El modelo Bring Your Own Device (BYOD) implica un constante reto a la ciberseguridad en la industria de la salud. Aunque su utilización en ese campo era poco aceptada hasta hace un lustro, a raíz de la pandemia y la llegada de la telesalud se volvió inevitable adoptarla. Con ella, se abrió la posibilidad de que los dispositivos fueran un vector para la llegada de malware al ecosistema TIC hospitalario. Por ello, se hizo imperativo encontrar la manera reforzar la ciberseguridad del modelo BYOD.
Ahora bien, los riesgos de ciberseguridad del modelo BYOD rebasan holgadamente el uso de dispositivos como computadoras de escritorio, redes WiFi abiertas y unidades USB. A ellos se suman los dispositivos de la Internet de las Cosas Médicas (IoMT); diversos dispositivos móviles personales (como laptops, tabletas y wearables), y los servicios basados en la nube.
Por otra parte, la cada vez más ubicua inteligencia artificial (IA) también contribuye a estresar la ciberseguridad del modelo BYOD. Además en el futuro habrá más peligros potenciales, como la aún incipiente computación cuántica.
Las dificultades para garantizar la ciberseguridad del modelo BYOD parecen el cuento de nunca acabar. Sobre todo porque no es factible asegurar que todos los dispositivos que se conectan a las redes hospitalarias sean benignos. Por ende, la posibilidad de que se inicie un ciberataque desde alguno de ellos es siempre muy alta.
Gobernanza y confianza cero
Ahora bien, la mejor manera de fortalecer la ciberseguridad del modelo BYOD consiste en dejar de lado los intentos de lograr un control granular de los dispositivos que se conectan a las redes hospitalarias. Simplemente, no es realizable. En cambio, se deben utilizar herramientas y estrategias orientadas a la protección de los datos.
Por supuesto, esto no significa abandonar las medidas de ciberseguridad tradicionales. Aun cuando por sí mismas no serán suficientes, permiten tener una visibilidad razonable sobre las actividades de los dispositivos conectados. En cambio, deben complementarse con prácticas de confianza cero, herramientas de prevención de pérdida de datos y una buena gobernanza de identidades y accesos. Evidentemente, el uso de la IA puede potenciar dichas políticas.
Otra medida recomendable consiste en segmentar las redes. Por ejemplo, los sistemas críticos pueden interconectarse mediante una red de acceso restringido, no disponible para los usuarios en general. Así, es posible crear entornos donde es más fácil reforzar la ciberseguridad.
Si bien es deseable que los usuarios tengan acceso sin tropiezos a los recursos que necesiten del ecosistema TIC de la organización, no es posible que lo hagan sin medidas de seguridad. Por ello, huelga decir que una estrategia muy eficiente para robustecer la ciberseguridad del modelo BYOD pasa por educar a los usuarios. Y esto implica a todos los usuarios: médicos, enfermeras y trabajadores administrativos y de apoyo por igual.
Fortalecer la ciberseguridad del modelo BYOD
Entre las medidas a tomar para fortalecer la ciberseguridad del modelo BYOD pueden contarse las siguientes:
●Poner por escrito las políticas del modelo y hacerlas llegar a todos los empleados. Se debe especificar quiénes pueden usar sus dispositivos personales y con qué fines; a cuáles datos pueden acceder; cuáles pueden almacenarse en sus dispositivos personales; las redes a las que pueden conectarlos, el personal responsable de gestionar la ciberseguridad del modelo BYOD.
●Configurar los dispositivos autorizados para que encripten los datos a los que tengan acceso. Establecer verificaciones periódicas de su estado por parte del personal de TIC.
●Otra manera de asegurar la ciberseguridad del modelo BYOD consiste en centralizar la gestión de los dispositivos móviles. Para ello conviene adoptar alguna solución para la gestión de dispositivos móviles (Mobile Device Management, MDM). Debe abarcar cualquier dispositivo utilizado en las redes hospitalarias o utilizados para acceder a la información de los pacientes.
●La ciberseguridad del modelo BYOD pasa por auditar con regularidad los dispositivos utilizados por los empleados para conectarse a las redes hospitalarias. Eso facilita confirmar que tienen la configuración adecuada no sólo para protegerlos de hackers, sino que, en caso necesario, los administradores pueden acceder a ellos de manera remota. Eso permite eliminar con seguridad los datos contenidos en dispositivos perdidos o robados, que de cualquier manera deberían estar cifrados.
