Hay una gran noticia de ciberseguridad que está sacudiendo a la industria de la salud: los senadores Ron Wyden (D-OR) y Mark Warner (D-VA) presentaron un proyecto de ley llamado Health Infrastructure Security and Accountability Act. Esta propuesta legislativa busca exigir estándares de ciberseguridad mucho más estrictos en todo el sector de la salud.
Francamente, no sorprende, dada la ola de ciberataques que vimos durante el último año y que expusieron vulnerabilidades evidentes en algunas de las organizaciones de salud más grandes del país.
Como seguramente recuerdas, en febrero, la subsidiaria de UnitedHealth, Change Healthcare, fue víctima de un ataque masivo de ransomware. No fue un simple contratiempo: afectó a más de un tercio de los estadounidenses. La gente no pudo surtir sus recetas a tiempo, y las clínicas y hospitales rurales enfrentaron un caos financiero por reclamos sin pagar.
¿Lo peor? Los atacantes entraron a través de un servidor que carecía de autenticación multifactor básica. Para una empresa de ese tamaño, un descuido así es difícil de aceptar.
"Las megacorporaciones como UnitedHealth están reprobando Ciberseguridad 101, y las familias estadounidenses sufren las consecuencias", dijo el senador Wyden al presentar el proyecto de ley. Tiene razón: los ciberataques contra organizaciones de salud se dispararon un 128% solo en 2023, pasando de 113 víctimas conocidas el año pasado a 258 este año. Es una tendencia que nadie quiere ver continuar.
Los senadores Wyden y Warner creen que estas filtraciones son "totalmente prevenibles" y se deben a prácticas de ciberseguridad deficientes. Su proyecto de ley busca cambiar las reglas del juego al introducir estándares obligatorios de ciberseguridad, hacer que las entidades de salud rindan cuentas por proteger los datos de los pacientes y mantener los servicios críticos funcionando sin problemas.
¿Qué significa la Health Infrastructure Security and Accountability Act para la industria de la salud?
En el centro de la Health Infrastructure Security and Accountability Act (¿la podemos llamar simplemente HISAA?) está la búsqueda de una ciberseguridad más sólida en todos los frentes, y de mayor rendición de cuentas.
Estos son algunos puntos clave:
- Estándares obligatorios de ciberseguridad: los proveedores de salud, los planes médicos, las cámaras de compensación y sus socios comerciales tendrían que cumplir con nuevos parámetros establecidos por el Department of Health and Human Services (HHS). Se acabaron las pautas opcionales: estos serían requisitos reales.
- Auditorías anuales y pruebas de estrés: las organizaciones se someterían a auditorías de ciberseguridad independientes y pruebas de estrés cada año para ver qué tan bien pueden recuperarse de incidentes cibernéticos.
- Sanciones más fuertes por incumplimiento: el proyecto de ley busca eliminar los topes a las multas para las grandes corporaciones que no cumplan con los estándares. La idea es que las sanciones duelan lo suficiente para que las empresas simplemente no puedan darse el lujo de ignorar la ciberseguridad.
- Responsabilidad ejecutiva: los altos ejecutivos tendrían que certificar el cumplimiento cada año. Si falsean los detalles, podrían enfrentar cargos por delitos graves e incluso prisión. ("Si quieres que algo se arregle, conviértelo en un problema de la alta dirección", dijo el experto en ciberseguridad de salud y líder del grupo de trabajo COVID de CISA, Josh Corman).
- Apoyo financiero para el cumplimiento: reconociendo que reforzar la ciberseguridad no es barato, el proyecto de ley destina $1,3 mil millones para ayudar a los hospitales, especialmente a los de zonas rurales o desatendidas, a modernizar sus sistemas.
¿Por qué está pasando esto ahora?
El momento en que llega esta ley no es casualidad. El sector de la salud ha estado bajo asedio de amenazas cibernéticas, y las consecuencias han sido graves. Los datos de los pacientes —una mina de oro para los cibercriminales— se han visto comprometidos, lo que ha provocado robo de identidad, fraude y una pérdida de confianza en las instituciones de salud.
El ataque a Change Healthcare no fue la única brecha cibernética importante en el sector de la salud de EE. UU. en la memoria reciente. ¿Necesitas un repaso rápido?
- En septiembre de 2020, Universal Health Services (UHS) sufrió un ataque masivo de ransomware que interrumpió las operaciones en más de 400 instalaciones y afectó la atención de pacientes en todo el país.
- En mayo de 2021, Scripps Health en California fue golpeada por ransomware, lo que obligó al cierre de sistemas, retrasó tratamientos y comprometió los datos personales de casi 150.000 pacientes.
- En octubre de 2022, CommonSpirit Health, uno de los sistemas de salud sin fines de lucro más grandes de EE. UU., sufrió un ciberataque que provocó la cancelación de citas y tiempo de inactividad de los historiales médicos electrónicos en varios estados.
- En junio de 2023, HCA Healthcare informó una brecha de datos que afectó a 11 millones de pacientes debido a un acceso no autorizado.
El senador Warner lo resumió diciendo: "La constante exposición de datos de salud y los retrasos en la atención médica causados por los ataques de ransomware están poniendo en peligro directamente la vida y la salud a largo plazo de los estadounidenses".
En pocas palabras, lo que está en juego es demasiado importante como para seguir con pautas voluntarias que claramente no son suficientes.
¿Qué deben hacer las organizaciones de salud?
Si eres una organización de salud, es momento de examinar a fondo tus medidas de ciberseguridad; ya no puede ser un tema secundario ni algo que simplemente estaría bien tener. Las organizaciones deben fortalecer proactivamente sus defensas para cumplir con las regulaciones que se avecinan y, más importante aún, para proteger a los pacientes a quienes sirven.
Invertir en soluciones avanzadas de ciberseguridad como Detección y respuesta para endpoints (EDR) administrada y sistemas de gestión de eventos e información de seguridad (SIEM) administrados puede marcar una gran diferencia. Estas herramientas ofrecen monitoreo continuo, detección rápida de amenazas y respuestas ágiles ante posibles problemas, justo lo que necesitas para cumplir con los nuevos estándares y proteger a tus pacientes.
¿Y la mejor parte? Como estas soluciones son administradas por profesionales de ciberseguridad que entregan un informe a tu organización, no necesitas contratar ni gestionar un equipo interno. Simplemente dejas que los expertos hagan su trabajo mientras tú te enfocas en las operaciones diarias.
Cómo ayuda Huntress a las organizaciones de salud
La Health Infrastructure Security and Accountability Act marca un cambio importante en la forma en que las organizaciones de salud deben abordar la ciberseguridad. Si te sumas ahora, puedes cumplir con las regulaciones que se avecinan y reforzar la confianza que tus pacientes depositan en ti todos los días.
Recuerda que la ciberseguridad no es solo un problema de TI: es un componente fundamental de la atención al paciente y de la integridad de la organización.
Navegar todos estos cambios puede parecer abrumador, pero no tienes que hacerlo solo. Huntress apoya a las organizaciones de salud con múltiples soluciones que ayudan a protegerlas de amenazas cibernéticas sofisticadas. También ofrecemos Managed Security Awareness Training, que enseña al personal a adelantarse a las amenazas comunes, como el phishing y la ingeniería social, ayudándolo a reconocer tácticas reales de atacantes cuando ocurren.
¿Listo para ver la diferencia que puede hacer una ciberseguridad gestionada y proactiva? Inicia tu prueba gratuita con Huntress y da el primer paso hacia una protección más sólida, y hacia la tranquilidad.
