Columna de Juan Carlos Pedreira: Alto riesgo de ataques a industria de salud

En los pasados días, conversaba con Ernesto Santana, fundador de Intricare, empresa especializada en seguridad y tecnología para la industria de salud, sobre los enormes riesgos cibernéticos que enfrenta esta industria en la isla. Me comentó cómo Puerto Rico es un lugar de “alto interés” para los hackers ante lo retrasados que estamos en tecnología y que, además, estamos bajo la jurisdicción federal, por lo que estos datos robados tienen un gran valor para utilizarlos en Estados Unidos.

Hace unos meses la aseguradora de salud Anthem fue víctima de uno de estos ataques, en el que se tuvo acceso a más de 80 millones de datos de sus clientes. ¿Estará ocurriendo lo mismo en Puerto Rico y no lo saben ni las propias empresas? ¿Qué mecanismos de protección cibernética utiliza actualmente el Departamento de Salud? De esto nadie sabe y nunca se reporta. Es hora de que esto sea un tema de prioridad y que se divulgue con mayor claridad. El pasado año el 42 % de los ataques cibernéticos en  Estados Unidos fueron dirigidos contra empresas de salud. Para que tengan una idea, un récord médico se vende en el “mercado negro” a $20, es decir, 10 veces más que un número de tarjeta de crédito. 

Las compañías de seguro de salud son ideales para este tipo de ataques cibernéticos debido a la cantidad de datos e información que procesan en sus sistemas, lo que se convierte en el repositorio de información más grande de una persona. Conocen dónde vives, dónde trabajas, cuánto ganas, tú número de seguro social, datos familiares, entre otros. Estos datos son claves para poder realizar un robo de identidad y, eventualmente, poder extraer dinero o sacar tarjetas de crédito con información falsa. Si te roban los datos de una tarjeta de crédito, el criminal puede realizar  dos o tres compras. Sin embargo, en el caso de un robo de datos de salud, se puede crear una tarjeta de crédito nueva y robarte muchísimo más. Uno de los problemas más serios que tiene la industria de salud en Puerto Rico y Estados Unidos, es que no ha sido proactiva ni diligente tomando medidas de seguridad electrónica con la misma agresividad que lo ha hecho la banca.

Uno de los grandes errores que cometen muchas empresas, incluyendo hospitales y aseguradoras, es confirarse en que todos sus sistemas están protegidos al 100 %, con tan solo tener un firewall dentro de sus instalaciones. Nada más lejos de la verdad. Por ejemplo, un empleado de informática puede abrir un “hueco” dentro del firewall para poder utilizar un servicio, como, por ejemplo, un sistema de monitoreo de cámaras. Esta apertura a su vez es un nuevo espacio que tiene un hacker para poder acceder a toda la red de la empresa. ¿Cómo logran entonces entrar? Pues de maneras más sencillas de lo que parece. Los hackers logran acceso por medio de un phishing attack, que no es otra cosa que enviar un mensaje por correo electrónico con un programa maligno para que sea descargado en tu máquina. Los emails se ven legítimos con nombres de remitentes reales, lo que causa que empleados puedan abrir el programa o archivo. En ese momento, el ladrón cibernético entra a tus instalaciones y comienza a merodear por todos lados. Muchos de estos ataques provienen de Rusia y China. Lo peligroso de esto, es que tardan meses en poder ser detectados, cuando podría ser demasiado tarde. En muchos casos, los propios departamentos de informática no tienen los recursos para monitorear todos los intentos de penetrar electrónicamente a los sistemas. 

Me parece muy acertado que en Puerto Rico tengamos empresas como Intricare, apostando al desarrollo de soluciones de tecnologías de ciberseguridad y backup en la nube enfocado en la industria de salud. Cada vez, estos ataques cibernéticos serán más frecuentes. Si contratamos servicios de monitoreo de alarmas para proteger nuestros hogares y oficinas, muy pronto necesitaremos hacer lo mismo, pero para protegernos 24 horas los siete días a la semana a los criminales cibernéticos. Además, hay requisitos del Departamento de Salud Federal que obligan a las agencias de salud reportar este tipo de ataques. ¿El Gobierno y las empresas privadas de salud en Puerto Rico están compliendo con este mandato?