Hace pocas semanas, en el Congreso Mundial de Telesalud, distintos proveedores, entre ellos IaaS365, coincidieron en que los incidentes más graves pivotan sobre dos ejes: Shadow IT y tecnología operacional (OT). Ambos escapan a los controles clásicos y pueden comprometer la atención al paciente en cuestión de minutos.

Shadow IT, la sombra que amenaza

Se denomina Shadow IT al uso de herramientas que el departamento TIC nunca ha validado tales como grupos de WhatsApp para turnos de guardia, carpetas en Dropbox o Google Drive con estudios radiológicos o enlaces de WeTransfer para imágenes voluminosas entre otros. Todo ello circula fuera del radar de seguridad y, por tanto, carece de las protecciones corporativas. El riesgo es doble. Por un lado, la superficie de ataque se expande sin aviso. Y, por otro, la trazabilidad de accesos se diluye, de modo que una brecha puede violar el RGPD y derivar en sanciones económicas y reputacionales.

La contención exige “encender la luz”, empezando por un SIEM, la linterna mínima que recopila registros en tiempo real, detecta anomalías y alerta antes de que el incidente se materialice. Sobre esa base se incorpora un Cloud Access Security Broker (CASB), verdadero portero digital que vigila el tráfico con la nube y bloquea aplicaciones ajenas a la política corporativa. La estrategia se completa con Prevención de Pérdida de Datos (DLP), encargada de inspeccionar correos y archivos en busca de números de historia clínica u otra información sensible, y con escáneres de activos que localizan cada dispositivo y servicio conectado al hospital.

La tecnología, por sí sola, resulta insuficiente. Deben existir alternativas seguras con la misma agilidad que las soluciones “domésticas” como mensajería clínica cifrada y un repositorio integrado en la historia electrónica. Esa oferta ha de plasmarse en una política clara que cuente con el respaldo de los responsables clínicos, y reforzarse mediante micro-cursos periódicos que, en cinco minutos y con ejemplos reales, muestren cómo un atajo “inocente” puede costar una multa o la confidencialidad de un paciente.

Tecnología Operacional: la frontera difusa entre ingenierías

Más allá de los servidores y los historiales electrónicos, el hospital late gracias a su ecosistema OT en el que encontramos equipos de imagen, bombas de perfusión, autoclaves, climatización quirúrgica, robots de laboratorio o cámaras de frío. Muchos funcionan con sistemas operativos obsoletos y comparten red con los ordenadores de oficina. El reto trasciende lo técnico y alcanza la gobernanza donde la ingeniería industrial mantiene el hardware, la ingeniería informática gestiona la red y, en el vacío que queda entre ambas, las actualizaciones de seguridad se retrasan o ni siquiera se planifican.

Un dispositivo OT vulnerable, conectado a la misma red que las aplicaciones clínicas, permite a un atacante saltar a los servidores asistenciales o interrumpir un procedimiento quirúrgico. Para reducir ese riesgo debe elaborarse un inventario exhaustivo que incluya información como modelo, firmware, responsable y ciclo de vida, y, por supuesto, actualizarlo a diario. Una plataforma de seguridad IoT/OT que escuche pasivamente el tráfico, identifique la huella de cada equipo, calcule su criticidad y aplique reglas de aislamiento cuando detecte anomalías representa hoy una pieza esencial. Con ese mapa, la microsegmentación se convierte en norma: redes virtuales aisladas donde cada dispositivo solo se comunica con lo imprescindible, equivalente digital a custodiar las llaves del quirófano en un armario aparte.

Los accesos de mantenimiento exigen controles adicionales. Así, toda conexión remota debe pasar por un bastión con autenticación multifactor, registro de sesión y caducidad automática de credenciales. Un protocolo conjunto entre ingeniería industrial e ingeniería informática define quién aplica parches, cómo se gestionan vulnerabilidades y con qué frecuencia se ensayan los planes de contingencia. Sin este marco, la seguridad de los pacientes queda expuesta al azar organizativo.