El SNS arma su muro de ciberseguridad coordinando las agencias autonómicas

El volumen al alza de incidentes de ciberseguridad que tienen como diana entidades del ámbito sanitario encuentra la respuesta de las comunidades autónomas, que dan los primeros pasos para desplegar sus agencias especializadas en este ámbito o incluso las dotan de más recursos. De esta forma, a los mecanismos de coordinación en sanidad del Gobierno de España ahora se empiezan a sumar entes autonómicos y entre todos deberán trabajar de forma coordinada y cooperativa y realizar simulacros para responder a estos ataques.

Así lo trasladan el Ministerio de Sanidad, la Agència de Ciberseguretat de Catalunya y la Cyberzaintza a Redacción Médica. Los mecanismos de coordinación de la legislación actual están recogidos en el Real Decreto-ley 12/2018 y el Real Decreto 43/2021, que establecen mecanismos de cooperación para que los incidentes sean reportados a través de las organizaciones designadas como "Csirt de referencia". En concreto, el Centro Criptológico Nacional para incidentes en instituciones sanitarias públicas, así como con las autoridades competentes, en este caso el Ministerio de Sanidad, a través de la Secretaría de Estado de Sanidad.

"Las competencias en materia de ciberseguridad tienen un carácter transversal", ha apuntado el Ministerio de Sanidad, que añade que hay un organismo responsable de la coordinación de la respuesta a incidentes de ciberseguridad en la Administración General del Estado, el CCN-CERT; y hay otro para el sector privado, el Incibe-CERT.

Sistemas de información y alerta temprana

Des de la Agència de Ciberseguretat de Catalunya se hace hincapié en que es muy importante que los entes homólogos "entiendan la realidad del entorno sanitario para poder desplegar un modelo de ciberseguridad adecuado". En ese sentido, ha apuntado que hay que hacerlo acompañado de entidades del sector y con la coordinación y liderazgo de la Consejería competente en materia de sanidad.

"Contar con una visión estratégica y determinación por parte del Departament de Salut y de los miembros de su equipo es un elemento clave y fundamental para lograr que la implementación del modelo funcione y sea efectivo", han agregado desde la Agència. Por último, ha remarcado que "la colaboración y la cooperación" es y será clave en proyectos de esta tipología, dimensión e impacto.

Por su parte, Cyberzaintza dará continuidad a algunas de las iniciativas de coordinación que ya existen, como Csirt.es, "con el objetivo de hacer frente común a este tipo de amenazas". En ese sentido, la Agencia Vasca de Ciberseguridad considera que "la alerta temprana es un aspecto fundamental por lo que se han desarrollado capacidades de intercambio ágil de información sobre ciberamenazas como el caso de MISP (Malware Information Sharing Platform)".

Por último, también es "clave el entrenamiento mediante simulacros de cara a prepararse para responder a este tipo de incidentes", por lo que periódicamente las agencias llevan a cabo "ciberejercicios" para evaluar los procedimientos de respuesta a incidentes de ciberseguridad de cara a identificar puntos de mejora. La Comunidad de Madrid se ha reforzado en esta materia a través de Madrid Digital y la futura Agencia de Seguridad.

Todas estas medidas responden al incremento "significativo" de ciberataques al ámbito sanitario, principalmente por grupos atacantes con motivación económica, como el del servicio de salud irlandés a mediados de 2021 o el del Hospital Clínic de Barcelona, víctima del grupo Ransomhouse. Las agencias coinciden en que estos incidentes, más allá del impacto económico, suponen un grave impacto en la salud de la ciudadanía, al verse obligadas las entidades afectadas, entre otras cosas, a retrasar consultas externas y cirugías.