Zero Trust es ahora una necesidad de atención médica: conclusiones de HIMSS 2022

Luego de un año récord en materia de violaciones de datos sanitarios denunciados en EE. UU., el regreso la semana pasada a HIMMS, la conferencia de atención sanitaria más grande del mundo, se produjo en un momento crucial para la industria.   

El centro de la feria estuvo dominado por la mezcla habitual de stands de alta tecnología y gran valor que mostraban las últimas ayudas para el cuidado del paciente, desde la gestión de imágenes hasta PACS y sistemas automatizados de flujo de trabajo de pacientes. La transición a las tecnologías de la Industria 4.0 en el mercado de la salud se está volviendo algo común a medida que los sistemas están más interconectados y se requiere acceso a esos sistemas en más lugares. 

En un extremo de la cavernosa sala estaba el Centro de Comando de Ciberseguridad, un punto focal para los profesionales de la seguridad en el cuidado de la salud, con proveedores de vanguardia y sesiones educativas que examinaban los últimos temas y tendencias de seguridad.  

Las conversaciones con los asistentes a la conferencia dejaron una cosa clara: el ritmo de cambio en la implementación de nuevos sistemas no estaba siendo igualado por la inversión requerida en ciberseguridad.  

Los desafíos comunes que más escuchamos fueron: 

• El ritmo de implementación de las nuevas tecnologías
• Protección para equipos médicos
• Mantenimiento de la disponibilidad del sistema
• Expansión tecnológica
• Ataques de ransomware

En el lado positivo, la elección sensata que están tomando muchos equipos es construir una estrategia de Confianza Cero. En los teatros educativos, cualquier sesión sobre Confianza Cero contó con una buena concurrencia. 

Lo mejor de un enfoque de seguridad Zero Trust es que puede ser independiente de cualquier infraestructura, lo que aborda un gran desafío de implementar nuevas tecnologías. El proceso de identificar activos clave y luego compartimentar los recursos que componen ese sistema funcionará independientemente de si se trata de una solicitud de financiamiento o un carrito de cabecera. Igualmente, Zero Trust es independiente de la ubicación, por lo que no importa si lo que está protegiendo está en la habitación de un paciente o en la nube.

Estos son algunos pasos simples que cualquier organización de atención médica puede seguir para comenzar a adoptar fácilmente Zero Trust: 

1. Identifique los sistemas y activos que necesita proteger. Identificar los sistemas que necesitan comunicar y los que no. Aunque la tendencia actual es la hiperconectividad, es poco probable que un escáner de resonancia magnética necesite comunicación directa con el sistema de recursos humanos. Mapear las conexiones entre aplicaciones, datos y activos médicos ayudará a visualizar qué componentes forman cada sistema. Ver las comunicaciones lo ayudará a identificar qué escáneres, terminales, bases de datos y aplicaciones componen el sistema de gestión de imágenes. Desde aquí, puedes resaltar dónde es necesario introducir restricciones para controlar el flujo de datos y, de forma predeterminada, el movimiento lateral de cualquier ransomware.
    
2. Identifique los riesgos potenciales que existen dentro de su infraestructura. Todos los sistemas tienen algunas vulnerabilidades que podrían deber a parches aún no aplicados o a agujeros de seguridad no descubiertos. Saber a qué otros recursos están conectados sus sistemas es clave para comprender el riesgo que representan estas vulnerabilidades. Empleando una combinación de análisis de vulnerabilidades, información sobre amenazas y datos de conectividad, se puede crear una vista contextual que destaque dónde se deben aplicar restricciones.
    
3. Aplicar las políticas de seguridad óptimas. Una vez que identificó qué componentes forman un sistema y determinado el riesgo, ahora es el momento de compartimentar los sistemas entre sí para detener la posible propagación de un ataque. Uno de los obstáculos al intentar compartimentar o segmentar cualquier entorno es la necesidad de rediseñar la red. La aplicación de la segmentación a nivel del sistema , donde está desacoplada de cualquier infraestructura subyacente, elimina cualquier necesidad de realizar cambios en la red. Al segmentar fácilmente aplicaciones, dispositivos médicos y otros sistemas, se puede mantener la disponibilidad de activos clave incluso durante un ataque.

Si bien estos pasos hacen que Zero Trust sea práctico y alcanzable, proteger toda la infraestructura de atención médica es cada vez más difícil, ya que muchos dispositivos médicos nuevos no actúan de la misma manera que un dispositivo de TI. Si un activo, como un carrito de cabecera, funciona con un sistema basado en Windows, es relativamente fácil recopilar información sobre cómo funciona y las formas en que puede comunicar. Sin embargo, si el dispositivo es una bomba, funcionará de una manera ligeramente diferente. No responderá a los mismos comandos y no responderá de la misma manera.

Este desafío dificulta la visualización de la interacción entre los sistemas de TI tradicionales y la IoT médica. Para abordar este problema, Illumio se ha asociado con Cylera para unir los dos entornos de una manera sencilla. Una de las muchas cosas que hace Cylera es recopilar información y metadatos sobre dispositivos médicos de IoT. Estos datos se pueden importar a Illumio Core y todos los activos se muestran en un mapa en una sola vista.

Esto proporciona una visión muy simple de todo el sistema médico y muestra la interacción entre varios sistemas médicos. Con este proceso, podrá determinar qué comunicación debe permitir y qué debe detener.

Desde el mapa, las políticas de Zero Trust se pueden aplicar fácilmente con un solo clic del mouse, lo que simplifica mucho el proceso de implementación de una estrategia de Zero Trust en toda la infraestructura de atención médica, independientemente del tipo de activo o la ubicación.

Obtenga más información sobre cómo Illumio puede ayudar a su organización de atención médica en su viaje hacia Zero Trust:

• Lea Illumio: La receta para la ciberseguridad en la atención médica
• Obtenga más información sobre la integración de Illumio y Cylera
• Descubra por qué Forrester nombró a Illumio líder en los reportes The Forrester Wave para Zero Trust y microsegmentación