¿Quién se da cuenta primero: tu equipo o un tercero?

Cuando la primera alerta llega desde afuera, normalmente la información ya circula, y el trabajo pasa a ser contener el incidente y responder a las personas afectadas. Por eso una pregunta útil para cualquier directorio no es solo si la empresa está protegida, sino quién se daría cuenta primero si ocurre un acceso indebido.

Este caso no se cita para evaluar a una institución en particular: la investigación sigue abierta y sus causas no están establecidas. Se cita porque cualquier organización chilena que guarda información sensible en sistemas operados por terceros puede vivir un incidente similar, y porque los datos públicos disponibles permiten extraer qué conviene revisar.

Qué se sabe del caso

Según lo informado por T13 a partir de la querella presentada por el hospital, estos son los hechos conocidos hasta ahora:

●   Cómo se conoció: la ANCI informó a la Universidad de Chile sobre una publicación en un foro de internet donde se exhibían los datos.

●   Sistema afectado: la plataforma del Servicio de Imagenología donde se gestionan y visualizan radiografías, escáneres y otros exámenes (conocida como RIS PACS), provista por una empresa externa.

●   Qué datos quedaron expuestos: según la querella, datos de identificación de pacientes, como RUT, nombre y edad, e información de sus exámenes, incluidos los resultados. El alcance total aún no está determinado.

●   Qué medidas se tomaron: el hospital informó que inhabilitó la cuenta comprometida y suspendió de forma preventiva la plataforma externa de consulta para implementar mejoras de seguridad.

●   Acción legal: una querella ante el 3° Juzgado de Garantía de Santiago por acceso ilícito y receptación de datos informáticos. La investigación quedó a cargo del Ministerio Público.

 

Una lección para cualquier empresa: los accesos que se abren a terceros

Más allá de este caso, muchas organizaciones abren accesos a terceros por razones legítimas: portales para que clientes o profesionales consulten información, accesos de soporte para proveedores o plataformas operadas por una empresa externa. El riesgo crece cuando esos accesos son visibles desde internet, se usan con cuentas compartidas o quedan fuera del monitoreo de la organización. Por eso conviene que los contratos con proveedores definan no solo la disponibilidad de la plataforma, sino también quién revisa sus accesos y cómo se avisa ante una alerta.

En salud, la digitalización ya es alta: según el Centro Nacional en Sistemas de Información en Salud (CENS), en Chile más del 70% del sistema público y más del 85% del sistema privado cuenta con registros clínicos electrónicos. Pero el patrón no es exclusivo del sector. Empresas medianas y grandes en Chile, desde laboratorios e isapres hasta retail y educación, tienen portales de clientes, plataformas de soporte remoto y sistemas de proveedores conectados a sus datos. Cada uno es un acceso abierto por una buena razón, que conviene revisar de forma periódica.

Lo que hay que decidir: una lista corta y oficial para partir

La buena noticia es que no hay que inventar el punto de partida. El 24 de agosto, CENS y la ANCI publicaron recomendaciones de ciberseguridad para los sistemas de información en salud que cualquier empresa puede adaptar: usar cuentas individualizadas en lugar de credenciales genéricas, aplicar autenticación multifactor, limitar el acceso público desde internet a plataformas con datos sensibles, mantener trazabilidad, monitorear sesiones para detectar comportamientos sospechosos, identificar los componentes críticos y desarrollar planes de respuesta ante incidentes. Entre las primeras medidas sugeridas está registrar al encargado de ciberseguridad en el portal de la ANCI, para agilizar el reporte de incidentes y recibir alertas sectoriales. Lo relativo a plazos y obligaciones de reporte ya lo abordamos en nuestras notas sobre la Ley Marco 21.663; aquí el foco es detectar antes.

En arquitectura, la idea es que las plataformas con datos sensibles no queden expuestas directamente a internet y que cada acceso pase por una entrada que verifique la identidad de cada persona. Esa capa puede construirse con el acceso de confianza cero de Cloudflare o con el acceso condicional de Microsoft Entra ID en Azure, y los registros de acceso pueden centralizarse con los servicios nativos de AWS o Azure. Sobre esos registros trabaja un monitoreo continuo (SOC 24x7) que mira también las cuentas de proveedores y puede bloquear una cuenta o aislar una plataforma cuando detecta un comportamiento anómalo.

La recomendación de Pronodo

Como Socio Tecnológico especializado en ciberseguridad, creemos que un buen punto de partida no es sumar herramientas, sino ganar visibilidad sobre los accesos que operan los terceros. Antes de cualquier inversión, proponemos un diagnóstico en tres pasos:

1.   Inventario de exposición. Identificar qué plataformas propias y de proveedores con datos sensibles se pueden ver hoy desde internet, y cuáles realmente necesitan estarlo.

2.   Revisión de cuentas de terceros. Detectar cuentas compartidas, sin doble verificación, sin dueño claro o inactivas, y definir en los contratos quién vigila esos accesos.

3.   Prueba de detección. Simular, de forma controlada, un acceso anómalo con una cuenta de proveedor y medir si el equipo o el SOC se da cuenta, y en cuánto tiempo.

 

No todas las empresas necesitan todo a la vez. Lo razonable es partir por un diagnóstico técnico que muestre qué accesos existen y quién los revisa, antes de cualquier inversión.