Nuevos datos revelan que el sector de la atención sanitaria sigue rezagado en su preparación para la transición al cifrado poscuántico, aunque los ordenadores cuánticos prácticos podrían llegar a romper en el futuro los algoritmos de cifrado que protegen los datos de los pacientes. El retraso es aún mayor en los dispositivos médicos conectados: solo el 6% de ellos cuenta con una protección adecuada para hacer frente a futuros ataques cuánticos, frente al 50% de los sistemas de tecnología de la información.
La unidad de investigación de amenazas de Forescout analizó más de 2,5 millones de dispositivos distribuidos en más de 50 instituciones sanitarias. El análisis incluyó dispositivos como bombas de infusión y monitores de pacientes, además de estaciones de trabajo y servidores. Aunque los sistemas de tecnología de la información representan el 66% de los dispositivos conectados en los entornos de atención sanitaria, los dispositivos médicos pueden constituir un punto débil importante debido a la dificultad de actualizarlos y a la dependencia directa de la atención respecto a ellos.
Los datos de larga duración son un objetivo atractivo
Los historiales médicos, las imágenes diagnósticas, los resultados de laboratorio y el historial de recetas se encuentran entre los tipos de datos más expuestos, porque siguen siendo sensibles y valiosos durante largos periodos. El informe también constató que solo el 31% de más de 5.500 sistemas sanitarios expuestos en Internet, como portales de pacientes y algunas interfaces de programación de aplicaciones, admite un protocolo de cifrado capaz de incorporar el cifrado poscuántico.
Esto no significa que los atacantes vayan a utilizar ordenadores cuánticos para atacar hospitales mañana. Sin embargo, Daniel Trevelito, vicepresidente de soluciones de tecnología operativa y atención sanitaria y de riesgos de ciberseguridad en Forescout, advirtió sobre la estrategia de «recopilar ahora y descifrar después», mediante la cual los datos cifrados robados hoy se almacenan con la esperanza de descifrarlos cuando la computación cuántica sea capaz de hacerlo.
¿Qué cambia en la práctica?
Forescout recomienda que las instituciones comiencen por inventariar los activos y sistemas de alto riesgo, e integren la preparación cuántica en los ciclos de actualización tecnológica, adquisición y sustitución de sistemas, en lugar de esperar a que aparezcan ordenadores cuánticos prácticos. El Instituto Nacional de Estándares y Tecnología (NIST) ofrece un punto de partida ya disponible, después de publicar el primer conjunto de estándares de cifrado poscuántico en 2024.
Este paso cobra una importancia adicional en un sector que ya sufre ataques generalizados. Forescout registró durante el periodo comprendido entre enero y agosto del año mencionado 461 reclamaciones públicas de ataques de ransomware contra instituciones sanitarias de todo el mundo, un 47% más que en el mismo periodo del año anterior; más del 60% de ellas tuvieron como objetivo instituciones estadounidenses. Según IBM, el coste de las filtraciones de datos sanitarios asciende a unos 6,64 millones de dólares de media.
La conclusión editorial aquí no es que se avecine una crisis cuántica, sino que la larga vida útil de los datos médicos y la dificultad de actualizar los dispositivos hacen que la transición sea un proceso lento cuya planificación no puede posponerse. Todavía no está claro si los organismos reguladores impondrán requisitos específicos de cifrado poscuántico al sector de la atención sanitaria o si los integrarán en las obligaciones de ciberseguridad existentes.