El 'caso Clínic' refuerza la ciberseguridad sanitaria en todo el SNS

El reciente ciberataque al Hospital Clínic ha puesto de manifiesto los estragos que puede ocasionar un hackeo a los sistemas informáticos de un centro hospitalario. Es por ello que las comunidades autónomas trabajan duramente en prevención y en los últimos meses han incorporado nuevos sistemas de seguridad para evitar situaciones parecidas.

Redacción Médica se ha puesto en contacto con las consejerías de Sanidad de las comunidades autónomas para conocer si existen planes de emergencia ante posibles ciberataques a hospitales. Tras analizar la información remetida a este periódico, se desprende que hay un interés, sobre todo en los últimos meses, por potenciar las barreras de seguridad digital y proteger con ello la información y los sistemas de los centros sanitarios. Las regiones han dedicado nuevos esfuerzos a preservar sus sistemas informáticos de posibles ataques, incluso planean nuevas medidas para ampliarlos.

Con el punto de mira puesto en el hackeo del Hospital Clínic, el Govern anunció hace apenas unos días que ha encargado a la Agencia de Ciberseguridad que elabore una propuesta de programa de protección de los sistemas de información y digitales de tres ejes prioritarios: salud y ámbito asistencial; educación, universidades e investigación y mundo local. Con ello se pretende dotar a los centros catalanes de una mayor seguridad de cara a nuevos posibles ataques que eviten que se repitan acciones de este tipo. El balance tras el ataque a este centro hospitalario se salda con más de 4.000 analíticas sin hacer de pacientes ambulatorios, suspender más de 300 intervenciones y cancelar más de 11.000 visitas a consultas externas.

El Govern ha encargado a la Agencia de Ciberseguridad que elabore una propuesta de programa de protección de los sistemas de información y digitales de salud

Por su parte, desde la Comunidad de Madrid confirman que el pasado septiembre se reforzaron, a través de Madrid Digital y la futura Agencia de Seguridad, sus capacidades de protección y prevención de su propia Administración Pública ante posibles ciberataques, especialmente en organismos como el Servicio Madrileño de Salud (Sermas).

Nuevas medidas ante posibles hackeos

Madrid y Cataluña no son las únicas que han invertido en nuevos sistemas de protección frente a ciberataques. Andalucía, País Vasco y Baleares también afirman haber destinado nuevos esfuerzos en este sentido. Así, el Servicio Andaluz de Salud (SAS) dispone de medidas y controles de seguridad para garantizar en la medida de lo posible la continuidad del servicio público que presta. Según lo establecido en el RD 311/2022, las líneas de ciberdefensa están compuestas por "medidas de naturaleza organizativa, física y lógica". Como novedad explican que "Granada cuenta con un servicio de alerta temprana de sistema de control industrial del CCN-CERT, una herramienta de análisis de tráfico en tiempo real para la detección de las amenazas e incidentes del tráfico en las redes asociadas a sistemas de vigilancia".

Este instrumento del que dispone Andalucía "analiza durante las 24 horas toda la información que entra a estos servidores, consiguiendo una detección de anomalías en tiempo real. Además, da la oportunidad de colaborar con un equipo experto en la materia", según explican desde el SAS.

El SAS cuenta en Granda con un servicio de alerta temprana de amenazas e incidentes del tráfico en las redes asociadas a los sistemas de vigilancia

Otra comunidad autónoma que se ha reforzado en seguridad recientemente es el País Vasco. Desde la Consejería de Salud aseguran a este periódico que "este año se creará la Agencia Vasca de Ciberseguridad para proteger a Euskadi, de una manera integral, frente a los ciberataques". La iniciativa surge para dar respuesta a la "intensificación de la práctica delictiva que se produce a través del entorno digital. Esta agencia nacerá como organismo integrador y transversal que promoverá y coordinará la ciberseguridad en el sector público vasco". Entre los objetivos del gobierno está el "posicionar a la región como un territorio de interés internacional en el ámbito de la ciberseguridad".

El refuerzo también llegó a Baleares hace solo unas semanas. Fue en el mes de febrero cuando el Consejo de Gobierno destinó, según confirman, "449.172 euros a la mejora de la seguridad de las infraestructuras de comunicaciones del Servicio de Salud, así como el refuerzo la capacidad de detección de brechas de seguridad". Desde el departamento sanitario señalan que se encuentran "en la última fase del plan de abordaje del ciberataque y está previsto que durante este mes de marzo se restablezca la conexión a Internet desde todos los centros sanitarios y administrativos".

Ciberseguridad en Navarra, Extremadura, Murcia y La Rioja

El Gobierno de Navarra dispone de un Centro de Operaciones de Seguridad (SOC) que empezó su andadura hace aproximadamente una década y, durante, este tiempo "ha ido evolucionando en capacidades y grado de madurez, siguiendo las mejores prácticas de la industria". Afirman que "una de sus principales señas de identidad, y que lo distingue de otros SOC, es su carácter horizontal ya que presta servicio a todos los Departamentos y Organismos Autónomos Gobierno de Navarra, incluido Salud, Hacienda Foral de Navarra, Policía Foral, Justicia, Desarrollo Rural, por ejemplo".

Destacan que, en todo momento, se establece "una estrecha colaboración con el Centro Criptológico Nacional (CCN), que es el centro de referencia en materia de ciberseguridad para las Administraciones y Organismos Públicos". Precisamente, siguiendo las indicaciones recomendadas por este organismo, desde Murcia aclaran que poseen concretamente "protección específica anti-ransomware del software micro-Claudia" de gran utilidad frente a ciberataques como el que ha sufrido el Hospital Clínic.

Murcia cuenta con una protección específica anti-ransomware del software micro-Claudia para evitar ataques como el del Hospital Clínic

Para el Gobierno Regional de Murcia es una prioridad "la ciberseguridad en la gestión de las tecnologías de la información". En declaraciones a Redacción Médica aseguran que "la protección ante ciberamenazas se organiza por capas de defensa, tanto desde el nivel de conexión directa con el operador de Internet hasta la protección de los servidores donde residen las aplicaciones". Explican, además, que "En el caso concreto que afectó al hospital Clinic, disponemos de la protección específica anti-ransomware del software micro-Claudia recomendado por el Centro Criptológico Nacional".

Por su parte, en Extremadura, el procedimiento de gestión de ciberincedentes del Servicio Extremeño de Salud (SES) establece las "capacidades de respuesta a estas acciones y su adecuado tratamiento, eficaz y eficiente por parte de toda la organización para abordar los incidentes de seguridad y posible crisis derivada los mismos".

Desde La Rioja, afirman en declaraciones a este periódico que "el equipo de ciberseguridad, sin ser especializado o dedicado, tiene puesta la vista, sistemáticamente, en los problemas de seguridad del entorno sanitario". Explican que este grupo "conoce perfectamente las particularidades del sector sanitario y, de hecho, hemos implantado alguna solución específica para la identificación de dispositivos conectados a la red sanitaria tanto dispositivos informáticos como equipamiento electromédico con unas vulnerabilidades específicas y, por tanto, con unos riesgos particulares".

En cuanto al resto de comunidades autónomas, Castilla La Mancha y Asturias también cuentan con sistemas de prevención, mientras la Comunidad Valenciana prefiere, por motivos de seguridad, no detallar si dispone de planes implantados. Al cierre de esta edición, Aragón, Canarias, Cantabria y Galicia no han ofrecido ninguna respuesta.