Ilustración: una película de escaneo, en nubes de puntos, de los lugares de un hospital: el hospital desde el aire, una planta de noche, una sala de radiología con su resonancia, la cámara fría de la farmacia, un laboratorio, la sala de máquinas con su grupo electrógeno y la marca de Cantic. Las etiquetas muestran lecturas y direcciones ficticias.
HospitalesClínicasLaboratorios
Entramos en tu hospital antes que un delincuente.
De tu portal del paciente a historias clínicas, laboratorio y farmacia. Con Fortify, escribimos el arreglo en 24 horas.
Ataque real Hospital Civil de Guadalajara Ver los ataques
Sanidad
A un delincuente le basta una entrada a tu hospital.
Cada línea que llega a internet es una puerta.
Eclipse, nuestro propio modelo entrenado para atacar, sigue hasta que puede demostrar el control total.
Dicho claro: un atacante que trabaja para tu empresa.
Hasta dónde llega Eclipse
- Web
- Aplicaciones
- Correo
- Accesos
- Nube
- Servidores
- Red interna
- Máquinas
Con qué funciona tu empresa
Sabemos con qué funciona un hospital. Los delincuentes, también.
Empresas externas
- Tu proveedor informático
- Proveedores de software clínico
- Proveedores de equipos médicos
- Mantenedora de instalaciones
- Empresa frigorista
Acceso remoto
- VPN
- Escritorio remoto
- Soporte remoto
- Portales de proveedores
-
Admisión y oficina
- Portal de citas
- Historia clínica electrónica
- Correo
- Copias de seguridad
-
Plantas y quirófanos
- Monitores de pacientes
- Bombas de infusión
- Llamada a enfermería
- Terminales y red de planta
-
Diagnóstico por imagen
- TAC y resonancia
- Archivo de imágenes
- Acceso remoto del fabricante
-
Laboratorio
- Analizadores
- Sistema del laboratorio
- Envío de resultados
-
Farmacia
- Neveras de vacunas
- Registradores de temperatura
- Armarios dispensadores
-
Sala de máquinas
- Gestión del edificio
- Climatización y ventilación
- Alarmas de gases medicinales
- Grupos electrógenos
Ataque real
Ataques que llegaron a hospitales y a sus proveedores.
-
México
-
Inglaterra, Reino Unido
Wirral University Teaching Hospital
Sistemas aislados tras un ataque; se trabajó en papel y se cancelaron todas las consultas externas.
Fuentes Healthcare Management ITPro
-
Inglaterra, Reino Unido
Synnovis, análisis clínicos del sureste de Londres
El ransomware alteró los análisis clínicos; dos trusts de Londres aplazaron 1.696 intervenciones programadas y 10.083 consultas externas.
Comparado
Esto no es un pentest anual.
| Un pentest normal | Cantic |
|---|---|
| Una vez al año | Día y noche, y con cada cambio |
| Un PDF semanas después | Pruebas en el momento, con la reproducción |
| Se queda en la web | De la web al servidor y a la máquina |
| Tú buscas el arreglo | Escribimos el arreglo en un plazo de 24 horas |
| Esperas que aguante | Volvemos a atacar para comprobar que aguanta |
Bajo tu control
Dentro de las reglas que tú firmas.
Límites claros y privacidad de los datos para hospitales, clínicas y sus pacientes.
No se ejecuta nada hasta que firmas
Una autorización y unas reglas de intervención, firmadas por quien puede autorizar la prueba.
Dentro de los límites que fijas
Tu alcance, tu horario y tus límites. Se detiene cuando puede demostrar el control.
Detén la prueba en 60 segundos
Ritmo limitado y tiempo acotado, así que tus sistemas no se ralentizan.
Cada acción, en el registro
Con hash y sello de tiempo en un registro que puedes inspeccionar, y en directo.
Una persona en cada hallazgo crítico
Un responsable asignado de nuestro equipo.
Ninguna empresa externa de IA ve tus datos
Eclipse es nuestro propio modelo, en nuestros propios servidores.
Destruidos al terminar el trabajo
Lo borramos en varios pasos en nuestros sistemas; no nos lo quedamos. Informes de la primera prueba: 14 días si no te suscribes.
El arreglo llega a tu proveedor informático
Los hallazgos y los arreglos van a tu propio equipo o a tu proveedor informático.
Normativa
Las normas que se aplican a la sanidad.
- NIS2 sitúa la sanidad entre los sectores de alta criticidad, de los prestadores sanitarios a los fabricantes farmacéuticos y de productos sanitarios (anexos I y II). 1
- Un incidente significativo exige una alerta temprana en 24 horas y una notificación en 72 horas (artículo 23). 1
- El Esquema Nacional de Seguridad abarca el sector público y los sistemas de sus contratistas, auditados al menos cada dos años. 2
Preguntas
Lo que nos preguntan
- ¿Habéis encontrado antes la forma de entrar en el sector sanitario?
- Sí: en una intervención, Eclipse encontró la forma de leer historiales médicos, con diagnósticos, recetas y pruebas.
- ¿Ayuda con NIS2 y con nuestras auditorías?
- Sí: cada paso queda registrado, del alcance firmado a la nueva prueba, pero no certifica el cumplimiento.
- Nuestra informática está externalizada. ¿Por qué vosotros?
- Tu empresa informática hace funcionar tus sistemas y nosotros los atacamos: son dos trabajos distintos.
Cómo empieza
Tus resultados en un día.
Tú firmas las reglas
Una autorización y unas reglas de intervención, firmadas antes de que se ejecute nada.
Eclipse prueba lo que está dentro del alcance
Desde fuera, como lo haría un atacante. No hay nada que instalar.
Ponemos los hallazgos sobre la mesa
En lenguaje claro, con lo que hay que hacer. Cada hallazgo llega con su prueba.
Fuentes
- EU Official Journal (publications.europa.eu), Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS 2 Directive), . Consultado el .
- Boletín Oficial del Estado (BOE), Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, . Consultado el .