La transformación digital ha permitido que los servicios de salud sean más conectados, ágiles y dependientes de la información. Historias clínicas electrónicas, plataformas de laboratorio, sistemas de imágenes, aplicaciones de telemedicina, servicios en la nube y herramientas de comunicación forman hoy parte de la operación cotidiana de hospitales, clínicas, laboratorios y otras organizaciones del sector. Esa misma dependencia tecnológica, sin embargo, también ha ampliado la superficie de riesgo.
Durante el webinar organizado por RECAINSA para presentar el reporte sobre el panorama de la ciberseguridad del sector salud en América Latina y el Caribe 2022–2026, uno de los mensajes más importantes fue precisamente ese: la ciberseguridad ya no puede entenderse únicamente como un asunto de infraestructura tecnológica. Cuando un incidente impide acceder a una historia clínica, retrasa una cirugía, interrumpe un laboratorio, dificulta la atención de un paciente o obliga a una institución a operar manualmente, el problema deja de ser exclusivamente informático y pasa a convertirse en un problema de continuidad asistencial.
Los casos discutidos durante el webinar muestran que este riesgo no es hipotético. El ataque sufrido en 2022 por la Caja Costarricense de Seguro Social obligó a desactivar sistemas tecnológicos y recurrir a procedimientos manuales, afectando citas, laboratorios y otros procesos esenciales. Situaciones similares en distintos países de la región han demostrado que un incidente puede impactar no solo la disponibilidad de sistemas, sino también la capacidad de una organización para mantener la atención, coordinar equipos y proteger la seguridad del paciente.
Este cambio de perspectiva obliga a ampliar también la manera en que entendemos la responsabilidad. Durante años, muchas organizaciones delegaron la ciberseguridad casi exclusivamente a sus departamentos de tecnología. Sin embargo, los riesgos actuales atraviesan toda la organización. Un proveedor externo, una cuenta comprometida, un correo de phishing, una contraseña reutilizada, una mala configuración o una llamada fraudulenta pueden convertirse en la puerta de entrada a un incidente mayor.
La ingeniería social es especialmente relevante porque aprovecha algo que ninguna herramienta tecnológica puede eliminar por completo: la confianza humana. Los atacantes utilizan correos aparentemente legítimos, mensajes de WhatsApp, llamadas telefónicas y mecanismos de suplantación cada vez más convincentes. El uso de inteligencia artificial agrega además nuevas posibilidades para generar contenidos falsos, clonar voces o hacer más creíbles los intentos de engaño. Por ello, una estrategia efectiva de ciberseguridad no puede limitarse a comprar tecnología; necesita también desarrollar capacidades en las personas que utilizan los sistemas y toman decisiones todos los días.
Uno de los planteamientos más valiosos de la conversación fue cambiar la pregunta tradicional. En lugar de pensar únicamente en cómo evitar un ataque, las organizaciones de salud deberían preguntarse qué ocurriría si mañana un incidente obligara a desconectar parte de su infraestructura. ¿Qué servicios no pueden detenerse? ¿Quién decide qué sistemas se aíslan? ¿Dónde se encuentran los respaldos? ¿Cómo continuará trabajando el personal clínico? ¿Qué proveedores deben responder y en cuánto tiempo?
Responder estas preguntas requiere mucho más que conocimiento técnico. Exige gobernanza, planificación, comprensión de los procesos clínicos y capacidad para evaluar riesgos desde la perspectiva de la continuidad del servicio. De hecho, una decisión aparentemente técnica, como desconectar un sistema, puede tener consecuencias clínicas importantes si no se analiza junto con quienes conocen los procesos asistenciales.
Durante el webinar también se presentaron algunas acciones prioritarias para instituciones con capacidades limitadas. Entre ellas se encuentran mantener respaldos seguros y separados de los sistemas productivos, implementar autenticación multifactor, realizar ejercicios de respuesta y resiliencia, fortalecer la protección básica de los dispositivos y capacitar continuamente al personal. Son medidas relativamente sencillas en comparación con proyectos complejos de ciberseguridad, pero pueden representar una diferencia importante cuando ocurre un incidente.
Otro elemento crítico es la relación con terceros. El ecosistema de salud depende cada vez más de laboratorios, proveedores de software, servicios en la nube, aseguradoras, fabricantes de dispositivos y otras organizaciones externas. Esto significa que el riesgo de una institución ya no termina en su propia infraestructura. La ciberseguridad debe extenderse también a contratos, niveles de servicio, tiempos de notificación, mecanismos de recuperación y prácticas de seguridad de los proveedores.
Todo ello conduce a una conclusión fundamental: la resiliencia no se construye únicamente desde el departamento de TI. Se construye cuando los líderes comprenden el riesgo, cuando los equipos clínicos conocen cómo actuar ante una interrupción, cuando las áreas administrativas saben reconocer amenazas y cuando toda la organización comparte criterios mínimos para proteger información y mantener los servicios esenciales.
Con ese propósito, RECAINSA desarrolló el curso regional Fundamentos de Ciberseguridad para Líderes y Equipos de Salud, una formación pensada para profesionales que no necesariamente son especialistas técnicos, pero que participan en la gestión, uso, protección o toma de decisiones sobre sistemas y datos de salud. El curso abordará de manera práctica amenazas como phishing y ransomware, protección de información sensible, privacidad, respuesta ante incidentes y continuidad operativa.
La formación iniciará el 2 de septiembre, tendrá cuatro sesiones en vivo y una evaluación final. La inversión es de USD 150, y quienes aprueben recibirán certificado digital y badge emitidos por RECAINSA y ACOINFO.
La transformación digital seguirá avanzando y, con ella, también la dependencia de sistemas, datos y servicios conectados. La oportunidad está en asegurarnos de que esa transformación no solo haga a nuestras organizaciones más digitales, sino también más capaces de anticipar, resistir, responder y recuperarse ante incidentes.
La ciberseguridad en salud no es solo responsabilidad de TI. También es responsabilidad de quienes lideran, gestionan, usan y protegen los servicios de salud.
Las opiniones expresadas en los artículos son responsabilidad exclusiva del autor o los autores y no representan necesariamente la posición de la Junta Directiva de RECAINSA ONG y RECAINSA Inc., ni del equipo ejecutivo.