IA y ciberseguridad en salud
La inteligencia artificial se está integrando progresivamente en numerosos procesos del sector sanitario. Una evolución que abre nuevas oportunidades, pero...
Read More →
IA y ciberseguridad en salud
La inteligencia artificial se está integrando progresivamente en numerosos procesos del sector sanitario. Una evolución que abre nuevas oportunidades, pero que también obliga a abordar conjuntamente inteligencia artificial y ciberseguridad en salud.
Analizar grandes cantidades de información, automatizar tareas, generar documentación o apoyar a los profesionales son algunas de sus posibilidades. Capacidades que permiten procesar, extraer y generar información en segundos.
Pero estas mismas capacidades también están disponibles para quienes intentan comprometer una organización.
El reto no es decidir si utilizar inteligencia artificial en sanidad, sino cómo incorporarla sin perder el control sobre los datos, los sistemas y los procesos que dependen de ella.
El dato sanitario sigue siendo uno de los activos más sensibles
Una historia clínica puede contener diagnósticos, tratamientos, antecedentes, medicación o información relacionada con la salud mental de una persona. Datos especialmente sensibles que, una vez expuestos, no pueden simplemente sustituirse.
Ya hablamos de esta problemática en “Fugas de información: un riesgo silencioso para el sector sanitario”, donde analizamos por qué la información sanitaria sigue siendo especialmente atractiva para los ciberdelincuentes.
La llegada de la IA no cambia la necesidad de proteger estos datos, pero sí aumenta el número de procesos capaces de utilizarlos.
Pensemos en una herramienta que transcribe automáticamente una consulta médica y genera posteriormente un informe. Para hacerlo, la información puede pasar por diferentes sistemas o proveedores antes de regresar a la historia clínica.
¿Dónde se procesa? ¿Quién puede acceder? ¿Se conserva la información? ¿Interviene algún tercero?
La IA puede ser únicamente una parte del proceso, pero todo el recorrido del dato debe estar protegido.
IA en salud: una nueva superficie de exposición
La transformación digital del sector sanitario lleva años ampliando el número de sistemas interconectados.
Aplicaciones clínicas, dispositivos médicos, servicios cloud, proveedores tecnológicos o herramientas de inteligencia artificial forman parte de un ecosistema cada vez más complejo.
Esto hace que la seguridad ya no dependa únicamente de los controles internos de una organización.
Una integración mal configurada, un proveedor comprometido o un acceso remoto que permanece activo pueden convertirse en una vía de entrada.
Con la IA ocurre lo mismo. No basta con comprobar que una herramienta funciona correctamente. Es necesario saber a qué información accede, con qué sistemas se comunica y de qué terceros depende.
La cadena de suministro tecnológica también forma parte de nuestra superficie de riesgo.
Cómo la IA está cambiando los ciberataques al sector sanitario
La inteligencia artificial también está modificando las capacidades de los atacantes.
Actualmente, mucha de la información necesaria para conocer una organización puede encontrarse en fuentes públicas: notas de prensa, licitaciones, ofertas de empleo, documentación técnica o publicaciones de proveedores.
Por separado pueden parecer datos poco relevantes. Analizados conjuntamente pueden ofrecer una imagen bastante precisa de las tecnologías, proyectos y relaciones de una organización.
La IA permite procesar y relacionar toda esa información mucho más rápido.
Lo que para una organización es una comunicación sobre un proyecto tecnológico puede convertirse para un atacante en una pista sobre qué sistemas utiliza, qué proveedor participa o dónde puede existir una posible vía de entrada.
La exposición digital también debe formar parte de la estrategia de ciberseguridad.
Cuando no hay atacante: el riesgo del Shadow AI
No todas las fugas de información necesitan un atacante.
Un profesional puede utilizar una herramienta pública de IA para resumir un documento, generar un informe o automatizar una tarea. El objetivo es legítimo: trabajar de forma más eficiente.
El problema aparece cuando esas herramientas se utilizan fuera de los mecanismos de control de la organización. Es lo que analizamos en “Shadow AI: el riesgo silencioso que ya está en tu organización”.
En estos casos, la organización puede desconocer qué herramientas están utilizando sus profesionales, qué datos se comparten con ellas y qué ocurre posteriormente con esa información.
No existe necesariamente malware ni una vulnerabilidad técnica. Existe una pérdida de visibilidad.
Y cuando hablamos de datos sanitarios, esa falta de control puede convertirse en un riesgo especialmente importante.
Auditoría y seguridad de los sistemas de IA
Los sistemas basados en inteligencia artificial introducen además nuevos retos.
Un sistema tradicional suele mostrar de forma evidente cuándo algo falla. Un servicio deja de funcionar o una aplicación devuelve un error.
Un modelo de IA puede seguir funcionando y, sin embargo, comportarse de una manera diferente a la esperada.
Sus resultados pueden degradarse, responder de forma inesperada o ser manipulados.
Por eso no basta con auditar la infraestructura que rodea estos sistemas. También será necesario evaluar el comportamiento de los propios modelos y hacerlo durante todo su ciclo de vida.
La seguridad de una solución de inteligencia artificial no termina cuando se implanta.
La seguridad como garantía de continuidad asistencial
A pesar de la evolución tecnológica, los principios fundamentales de la seguridad siguen siendo los mismos: garantizar la confidencialidad, integridad y disponibilidad de la información.
En sanidad, la disponibilidad adquiere además una importancia especial.
Un incidente de ciberseguridad puede dificultar el acceso a información clínica, interrumpir procesos o afectar al funcionamiento de la actividad asistencial.
Por eso proteger una organización sanitaria no consiste únicamente en evitar una fuga de datos.
También significa garantizar que pueda seguir funcionando.
La monitorización continua, el análisis de anomalías, las auditorías especializadas y la evaluación de proveedores permiten detectar cuándo un sistema o un flujo de información deja de comportarse como debería.
IA y ciberseguridad deben avanzar juntas
La inteligencia artificial puede aportar importantes mejoras al sector sanitario. El riesgo aparece cuando su adopción avanza más rápido que nuestra capacidad para entender y proteger los nuevos procesos que genera.
Antes de incorporar una solución de IA deberíamos saber qué información utiliza, dónde se procesa, quién puede acceder a ella, de qué proveedores depende y cómo podemos comprobar que sigue funcionando de la manera esperada.
Inventario, protección del dato, control de accesos, evaluación de terceros, auditoría, trazabilidad y monitorización continúan siendo fundamentales.
La tecnología cambia.
Los principios con los que debemos protegerla, no.
Porque para aprovechar todo el potencial de la inteligencia artificial en salud, IA y ciberseguridad deben avanzar juntas desde el principio.
