Riesgo de ataque de ransomware a una residencia de ancianos en Francia: ¿qué ponemos en riesgo al tratar datos de salud?

Los atacantes eligen especialmente como objetivo a las instituciones sanitarias y de cuidados porque saben que una tienda online que cierra dos días pierde dinero, pero una residencia de ancianos que no puede acceder a su sistema ni una hora genera un riesgo vital. Como conocen esa desesperación, ven más probable que paguéis el rescate. El enfoque de tu técnico es muy peligroso.

El antivirus solo mira firmas conocidas; el ransomware, en cambio, suele entrar al sistema por vulnerabilidades de día cero o credenciales robadas. Revisad los recursos compartidos de red (SMB) en vuestro servidor local. Si la unidad de copia de seguridad está conectada a la red principal, el atacante primero borra o cifra esas copias y luego bloquea el sistema principal.

El lunes, lo primero que debes preguntar a tu técnico es: "¿Cuándo fue la última vez que probamos restaurar una copia de seguridad en un dispositivo limpio?". Si no se ha probado, significa que no tenéis esa copia. Lo segundo, haced una copia manual en un disco externo y guardadlo bajo llave.

Le pasó a un conocido mío que trabaja en una clínica de 50 camas de escala similar en Francia. Por un adjunto de factura falsa que abrió un solo empleado, se bloqueó todo el servidor. Se involucraron la ARS y la unidad cibernética de la gendarmería, tardaron 19 días en levantar los sistemas y el coste de consultoría externa ascendió a 28.000 EUR.

¿Vuestros dispositivos médicos o monitores de cabecera están conectados a la misma red local? Si los ordenadores de oficina y la base de datos médica están en la misma subred (VLAN), un malware que entre en un ordenador de contabilidad se propaga en minutos a todo el sistema de seguimiento de pacientes.

No se puede esperar que un técnico que cobra 800 EUR al mes tenga experiencia en ciberseguridad; esa persona probablemente esté conectando impresoras y renovando licencias de oficina. La seguridad de una infraestructura sanitaria no se le confía jamás a alguien que dice "hay antivirus, no pasa nada"; hace falta una auditoría independiente sí o sí.

En el marco del Código de Salud Pública francés y el RGPD, en caso de pérdida o divulgación no autorizada de datos de categoría especial, tenéis la obligación de informar por escrito directamente no solo a la CNIL, sino también a los propios residentes cuyos derechos hayan sido vulnerados o a sus tutores legales.

El año pasado atacaron una residencia de la zona vecina un domingo por la noche. Contaron en persona que por la mañana el personal entró en pánico porque no recordaba de memoria las tensiones ni las dosis de insulina de los pacientes. Si vuestros expedientes de emergencia en papel no están listos, el coste del caos de ese día no se puede comparar con ninguna multa.

Ha sido una buena idea abrir este hilo. Si decidimos sin medir, siempre acabamos en el mismo punto.

guardado.

A mí me pasó justo al revés, por eso escribo. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Lo importante no es la cifra, sino en qué se basa esa cifra.

Al tomar decisiones, escribe también el peor escenario, no solo el mejor. Lo dejo como nota, por si sirve.

Me han quedado claras las dudas, gracias. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Lo importante no es la cifra, sino en qué se basa esa cifra. Yo seguiría por ese camino.

hace dos años viví exactamente lo mismo pero la verdad si no lo pones por escrito desde el principio, luego surgen discusiones.

si no lo pones por escrito desde el principio, luego surgen discusiones pero en fin lo dejo como nota por si sirve.

La respuesta de arriba ha dado en el clavo. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

¿Podría ampliar un poco esto? No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro. Por supuesto, cambia si tu situación es diferente.

Entrando en detalle: No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

Voy a detallar un poco el aspecto técnico. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

La gente no defiende el proceso, defiende la costumbre. pues la resistencia viene de ahí.