Ataques de ransomware ponen en riesgo disponibilidad de dispositivos médicos

El Departamento de Salud y Servicios Humanos de EEUU (HHS, por sus siglas en inglés) estima que la primera muerte resultante de un ataque de ransomware (ciberataque que impide a los usuarios acceder a la información en sus sistemas) ocurrió en septiembre de 2020, cuando un hospital se vio obligado a rechazar a un paciente que necesitaba cuidados intensivos. Más recientemente, en una encuesta del Ponemon Institute, una cuarta parte de las organizaciones de atención médica señaló un aumento en las tasas de mortalidad luego de un ataque de ransomware.

Con el amplio uso de dispositivos médicos (DM) conectados, los sistemas de salud corren un mayor riesgo de un impacto adverso en la atención del paciente, según Kevin Fu, director interino de ciberseguridad del Centro de Dispositivos y Salud Radiológica de la Administración de Medicamentos y Alimentos de EEUU (FDA). Por ejemplo, un ataque de ransomware a principios de 2021 ocasionó que pacientes con cáncer tuvieran que reprogramar sus citas para tratamiento de radiación en cuatro centros de salud, por un ciberataque en el servicio en la nube de oncología de un proveedor externo.

«En lugar de que el ransomware simplemente deshabilite el acceso a los registros de salud electrónicos, (…) provocó una interrupción tal que los pacientes no pudieron recibir esa terapia en particular del dispositivo médico. Eso era algo que no habíamos visto antes» dijo Fu. El nuevo desafío para las organizaciones de atención médica y la industria de la tecnología médica es garantizar la disponibilidad de DM en medio de las crecientes amenazas cibernéticas.

La FDA busca que autoridades legislativas refuercen la ciberseguridad de los DM. Entre las posibles opciones para esto, la agencia evalúa exigir a los técnicos médicos, como parte de una presentación previa a la comercialización, una lista de materiales de software (SBOM, por sus siglas en inglés), que sería un formato legible electrónicamente diseñado para proporcionar un inventario de componentes de terceros en dispositivos. Lo anterior, sumado a la capacidad de actualizar y “parchear” la seguridad del dispositivo en el diseño de un producto.

En los próximos meses, la FDA planea publicar una guía actualizada sobre sus expectativas previas al mercado para el diseño y revisión de dispositivos para garantizar la ciberseguridad. Fu sostiene que los dispositivos médicos «deben diseñarse teniendo en cuenta la seguridad para resistir incluso las amenazas cotidianas y corrientes como el ransomware«. Sin embargo, actualmente no existe ningún requisito legal, previo o posterior al mercado, que obligue expresamente a los fabricantes de dispositivos a abordar la ciberseguridad.

Fuente: MedTech Dive    Fecha: 1 de octubre, 2021

Implicaciones para Costa Rica

En Costa Rica, el 23% de las empresas del sector TICs vinculadas con tecnologías 4.0., ofrece servicios relacionados con ciberseguridad, según una investigación de PROCOMER. Esta oferta, en conjunto con la academia y otras instituciones, han conformado Cybersec Costa Rica desde 2020, el primer clúster de ciberseguridad en el país y América Central.

El aumento de ciberataques en la industria de dispositivos médicos y de servicios de salud señala la gran importancia de los servicios de ciberseguridad en ambos sectores. Esto, sumado a la intención de la FDA de aumentar y mejorar los estándares de dichos servicios (mediante la SBOM, por ejemplo), puede representar un incremento en la demanda de servicios de ciberseguridad, tanto en fabricantes de dispositivos como por organizaciones de atención médica, por lo que podría ser un espacio de interés para la oferta costarricense de ciberseguridad.