4 cosas que necesita saber sobre los ciberataques al sector sanitario
El reciente ciberataque al coloso de facturación y pagos Change Healthcare reveló cuán graves son las vulnerabilidades en todo el sistema de atención médica de EE. UU. y alertó a los líderes de la industria y a los formuladores de políticas sobre la urgente necesidad de una mejor seguridad digital.
Hospitales, aseguradoras de salud, clínicas médicas y otros en la industria han sido cada vez más el blanco de ataques importantes, que culminaron con el ataque a Change, una unidad del gigante UnitedHealth Group, el 21 de febrero.
El ataque de ransomware a la cámara de compensación más grande del país, que maneja un tercio de todos los registros de pacientes, tuvo efectos generalizados. Las soluciones y soluciones alternativas han aliviado algunas dificultades, pero los proveedores aún no pueden cobrar miles de millones de dólares en pagos. Muchos hospitales y consultorios médicos más pequeños todavía tienen problemas para recibir sus pagos más de un mes después de que Change se viera obligado a cerrar muchos de sus sistemas.
Incluso ahora se ha revelado muy poca información sobre la naturaleza exacta y el alcance del ataque. UnitedHealth dijo que había adelantado más de $3 mil millones a proveedores en dificultades y que esperaba que más servicios de Change estuvieran disponibles en los próximos años. semanas ya que volvió a poner los sistemas en línea.
El FBI y el Departamento de Salud y Servicios Humanos están investigando el hackeo de Change, incluso si los registros y la información personal de los pacientes se han visto comprometidos. Debido a que la red de Change actúa como una centralita digital que conecta la información de la primera visita al médico de un paciente con un diagnóstico como cáncer o depresión y luego el tratamiento posterior con una aseguradora de salud para obtener beneficios y pagos, existe el riesgo de que el historial médico de las personas quede expuesto durante años. .
El ataque al Cambio es sólo el ejemplo de mayor alcance de lo que se ha convertido casi vulgar en la industria del cuidado de la salud. Los ataques de ransomware, en los que los delincuentes apagan los sistemas informáticos a menos que los propietarios paguen a los piratas informáticos, afectaron a 46 sistemas hospitalarios. el año pasado, frente a 25 en 2022, según la empresa de seguridad de datos Emsisoft. Los piratas informáticos también han derribado empresas que brindan servicios como transcripción médica y facturación en los últimos años.
que tan grande es el problema?
Los consultores en ciberseguridad y los funcionarios gubernamentales han identificado consistentemente la atención médica como el sector de la economía estadounidense más susceptible a ataques, y una parte tan importante de la infraestructura crítica del país como la energía y el agua.
“Todos deberíamos estar aterrorizados”, dijo DJ Patil, jefe de tecnología de la compañía de seguros Devoted Health y ex científico jefe de datos de la Oficina federal de Política Científica y Tecnológica. Él y otros enfatizaron las protecciones inadecuadas de los sistemas de salud de EE. UU., a pesar de acontecimientos dramáticos como el ataque de ransomware de 2017 que bloqueó los registros médicos en el Servicio Nacional de Salud de Gran Bretaña, lo que provocó una interrupción masiva para los pacientes.
“Todo el sector carece de recursos en lo que respecta a la ciberseguridad y la seguridad de la información”, dijo Errol Weiss, director de seguridad del Centro de Análisis e Intercambio de Información de Salud, que describió como una vigilancia virtual del vecindario para la industria.
El ataque de Change ha atraído mucha más atención del gobierno al problema. La Casa Blanca y las agencias federales han celebrado varias reuniones con funcionarios de la industria. Los legisladores del Congreso también han iniciado investigaciones y los senadores han citado al director ejecutivo de UnitedHealth, Andrew Witty, a testificar esta primavera.
El sector financiero ha trabajado para identificar y fortalecer áreas vulnerables para hacerlas menos propensas a ataques sistémicos. Pero «la atención médica no ha pasado por un ejercicio de mapeo para comprender» exactamente dónde están los principales puntos críticos que corren el riesgo de sufrir ataques, dijo Erik Decker, director de seguridad de la información de Intermountain Health, un importante sistema de salud regional con sede en Salt Lake. Ciudad.
«Aprendimos una lección: tenemos que hacer eso», dijo Decker, quien también se desempeña como presidente de un grupo de trabajo del sector privado sobre ciberseguridad en la atención médica que asesora al gobierno federal.
Wall Street y el sistema bancario del país han tenido fuertes incentivos financieros para fortalecer sus defensas porque un hacker podría robar su dinero, y el sector enfrenta una regulación gubernamental más estricta.
Los ataques a la atención sanitaria pueden tener consecuencias mortales.
Los estudios han demostrado que aumenta la mortalidad hospitalaria después de un ataque. Los médicos no pueden consultar la atención médica anterior, comunicar notas a sus colegas o comprobar las alergias de los pacientes, por ejemplo.
Las cirugías programadas se cancelan y, en ocasiones, las ambulancias son desviadas a otros hospitales, incluso en casos de emergencia, porque el ciberataque ha interrumpido las comunicaciones electrónicas o los registros médicos y otros sistemas. Las investigaciones sugieren que los hacks tienen un efecto en cascada, reduciendo la calidad de la atención en hospitales cercanos obligado a aceptar pacientes adicionales.
«La ciberseguridad se ha convertido en una cuestión de seguridad del paciente», afirmó Steve Cagle, director ejecutivo de Clearwater, una empresa de cumplimiento de la atención sanitaria.
En algunos casos, los piratas informáticos han hecho públicos datos confidenciales de salud de los pacientes. Lehigh Valley Health Network se negó a pagar un rescate exigido por la misma entidad sospechosa del ataque a Change Healthcare. Luego, los piratas informáticos publicaron en línea fotografías desnudas de pacientes que recibían tratamiento para el cáncer de mama, según una demanda presentado por una de las víctimas. Se robaron cientos de fotografías de pacientes.
¿Por qué la industria del cuidado de la salud es un objetivo?
Los registros médicos pueden exigir varias veces la cantidad de dinero que genera una tarjeta de crédito robada. Y a diferencia de una tarjeta de crédito, que se puede cancelar rápidamente, la información médica de una persona no se puede cambiar.
«No podemos cancelar su diagnóstico y enviarle uno nuevo», dijo John Riggi, asesor nacional de ciberseguridad y riesgos de la Asociación Estadounidense de Hospitales, un grupo comercial.
Pero también dijo que los registros tenían valor «porque es fácil cometer fraude en la atención médica». Las aseguradoras de salud, a diferencia de los bancos, a menudo no emplean métodos elaborados para detectar el fraude, lo que facilita la presentación de reclamaciones falsas.
Las personas preocupadas por el robo de números de seguridad social y otra información financiera pueden inscribirse en una agencia de supervisión de crédito, pero los pacientes tienen pocos recursos si les roban su información personal de salud.
Las redes hospitalarias y otros grupos de atención médica también se han apresurado a pagar rescates para tratar de limitar la exposición de los pacientes, una decisión que sólo recompensa y alienta a los piratas informáticos. El FBI aconseja a los objetivos de ataques de ransomware que no paguen, pero la mayoría de los hospitales lo hacen porque hay mucho en juego. En el caso de Change Healthcare, se dice que la empresa pagó un rescate de 22 millones de dólares, según un informe de cableado.
¿Por qué los hospitales y los médicos no hacen más?
A pesar del riesgo, los hospitales y consultorios médicos más pequeños a menudo no tienen el dinero para pagar medidas de seguridad mejoradas o la experiencia para examinar amenazas graves.
Y la tecnología más antigua rara vez es compatible con los últimos estándares de ciberseguridad; Una mezcolanza de productos y proveedores conectados deja abiertas las puertas laterales digitales, lo que atrae a los piratas informáticos. Debido a que los ataques habían estado dirigidos en gran medida a sistemas hospitalarios individuales antes de que Change se viera obstaculizado, los grupos subestimaron su riesgo.
Jacki Monson, vicepresidenta senior de Sutter Health y presidenta del Comité Nacional de Estadísticas Vitales y de Salud, dijo: “La gente tiene que decidir en qué van a invertir y la ciberseguridad no suele estar en lo más alto de la lista. «
¿Cuál es la respuesta del gobierno?
El marco regulatorio también es antiguo y fragmentado. A los hospitales se les permite seleccionar entre una variedad de estándares de seguridad y no existe una auditoría previa de su cumplimiento.
La seguridad digital está dividida entre diferentes oficinas dentro del HHS, y gran parte del poder regulatorio de la agencia todavía depende de una ley de 1996, redactada antes del desarrollo de los sistemas de salud digitales modernos o del aumento del pirateo de ransomware. El enfoque regulatorio del gobierno se ha centrado en la privacidad y el cumplimiento en lugar de fortalecerse contra los ataques.
La regulación de la seguridad de los datos de las aseguradoras es aún más irregular, ya que las aseguradoras de salud están reguladas en gran medida a nivel estatal. Muchos proveedores como Change, que brindan servicios digitales a hospitales pero no son proveedores de atención médica, también pueden escapar de las grietas regulatorias, dijo Monson.
Eso puede cambiar. La administración de Biden está pidiendo que el HHS garantice que los hospitales tengan la protección adecuada. La administración también está considerando revisiones a las regulaciones sobre cómo se comparten los datos de salud, y puede imponer reglas más claras para las medidas de seguridad digital para los hospitales.
El senador Ron Wyden de Oregón, presidente demócrata del Comité de Finanzas del Senado, ha manifestado interés en establecer nuevas reglas más estrictas.
«Hoy en día, no existen normas técnicas federales obligatorias de ciberseguridad para la industria de la atención médica, a pesar de que la gente ha estado hablando de ello durante años, algo así como décadas», dijo durante una audiencia reciente sobre el presupuesto del presidente. «Quiero ser claro: eso debe cambiar ahora».
Actualizar los sistemas en todos los ámbitos puede resultar costoso, especialmente para organizaciones más pequeñas que operan con presupuestos ajustados. Cuando el gobierno exigió a los hospitales que cumplieran con estándares de ciberseguridad para establecer registros médicos electrónicos hace 20 años, combinó reglas estrictas con importantes incentivos financieros.
La administración Biden ha solicitado 800 millones de dólares iniciales para ayudar a mejorar los sistemas hospitalarios como parte de su reciente propuesta presupuestaria. Pero no está claro si el Congreso podrá o estará dispuesto a proporcionar fondos para la modernización hoy.
Y algunos hospitales seguirán gastando dinero en la última tecnología de resonancia magnética o en más enfermeras en lugar de estrictas protecciones digitales.
«Sin recursos adicionales para elevar el listón, los proveedores de atención médica y los pagadores de atención médica seguirán tomando decisiones entre pagar el tratamiento o la ciberseguridad», dijo Iliana Peters, exfuncionaria federal de salud especializada en seguridad de datos y ahora abogado de Polsinelli, un bufete de abogados en Washington, DC
