Guía para mejorar la ciberprotección de la consulta dental

Las prácticas dentales dependen cada vez más de la tecnología, y eso conlleva un mayor riesgo de ataques cibernéticos.

El primer paso para proteger su práctica dental de los ciberataques es comprender los riesgos. Esta guía ha sido creada para ayudar a las prácticas a identificar riesgos potenciales y desarrollar un plan de seguridad cibernética apropiado. Los ciberdelincuentes se están volviendo cada vez más sofisticados y más capaces de atacar prácticas dentales vulnerables, utilizando una variedad de técnicas que incluyen phishing, malware y ransomware. Estos ataques pueden pasar desapercibidos durante varios años hasta que la práctica se ve comprometida.

Sin embargo, es posible reducir el riesgo de ataques cibernéticos siguiendo una serie de pasos simples. Esta guía proporcionará algunas recomendaciones prácticas de ciberseguridad que puede implementar de inmediato para proteger sus datos.

¿Cuáles son las amenazas más comunes para las prácticas dentales?

Según la Instituto Ponemon, en 2017 el coste medio de una filtración de datos fue de 3.62 millones de dólares. El Instituto Ponemon también informa que la industria de la salud experimenta la mayor cantidad de ataques cibernéticos que cualquier otra industria. Las prácticas dentales no son inmunes a los ataques cibernéticos y las filtraciones de datos.

De hecho, un estudio de la Centro de Recursos de Robo de Identidad descubrió que en 2021, el número total de filtraciones de datos (1,862) aumentó en más del 68 % con respecto al año anterior. Esto estableció un nuevo récord sobre el máximo histórico anterior registrado en 2017 (1506 casos). Los delitos cibernéticos relacionados con el ransomware se duplicaron en los años posteriores a partir de 2020. Al ritmo que van las cosas, se prevé que los ataques de ransomware superen al phishing como la causa principal de las filtraciones de datos en 2022.

Los siguientes son ejemplos de amenazas cibernéticas comunes a las prácticas dentales:

Malware transmitido por correo electrónico

Aproximadamente el 30% de las filtraciones de datos son causadas por malware transmitido por correo electrónico. Este tipo de malware se puede descargar desde un sitio web de phishing y el software malicioso puede infectar una computadora a través de archivos adjuntos o enlaces de correo electrónico.

Ataques de phishing

Un ataque de phishing, también conocido como ataque de "spear-phishing", es un intento de obtener información confidencial, como contraseñas, números de tarjetas de crédito y números de identificación personal mediante el envío de correos electrónicos que parecen provenir de una fuente legítima.

Ransomware

Los ataques de ransomware son cada vez más comunes con la amenaza de los ciberdelincuentes que se dirigen a las prácticas dentales. Es más probable que estos ataques afecten a oficinas pequeñas y prácticas que no cuentan con tecnologías informáticas robustas, ya que pueden ser difíciles de detectar y remediar.

software espía software malintencionado

Esto se puede propagar a través de unidades flash USB y otros medios portátiles. Se puede instalar a través de un archivo adjunto de correo electrónico infectado o un enlace.

Extensiones de navegador maliciosas

Esta extensión de navegador maliciosa suele ser un tipo de adware que oculta la barra de URL y la reemplaza con anuncios, redireccionamientos u otros anuncios no deseados.

Los virus

Un virus es un tipo de software malicioso que puede dañar una computadora o dispositivo electrónico al corromper archivos, propagarse a través de una red o incluso al alterar el sistema operativo.

Worms

Un gusano es un tipo de malware que se propaga replicándose en otras computadoras en Internet. Se puede escribir un gusano para aprovechar las vulnerabilidades de seguridad y propagarse mediante tácticas de ingeniería social, técnicas de explotación de redes o por correo electrónico.

Métodos de mejores prácticas para su práctica dental para proteger sus datos

Usa aplicaciones seguras

Solo descargue y use aplicaciones de las tiendas oficiales. Si ya no las necesita, elimine las aplicaciones por completo.

Dado que las tiendas de aplicaciones oficiales (App Store de Apple o Google Play Store) someten las aplicaciones a un cierto nivel de control antes de que se les permita ofrecerlas allí, la probabilidad de contener los riesgos de seguridad es significativamente menor. 

Sin embargo, solo cargue en su dispositivo las aplicaciones que realmente necesite y desinstale todas las aplicaciones que ya no necesite de la forma más completa posible.

Instale siempre la versión actual de la aplicación

Instale siempre las actualizaciones de inmediato para evitar vulnerabilidades.

Al igual que los sistemas operativos, las actualizaciones suelen contener los últimos parches de seguridad además de nuevas funciones, de forma que se puedan cerrar las brechas de seguridad que pudieran existir con anterioridad.

Almacenamiento seguro de datos de aplicaciones locales

Solo use aplicaciones que cifren documentos y los guarden localmente.

Tenga en cuenta que, si es posible, no se almacenan datos en la nube. Cree copias de seguridad de sus dispositivos móviles y utilice la opción que ofrece el sistema operativo para crear copias de seguridad encriptadas y guardarlas solo en dispositivos que estén bajo su control. Evite utilizar copias de seguridad en la nube, incluso si se ofrecen en forma encriptada.

No envíe datos confidenciales a través de aplicaciones

Para evitar la salida no deseada de datos posiblemente confidenciales, utilice configuraciones de protección de datos que sean lo más restrictivas posible, en las que el acceso no controlado a otros datos confidenciales en el teléfono inteligente (por ejemplo, acceso general a la libreta de direcciones y, por lo tanto, a todos los datos de contacto almacenados, foto álbum, etc.) no es posible puede evitarse no debe utilizarse.

Esto también se aplica a los mensajeros comunes y las aplicaciones de redes sociales, por ejemplo.

Sin almacenamiento en la nube de datos personales

No uso del almacenamiento en la nube integrado en los productos de Office para almacenar información personal.

Una vez más, absténgase de utilizar el almacenamiento en la nube. Especialmente cuando se trata de datos personales, estos datos no deben almacenarse en la nube sin una base legal y las especificaciones allí definidas.

Autenticación para aplicaciones web

Utilice únicamente aplicaciones de Internet que aseguren estrictamente su acceso (página y proceso de inicio de sesión, contraseña, cuenta de usuario, etc.).

Para este propósito, al menos debe estar protegido con un inicio de sesión con un nombre de usuario y contraseña. Si se ofrece esto, deben activar la llamada "autenticación de dos factores", que requiere una segunda función de seguridad además de ingresar una contraseña. A menudo, se trata de un PIN que se envía a través de una aplicación separada a un dispositivo confiable previamente especificado (teléfono inteligente, tableta, PC) o como un SMS a un número de teléfono móvil que haya almacenado previamente.

Un método particularmente seguro es el registro a través de tarjeta inteligente (por ejemplo, tarjeta de dentista electrónica, tarjeta ZOD, SMC-B), que también representa una autenticación de dos factores, ya que por un lado la posesión de la tarjeta inteligente apropiada y por otro lado se requiere el PIN asociado.

No configure ni permita accesos o llamadas automatizados a aplicaciones web

El acceso a Internet siempre debe ser deliberado y controlado. Por lo tanto, bajo ninguna circunstancia permita que las aplicaciones descargadas u otras aplicaciones accedan a las aplicaciones web automáticamente.

Regular permisos y accesos por grupo de personas y por persona

Preste especial atención a la asignación clara al compartir carpetas en la red. Asigne solo las carpetas que sean absolutamente necesarias para personas o grupos y restrinja aún más las carpetas asignadas. Determine qué derechos (leer, escribir, eliminar,...) tienen las personas o grupos individuales.

Los soportes de datos extraíbles deben comprobarse en busca de malware con un programa de protección actualizado cada vez que se utilicen.

Si usa medios extraíbles como una memoria USB, verifíquelos con el software de protección antivirus instalado en su computadora antes de cada uso, especialmente si se intercambian entre diferentes sistemas y antes de pasarlos.

Borre siempre los soportes de datos de forma segura y completa después de su uso. Su computadora ofrece varias opciones para esto

Dependiendo del sistema operativo utilizado, tiene varias opciones aquí. Con la ayuda de aplicaciones especiales adicionales, se puede llevar a cabo una eliminación más intensiva que puede ser necesaria, ya que un proceso de eliminación "normal" generalmente no elimina los datos en sí, sino solo la referencia a ellos, por lo que ya no se muestra. por el sistema 

Sin embargo, los datos se pueden restaurar con relativa facilidad con algunos programas disponibles gratuitamente. Los programas de eliminación adecuados suelen sobrescribir los datos que se van a eliminar varias veces para que no se puedan restaurar después.

Se debe usar la autenticación adecuada para el acceso de administración a los componentes de la red y la información de administración.

Los componentes utilizados en la red como cortafuegos, enrutadores, conmutadores, etc. deben estar protegidos al menos con contraseñas seguras. El acceso a estos dispositivos y, por lo tanto, a la configuración o la información allí almacenada no debe ser posible sin una contraseña u otra autenticación segura.

Copia de seguridad y recuperación ante desastres

La copia de seguridad y la recuperación ante desastres es una parte clave de la seguridad. Las copias de seguridad deben almacenarse en al menos dos o tres ubicaciones diferentes. No solo se debe proteger un sistema de respaldo, sino también los archivos que se han respaldado, para que pueda restaurarlos si es necesario.

Políticas y procedimientos de seguridad

Las políticas y procedimientos de seguridad deben describir en detalle cómo se protegen los activos de información de la organización. Las políticas y procedimientos deben documentarse, aprobarse y actualizarse al menos una vez al año.

Seguridad física

El acceso físico a los sistemas informáticos debe controlarse de cerca. Todas las puertas deben estar cerradas, se deben usar tarjetas y llaves de acceso, y todas las habitaciones deben estar bien iluminadas con suficiente luz natural para ver la información.

Seguridad electronica

Todos los sistemas informáticos y servicios de red deben contar con las medidas de seguridad adecuadas. Todos los usuarios deben utilizar sus propios nombres de inicio de sesión y contraseñas. Las políticas y los procedimientos de seguridad de la información deben integrarse en los esfuerzos generales de gestión de riesgos de la organización, incluidos los de recursos humanos, seguridad física, planificación de la continuidad del negocio y recuperación ante desastres.

Conclusión

La mejor seguridad informática se logra mediante la adopción de un enfoque en capas para la seguridad de la información. Cada capa proporciona un conjunto diferente de controles para garantizar que se pueda acceder a los datos y utilizarlos de forma segura, pero cada capa tiene sus propias vulnerabilidades.

Es importante reconocer estas vulnerabilidades y aplicar las medidas de control apropiadas como se compartió anteriormente. Es importante contar con una política de seguridad sólida y sólida porque ayudará a proteger todos los activos de la organización. Una buena política de seguridad ayudará a un consultorio dental a mantener un entorno de red seguro y confiable.

Los dentistas deben tomar las precauciones necesarias para proteger sus prácticas dentales del ciberdelito. Esto incluye el uso de contraseñas seguras, la actualización regular del software y la capacitación de los empleados sobre las mejores prácticas. Al seguir los consejos proporcionados en este artículo, los profesionales pueden ayudar a minimizar el riesgo de una violación cibernética y mantener seguros los datos de sus pacientes.