Saltar al contenido principal

Prácticas y vídeos sobre ciberseguridad en la industria de la salud

Serie de videos de capacitación “Ciberseguridad para el médico”

La serie de videos de capacitación “Ciberseguridad para el médico”, que consta de un total de 47 minutos distribuidos en ocho videos, explica en un lenguaje sencillo y no técnico lo que los médicos y estudiantes de la profesión médica necesitan entender sobre cómo los ataques cibernéticos pueden afectar las operaciones clínicas y la seguridad del paciente, y cómo hacer su parte para ayudar a mantener los datos, los sistemas y los pacientes de atención médica a salvo de las amenazas cibernéticas.

La serie es válida para una hora de crédito CME/CEU. El uso de estos videos de capacitación también puede satisfacer los requisitos de documentación de la Norma de preparación para emergencias de CMS, la Asociación Nacional de Protección contra Incendios y la Comisión Conjunta para el Análisis de Vulnerabilidad y Peligros de las Instalaciones y el Análisis y Capacitación de Riesgos.

Acerca de esta serie de videos

Se recomienda encarecidamente a todos los sistemas de salud que adopten esta serie en sus programas de capacitación; a los grupos industriales y sociedades profesionales, les pido que alienten a sus miembros a hacer lo mismo; y a las empresas de tecnología médica, farmacéuticas, de pago, de TI de salud y de servicios, les pido que consideren extender esta serie a sus clientes como complemento a su apoyo.
La iniciativa 405(d) Aligning Health Care Industry Security Practices, junto con la publicación Health Industry Cybersecurity Practices: Managing Threats and Protecting Patients (HICP) con la que se relacionan estos videos, se realizan en colaboración con el Consejo de coordinación del sector sanitario y de salud pública (HSCC).

Volumen Técnico 1:
Prácticas de ciberseguridad para pequeñas organizaciones de atención médica

#1 – Introducción y sistemas de protección de correo electrónico

La mayoría de las pequeñas empresas recurren a proveedores de correo electrónico externos, en lugar de establecer una infraestructura de correo electrónico interna dedicada. Las prácticas de protección del correo electrónico de esta sección se presentan en tres partes:

  1. Configuración del sistema de correo electrónico: los componentes y capacidades que debe incluir su sistema de correo electrónico
  2. Educación: cómo aumentar la comprensión y la conciencia del personal sobre las formas de proteger su organización contra ciberataques basados ​​en correo electrónico, como phishing y ransomware
  3. Simulaciones de phishing: formas de capacitar al personal y de concientizarlo sobre los correos electrónicos de phishing

#2 – Sistemas de protección de puntos finales

Todos los puntos finales de una organización pequeña deben estar protegidos. Pero ¿qué son los puntos finales? ¿Y qué puede hacer una organización de atención médica pequeña para proteger sus puntos finales?

David Willis, MD y Kendra Siler, PhD de la Organización de Análisis e Intercambio de Información de Salud Poblacional del Centro Espacial Kennedy están aquí para analizar lo que usted debería hacer para reducir las probabilidades de que un ciberataque penetre en sus puntos finales.

#3 – Gestión de acceso

En esta sección, analizaremos el área de práctica de ciberseguridad número 3: gestión de acceso para pequeñas organizaciones de atención médica.

Esta discusión se organizará en tres secciones:

  1. ¿Qué es la gestión de acceso?
  2. ¿Por qué es importante?
  3. ¿Cómo puede el HICP o “hipo” ayudar a mejorar la gestión del acceso para pequeñas organizaciones de atención médica?

#4 – Protección de datos y prevención de pérdidas

El Instituto Nacional de Estándares y Tecnología, o NIST por sus siglas en inglés, define una violación de datos como “un incidente que implica que información sensible, protegida o confidencial sea copiada, transmitida, vista, robada o utilizada por un individuo no autorizado para hacerlo”.

Los datos sensibles, protegidos o confidenciales incluyen información médica protegida (PHI), números de tarjetas de crédito, información personal de clientes y empleados, y la propiedad intelectual y los secretos comerciales de su organización.

#5 – Gestión de activos

¿Qué tecnología de la información o dispositivos de TI tiene en su organización? ¿Sabe cuántos portátiles, dispositivos móviles y conmutadores de red tiene en todas sus ubicaciones? ¿Cuáles ejecutan Windows o el IOS de Apple o uno de los diversos sistemas operativos de Android? Si no está fijado a una pared o a un escritorio, ¿quién es responsable de cada dispositivo?

#6 – Gestión de red

Las redes proporcionan la conectividad que permite que las estaciones de trabajo, los dispositivos médicos y otras aplicaciones e infraestructuras se comuniquen. Las redes pueden adoptar la forma de conexiones cableadas o inalámbricas. Independientemente de la forma, el mismo mecanismo que fomenta la comunicación puede utilizarse para lanzar o propagar un ciberataque. 

Una higiene adecuada en materia de ciberseguridad garantiza que las redes sean seguras y que todos los dispositivos conectados puedan acceder a ellas de forma segura. Incluso si la gestión de la red la proporciona un proveedor externo, las organizaciones deben comprender los aspectos clave de la gestión adecuada de la red y asegurarse de que estén incluidos en los contratos de estos servicios.

#7 – Gestión de vulnerabilidades

La gestión de vulnerabilidades es una práctica continua de identificación, clasificación, priorización, reparación y mitigación de vulnerabilidades de software. Muchos marcos de cumplimiento de la seguridad de la información, auditoría y gestión de riesgos requieren que las organizaciones mantengan un programa de gestión de vulnerabilidades.

#8 – Respuesta a incidentes

La respuesta a incidentes es la capacidad de identificar tráfico sospechoso o ciberataques en su red, aislarlo y solucionarlo para evitar la filtración, el daño o la pérdida de datos. Por lo general, la respuesta a incidentes se conoce como el “bloqueo y abordaje” estándar de la seguridad de la información. Muchos tipos de incidentes de seguridad ocurren de manera regular en organizaciones de todos los tamaños. De hecho, la mayoría de las redes están bajo ataque constante de entidades externas.

#9 – Seguridad de los dispositivos médicos

Los sistemas de atención sanitaria utilizan muchos dispositivos diferentes como parte del tratamiento rutinario de los pacientes. Estos van desde sistemas de diagnóstico por imágenes hasta dispositivos que se conectan directamente al paciente con fines diagnósticos o terapéuticos. Estos dispositivos pueden tener implementaciones sencillas, como los monitores de cabecera que controlan los signos vitales, o pueden ser más complicados, como las bombas de infusión que administran terapias especializadas y requieren actualizaciones continuas de la biblioteca de medicamentos. Estos dispositivos complejos e interconectados afectan la seguridad, el bienestar y la privacidad de los pacientes, y representan vectores de ataque potenciales en la huella digital de una organización. Como tal, estos dispositivos deben incluir controles de seguridad en su diseño y configuración para permitir su implementación de manera segura.

#10 – Políticas de ciberseguridad

Práctica de seguridad cibernética n.° 10: Políticas de seguridad cibernética incluye las mejores prácticas que son documentos específicos para la implementación de políticas y procedimientos de seguridad cibernética en su organización de atención médica.
"Todos los altos ejecutivos de un hospital deben respaldar un buen programa de ciberseguridad, que incluya la capacitación del personal clínico sobre los aspectos básicos", afirmó Mark Jarrett, presidente del Consejo de coordinación del sector sanitario y de la salud pública (HSCC). El Dr. Jarrett, que también es exdirector de calidad y subdirector médico de Northwell Health, agregó: "Recomendaría a todos los sistemas hospitalarios del país que consideren utilizar 'Ciberseguridad para el médico' en sus sistemas de gestión del aprendizaje.
Mark Jarrett, presidente del Consejo de coordinación del sector sanitario y de la salud pública (HSCC)
Para las organizaciones de menor tamaño, es bastante normal creer que no serán el objetivo ni la víctima de ningún ciberataque. Después de todo, ¿por qué un cibercriminal se preocuparía por su negocio local? La verdad del asunto es que la mayoría de los ciberataques son "oportunistas", es decir, los delincuentes lanzan una red amplia cuando buscan víctimas. Pensemos en los pescadores marinos. Las metodologías que utilizan implican recorrer los mares, lanzar sus redes y sacar los peces que capturan.