ViVE 2025: De la reacción a la prevención en ciberseguridad para la salud
ViVE 2025 se ha convertido en un foro clave para abordar los desafíos actuales en ciberseguridad en el sector salud.
Un año después del ataque a Change Healthcare: lecciones para el sector
Durante la conferencia ViVE 2025 en Nashville, Tennessee, líderes de la industria de la salud reflexionaron sobre el ciberataque a Change Healthcare, ocurrido un año antes, y su impacto en la seguridad de los sistemas sanitarios.
Este ataque, que pudo haber comprometido los datos de más de 190 millones de personas, dejó en evidencia la vulnerabilidad de las infraestructuras tecnológicas en el sector y la necesidad de evolucionar hacia un enfoque preventivo en ciberseguridad.
Lisa Gallagher, asesora nacional de ciberseguridad en CHIME, enfatizó que el ataque no solo fue un evento de ransomware, sino que los actores malintencionados habían estado infiltrados en la red de la empresa días antes del ataque.
Esto destaca la creciente amenaza de los ataques persistentes avanzados (APT), que requieren un cambio en las estrategias de ciberseguridad para adaptarse a un entorno de amenazas cada vez más complejo.
El impacto del ciberataque en la atención médica
El ataque a Change Healthcare no solo comprometió información sensible, sino que tuvo un impacto directo en la operatividad de hospitales y centros de salud.
Gallagher explicó que la interrupción de servicios impidió procesar autorizaciones previas, retrasó cirugías y generó demoras en urgencias, lo que representó un riesgo real para la seguridad de los pacientes.
“Tenemos que asegurarnos de que nada de lo que ocurra en términos de ciberseguridad ponga en peligro a un paciente”, advirtió Gallagher.
“El problema no solo está en los dispositivos conectados, sino en el ecosistema completo, donde la interrupción de servicios puede ser igual de dañina.”
Resiliencia cibernética: un pilar estratégico en la sanidad
Chelsea Arnone, directora de asuntos federales en CHIME, recordó la rapidez con la que su equipo reaccionó tras el ataque, brindando información actualizada a los miembros de la organización y abogando en el Congreso para impulsar regulaciones más estrictas en ciberseguridad sanitaria.
Destacó que, aunque el sector ha avanzado, todavía queda mucho por hacer para garantizar que los sistemas sean resilientes ante futuros ataques.
Jason Taule, director de seguridad de la información (CISO) en Luminis Health, compartió cómo su sistema de salud respondió al ataque al cortar de inmediato su conexión con Change Healthcare.
“Tuvimos suerte de contar con cierta resiliencia y no nos vimos obligados a desviar pacientes, pero el impacto fue significativo”, señaló.
Uno de los mayores desafíos fue identificar activos vulnerables dentro del sistema.
Contratos antiguos o sistemas heredados que no habían sido actualizados con los nuevos nombres de los proveedores resultaron estar afectados sin que la organización lo supiera.
Esta falta de visibilidad en la infraestructura digital es un problema recurrente en la industria.
Estrategias clave para la ciberseguridad en salud
Los expertos coincidieron en que el sector debe adoptar una postura más exigente con sus proveedores tecnológicos y mejorar su capacidad de respuesta ante ciberataques.
James Case, vicepresidente y CISO en Baptist Health, destacó que muchas organizaciones pensaban que no estaban afectadas por el ataque, pero luego descubrieron que sí tenían contratos vinculados con Change Healthcare.
Ante esta realidad, Taule enfatizó la importancia de desarrollar planes de contingencia y exigir estándares de seguridad más estrictos a los proveedores.
ViVE 2025 ha demostrado ser un espacio esencial para discutir cómo las organizaciones pueden anticiparse a futuros ataques cibernéticos.
“Este es un problema del ecosistema, y si no lo abordamos como tal, nos encontraremos en la misma situación una y otra vez”, advirtió Taule.
Entre las recomendaciones clave para fortalecer la ciberseguridad en las instituciones sanitarias, los expertos sugirieron:
- Identificar los 10 a 15 proveedores críticos y desarrollar planes alternativos para garantizar la continuidad operativa en caso de un ataque.
- Tener playbooks y equipos preparados para responder de manera rápida y eficaz ante ciberataques.
- Estandarizar cláusulas de seguridad en los contratos con proveedores para asegurar que cumplan con requisitos estrictos de ciberseguridad.
- Adoptar modelos de seguridad más estrictos como la autenticación multifactor en todos los servidores y sistemas críticos.
Preparación para futuras amenazas
Los líderes en ciberseguridad advirtieron que es solo cuestión de tiempo antes de que ocurra un ataque similar o de mayor magnitud en el sector sanitario. La pregunta no es si sucederá, sino cuándo y cómo afectará a la infraestructura crítica de salud.
“Esto va a ocurrir”, afirmó Taule.
ViVE 2025 subrayó la urgencia de adoptar nuevas estrategias de seguridad para prevenir desastres digitales en la industria de la salud.
“Tal vez no exactamente de la misma forma, pero algo de esta escala que afecte a nuestra industria es altamente probable.”
Por esta razón, la preparación y la proactividad son esenciales para minimizar el impacto de futuras amenazas cibernéticas en la salud.
0 comentarios