Ciberseguridad para el Sector Salud y Hospitales

Por qué el sector salud es el blanco preferencial y qué está en juego

El sector salud combina, en un único blanco, todo lo que vuelve atractiva a una organización para el cibercrimen: datos de altísimo valor, baja tolerancia a la indisponibilidad y un parque tecnológico históricamente subinvertido en seguridad. Una historia clínica electrónica completa vale, en el mundo delictivo, mucho más que un número de tarjeta de crédito, porque agrega identidad, historial clínico, datos financieros del convenio, documentos y, con frecuencia, datos de familiares. A diferencia de una contraseña filtrada, que se cambia, un diagnóstico, un examen genético o un historial de salud mental son inmutables: una vez expuestos, acompañan al paciente por el resto de su vida. Por eso la CISA y el CERT.br tratan la salud como infraestructura crítica, y por eso Decripte estructuró un frente dedicado al sector, desde el consultorio individual (MEI) hasta el gran complejo hospitalario (Enterprise).

Lo que diferencia a la salud de casi todos los demás sectores es que la indisponibilidad tiene una consecuencia clínica directa. Cuando el ransomware cifra el sistema de historia clínica, el hospital pierde el historial de alergias y medicaciones; cuando paraliza el PACS, el radiólogo deja de informar; cuando derriba la agenda quirúrgica, los procedimientos se posponen. El ataque deja de ser un problema de TI y pasa a ser un riesgo para la vida, y los operadores de ransomware lo saben, calibrando la presión exactamente sobre esa urgencia. Es la única vertical en la que la seguridad de la información se confunde, en la práctica, con la seguridad del paciente.

Ese escenario se agrava por una realidad estructural: hospitales y clínicas operan parques heterogéneos, con equipos médicos de ciclo de vida de 10 a 15 años que corren sistemas operativos sin soporte, integrados a software de gestión moderno y a nubes de healthtechs. Coexisten, en la misma red, una bomba de infusión con firmware de hace una década y una API REST de telemedicina. Ese mosaico crea rutas de movimiento lateral que un atacante explota metódicamente, exactamente el tipo de cadena que MITRE ATT&CK cataloga y que un SOC bien instrumentado necesita ver en tiempo real.

Detrás de cada registro hay una persona. Cuando hablamos de riesgo en el sector salud, hablamos del paciente cuyo informe oncológico, cuyo resultado serológico o cuya historia clínica psiquiátrica puede publicarse en un sitio de extorsión por no pagar el rescate. Esa es la cara humana —y jurídica— del problema: la LGPD existe justamente para proteger a ese titular, y la organización que falla en proteger el dato responde por ello. Entender lo que está en juego es el primer paso; mapearlo concretamente es el segundo, y es donde el diagnóstico gratuito de Decripte (decripte.com.br/intelligence-center) empieza a trabajar.

El mapa de amenazas de la salud: ransomware, filtración, IoMT y fraude

La amenaza más letal y visible es el ransomware hospitalario. El ataque típico evolucionó hacia el modelo de doble extorsión: antes de cifrar los sistemas, el grupo criminal exfiltra silenciosamente historias clínicas, exámenes y bases de pacientes para luego, además de exigir rescate por la clave de descifrado, amenazar con publicar los datos sensibles. En salud, esa segunda palanca es devastadora: el chantaje de divulgar diagnósticos íntimos crea presión clínica, reputacional y jurídica de forma simultánea. La entrada suele venir de phishing contra equipos clínicos, credenciales de acceso remoto (RDP/VPN) expuestas o vulnerabilidades sin corregir; la defensa eficaz combina EDR, segmentación, respaldos inmutables y offline probados, y detección conductual que atrapa el movimiento lateral antes del cifrado, tácticas que el marco MITRE ATT&CK mapea paso a paso.

La filtración de datos de salud es el segundo gran frente, y el más regulado. Aquí el daño no depende del cifrado: basta con la exfiltración. Se filtran por una API mal autenticada de una healthtech, por un bucket de almacenamiento mal configurado, por un colaborador con acceso excesivo, por una integración insegura con un laboratorio o por una credencial comprometida en un log de infostealer. Como el art. 11 de la LGPD clasifica el dato de salud como sensible, cualquier incidente que lo exponga dispara el deber de comunicación a la ANPD y a los titulares, y puede generar sanciones. Decripte monitorea justamente ese vector —incluida la presencia de credenciales y datos de la organización en filtraciones y mercados clandestinos— como parte de la Gestión de Amenazas.

El tercer frente, frecuentemente descuidado, es el IoMT: la Internet de las Cosas Médicas. Bombas de infusión, monitores multiparamétricos, ventiladores, equipos de imagen y servidores PACS se comunican mediante protocolos como DICOM y HL7/FHIR, muchos sin autenticación ni cifrado nativo, en sistemas que rara vez reciben parches porque la actualización depende del fabricante y de la certificación del dispositivo. Un servidor DICOM expuesto puede revelar imágenes médicas a cualquiera en internet; un dispositivo comprometido se vuelve punto de pivote o, en el peor caso, tiene su funcionamiento manipulado. La respuesta correcta no es intentar «arreglar» el dispositivo, sino inventariarlo, aislarlo en una VLAN clínica segmentada, controlar el tráfico y monitorearlo, un enfoque de mitigación compensatoria que Decripte implementa en el proyecto de seguridad de borde y arquitectura de red.

El cuarto frente es económico: el fraude en planes de salud y en la facturación. El ecosistema TISS —estándar de intercambio de información entre operadoras y prestadores— mueve guías, autorizaciones y cobros que, al ser atacados, viabilizan fraudes de facturación, guías falsas, manipulación de glosa y uso indebido de credenciales de prestadores. Súmese a eso el BEC (compromiso de correo corporativo) dirigido a los sectores financieros de hospitales y operadoras, con fraudes de pago y desvío de proveedores. Combatir esto exige control de acceso basado en roles, autenticación multifactor, pista de auditoría inmutable y detección de anomalías transaccionales, controles que van mucho más allá del firewall de perímetro.

El encuadre regulatorio: LGPD art. 11, ANPD, CFM y ANS

El punto de partida jurídico es la LGPD (Ley 13.709/2018). Su artículo 11 clasifica el dato referente a la salud como dato personal sensible, junto al dato genético y biométrico, sujetando su tratamiento a un régimen más estricto: hipótesis legales específicas, finalidad determinada y la obligación de adoptar medidas de seguridad técnicas y administrativas aptas para proteger los datos de accesos no autorizados y de situaciones accidentales o ilícitas. En la práctica, esto significa que no basta con «tener seguridad»: hay que demostrarla, con inventario de tratamiento, base legal documentada, controles auditables y capacidad de rendir cuentas (accountability). El profesional o la clínica que trata dato de salud es controlador y responde por esa adecuación.

Cuando ocurre un incidente de seguridad que pueda acarrear riesgo o daño relevante a los titulares, la LGPD impone el deber de comunicación a la ANPD (Autoridad Nacional de Protección de Datos) y a los titulares afectados, en un plazo razonable, con descripción de la naturaleza de los datos, de los titulares involucrados, de las medidas adoptadas y de los riesgos. La ANPD ha emitido regulación sobre comunicación de incidentes y dosimetría de sanciones, y la ausencia o demora en la notificación es, por sí sola, un factor agravante. Por eso el plan de respuesta a incidentes de una organización de salud debe incluir, desde el diseño, el flujo jurídico de notificación, no como reacción improvisada, sino como procedimiento ensayado, con responsables y plazos definidos.

Sobre el acto médico y el registro clínico inciden las normas del CFM (Consejo Federal de Medicina). La Resolución CFM 2.314/2022 disciplina la telemedicina y refuerza las exigencias sobre la historia clínica electrónica, el secreto, la integridad y la seguridad de la información intercambiada de forma remota, incluida la guarda y protección de los datos. Las plataformas de telemedicina y healthtechs deben, por lo tanto, conciliar la usabilidad clínica con requisitos de confidencialidad, autenticación de las partes, registro auditable de la consulta y protección del canal, un equilibrio que exige una arquitectura de seguridad pensada desde la concepción (security by design).

Para las operadoras de planes de salud se suma el marco de la ANS (Agencia Nacional de Salud Suplementaria), que regula el intercambio de información mediante el estándar TISS e impone deberes de integridad, disponibilidad y protección de datos en la relación entre operadoras, prestadores y beneficiarios. Costurando todo esto, los estándares internacionales funcionan como referencia de buenas prácticas: la ISO 27799 traduce los controles de la ISO 27001/27002 al contexto de la información en salud, el HDS es referencia para el alojamiento de datos de salud, y el NIST CSF organiza las funciones de Identificar, Proteger, Detectar, Responder y Recuperar. Decripte usa esos marcos como columna vertebral de la consultoría de LGPD/ISO y del servicio de CISO-as-a-Service para el sector.

Cómo Decripte implementa la seguridad de una organización de salud

La implementación comienza por la visibilidad, y por eso el producto gratuito de Gestión de Amenazas (decripte.com.br/intelligence-center) es el punto de partida natural: mapea la superficie de exposición de la organización, identifica vulnerabilidades y riesgos, y monitorea amenazas con equipo e inteligencia artificial 24x7. Para una clínica u hospital, esto responde a las primeras preguntas críticas: qué activos y puertos están expuestos a internet, si hay servidores DICOM o paneles de gestión accesibles públicamente, si hay credenciales del equipo filtradas en bases de infostealer, cuál es el nivel de riesgo actual. Sin costo y sin fricción, el diagnóstico transforma la incertidumbre en un mapa accionable, que sirve de base para priorizar dónde invertir primero.

A partir de ese mapa, Decripte estructura la defensa en capas. La Gestión de Vulnerabilidades organiza un ciclo continuo de descubrimiento, priorización por riesgo real (no solo por severidad teórica) y corrección, esencial en un entorno con equipos sin parches. La Seguridad Preventiva con EDR coloca sensores en los endpoints clínicos y administrativos para detectar y bloquear ransomware y movimiento lateral. La Seguridad de Borde/WAF protege los sistemas de agendamiento, los portales del paciente y las APIs de telemedicina contra los ataques mapeados por OWASP. Y el Pentest/Seguridad Ofensiva valida todo en la práctica, simulando al atacante real para encontrar la ruta de compromiso antes de que el criminal lo haga, incluidas pruebas específicas sobre integraciones TISS, RNDS y endpoints HL7/FHIR.

El corazón de la operación es el SOC 24x7. En salud, monitorear fuera del horario comercial no es un lujo: los ataques se desencadenan de madrugada y en feriados justamente para encontrar la defensa dormida. El SOC de Decripte correlaciona eventos de la red clínica, del parque IoMT segmentado, de los endpoints y de la nube, usando detección alineada a MITRE ATT&CK para reconocer las tácticas y técnicas de cada etapa del ataque —del acceso inicial a la exfiltración— y actuar antes del cifrado. Para healthtechs y operadoras con fuerte componente digital, ese monitoreo se extiende a las APIs y al pipeline de datos, donde reside buena parte del riesgo moderno.

Sobre toda esa base técnica, la Consultoría LGPD/ISO y el CISO-as-a-Service costuran la gobernanza: inventario de tratamiento de datos sensibles de salud, definición de bases legales, políticas, gestión de proveedores (laboratorios, healthtechs, nubes), plan de respuesta con flujo de notificación a la ANPD y ejercicios de simulación. Para organizaciones sin un líder de seguridad dedicado —la mayoría de las clínicas y healthtechs en etapa inicial—, el CISO-as-a-Service entrega ese liderazgo de forma fraccionada y a medida. Para quienes operan con activos digitales, blockchain o tokenización (una frontera emergente en salud), el frente Web3 cubre los riesgos específicos de ese dominio.

Respuesta a incidentes en entorno hospitalario: cada minuto cuenta

En un hospital, la ventana entre el acceso inicial del atacante y el cifrado de la historia clínica puede ser de horas, y cada minuto de indisponibilidad tiene un costo clínico. Por eso Decripte ofrece Respuesta a Incidentes con SLA de inicio de atención en menos de 1 hora. Cuando suena la alarma, el objetivo inmediato no es entenderlo todo, sino contener: aislar los hosts comprometidos, cortar el movimiento lateral, preservar los sistemas que aún sostienen la atención e impedir que el cifrado o la exfiltración avancen. En un entorno de salud, esa contención se ejecuta con cuidado quirúrgico, porque apagar el segmento equivocado puede ser tan dañino como el propio ataque: es la diferencia entre quien conoce el sector y quien improvisa.

La respuesta hospitalaria tiene una particularidad que pocos sectores comparten: la continuidad del cuidado no puede detenerse mientras la TI se recupera. Por eso el plan de respuesta debe estar acoplado a un plan de contingencia clínica —procedimientos manuales de historia clínica, flujos alternativos para la liberación de exámenes y medicación, comunicación interna que mantenga a los equipos operando con seguridad del paciente incluso con sistemas degradados—. Decripte estructura ese puente entre la respuesta técnica y la continuidad asistencial, ensayado en tabletop exercises antes del incidente real, para que el equipo no descubra el plan en el peor día.

La fase siguiente es la erradicación y la recuperación a partir de respaldos confiables. Aquí la preparación hecha antes del incidente marca toda la diferencia: los respaldos inmutables, offline y regularmente probados son lo que permite rechazar el rescate y restaurar la operación. En paralelo, el análisis forense reconstruye la línea de tiempo del ataque —cómo entraron, qué accedieron, qué datos fueron exfiltrados—, información indispensable tanto para cerrar la brecha como para cumplir el deber legal de notificar a la ANPD y a los titulares con precisión sobre la naturaleza y la extensión de la filtración.

Por último, todo incidente bien conducido termina en aprendizaje estructurado. El informe posincidente alimenta el ajuste de las defensas, de las reglas de detección del SOC y de los controles de gobernanza, cerrando el ciclo del NIST CSF en la función de Recuperar y realimentando Proteger y Detectar. Para las organizaciones de salud, esto significa salir del incidente más resilientes, y poder demostrar a la ANPD, a los pacientes y al mercado una postura de mejora continua, no de negligencia. La madurez de seguridad no es no ser atacado; es detectar rápido, responder bien y probar que se aprendió.

El ángulo del paciente: detrás de cada historia clínica hay una persona

Es fácil discutir la ciberseguridad de la salud en términos de redes, servidores y cumplimiento, y olvidar que cada registro protegido pertenece a una persona real. Cuando una filtración expone un informe oncológico, un resultado de examen de VIH, un historial de salud mental o una prueba genética, el daño no es abstracto: es la pérdida de control sobre la información más íntima que existe sobre alguien, con potencial de discriminación en el trabajo, en el seguro y en las relaciones personales. Para el paciente, es irreversible. La LGPD clasifica esos datos como sensibles exactamente porque reconoce ese peso humano, y es a ese titular a quien toda la arquitectura de seguridad existe para proteger.

Si usted es paciente y sospecha que sus datos de salud se filtraron —recibió una comunicación de la clínica, vio su nombre en una noticia de incidente o comenzó a recibir contactos extraños relacionados con su tratamiento—, usted tiene derechos. La LGPD le garantiza al titular el acceso a la información sobre el tratamiento de sus datos, la posibilidad de exigir explicaciones, correcciones y, en incidentes relevantes, la comunicación por parte del controlador. Guarde evidencias de la comunicación que recibió, desconfíe de mensajes que usen información real de su tratamiento para parecer legítimos (una estafa común tras las filtraciones), y cambie las contraseñas de los portales de salud, activando la autenticación en dos pasos donde sea posible.

Ese ángulo del paciente es, en realidad, el mejor argumento de negocio para la organización de salud. La confianza es el activo central de la relación médico-paciente, y se extiende al tratamiento de los datos. Una clínica que protege bien los datos, que comunica con transparencia y que responde rápido a los incidentes construye reputación; una que se filtra e intenta ocultarlo la destruye de forma duradera. Invertir en seguridad no es un costo de cumplimiento: es la protección del vínculo que sostiene el negocio. Decripte ayuda a las organizaciones de salud a ser dignas de esa confianza, en la práctica y de forma demostrable.

Tanto para la persona física preocupada por sus propios datos como para el gestor de salud que quiere saber cuál es la exposición real de su organización, el camino comienza en el mismo lugar: entender el riesgo concreto. El diagnóstico gratuito de Gestión de Amenazas de Decripte (decripte.com.br/intelligence-center) revela, sin costo, la superficie de ataque, las vulnerabilidades y la presencia de datos en filtraciones, transformando la preocupación difusa en un plan de acción claro. De la clínica de barrio al gran hospital, del MEI al Enterprise, el primer paso es el mismo: ver lo que no está viendo.

Termos do setor

Historia clínica electrónica del paciente (PEP)

Registro digital consolidado de la información de salud de un paciente: historial clínico, diagnósticos, medicaciones, alergias, evoluciones y resultados de exámenes. Es un dato personal sensible bajo la LGPD y está sujeto a normas de secreto y guarda del CFM. Su indisponibilidad (por ransomware) o su filtración tienen un impacto clínico y jurídico directo.

PACS / DICOM

PACS (Picture Archiving and Communication System) es el sistema de archivo y distribución de imágenes médicas (tomografía, resonancia, rayos X). DICOM es el estándar de formato y comunicación de esas imágenes. Los servidores DICOM mal configurados y expuestos a internet son un vector recurrente de filtración de exámenes, pues muchas implementaciones operan sin autenticación adecuada.

IoMT (Internet de las Cosas Médicas)

Conjunto de dispositivos médicos conectados en red: bombas de infusión, monitores multiparamétricos, ventiladores, equipos de imagen. Suelen correr sistemas heredados sin actualización y protocolos sin autenticación, lo que los convierte en blancos y puntos de pivote. La defensa se basa en inventario, segmentación en una VLAN clínica aislada y monitoreo, ya que muchos no pueden recibir parches.

RNDS (Red Nacional de Datos en Salud)

Plataforma de interoperabilidad del DATASUS/Ministerio de Salud que integra datos de salud entre establecimientos públicos y privados en Brasil, usando estándares como HL7 FHIR. Amplía la continuidad del cuidado, pero también la superficie de ataque: integraciones y tokens mal protegidos pueden convertirse en puerta de entrada o punto de exfiltración de datos clínicos a escala.

Estándar TISS

Intercambio de Información en la Salud Suplementaria: estándar regulado por la ANS para la comunicación entre operadoras de planes de salud y prestadores (guías, autorizaciones, facturación, glosa). Por concentrar flujo financiero y de elegibilidad, es blanco de fraude: guías falsas, manipulación de glosa y uso indebido de credenciales de prestadores exigen control de acceso y pista de auditoría.

Dato personal sensible

Categoría de la LGPD (art. 11) que abarca el dato sobre salud, vida sexual, dato genético y biométrico, origen racial o étnico, convicción religiosa, opinión política y afiliación sindical. Recibe una protección más rigurosa porque su filtración tiene un alto potencial de discriminación y daño irreversible. Todo dato de historia clínica, examen y diagnóstico se encuadra en esa categoría.

Por onde começar

1. Inventaríe y clasifique los datos de salud: mapee dónde residen la historia clínica electrónica, los exámenes (PACS/DICOM), los datos genéticos y biométricos, y clasifíquelos como datos sensibles bajo el art. 11 de la LGPD, con base legal y finalidad documentadas para cada tratamiento.
2. Ejecute el diagnóstico gratuito de Gestión de Amenazas (decripte.com.br/intelligence-center) para descubrir la superficie expuesta a internet —servidores DICOM, paneles de gestión, APIs de telemedicina, portales del paciente— e identificar credenciales del equipo filtradas en bases de infostealer.
3. Segmente la red: aísle el parque IoMT (bombas de infusión, monitores, PACS, equipos de imagen) en una VLAN clínica dedicada, separada de la TI administrativa y de internet, con control de tráfico y reglas de mínimo privilegio entre segmentos.
4. Implemente respaldos inmutables y offline y pruebe la restauración periódicamente: esta es la defensa decisiva que permite rechazar el rescate de ransomware y recuperar la operación clínica sin depender del criminal.
5. Active EDR en los endpoints clínicos y administrativos y MFA en todos los accesos remotos (VPN, RDP, portales), eliminando las puertas de entrada más comunes de phishing y credenciales comprometidas.
6. Contrate monitoreo continuo (SOC 24x7) con detección alineada a MITRE ATT&CK, cubriendo red, IoMT, endpoints, nube y APIs, para ver el movimiento lateral antes del cifrado o la exfiltración.
7. Estructure el plan de respuesta a incidentes acoplado a la continuidad clínica y al flujo de notificación a la ANPD, con responsables, plazos y SLA de contención, y ensáyelo en tabletop exercises antes del incidente real.
8. Adecúe la gobernanza a la LGPD, el CFM (telemedicina, Resolución 2.314/2022), la ANS y las buenas prácticas ISO 27799/NIST CSF, con políticas, gestión de proveedores (laboratorios, healthtechs, nubes) y, si falta liderazgo dedicado, contrate CISO-as-a-Service.

Perguntas frequentes