La amenaza silenciosa: ‘Cosechar ahora, descifrar después’
En el panorama actual de la ciberseguridad, ha surgido un concepto inquietante: los ataques «Harvest Now, Decrypt Later» (HNDL). Los actores de amenazas están recolectando hoy grandes volúmenes de datos cifrados con la intención de descifrarlos en un futuro cercano, cuando la computación cuántica sea lo suficientemente potente como para romper los algoritmos actuales. Para el sector salud, esta no es una amenaza teórica, sino un riesgo crítico e inminente.
Un estudio reciente realizado por Forescout Technologies, que analizó 2,5 millones de dispositivos en 50 organizaciones sanitarias, revela una realidad preocupante: la infraestructura crítica de salud está lejos de estar preparada para la era de la criptografía post-cuántica (PQC).
Cifras que exigen atención inmediata
La brecha de preparación varía drásticamente según el tipo de tecnología analizada. Mientras que los sistemas de TI tradicionales muestran un avance moderado, los dispositivos médicos y operativos presentan vulnerabilidades críticas:
- Dispositivos de TI: El 50% cuenta con implementaciones capaces de soportar PQC.
- Tecnología Operativa (OT): Solo el 16% está preparado.
- Internet de las Cosas Médicas (IoMT): Apenas un alarmante 6% de dispositivos como bombas de insulina, monitores de pacientes y desfibriladores están listos.
Además, el estudio identificó que solo el 31% de los sistemas de salud expuestos a Internet utilizan el protocolo TLS 1.3, que es la base fundamental para desplegar estándares modernos de criptografía post-cuántica.
¿Por qué es tan complejo el sector salud?
A diferencia de otros sectores, la sanidad enfrenta desafíos únicos para la actualización de sus sistemas. Muchos dispositivos médicos son sistemas especializados con ciclos de vida extremadamente largos (a menudo décadas) y entornos de software cerrados. La actualización de estos equipos no es una simple tarea de parcheado; a menudo requiere la intervención directa del fabricante, procesos de recertificación regulatoria o, en muchos casos, la sustitución completa del hardware.
Esta situación es especialmente crítica porque los datos médicos (historias clínicas, imágenes diagnósticas, datos genéticos) mantienen su valor y sensibilidad durante décadas. Un historial médico robado hoy seguirá siendo relevante y perjudicial si se filtra dentro de diez años.
Hoja de ruta para la resiliencia cuántica
Desde la perspectiva de la gestión de riesgos y la ciberseguridad corporativa, las organizaciones de salud deben comenzar a actuar hoy mismo. No se trata solo de una iniciativa técnica, sino de una estrategia de continuidad de negocio y cumplimiento.
Para los responsables de seguridad (CISOs) y directivos, las recomendaciones clave son:
- Visibilidad total: Identificar qué datos se transmiten, dónde residen y qué sistemas los exponen a redes externas.
- Priorización basada en riesgo: Centrar los esfuerzos iniciales en proteger los datos de larga duración, como los registros electrónicos de salud (EHR).
- Modernización de protocolos: Acelerar la migración a TLS 1.3 en todos los sistemas que interactúan con el exterior (portales de pacientes, pasarelas VPN y APIs).
- Coordinación interdepartamental: La migración a PQC requiere la colaboración entre ingeniería clínica, arquitectura de sistemas, cumplimiento y proveedores de dispositivos médicos.
En Intedya, entendemos que la ciberseguridad es un pilar fundamental de la excelencia operativa. La preparación para la era cuántica no es una opción, sino una necesidad para garantizar la confianza de los pacientes y la integridad de los sistemas de salud a largo plazo.
Fuentes
- Dark Reading — Critical Healthcare Systems Aren’t Quantum-Ready
https://www.darkreading.com/iot/exposed-healthcare-systems-quantum-ready