La caída de Microsoft 'desnuda' un SNS digitalizado pero "sin arquitectura"

El fallo en los sistemas de Microsoft a nivel global que ha afectado el Sistema Nacional de Salud, desde las comunidades autónomas a la sanidad privada, vuelve a centrar el debate en la dependencia de la sanidad de la tecnología y el margen para tratar de evitar o mitigar estas incidencias. La interrupción del software de ciberseguridad CrowdStrike, cuyo impacto ha sido desigual en los servicios sanitarios de las autonomías, evidencia la brecha entre la implantación tecnológica y los recursos necesarios que aún faltan para su buen funcionamiento y las posibilidades en la capacidad de respuesta para resolver este tipo de incidentes.

Así lo considera el responsable de Seguridad TIC del Servicio Andaluz de Salud (SAS), Manuel Jimber. A pesar de que la afectación en el SAS y la Administración Pública de Andalucía ha sido "bastante baja" gracias a sus políticas de actualización, la sanidad cada vez está más expuesta a sufrir las molestias de incidencias técnicas, como la de este viernes, o ciberataques.

"El uso de la tecnología en los sistemas sanitarios es enorme", asegura Jimber a Redacción Médica. De hecho, aunque no lo parezca, está presente en multitud de elementos, desde los servidores y ordenadores del ámbito administrativo, a los dispositivos tecnológicos, la parte industrial como los sistemas de calefacción y refrigeración y controles de acceso a los centros sanitarios. "Todo eso hay que tenerlo en cuenta y hay que protegerlo", relata el experto.

Acompasar la implantación de tecnología con seguridad

En este sentido, Jimber reconoce que el "crecimiento tecnológico en los centros sanitarios ha sido exponencial, en la última década especialmente, y los recursos humanos dedicados a la tecnología no han crecido al mismo ritmo". Esta situación, parecida en todos los sistemas sanitarios de las comunidades autónomas, provoca una reflexión para atajar esta situación, sobre todo teniendo en cuenta que "la dependencia tecnológica continúa creciendo".

"Hay que ir acompasando el incremento tecnológico en los servicios sanitarios con los recursos necesarios para mantenerlos en funcionamiento. Se trata de equilibrio y proporción, es lógico", remarca el responsable de Seguridad TIC del SAS. De no hacerlo, y especialmente en caso de ciberataques, "puede ser que en una de estas no podamos responder adecuadamente o a tiempo, y ya sabemos qué puede suponer la parada de servicios sanitarios".

En cuanto a las medidas que se pueden impulsar desde las consejerías de Sanidad, el Ministerio de Sanidad e incluso las empresas de la sanidad privada para ser más resilientes ante incidencias técnicas o ciberataques, Jimber hace hincapié en la importancia de contar con "procesos, técnicas y herramientas adecuados y profesionales con conocimientos para responder".

Los antivirus son solo uno de los elementos de seguridad tecnológicos, pero es necesaria una "arquitectura o infraestructura organizativa con capacidad y conocimientos para tomar las decisiones adecuadas en caso de incidentes". Esta estrategia se estructura con una dirección que forme parte de las decisiones de ciberseguridad, la participación de profesionales de Tecnologías de la Información y las Comunicaciones y también otras áreas como direcciones generales, asesoría jurídica y el delegado de protección de datos, entre otros.

Debajo de este nivel debe haber otro operativo con capacidad de decisión a nivel tecnológico, cuya misión es "traducir las instrucciones de la alta dirección y poner las herramientas" para solucionar el incidente, con la colaboración de otro departamento más técnico. De no tener esta estructura, que el responsable de Seguridad TIC del SAS tacha de "imprescindible", para responder a posibles ataques, "no puedes responder" y "en lugar de tomar el control de la situación la organización, lo hace el ciberdelincuente", concluye.