La ciberseguridad hospitalaria ha dejado de ser una cuestión exclusivamente tecnológica. En un hospital, una incidencia informática puede retrasar una intervención, interrumpir una prueba diagnóstica, bloquear la dispensación de medicamentos o dificultar el acceso a información clínica imprescindible para tomar decisiones. Por eso, proteger los sistemas sanitarios no consiste únicamente en preservar datos: significa mantener la capacidad de atender a los pacientes con seguridad y continuidad.
No estamos ante un problema exclusivo de España ni de un determinado sistema sanitario. Los hospitales de todo el mundo afrontan desafíos similares: infraestructuras cada vez más conectadas, sistemas heredados difíciles de actualizar, dispositivos médicos con largos ciclos de vida, una creciente dependencia de proveedores externos y adversarios que evolucionan al ritmo de las nuevas tecnologías.
Lo que cambia entre países y organizaciones es su nivel de madurez, sus recursos, sus modelos de gobernanza y su capacidad de respuesta. El riesgo, sin embargo, es compartido.
De WannaCry al Hospital Clínic: cuando el incidente llega al paciente
En mayo de 2017, el ataque de ransomware WannaCry afectó a numerosas organizaciones del sistema sanitario británico, incluido el NHS. La interrupción de sistemas obligó a cancelar citas y procedimientos y puso de manifiesto una realidad incómoda: la indisponibilidad de la tecnología puede trasladarse directamente a la actividad asistencial.
Seis años después, en marzo de 2023, el ciberataque contra el Hospital Clínic de Barcelona volvió a evidenciar esa conexión. El incidente afectó a servicios del hospital y centros vinculados, obligando a suspender o reprogramar consultas, pruebas y tratamientos, mientras se priorizaba la continuidad de los servicios esenciales. Posteriormente, también se publicaron datos sustraídos durante el ataque.
Ambos casos muestran que la gravedad de un incidente sanitario no puede medirse únicamente por el número de equipos afectados, los registros expuestos o el coste de recuperación. También hay que considerar las consecuencias sobre la actividad clínica, los profesionales y los pacientes.
En sanidad, el tiempo de recuperación importa, pero importa igualmente qué servicios dejan de estar disponibles, durante cuánto tiempo y qué alternativas existen para mantener la asistencia.La pregunta fundamental, por tanto, no es solo si un hospital puede sufrir un ciberataque. Es si puede seguir prestando atención segura cuando sus sistemas dejan de funcionar como deberían.
Datos sanitarios: el impacto de una brecha más allá de incidente
La protección de los datos constituye la otra gran dimensión del problema. La información sanitaria es especialmente sensible porque describe aspectos íntimos de las personas y puede generar consecuencias que perduren mucho después de que un incidente se haya resuelto técnicamente.
El ataque contra Medibank, uno de los principales proveedores privados de seguros de salud de Australia, en 2022, expuso información de aproximadamente 9,7 millones de clientes. Parte de los datos sustraídos terminó publicándose, incluidos detalles personales y sanitarios.
Este tipo de incidente demuestra que el riesgo no termina cuando se recuperan los sistemas. La exposición de información médica puede facilitar fraudes, extorsiones y suplantaciones, además de provocar daños personales y reputacionales difíciles de reparar.
La evolución del ransomware también ha cambiado el escenario. Los atacantes ya no necesitan limitarse a cifrar sistemas y exigir un rescate para recuperar su disponibilidad. Pueden robar información y amenazar con divulgarla, presionando a la organización incluso si dispone de copias de seguridad y consigue restaurar sus servicios.
Por eso, una estrategia sanitaria debe proteger simultáneamente la disponibilidad de los sistemas, la confidencialidad de los datos y la integridad de la información clínica. Ninguna de estas dimensiones puede abordarse de manera aislada.
Un hospital es mucho más que una red informática
La complejidad del entorno sanitario explica parte de su exposición.
La infraestructura de un hospital combina sistemas corporativos tradicionales —identidad, correo electrónico, aplicaciones administrativas y bases de datos— con aplicaciones clínicas, sistemas de laboratorio, equipos de diagnóstico por imagen, dispositivos de monitorización y tecnologías médicas conectadas.
Esta convergencia entre IT, IoT e IoMT (Internet of Medical Things) amplía la superficie de ataque y multiplica las dependencias. Un dispositivo conectado puede convertirse en un punto de entrada, un sistema comprometido puede facilitar el movimiento hacia otros segmentos y una incidencia en un proveedor puede afectar a servicios que el hospital considera críticos.
Además, no todos los activos pueden gestionarse como un ordenador convencional.
Un dispositivo médico puede tener una vida útil de muchos años y depender de software certificado, configuraciones validadas por el fabricante o ventanas de mantenimiento muy limitadas. Una actualización aparentemente sencilla puede requerir pruebas previas, coordinación con el proveedor y garantías de que no afectará a su funcionamiento clínico.
En determinados casos, apagar, reiniciar o modificar un equipo no es una opción inmediata.
Esto introduce una dificultad esencial: la organización puede conocer una vulnerabilidad y, aun así, no estar en condiciones de instalar de inmediato la corrección definitiva.
Acerca del autor
