Los sistemas de información en salud se han convertido en un objetivo relevante para los ciberataques, poniendo en riesgo tanto la información sensible de pacientes como la continuidad de los servicios clínicos. Frente a este escenario, el Centro Nacional en Sistemas de Información en Salud (CENS) y la Agencia Nacional de Ciberseguridad (ANCI) elaboraron el artículo “Recomendaciones de Ciberseguridad para Sistemas de Información en Salud”, que reúne medidas prácticas para apoyar a las instituciones en la protección de sus sistemas.

La iniciativa se desarrolla en un contexto de creciente digitalización del sector salud. En Chile, más del 70% del sistema público y más del 85% del sistema privado cuenta con registros clínicos electrónicos, lo que hace necesario incorporar medidas adecuadas para proteger la información y asegurar su disponibilidad cuando es requerida para la atención.

“Para CENS, avanzar en ciberseguridad es parte del desafío de construir un ecosistema de salud digital confiable, sostenible y centrado en las necesidades de las instituciones y las personas. Esta colaboración con la ANCI nos permite poner a disposición recomendaciones concretas que contribuyan a fortalecer las capacidades de las instituciones de salud y a enfrentar de mejor manera un escenario de amenazas que está en permanente evolución”, destaca Alejandra García, directora ejecutiva (i) de CENS.

“Estas recomendaciones son importantes porque permiten traducir la ciberseguridad en medidas concretas. Pero igual de importante es explicar a las personas cuáles son los riesgos que se busca evitar y por qué necesitamos que tomen las medidas necesarias para reducirlos. En salud esto es particularmente relevante, porque una vulnerabilidad originada en la acción de una sola persona puede terminar afectando no solo la información de los pacientes, sino también la continuidad de la atención”, explica Michelle Bordachar, directora nacional (s) de la Agencia Nacional de Ciberseguridad.

El documento organiza sus recomendaciones a partir de la tríada CID, modelo que aborda tres principios fundamentales de la seguridad de la información: confidencialidad, integridad y disponibilidad. En conjunto, estos principios buscan asegurar que la información clínica sea accesible únicamente para quienes corresponde, que se mantenga correcta y completa, y que esté disponible para la atención, la gestión y la toma de decisiones.

Recomendaciones para reducir riesgos

En materia de confidencialidad, el documento plantea medidas relacionadas con el control de acceso, la autenticación, la gestión de credenciales y el uso de mecanismos de autenticación multifactor. También recomienda limitar el acceso público desde Internet a plataformas que contengan datos médicos y utilizar cuentas individualizadas, evitando el uso de credenciales genéricas.

Respecto de la integridad de la información, las recomendaciones consideran establecer procesos formales de gestión de datos sensibles, definir responsables, mantener mecanismos de trazabilidad y automatizar y estandarizar el manejo de errores. Estas medidas son especialmente relevantes en salud, donde una modificación, pérdida o alteración de un dato clínico puede afectar diagnósticos, tratamientos y decisiones sanitarias.

Para fortalecer la disponibilidad, en tanto, el artículo propone medidas vinculadas a la gestión de riesgos y el monitoreo de los sistemas. Entre ellas se encuentran identificar los componentes críticos, evaluar vulnerabilidades, desarrollar planes de control y respuesta ante incidentes y monitorear tokens y sesiones para detectar comportamientos sospechosos.

“La ciberseguridad no puede abordarse como un elemento aislado de los sistemas de información en salud. Es parte de su calidad, porque una plataforma que no protege adecuadamente la información o que no está disponible cuando se necesita puede afectar directamente la atención”, señala Eric Rojas, líder de Calidad de CENS y académico de la UC.

El artículo busca llevar esta mirada a recomendaciones que puedan ser aplicadas en la práctica por las instituciones de salud. Por ello, además de abordar los principios de la seguridad de la información, incorpora medidas concretas relacionadas con los accesos, las contraseñas, la trazabilidad, la gestión de riesgos y el monitoreo de los sistemas.

“Buscamos que estas recomendaciones sean una herramienta útil para las instituciones. Por eso, además de abordar los principios de la seguridad de la información, incorporamos medidas que permiten revisar distintos aspectos de los sistemas y avanzar en la reducción de riesgos”, explica Priscilla Vergara, ingeniera de Operaciones del área de Calidad de CENS y principal autora del documento.

Un escenario de amenazas en permanente evolución

La publicación también incorpora antecedentes sobre amenazas detectadas por la ANCI en sistemas digitales vinculados al sector salud. Entre ellas se encuentran campañas de actores de amenaza que utilizan cuentas de usuarios legítimos para acceder a sistemas que integran información sensible, así como el robo de credenciales mediante infostealers.

Frente a este escenario, las recomendaciones plantean la necesidad de mantener una vigilancia permanente y revisar periódicamente los sistemas, considerando que las amenazas evolucionan de manera constante y que, aun cuando existan controles implementados, el riesgo nunca llega a ser cero.

Entre las primeras medidas sugeridas se encuentra registrar al encargado o delegado de ciberseguridad de la institución en el portal de la ANCI. Este registro permite agilizar el reporte de incidentes de efecto significativo y recibir alertas sectoriales de inteligencia de amenazas con recomendaciones para prevenir posibles afectaciones.

El documento plantea además que avanzar en ciberseguridad no necesariamente requiere grandes inversiones iniciales, sino también un compromiso institucional con la adopción de buenas prácticas de seguridad. Su implementación puede contribuir a proteger los datos de pacientes, mantener la continuidad de la atención y fortalecer la confianza en los sistemas de información en salud.

“Cuando hablamos de ciberseguridad en salud, estamos hablando también de proteger la continuidad de la atención y la confianza en los sistemas que utilizan información clínica. Contar con recomendaciones concretas permite que las instituciones puedan identificar aspectos a revisar y avanzar progresivamente en la adopción de buenas prácticas de seguridad”, concluye Priscilla Vergara.

El documento “Recomendaciones de Ciberseguridad para Sistemas de Información en Salud” está disponible para su descarga AQUÍ.