Amenazas Específicas para el Sector Salud
El sector salud es el blanco favorito del ransomware global. La razón es simple: un hospital no puede operar sin sus sistemas. Un paciente en UCI, un quirófano en uso, un servicio de emergencias activo — ninguno puede esperar días mientras se restaura el sistema de información clínica. Esta urgencia hace que los operadores de salud sean más propensos a pagar el rescate rápidamente.
En Chile, múltiples hospitales públicos y privados han sufrido ataques de ransomware en los últimos años, con interrupciones que afectaron la atención de miles de pacientes y expusieron datos sensibles de salud de forma ilegal.
Los datos clínicos incluyen: diagnósticos, tratamientos, historial de enfermedades, antecedentes psiquiátricos y datos genéticos. En el mercado negro, un registro médico completo puede valer 10 veces más que una tarjeta de crédito robada.
Normativa Vigente en Chile para Datos de Salud
Ley 19.628 de Protección de Datos Personales
Los datos de salud son considerados "datos sensibles" bajo la Ley 19.628, con protección reforzada. Su tratamiento requiere consentimiento explícito del titular y está restringido a los fines para los que fue recopilado. Las entidades de salud que sufren una brecha y exponen estos datos pueden enfrentar sanciones significativas.
Ley 21.663 de Ciberseguridad
Los establecimientos de salud que integren la lista de operadores de servicios esenciales (definida por la AGCL) tendrán obligaciones específicas de reportar incidentes de seguridad al CSIRT Nacional en plazos muy acotados, implementar controles mínimos de seguridad y contar con planes de continuidad operacional.
Normativa de la Superintendencia de Salud
La Superintendencia de Salud tiene reglamentos específicos sobre sistemas de información clínica, historia clínica electrónica y resguardo de datos. Las isapres y prestadores acreditados están sujetos a inspecciones y sanciones en caso de incumplimiento.
Protección de Datos Clínicos: Medidas Concretas
Cifrado de datos en reposo y tránsito
Todos los datos clínicos deben estar cifrados: en el servidor, en los dispositivos de los médicos y en tránsito entre sistemas. El cifrado garantiza que, aun si los datos son exfiltrados, sean ilegibles para el atacante.
Control de acceso basado en roles
Un médico debe acceder solo a los historiales de sus pacientes activos. El personal administrativo no necesita ver diagnósticos. El principio de mínimo privilegio aplicado a datos clínicos reduce drásticamente la exposición en caso de compromiso de una cuenta.
Backup de historia clínica electrónica
La historia clínica electrónica (HCE) es el activo más crítico de cualquier establecimiento de salud. Debe tener backups múltiples, incluido al menos uno inmutable fuera del sitio principal, con RTO (tiempo de recuperación) definido que permita restaurar la operación en horas, no días.
Continuidad Operacional en Entornos de Salud
Un plan de continuidad operacional (PCO) en salud tiene particularidades únicas: los sistemas críticos (HCE, farmacia, laboratorio, UCI) tienen tolerancia cero a la interrupción. El PCO debe definir procedimientos manuales de contingencia para cada sistema, con el personal entrenado para ejecutarlos cuando los sistemas estén caídos.
Los simulacros son obligatorios y deben incluir la recuperación desde backup bajo presión temporal real, no solo la revisión del documento del plan. La diferencia entre un plan probado y un plan sin probar se mide en horas de recuperación vs. días o semanas.
DaiBackup trabaja con clínicas, laboratorios y centros médicos en Chile, ofreciendo soluciones de backup, EDR y monitoreo adaptadas a los requerimientos de disponibilidad y privacidad del sector salud.
Conclusión
La ciberseguridad en salud no es solo un tema tecnológico — es un tema de responsabilidad con los pacientes y cumplimiento legal. Los datos clínicos representan la información más íntima de las personas y su protección es una obligación ética y legal. Las entidades de salud que no han auditado su postura de seguridad deben hacerlo urgentemente, antes de que un incidente los obligue a hacerlo bajo presión.