El fet que un ciberatac tingui èxit no significa que el sistema de salut o l'hospital que l'hagi patit hagi estat negligent. Al contrari. Aquesta és l'opinió de Ricard Martínez, una de les veus de referència en l'àmbit de la protecció de dades sanitàries. Extremadura, com ja hem explicat en aquest diari, va reaccionar amb rapidesa i va activar les mesures de contenció, mitigació i reparació oportunes. La seva denúncia davant la Policía Nacional ha conduït, a més, a la detenció de l'autor del ciberatac.
PREGUNTA. Les dades sostretes (historial clínic indexat amb malalties, diagnòstics i tractaments) són categoria especial sota el RGPD. Quina diferència de gravetat jurídica i de risc real per al pacient hi ha entre aquesta bretxa i un 'ransomware' que "només" xifra?
RESPOSTA. Deixi'm fer una reflexió general. Els sistemes d'informació clínica [com l'extremeny, que ha patit un ciberatac] són una infraestructura crítica perquè s'utilitzen per a la prestació del servei sanitari i la preservació de la vida humana. Ja només per això tenen la màxima consideració. Però, a més, des d'una perspectiva geopolítica, són infraestructures crítiques de país: atacar una infraestructura d'un hospital o d'un sistema de salut d'un país implica reduir la seva capacitat de reacció i de resposta davant una crisi.
D'altra banda, les dades en salut tenen un valor econòmic i intrínsec al mercat i són susceptibles de revenda.
Però la gravetat jurídica i el risc real per al pacient depèn no tant de la naturalesa de les dades com dels riscos que generin per als, diguem-ne, titulars de les dades. És a dir: entre les dades que m'han robat hi ha informació suficient no només per suplantar la meva informació, sinó per vendre el meu historial mèdic, o per hackejar un dispositiu mèdic connectat, o dades l'explotació de les quals sigui valuosa en recerca, perquè un conjunt de dades ben estructurat, especialment en àmbits com el càncer, es cotitza en centenars de milers de dòlars.
Tots aquests elements s'han de considerar a l'hora d'atribuir la gravetat en la sostracció de les dades.
P. El Servei Extremeny de Salut va notificar l'AEPD i als 18.416 afectats. Complerts els tràmits, què pot fer l'Agència ara? És previsible una sanció i de quin ordre, o n'hi ha prou amb demostrar mesures correctores?
R. L'obligació de seguretat és una obligació de mitjans, no de fins. Que un ciberatac a un hospital o un sistema de salut tingui èxit no significa que aquests ho hagin fet malament. A vegades ni tan sols significa que sigui responsable. Extremadura ha notificat a l'Agència Espanyola de Protecció de Dades en un termini de 72 hores i, a més, ha notificat als afectats.
Davant una situació com aquesta, Extremadura no només ha hagut de documentar el que ha passat, sinó notificar tots i cadascun dels passos que ha seguit, perquè el regulador, l'AEPD el que demana és que avaluïn el que ha succeït: en què ha consistit l'atac, quina era la vulnerabilitat, de quina manera s'ha produït, a quin volum de dades ha afectat, a quin tipus de dades, en què pot consistir el dany o quins riscos se'n podrien derivar.
A més, l'AEPD també demana que es notifiqui el que has fet i, aquí hi ha l'element nuclear, si ho podies haver detectat a temps, si has estat diligent i tenies eines per estar al corrent de l'atac, si has reaccionat de manera immediata, si tenies un pla de contingència i com es va materialitzar.
Pel que fa a la notificació als pacients, hi ha l'obligació de transparència, però no només això. A més de notificar-li que existeix un risc, l'has de tranquil·litzar i fins i tot indicar-li què hauria de fer. Per exemple, imaginem-nos un cas d'un pacient que tingui un dispositiu connectat que exigís un canvi immediat de contrasenya, o que hagi de passar per l'hospital per recalibrar-lo. Per a aquest tipus de situacions serveix la notificació a l'usuari: t'explico el que ha passat, si les teves dades estan afectades o no i t'explico els riscos que podrien sorgir perquè adoptis mesures d'autoprotecció.
Tots aquest procés és el que l'AEPD revisarà. I si el Servei Extremeny de Salut ha actuat de manera diligent, no procedirà l'obertura d'expedient sancionador. Si algun dels punts de tot aquest procés falla, és quan tenim un problema i el regulador dona ordre de procés d'inspecció i instrucció.
P. L'atac va ser massiu i automatitzat contra un portal ciutadà. Quines obligacions de disseny (autenticació reforçada, pseudonimització, limitació d'accés massiu) exigeixen el RGPD (Reglament General de Protecció de Dades) i l'ENS (Esquema Nacional de Seguretat) nivell alt a un portal sanitari públic, i quines solen fallar a la pràctica?
R. L'atribució d'un nivell de seguretat a l'ENS defineix un esquema de risc. Per tant, el que haurà de fer un portal ciutadà amb accés a informació mèdica és, a partir del seu inventari d'actius i de la seva anàlisi de riscos, establir quines mesures de seguretat cal aplicar segons l'ENS. Sé que la resposta és genèrica, però no és la meva àrea d'expertesa. Probablement un expert informàtic podria donar més informació. El que sí que puc dir és que les entitats públiques s'han de prendre seriosament l'ENS. I si busca l'excel·lència, hauria de tractar de certificar aquest sistema d'informació. Per què? Perquè és el frontend, és el punt més directe de cooperació amb el ciutadà. Tenir un atac d'aquesta naturalesa posa en risc la teva reputació. Posar en risc la teva reputació és posar en risc la credibilitat del sistema davant els pacients. Això pot tenir efectes perniciosos des del punt de vista de la confiança i la tranquil·litat del mateix pacient, més enllà de si efectivament s'ha afectat o no la seguretat i pot repercutir especialment i de manera molt severa en espais com la recerca amb dades.
P. Amb l'Espai Europeu de Dades Sanitàries a punt d'exigir compartir historials entre Estats, incidents així erosionen la confiança que aquest projecte necessita? Hauria de canviar alguna cosa en el seu disseny de seguretat?
R. L'Espai Europeu de Dades busca precisament garantir aquesta confiança. Des del punt de vista de la seguretat i de la interoperabilitat, la història clínica s'ha convertit en un producte que ha d'estar estandarditzat, que ha de reunir certs requisits i ha de ser objecte de validació certificada per un tercer de confiança, el que s'acostuma a anomenar en molts ecosistemes normatius un organisme notificat.
Que un sistema públic de salut o un hospital pateixi un atac és, diguem-ne, normal: tenen un gran volum de dades. Però la pregunta que cal fer-se és com està la situació en països amb sistemes de reemborsament, on, per exemple, l'atenció primària s'ofereix a través de metges individuals a casa seva. En aquests països els sistemes no són tan robustos com els que s'han dissenyat en els entorns públics. Què fem en aquest cas? El que aporta l'Espai Europeu és el desplegament d'una història clínica estandarditzada, els requisits de seguretat de la qual s'alineen amb les filosofies de les directives, especialment amb l'última, i la seguretat de la qual ha de ser testada perquè si no, ningú validarà el recurs de programari que tu estàs creant o entrenant.
En resposta a la seva pregunta, ¿els incidents de seguretat poden erosionar la confiança en el sistema?, sí, però això passa quan no es comuniquen bé, quan l'usuari té més por i desconeixement que coneixement i capacitat d'acció.
P. Què ha de fer un pacient notificat? Quins riscos reals té (phishing sanitari, extorsió, assegurances) i quins drets pot exercir, inclosa la indemnització per dany moral?
R. El pacient notificat ha d'entendre que qui li notifica la situació està actuant correctament. I si se li exigeix alguna comprovació o validació, l'ha de fer. Jo he gestionat atacs d'aquest estil en què s'han robat dades d'estudiants. Naturalment, no és una cosa tan greu com una història clínica, però sí que contenien informació que permetia suplantar una identitat. I és obvi que en aquest cas, vam fer unes recomanacions: escolti, si realment li han robat les dades podria patir una suplantació d'identitat, doni una volta per Linkedin i altres xarxes socials per comprovar que no ha passat, verifiqui que no hi ha moviments aparentment estranys al seu banc, per si algú ha contractat alguna cosa al seu nom. Però tot és contextual a la bretxa. És a dir, la notificació ens donarà accions reals d'autoprotecció que s'han de complir.