La digitalización de hospitales, clínicas y todo tipo de centros médicos del sector sanitario está acelerando la generación de todo tipo de datos. De hecho, se calcula que un paciente genera unos 80 megabytes de datos anuales y la tendencia es que esta cifra siga aumentando de forma exponencial. Un incremento que obliga a las organizaciones sanitarias a revisar sus estrategias de almacenamiento de datos de historiales médicos, la protección de lo datos y la implantación de políticas de clasificación de datos y permisos de acceso. Todo ello bajo el paraguas de una solución de Data Security and Posture Management (DSPM)
Y es que la implementación con éxito de un DSPM en el sector salud no sólo mejora la eficiencia en la gestión de los datos, sino que también fortalece la seguridad y el cumplimiento normativo, en un sector altamente regulado en materia de protección de datos personales y expuesto a importantes sanciones económicas por incumplimiento o filtración de datos sensibles.
La gran cantidad de información personal y médica que se almacena en el sector salud, unida a la amplia información empresarial y financiera que genera el propio hospital (presupuestos, proveedores, personal…) hace que sea crítico extremar el control sobre la forma en que los datos son recogidos, almacenados y tratados. Resulta vital conocer la ubicación de los datos, gestionar correctamente sus permisos de acceso y realizar una correcta clasificación y categorización de estos datos. Hablamos de unos datos sensibles que abarcan desde analíticas y tratamientos e historiales clínicos hasta información económica, de aseguradoras, datos demográficos de los pacientes, datos de los trabajadores y proveedores…
Unos datos sensibles que resultan muy atractivos para los ciberdelincuentes, por lo que el sector salud se ha convertido en uno de los más susceptibles de ser atacados. Basta con mirar los datos del Instituto Nacional de Ciberseguridad (INCIBE) para confirmar esa amenaza: en 2022, más de 500 instituciones sanitarias reportaron incidentes, lo que supone un incremento del 48 % respecto al año anterior. Además, un informe del grupo Sham destaca la vulnerabilidad de los dispositivos conectados para el tratamiento y diagnóstico de pacientes en el sector sanitario.
Más allá de los riesgos asociados a las sanciones económicas, el problema es que cuando un ataque resulta exitoso, se pone en riesgo no solo la institución atacada sino también la seguridad física y emocional de los pacientes. Los ciberataques ocasionan graves consecuencias para las instituciones de salud: multas, demandas, daño reputacional que derivan en pérdida de confianza pública…
Por eso, desde la recolección de datos hasta la eliminación de la información, un DSPM asegura que los datos, a lo largo de todo su ciclo de vida, sean utilizados de manera responsable y segura. Además, su capacidad para gestionar los permisos de acceso y la trazabilidad de los datos permite monitorizar actividades sospechosas, proteger la información confidencial, ayudar a prevenir brechas de seguridad, controlar la información que se comparte con terceros y mejorar la confianza de los clientes. En un sector donde la privacidad y la protección de datos son cada vez más críticas, contar con un DSPM es una inversión estratégica que garantiza la continuidad y el prestigio del sector salud.
DSPM en hospitales: casos de uso
Con este escenario, es crítico que las instituciones del sector salud tomen las medidas necesarias para prevenir que sus datos puedan quedar expuestos ante terceros. Para ello, deben a sus infraestructuras dotar de la tecnología necesaria para proteger dicha información, y garantizar que el personal que tenga acceso a los datos adquiera los conocimientos necesarios y realice el aprendizaje sobre la gestión de los datos apoyándose en plataformas tecnológicas de vanguardia.
Analicemos algunos ejemplos donde el uso de un DSPM, como puede ser Arexdata DSPM, es vital para organizaciones y entidades del sector sanitario ya que permite a los responsables de los hospitales y clínicas administrar y proteger la información de manera efectiva, asegurando que los datos personales de los pacientes, sus historiales médicos y la información operativa del hospital estén resguardados a lo largo de todo el ciclo de vida de los datos.
Protección de datos
En ocasiones, la pérdida de información confidencial o de datos sensibles, ya sea de forma accidental o intencionada, tiene como origen al personal interno o colaboradores de la organización. Algunos de los riesgos internos más comunes en este sector son:
Errores Humanos
Algunos empleados pueden cometer errores que expongan los datos de la empresa por despistes o falta de precaución, como: dejar información confidencial abierta en su escritorio o portátil, o insertar información de forma errónea en bases de datos o expedientes, entre otros.
Acciones no intencionadas
Debido al desconocimiento o la falta de formación, los usuarios podrían exponer los datos como consecuencia de clics accidentales en enlaces, correos de phising u otros elementos de forma involuntaria o accidental.
Robo de datos intencionado
Los empleados podrían acceder a información y datos sensibles de la empresa con intenciones maliciosas con fines lucrativos o como represalia por desacuerdos con la empresa o con otros miembros del equipo. Además, en ocasiones, los accesos directos u omisiones de protocolos facilitan el acceso por parte de los empleados a la información de la empresa.
Curiosidad
Los empleados como consecuencia de una mala gestión de las contraseñas o accesos por parte de la organización podrían acceder a información no relacionada con la atención sanitaria.
Gestión del ciclo de vida de los datos
El ciclo de vida de los datos en un hospital abarca desde la recolección de información de los pacientes hasta su almacenamiento, uso y eventual eliminación. Un DSPM ayuda a gestionar este proceso de manera organizada y segura. Es más, un DSPM garantiza que esta información se almacene en un entorno seguro y que se clasifique correctamente según su nivel de sensibilidad. Y, de la misma manera que la clasificación correcta de los datos es vital para la personalización de tratamientos o para un mejor conocimiento del paciente y su historial clínico, el DSPM también ayuda a evitar el desperdicio de datos. Por ejemplo, con nuestra solución Arexdata DSPM es posible analizar datos en desuso u obsoletos. No se trata de una cuestión baladí, ya que un informe de 2019 del World Economic Forum señalaba que un hospital medio produce aproximadamente 50 petabytes de datos al año, de los cuales el 97 % no se utiliza. Para poner esta enorme cifra en perspectiva, equivale a ver una película de dos horas unos 25 millones de veces al año.
Detección de datos sensibles en ubicaciones no autorizadas
En un hospital, los datos de pacientes y los datos operativos del hospital pueden almacenarse en múltiples sistemas y aplicaciones ubicuas: bases de datos, archivos compartidos, sistemas de imágenes médicas, la nube, dispositivos médicos electrónicos que se usan en diferentes plantas… Por lo que es común que parte de esa información termine en ubicaciones no autorizadas o no seguras.
Precisamente con un DSPM es posible escanear continuamente todos los sistemas y repositorios de datos en busca de información sensible, alertando si detecta datos en lugares inadecuados, como, por ejemplo, en equipos y portátiles sin cifrar, almacenamiento en la nube sin protección… En el caso de Arexdata DSPM incluso es posible detectar la copia de pantallazos (por ejemplo, del historial médico de personas concretas o de un famoso) o el almacenamiento de datos en dispositivos extraíbles.
Cumplimiento con normativas como GDPR
Los hospitales deben cumplir con regulaciones estrictas sobre cómo recopilan, almacenan, acceden y comparten la información del paciente. Por esta razón, se puede utilizar un DSPM para generar informes automatizados y auditorías sobre el estado de la seguridad de los datos, identificar brechas de cumplimiento y ayudar a prepararse para auditorías internas o externas. También asegura que sólo el personal autorizado tenga acceso a datos específicos.
Gestión de permisos y modificación de datos
La rotación de perfiles en hospitales y centros médicos, la presencia de trabajadores externos o incluso las numerosas personas que atienden a los pacientes en función de los turnos de trabajo, hacen que los datos de los pacientes puedan estar al alcance de numerosas manos, además de incrementar exponencialmente las oportunidades para que los intrusos se infiltren en el sistema de reservas y capturen datos críticos de los clientes.
En este contexto, a través del permission management un DSPM permite a los hospitales definir políticas sobre quién puede acceder y modificar ciertos tipos de información, establecer controles de acceso precisos para proteger esta información, garantizar que
sólo el personal autorizado acceda a información sensible…
Monitorización y eliminación de datos
Si la gestión de permisos es importante para un hospital o centro médico, no menos importante es saber quién ha accedido a los datos y para qué. Así, un DSPM permite registrar y auditar quién accede a qué información y en qué momento, de forma que, si un empleado intenta descargar el historial médico de un paciente fuera de su horario laboral, el DSPM generará una alerta automáticamente.
Protección de los datos
Como hemos señalado anteriormente, los hospitales y organizaciones del sector sanitario se encuentran ante el reto de la protección de los datos para hacer frente al aumento de las brechas de seguridad y la filtración de datos, que pueden afectar de forma notoria a la reputación de los hospitales y exponerles a consecuencias legales y económicas. Un DSPM proporciona herramientas avanzadas para la protección de la información y para establecer las mejores medidas para garantizar la estabilidad y continuidad de sus sistemas. Además, en caso de una brecha de datos o ciberataque, donde es crucial saber rápidamente qué datos fueron comprometidos, dónde estaban y quién tuvo acceso, un DSPM ofrece una visión completa del recorrido de los datos, facilitando una respuesta rápida. Esto permite contener el incidente, notificar a los afectados cuando sea necesario o a las autoridades pertinentes y cumplir con los requerimientos legales en tiempo y forma.
En resumen, el uso de una solución de DSPM en hospitales no solo mejora significativamente la seguridad, trazabilidad y visibilidad de los datos sensibles, sino que también fortalece el cumplimiento normativo y reduce el riesgo de fugas de información crítica como historiales médicos y datos personales o los propios datos financieros o laborales del hospital. En un entorno tan regulado y dinámico como el de la salud, un DSPM permite a las instituciones hospitalarias proteger proactivamente la información de los pacientes y de la operativa diaria de los hospitales, asegurar un control de accesos adecuado y responder con agilidad ante incidentes de seguridad.
Si quiere conocer más casos de uso o saber más sobre cómo hacer que una solución DSPM se convierta en un pilar esencial para garantizar la confidencialidad, integridad y disponibilidad de los datos médicos, contribuyendo así a una atención más segura y fiable para los pacientes y las empresas que se relacionan con los hospitales, no dude en contactar con nuestros expertos.
