Los proveedores de atención médica deben prepararse para los ataques de ransomware a proveedores externos

La Asociación Americana de Hospitales y Health-ISAC publicaron uno boletín conjunto de amenazas después de que una serie de ataques de ransomware por parte de bandas rusas de ciberdelincuentes provocaran escasez de sangre e interrupciones en la atención a los pacientes en los EE. UU. y el Reino Unido.

Las organizaciones instan a los proveedores de atención médica, hospitales y sistemas de salud a prepararse para las interrupciones en las cadenas de suministro físicas causadas por ataques cibernéticos a proveedores externos que podrían causar problemas importantes en la atención al paciente.

El boletín destaca tres ataques recientes de ransomware contra proveedores de sangre. En julio, el proveedor de sangre OneBlood, con sede en Florida, fue objeto de un ataque de ransomware que provocó importantes retrasos en la entrega de productos sanguíneos en la región porque la empresa se vio obligada a etiquetar manualmente las muestras de sangre. El resultado fue una escasez de sangre que afectó a los hospitales y la atención a los pacientes de la región. En junio el proveedor de patología Sinnovis fue atacado por una banda de ransomware, lo que provocó retrasos en el tratamiento y las operaciones planificadas en varios hospitales de Londres. Además, no se podían utilizar miles de unidades de sangre porque no se podían buscar los tipos de sangre de los pacientes sin acceso al sistema de registros médicos. Y en abril, el proveedor de plasma sanguíneo Octapharma fue atacado a través de un sistema VMWare vulnerable, lo que detuvo las donaciones de plasma sanguíneo en 35 estados. Estos ciberdelincuentes pudieron robar información de los donantes e información de salud protegida de los donantes, además de perturbar la atención a los pacientes en los Estados Unidos y la Unión Europea.

Los equipos de TI de atención médica deben considerar cómo las fallas de la cadena de suministro afectan las operaciones comerciales y la atención al paciente e identificar puntos individuales de falla. Los ataques subrayan la necesidad de incluir proveedores de misión crítica en los planes de gestión de riesgos y emergencias de la empresa. Las organizaciones también deben desarrollar comités y programas multidisciplinarios de gobernanza de gestión de riesgos de terceros para identificar la misión, el negocio y las partes críticas para la vida en sus cadenas de suministro, así como desarrollar procedimientos sobre cómo abordarían la pérdida de cualquiera de estos servicios.

El boletín de Health-ISAC y AHA también recomienda considerar si los proveedores externos son esenciales para la prestación de atención médica, si una falla podría tener consecuencias catastróficas para la organización y si hay alternativas apropiadas disponibles.