema integrado de datos en el que la información de se comparta en nubes u otras estructuras. La seguridad es una actitud", ha destacado Ramsés Gallego, estratega y evangelista de Symantec.

Pablo López ha remarcado también la importancia de notificar este tipo de incidentes informáticos a tiempo, de manera que estos problemas no se extiendan y se puedan establecer parámetros que prevengan las amenazas. A pesar de que la legislación siempre va un paso por detrás de las nuevas tendencias, Carlos Royo ha advertido que "en unos años habrá más de 200.000 millones de dispositivos informáticos que deben ser regulados por los gobiernos que, además, deben emplear todas las vías posibles para que el ciudadano tome conciencia de ello".

La inversión pública en almacenamiento en 'la nube' crecerá en un 20% en 2020

Los servicios sanitarios de España y del mundo están comenzando a dar pasos en dirección al almacenamiento de información de salud en la nube, sin embargo, son muchos los profesionales que se oponen a este cambio de paradigma. "Los analistas ya están advirtiendo de que en el año 2020 el gasto público de los estados en este tipo de tecnología se incrementará en un veinte por ciento", ha explicado Susana García Dacal, directora de Infraestructuras y Tecnologías de la Información del Servicio de Salud de Castilla y León, en el debate Cloud Sanidad hoy, que ha tenido lugar como parte de la VII Reunión del Foro para la Gobernanza de las TIC en Salud.

Carmen Ferrer Ripollés, subdirectora de Sistemas de Información para la Salud en la Consejería de Sanidad de la Comunidad Valenciana, asegura que la información médica tiene un alto nivel de protección en Europa y en España y, por tanto, es un factor que debe asegurarse al confiar en otro tipo de almacenamientos como la nube. "Estos sistemas aún no están maduros y, además, pertenecen a empresas. Por tanto, los datos de la salud de los ciudadanos estarían en manos de multinacionales".

Abocados a 'la nube'

En este mismo sentido, Francisco Javier Rubio García, responsable de Comunicaciones y Redes de la Subdirección de Sistemas de Información en el Servicio Extremeño de Salud, ha admitido que aún no están claros los problemas jurídicos que puede ocasionar el uso de la nube en los datos sanitarios. Afirma que el giro total hacia este tipo de tecnología es muy complicado debido a que "pierdes el control total sobre los datos y aumentas la dependencia a tu proveedor. Sin embargo, la nube tiene muchos beneficios y, uno de ellos, es que agiliza la consulta de datos".

Durante el debate, varios conferenciantes estuvieron de acuerdo en que la llegada de la nube a la sanidad es imparable. José Juan Moratilla, de Siemens Healthineers, asegura que "existen certificaciones de seguridad y es un sistema más seguro que tener la información en papel o, incluso, en los centros de procesamiento de datos (CPD)". En este mismo sentido, María José Talavera Carmona, directora general de VMware en España y Portugal, ha explicado que los sistemas de almacenamiento en la nube son seguros "porque tener fallos de seguridad afecta a la imagen de las empresas proveedoras".

Álvaro León Camacho, director del Sector Sanidad en Microsoft Iberia, considera que "estamos preparados para incorporar la nube".