Ciberseguridad: el Tribunal de Cuentas hace sonar la alarma para los hospitales

En un contexto en el que los hospitales franceses se encuentran en la primera línea de las ciberamenazas, el Tribunal de Cuentas suena la alerta. Al degradar no sólo la seguridad del paciente sino también la eficacia de la atención, estos ataques informáticos resaltan de manera alarmante las vulnerabilidades de los sistemas hospitalarios. Si bien el 10% de los ciberataques en Francia tienen como objetivo el sector sanitario, la importancia de proteger estas infraestructuras se está convirtiendo en una prioridad nacional para evitar perturbaciones que puedan comprometer la continuidad de la atención y poner en peligro los recursos esenciales de los establecimientos sanitarios.

En 2023, los establecimientos sanitarios en Francia se enfrentaron a una situación preocupante: El 10% de los ciberataques se dirigieron a ellos. Los principales riesgos mencionados incluyen compromisos de los sistemas de información, lo que lleva a violaciones de bases de datos, códigos confidenciales y la distribución de mensajes electronicos malicioso. EL ransomware, particularmente destructivos, representan una amenaza significativa para estas instalaciones vitales.

En noviembre de 2024, la ANSSI (Agencia Nacional de Seguridad de los Sistemas de Información) destacó la disparidad de defensas entre establecimientos, aunque el peligro para la seguridad de los pacientes es evidente. El ejemplo del centro hospitalario André Mignot de Versalles, que tardó 18 meses en volver a poner en funcionamiento su sistema tras un ciberataque, ilustra las graves repercusiones de este tipo de amenazas. En particular, un ataque puede provocar una caída significativa de la actividad hospitalaria.

Allá Tribunal de Cuentas, en un informe publicado en enero de 2025, destaca la importancia de seguir financiando la prevención y la protección digital. Ella recomienda la creación de un grupo nacional de expertos responsable de evaluar las pérdidas durante ataques importantes e imponer una auditoría periódica obligatoria para establecimientos de salud.

El tercer sector es el que corre mayor riesgo

Los hospitales ocupan el tercer lugar entre los sectores más vulnerables a los ciberataques, después de las autoridades locales y las empresas privadas. Allá Complejidad creciente de los sistemas de información. Los hospitales, con hasta 1.000 solicitudes para los establecimientos más grandes, requieren una mayor inversión en digital y ciberseguridad.

En promedio, sólo 1,7% del presupuesto El hospital se dedica a lo digital frente al 9% del sector bancario. Más del 20% de los equipos están obsoletos, lo que empeora los riesgos de seguridad.

Consecuencias de los ciberataques

Los ciberataques pueden provocar interrupciones en el servicio afectando tanto a la gestión administrativa como a la atención médica. El Tribunal de Cuentas evalúa el coste potencial de un ciberataque más de 10 millones de euros para remediación y gestión de crisis, sin mencionar las pérdidas operativas y de datos.

Finalmente, el Tribunal de Cuentas insiste en la necesidad de reforzar la cooperación entre los grupos hospitalarios así como de integrar elementos de seguridad digital en la formación de los profesionales sanitarios. Con la entrada en vigor de la directiva europea NIS 2, más de 750 establecimientos se verán afectados por nuevas obligaciones de ciberseguridad.

Ejemplos recientes de ataques

En 2023, cuatro años después del gran ataque contra la Hospital Universitario de Ruan Y un año antes del que debilitó el hospital de Cannes, el 10% de las víctimas de ciberataques en Francia eran establecimientos sanitarios. Estos ataques se dirigieron principalmente compromisos del sistema de información, incluidas violaciones de bases de datos, robo de PIN y mensajes de correo electrónico maliciosos. EL ransomware fueron consideradas las amenazas más destructivas por el Tribunal de Cuentas.

Impactos de los ciberataques

Un ejemplo notable es el de un centro hospitalario con 800 camas y capacidad para 35.500 estancias hospitalarias completas. Este establecimiento ha puesto 18 meses para restablecer su sistema de información después de un ataque en diciembre de 2022. Su actividad cayó un 20% sin volver a su nivel inicial a finales de febrero de 2024. Esta interrupción resultó en una pérdida de ingresos operativos de hasta 20 millones de euros. Las interrupciones del servicio y el robo de datos han tenido repercusiones concretas en la gestión administrativa y la atención al paciente.

Lecciones que se deben aprender para fortalecer la seguridad

Ante estas graves consecuencias, se sugieren varias medidas para fortalecer la seguridad de los sistemas hospitalarios. En primer lugar, la creación de un grupo nacional de expertos Se recomienda evaluar las pérdidas financieras durante ciberataques de magnitud excepcional. En segundo lugar, un auditoría periódica obligatoria Se deben establecer políticas para todos los establecimientos de salud con el fin de mejorar la calidad y la seguridad informática.

El Tribunal de Cuentas también destaca la necesidad de aumentar las inversiones en tecnología digital, actualmente limitadas al 1,7% del presupuesto operativo, lejos del 9% asignado al sector bancario. Con sólo 750 millones de euros previstos en cinco años en el programa”Ciberaceleración y resiliencia de los establecimientos» (CaRE), es crucial extender este compromiso más allá de 2027 para la seguridad informática de las infraestructuras sanitarias.

Importancia de la ciberseguridad

La creciente complejidad de los sistemas de información hospitalarios, compuestos en ocasiones por hasta 1.000 aplicaciones, hace que su seguridad sea esencial. Además, la vulnerabilidad de los sistemas interconectados con sistemas externos sitúa al sector sanitario en tercer lugar entre las zonas más afectadas por los ataques digitales, detrás de las autoridades locales y las empresas.

El Tribunal de Cuentas destaca varias medidas clave destinadas a mejorar la ciberseguridad hospitalaria, ante los crecientes ataques dirigidos a ellos:

• Financiación continua de la prevención y la protección digital: Continuar los esfuerzos financieros para fortalecer los sistemas de seguridad en los establecimientos de salud. Para apoyar estos esfuerzos se lanzó el programa “Ciberaceleración y Resiliencia Institucional” (CaRE).
• Creación de un grupo nacional de expertos: Este grupo deberá evaluar las pérdidas de ingresos debidas a ciberataques excepcionalmente grandes para garantizar una compensación adecuada.
• Auditoría periódica obligatoria: Introducción de auditorías periódicas para todos los establecimientos de salud, integradas en los sistemas de certificación de calidad.
• Coordinación de procedimientos de auditoría: Armonizar los enfoques existentes para garantizar una protección uniforme en todos los establecimientos.
• Desarrollo de habilidades: Integración de la formación en ciberseguridad en la formación inicial de los profesionales sanitarios para compensar la falta de competencias.

Mejores prácticas de ciberseguridad

Adoptar una cultura de ciberseguridad La robustez es crucial para prevenir ataques y fortalecer la infraestructura existente. Estas son algunas de las mejores prácticas:

• Actualización periódica de sistemas: Asegúrese de que los sistemas operativos y el software estén actualizados y protegidos contra vulnerabilidades.
• Formación del personal: Sensibilizar periódicamente a los empleados sobre los riesgos y prácticas cibernéticos, como la identificación de correos electrónicos fraudulentos.
• Uso de soluciones de seguridad avanzadas: Implementar firewalls, antivirus y tecnologías de detección de intrusos para proteger las redes.
• Copia de seguridad de datos: Implemente una estrategia de respaldo regular para garantizar la recuperación de datos en caso de un ataque.
• Plan de respuesta a incidentes: Desarrollar y probar periódicamente un plan de respuesta a incidentes para minimizar el impacto de un ciberataque.

Estrategias de prevención

La prevención juega un papel fundamental en la protección de datos y sistemas de información:

• Evaluaciones de vulnerabilidad: Realizar pruebas de penetración para identificar y corregir posibles vulnerabilidades de seguridad.
• Interconexión controlada: Limitar la interconexión de sistemas para reducir posibles puntos de entrada de atacantes.
• Cifrado de datos: Utilice tecnologías de cifrado para proteger tanto los datos en tránsito como en reposo.
• Monitoreo continuo: Implemente soluciones de monitoreo en tiempo real para amenazas potenciales.

La aplicación de estas medidas y prácticas es esencial para fortalecer la resiliencia de los sistemas hospitalarios frente a las crecientes amenazas cibernéticas.

La ciberseguridad en el sector sanitario en Francia es cada vez más importante a medida que aumentan los ciberataques. En 2023, *el 10% de las víctimas de estos ataques* fueron instalaciones de salud, destacando la vulnerabilidad de sus sistemas de información. Los incidentes diagnosticados incluyen *compromisos de TI*, como *violaciones de bases de datos* y el uso de *ransomware*. Ante esta importante cuestión, el *Tribunal de Cuentas* pide que se refuercen las medidas de seguridad, destacando la importancia de la *prevención* y de la *financiación adecuada*. La iniciativa *CaRE* del Ministerio de Salud tiene como objetivo llenar estos vacíos mediante una financiación sustancial. Sin embargo, es crucial mantener este compromiso más allá de 2027 y garantizar la integración de la ciberseguridad en la formación de los profesionales. Con la reciente directiva europea *NIS 2*, un mayor número de establecimientos estarán sujetos a obligaciones de seguridad reforzadas, lo que marca un paso importante hacia la protección de las infraestructuras sanitarias.