Change Healthcare (EE. UU.)
Un ransomware dejó parada durante semanas la tramitación de recetas en Estados Unidos.
Fuente · Reuters
En sanidad, un ciberataque no es un problema de informática. Es un problema de seguridad del paciente.
Los proveedores sanitarios, las farmacéuticas y las empresas de tecnología médica gestionan datos médicos sensibles y sistemas clínicos críticos. Un fallo de seguridad aquí no es solo un problema técnico: puede afectar directamente a la atención al paciente. Ponemos a prueba esos sistemas con el mismo enfoque que usaría un atacante real, y te decimos exactamente qué se podría explotar.
Cuéntanos tu proyecto sanitario
30 minutos con un consultor senior. Bajo NDA.
Protegido por reCAPTCHA. Se aplican la Política de Privacidad y las Condiciones del Servicio de Google.
Mensaje recibido.
Un consultor senior te responderá en un día laborable.
No se ha podido enviar. Inténtalo otra vez o escríbenos.
Nos eligen equipos sanitarios y de health tech de toda Europa.
Una brecha aquí puede costarte asistencia, no solo datos.
En casi cualquier sector una filtración cuesta datos, confianza y dinero. En sanidad puede costar la propia asistencia. Un ataque a un hospital o a una clínica no se queda en informática: deja a los clínicos fuera de la historia clínica, retrasa diagnósticos, cancela cirugías programadas y devuelve al personal al papel, mientras salen por la puerta algunos de los datos personales más sensibles que existen.
Incidentes recientes
Synnovis (NHS, Reino Unido)
Los servicios de anatomía patológica quedaron paralizados en grandes hospitales de Londres; hubo cirugías canceladas.
Fuente · BBC
Hospital Universitari de Torrevieja (ES)
Un ciberataque alteró durante días las citas y el acceso a la historia clínica.
Fuente · El País
Hospital Verge dels Lliris, Alcoi (ES)
Un ransomware obligó a trabajar a mano en varias unidades del hospital.
Fuente · Bleeping Computer
HCA Healthcare (EE. UU.)
Robaron 11 millones de historias de paciente y las publicaron en un foro de delincuentes.
Fuente · Reuters
Hospital Clínic de Barcelona (ES)
Un ransomware canceló 150 cirugías y 3.000 citas; además se filtraron datos.
Fuente · El País
MOVEit y varias sanitarias (global)
Una brecha en la cadena de suministro expuso millones de registros a través de un solo proveedor.
Fuente · Bleeping Computer
SESCAM, Castilla-La Mancha (ES)
El servicio de salud regional sufrió un ataque; sus sistemas administrativos quedaron afectados.
Fuente · El País
Change Healthcare (EE. UU.)
Un ransomware dejó parada durante semanas la tramitación de recetas en Estados Unidos.
Fuente · Reuters
Synnovis (NHS, Reino Unido)
Los servicios de anatomía patológica quedaron paralizados en grandes hospitales de Londres; hubo cirugías canceladas.
Fuente · BBC
Hospital Universitari de Torrevieja (ES)
Un ciberataque alteró durante días las citas y el acceso a la historia clínica.
Fuente · El País
Hospital Verge dels Lliris, Alcoi (ES)
Un ransomware obligó a trabajar a mano en varias unidades del hospital.
Fuente · Bleeping Computer
HCA Healthcare (EE. UU.)
Robaron 11 millones de historias de paciente y las publicaron en un foro de delincuentes.
Fuente · Reuters
Hospital Clínic de Barcelona (ES)
Un ransomware canceló 150 cirugías y 3.000 citas; además se filtraron datos.
Fuente · El País
MOVEit y varias sanitarias (global)
Una brecha en la cadena de suministro expuso millones de registros a través de un solo proveedor.
Fuente · Bleeping Computer
SESCAM, Castilla-La Mancha (ES)
El servicio de salud regional sufrió un ataque; sus sistemas administrativos quedaron afectados.
Fuente · El País
Por qué los atacantes van a por la sanidad.
Una prueba de seguridad genérica no detecta lo que de verdad importa en sanidad. Aquí el riesgo no es una hoja de cálculo filtrada: es una cirugía cancelada, una historia clínica robada que no se puede reemitir, o un dispositivo médico que falla en mitad de un procedimiento.
01
El dato vale mucho
Una historia clínica, la identidad y los datos de aseguradora valen más para un delincuente que un número de tarjeta y, al contrario que una tarjeta, el historial de un paciente no se puede anular y volver a emitir.
02
No puedes permitirte parar
Cuando los sistemas se paran, la presión es inmediata y real: urgencias, quirófanos, diagnóstico por imagen, ingresos. Eso es exactamente lo que hace que la extorsión funcione contra un hospital.
03
El ecosistema es grande y viejo
Proveedores, integradores, varios centros, acceso remoto y dispositivos médicos que siguen en servicio diez años o más: cada uno de ellos es una posible vía de entrada, y muy pocos se vigilan de cerca.
¿Por qué nos llamaría el sector sanitario?
Un portal de paciente nuevo sale a producción
Antes de abrir el acceso a pacientes, conviene comprobar que nadie llega a la historia de otro: es el fallo grave más habitual en estos portales.
Auditoría del ENS o de NIS2
La sanidad es sector esencial en NIS2 y los hospitales públicos españoles están bajo el ENS. El auditor pide evidencia técnica, no una declaración.
Entra en la red un dispositivo médico conectado
Un equipo nuevo, o uno que lleva diez años en servicio, llega con su propia superficie. Se evalúa dentro de un alcance acordado y de forma conservadora.
El consejo pregunta por el ransomware
Cuando la pregunta llega desde arriba hace falta una respuesta con evidencia: qué camino existe hasta la historia clínica y hasta la parada de la asistencia.
Expediente de seguridad de un dispositivo médico
Un fabricante que prepara la documentación de producto necesita pruebas contra las expectativas del reglamento europeo de dispositivos y de la IEC 62443.
Refuerzo después de un incidente
Tras una brecha propia o en un proveedor, la pregunta ya no es si hay hallazgos, sino si queda algún otro camino abierto hasta los datos de paciente.
La aseguradora o un cliente piden pruebas
Una póliza cíber o el cuestionario de seguridad de un cliente piden un pentest externo, con informe, certificado de ejecución y evidencia de retest.
Una conversación de 30 minutos con quien entiende un sector crítico.
Ya sea un hospital, una aseguradora, un grupo de clínicas, un fabricante de dispositivos médicos o un producto de health tech, definimos juntos el alcance, el calendario y el consultor que llevará tu proyecto. La misma persona que ejecuta las pruebas te atiende desde la primera llamada.
Cada hallazgo, su evidencia clínica y su cierre, en un solo sitio.
Seguimiento en vivo de cada vulnerabilidad, con evidencia lista para tu equipo de cumplimiento y tu consejo, sin tocar la operación asistencial.
ASPERIS PLATFORM · DEMO
LIVE
Lo que dicen nuestros clientes, con sus palabras.
Desde Etnia valoramos muy positivamente la colaboración con Asperis Security. Su profesionalidad, cercanía, rapidez de respuesta y capacidad para adaptarse a nuestras necesidades han sido clave en cada proyecto. La calidad del servicio y el acompañamiento continuo nos aportan siempre mucha tranquilidad. Sin duda, es un placer contar con ellos como partners tecnológicos.
En NPAW hemos colaborado con Asperis en distintas iniciativas relacionadas con la seguridad y la experiencia ha sido muy positiva. Valoramos especialmente su capacidad para adaptarse a nuestras necesidades y el nivel de profundidad con el que abordan cada proyecto. Los resultados son claros, estructurados y útiles para la toma de decisiones y la mejora continua en seguridad. Nos gusta trabajar con Asperis por el criterio y el valor que aportan en cada colaboración. Su trabajo nos ha ayudado a reforzar nuestro nivel de seguridad.
ASPERIS nos ha acompañado en la definición e implantación de nuestro roadmap de ciberseguridad en Microsoft 365 con un enfoque estructurado y alineado a negocio. Gracias a su asesoramiento, dimos el paso estratégico de completar nuestro ecosistema Microsoft y reforzarlo con CrowdStrike para la protección avanzada de dispositivos móviles, elevando de forma significativa nuestro nivel de seguridad.
Con Asperis no contratas un servicio, contratas un compañero. No buscan facturar un proyecto, buscan establecer una relación de confianza preocupándose por los puntos clave que afectan a la seguridad de tu organización. Profesionalidad, saber hacer y diligencia.
Preguntas que nos hacen los CISO y los directores de sistemas del sector sanitario.
Siete preguntas que salen en toda primera reunión con una organización sanitaria. Si la tuya no está, pregúntala.
Porque en sanidad el riesgo no es solo la confidencialidad, es la disponibilidad y la continuidad de la asistencia. En casi cualquier sector una brecha va de datos robados; en un hospital, un ataque puede además impedir que los clínicos trabajen, retrasar un diagnóstico y cancelar un tratamiento. Eso convierte el impacto en operativo y, al final, en una cuestión de seguridad del paciente, y por eso probamos con eso muy presente.
El ransomware busca interrumpir la actividad: bloquea la historia clínica electrónica, la agenda, el diagnóstico y los ingresos, y muchas veces roba datos a la vez para añadir presión de extorsión. El resultado puede ser cirugía cancelada, ambulancias desviadas y personal de vuelta al papel. Evitarlo empieza por encontrar la vía de entrada antes de que la encuentre un atacante.
Sí, y es el centro de cómo trabajamos en sanidad. Acordamos las reglas, las ventanas y los límites antes de empezar, y tratamos los sistemas sensibles y clínicos de forma conservadora, sin usar nunca técnicas disruptivas contra ellos sin aprobación expresa. El objetivo es darte la vista real de un atacante sobre tu riesgo con cero impacto en la asistencia.
Sí. Podemos evaluar dispositivos médicos conectados y el internet de las cosas médicas en general, siempre dentro de un alcance acordado con cuidado y con un enfoque conservador para cualquier cosa que toque la asistencia. Cuando un dispositivo es demasiado sensible para probarlo en vivo, acordamos un método seguro en la fase de alcance.
El problema grave más habitual es que un paciente pueda llegar a la historia de otro, junto con control de acceso débil por rol, datos demasiado expuestos y APIs que no comprueban bien quién pregunta. Son problemas de lógica y de acceso que un escáner no sabe juzgar, y por eso los prueba a mano un hacker de nuestro equipo.
Con las principales que se aplican en sanidad: el RGPD, donde el dato de salud es categoría especial; NIS2, que cubre la sanidad como sector esencial; y el ENS para hospitales públicos españoles. Para fabricantes de dispositivos médicos, apoya el reglamento europeo de dispositivos y la IEC 62443. Nosotros aportamos la evidencia técnica; la valoración formal la hacen tu equipo y tu auditor.
Un informe ejecutivo y otro técnico, una guía de corrección priorizada, un certificado de ejecución y un retest con evidencia documentada de cierre, todo trazable y exportable desde la plataforma, listo para entrar en un expediente de RGPD, NIS2 o del ENS.
Otros sectores con los que trabajamos.
¿Listo para demostrar que tus sistemas sanitarios son seguros?
Trabajamos con hospitales, portales de paciente, plataformas de health tech y dispositivos conectados para poner a prueba su seguridad sin interrumpir la asistencia. Acotamos el alcance con cuidado, ejecutamos las pruebas sobre el terreno real y entregamos evidencia en la que pueden apoyarse tus auditores y tu consejo, cerrada con un retest.
O escribe directamente a [email protected].