El NHS necesita urgentemente invertir en medidas de ciberseguridad, según un informe

El Servicio Nacional de Salud del Reino Unido (NHS, por sus siglas en inglés), sigue siendo vulnerable a los ciberataques y debe tomar “medidas urgentes” para protegerse, según un informe del Imperial College. Presentado a la Cámara de los Lores el martes 2 de julio de 2019, el documento sugiere que una combinación de sistemas informáticos obsoletos, falta de inversión y un “déficit de habilidades y conciencia en ciberseguridad” están poniendo en riesgo a los hospitales.

El reporte, escrito por investigadores del Instituto de Innovación en Salud Global del Imperial College de Londres, recopiló pruebas de organizaciones del NHS y ejemplos de ataques anteriores en el Reino Unido y en todo el mundo. Si bien el informe elogia las medidas que se han puesto en marcha, dice que se necesitan urgentemente más inversiones.

Según la investigación, hay una serie de medidas clave que los fideicomisos del NHS deben implementar para aumentar la resiliencia cibernética. Estas iniciativas incluyen “emplear a profesionales de la ciberseguridad en sus equipos de TI, instalar’cortafuegos’ en sus sistemas para permitir que ciertos segmentos queden aislados si se infectan con un virus informático, y disponer de sistemas de comunicación claros para que el personal sepa dónde obtener ayuda y asesoramiento sobre ciberseguridad”.

Los autores también señalan el número de nuevas tecnologías que se utilizan en el sistema de salud, como la robótica, la inteligencia artificial, los dispositivos médicos implantables y los medicamentos personalizados basados en los genes de una persona, y dicen que los científicos deben incorporar la seguridad en el diseño de estas tecnologías.

“Estamos en medio de una revolución tecnológica que está transformando la forma en que proporcionamos y recibimos la atención”, dice Lord Darzi, codirector del Instituto de Innovación en Salud Global (IGHI). “Pero a medida que nos volvemos cada vez más dependientes de la tecnología en la atención de la salud, debemos abordar los desafíos emergentes que surgen en paralelo.

“Este informe destaca las debilidades que comprometen la seguridad de los pacientes y la integridad de los sistemas de salud, por lo que pedimos una mayor inversión en investigación para aprender cómo podemos mitigar mejor las amenazas inminentes de los ciberataques”.

Los ataques cibernéticos a los sistemas de salud han aumentado en los últimos años. El ataque global de WannaCry en 2017, que acabó con 34 fideicomisos del NHS en el Reino Unido, costó al Departamento de Salud y Asistencia Social alrededor de 92 millones de libras esterlinas. El resultado fue la cancelación de miles de citas, y en algunos casos los pacientes fueron desviados a otros hospitales.

Los autores del nuevo informe advierten que aunque el ataque de WannaCry fue relativamente tosco y poco sofisticado, y aunque no fue exclusivo del NHS, advierten que el número y la sofisticación de los ataques está aumentando.

La Dra. Saira Ghafur, autora principal del informe del IGHI, explica: “Desde el ataque de WannaCry en 2017, la conciencia del riesgo de ciberataque ha aumentado significativamente. Sin embargo, aún necesitamos más iniciativas y concienciación, y una mejor ciberseguridad ‘higiene’ para contrarrestar el peligro claro y presente que representan estos incidentes.

“Los efectos de estos ataques pueden ser de gran alcance, desde que los médicos no pueden acceder a los resultados de las pruebas o escáneres de los pacientes, como vimos en WannaCry, hasta que los hackers obtienen acceso a la información personal, o incluso que manipulan el historial médico de una persona”.

En octubre de 2018, el Departamento de Salud y Asistencia Social anunció un gasto de 150 millones de libras esterlinas en los próximos tres años para proteger los servicios clave de la amenaza de los ciberataques. El departamento también anunció recientemente la creación de una nueva unidad llamada NHSX que supervisará la transformación digital y se espera que esta organización ayude a racionalizar las responsabilidades en materia de ciberseguridad.