El sistema sanitario, en guardia ante la oleada de ciberataques en Europa

BarcelonaPrimero fueron diversos supermercados del norte de Europa y, después, el sistema de refrigeración de un banco de sangre francés. Europa vive una oleada de ciberataques que la Agencia de Ciberseguridad (ENISA) y la Comisión Europea califican de "grave" por el impacto que puede tener en servicios e infraestructuras esenciales y las pérdidas económicas importantes que puede comportar. Todavía no se ha confirmado la autoría de ninguno de los incidentes y las autoridades nacionales y comunitarias no han constatado si forman parte de ninguna operación coordinada. Ahora bien, la coincidencia temporal ha puesto en alerta a uno de los sectores que concentra dos de cada cinco ciberataques en Europa: el sistema sanitario. En Cataluña, la Agencia de Ciberseguridad gestionó el año pasado unos 2.200 incidentes, si bien ninguno obligó a interrumpir la actividad sanitaria, según fuentes gubernamentales.

Cuando se habla de posibles ciberataques a hospitales catalanes es inevitable pensar en el incidente del Hospital Clínic de Barcelona de marzo de 2023 con ransomware. Un grupo secuestró información delicada, la cifró y exigió un rescate para evitar la publicación en la deep web. Las consecuencias fueron inéditas y se alargaron en el tiempo: buena parte de la actividad se tuvo que hacer de manera manual, con papel y bolígrafo, porque los profesionales no podían acceder a los historiales clínicos ni compartir información digitalizada. En aquella situación se activaron medidas alternativas, como facilitar a los profesionales el acceso a La Meva Salut y a la historia clínica compartida para atender las urgencias y realizar derivaciones de pacientes.

Ahora los ciberataques en Europa han evidenciado otra preocupación: los piratas informáticos ya no buscan solo robar información, sino paralizar el funcionamiento de unos servicios esenciales como los hospitales, que dependen cada vez más de plataformas digitales, aplicaciones, proveedores tecnológicos e infraestructuras conectadas. De hecho, el ransomware continúa siendo una de las principales amenazas, pero siempre ha existido el sabotaje, el activismo o, simplemente, el ego de los hackers, es decir la voluntad de demostrar que tienen capacidad para penetrar en un sistema público y de gran alcance. Con todo, la directora de la Agencia de Ciberseguridad de Cataluña, Laura Caballero, avisa que a menudo ni siquiera se llega a conocer la motivación.

Ante esta amenaza creciente, ¿se puede blindar completamente el sistema sanitario catalán? "No tenemos una seguridad absoluta. Es una carrera permanente entre quienes intentan encontrar vulnerabilidades y quienes trabajamos para corregirlas", admite el coordinador de TICSalut, Pol Pérez. Ningún sistema es invulnerable, especialmente en un contexto en el que las amenazas evolucionan constantemente y los métodos de intrusión son cada vez más sofisticados. La clave, señala Pérez, no es prometer una protección total del sistema, sino disponer de mecanismos para prevenir, detectar y responder a los incidentes con la máxima rapidez.

Simulacros y ataques éticos

El ataque al Hospital Clínic marcó un punto de inflexión en la manera de abordar la ciberseguridad del sistema sanitario público catalán. A raíz de aquel episodio, el departamento de Salud y la Agencia de Ciberseguridad de Cataluña aceleraron un programa de protección de las infraestructuras y los servicios sanitarios. El plan, desplegado desde hace tres años y medio, se aplica a la atención primaria, los centros sociosanitarios, la atención intermedia y los centros de salud mental de gestión pública. ¿En qué se basa el programa?

La Agencia realiza una revisión continuada de las vulnerabilidades y actúa como una especie de hacker ético, es decir, intenta detectar las posibles debilidades de los sistemas autoatacándose antes de que ataquen grupos externos para definir las medidas de protección y los planes de seguridad adaptados. También se realizan simulacros para preparar a los centros ante una posible incidencia y se trabaja para que tengan planes de contingencia sobre cómo organizarse, qué actuaciones se deben priorizar y qué sistemas conviene desconectar para minimizar riesgos. "El programa no acabará nunca porque las amenazas cambian", avisa Pérez.

Si hace unos años la principal preocupación era proteger los historiales clínicos y la información personal de los pacientes, ahora también hay que pensar en la continuidad de los servicios. Muchas actividades públicas dependen de plataformas tecnológicas y algunos servicios médicos se basan en aplicaciones; así, las comunicaciones entre profesionales o el acceso a determinados servicios pueden quedar comprometidos si cae una infraestructura de la que dependen. “Antes nos preocupaban los ordenadores y los servidores. Ahora cualquier cosa puede ser vulnerable y puede ser atacada y lo importante es tener capacidad de respuesta”, resume Caballero.

En este escenario, uno de los puntos más delicados es la dependencia de los proveedores tecnológicos externos. Un hospital puede tener sus propias medidas de protección, pero si una empresa que le presta servicios se convierte en la puerta de entrada de un ataque, puede quedar comprometido. "Es lo que se conoce como riesgo de la cadena de suministro", indica Caballero, que añade que, para reducir el riesgo, Salud y la Agencia han incorporado cláusulas específicas en los contratos con los proveedores.

Contratación de proveedores

Las empresas que optan a trabajar con el sistema sanitario deben cumplir unos requisitos de ciberseguridad, entre los cuales la obligación de acceder a los sistemas hospitalarios mediante una red privada virtual (VPN) y un doble factor de autenticación. “Esto añade una capa de protección, aunque haga un poco más pesado el proceso de acceso”, apunta Pérez. No todos los proveedores, sin embargo, tienen el mismo nivel de criticidad. Los que gestionan servicios esenciales o plataformas donde funcionan aplicaciones importantes están mucho más integrados dentro de los sistemas de protección y supervisión y “son muy conscientes de su criticidad”, por lo cual tienen planes de contingencia. En cambio, con los proveedores menos críticos la estrategia consiste más en enviar alertas y recomendaciones para que revisen los sistemas.

¿Y qué pasa si un proveedor catalán sufre un ataque, como pasó con el banco de sangre francés? La primera medida es cortar la conexión para evitar que la incidencia se propague. Después hay que corregir el problema y analizar las responsabilidades, que dependerán en buena parte de las obligaciones establecidas en el contrato. Los dos expertos de la Generalitat explican que no es lo mismo un proveedor que ha sido atacado a pesar de cumplir todas las medidas exigidas que uno que no ha hecho los deberes en materia de seguridad. En este segundo caso, la administración puede tener más argumentos para exigir responsabilidades. "Tenemos la capacidad de controlar que los proveedores hagan las cosas como toca. Pero estamos hablando de medidas mitigadoras y de protección, de resiliencia. El riesgo cero no existe", asegura Caballero.

Otra de las cuestiones que generan preocupación es hasta qué punto un ciberataque podría afectar infraestructuras físicas como la electricidad, la climatización de los hospitales, los quirófanos o los sistemas de conservación de productos sanitarios. Los responsables entrevistados distinguen entre los sistemas informáticos conectados a redes digitales y determinadas infraestructuras que funcionan en redes internas. En este sentido, explican que la iluminación, la climatización y los quirófanos en los hospitales catalanes no están controlados remotamente a través de las redes externas, sino que disponen de sistemas electrónicos propios. También recuerdan que los hospitales cuentan con planes de contingencia y generadores para hacer frente a posibles interrupciones del suministro, como pasó durante el apagón general de 2025.