La salud lleva la brecha estándar de credenciales empresariales — más consecuencias que no existen en ningún otro sector. Una credencial robada en un banco cuesta dinero. En un hospital cancela tratamientos.
01 — Seguridad del paciente
La credencial que desvía una ambulancia
Cuando el ransomware desactiva sistemas clínicos, los hospitales entran en desvío. Los departamentos de emergencia operan sin registros. Un paciente con derrame cerebral esperando cuatro horas por un resultado de tomografía es una consecuencia directa de una credencial robada.
A diferencia de cualquier otro sector, una brecha de credencial en salud no es primero un incidente de TI — es un evento de seguridad del paciente. El ataque a Ascension forzó desvíos de ambulancias en 19 estados de EE.UU. simultáneamente. Los clínicos volvieron al papel en 140 hospitales. No existe procedimiento de recuperación que compense a los pacientes que recibieron atención retrasada durante esas semanas.
02 — Acceso de terceros
Credenciales de proveedores llegando a redes clínicas
Synnovis no era el hospital. Era un proveedor de patología. Sus credenciales llegaron a siete redes hospitalarias. Una brecha de un solo proveedor se convirtió en un incidente crítico del NHS en todo Londres.
Las organizaciones de salud dependen de cientos de proveedores terceros — fabricantes de dispositivos médicos, proveedores de EHR, socios de patología, sistemas de farmacia. Cada uno posee credenciales para redes clínicas. El radio de explosión de una brecha de proveedor es proporcional al número de hospitales que ese proveedor atiende — no al tamaño o inversión en seguridad del propio proveedor.
03 — Credenciales compartidas
Inicios de sesión compartidos en entornos clínicos
Un inicio de sesión compartido produce eventos de acceso no auditables. HIPAA, DSP Toolkit y CQC exigen accountability individual del usuario. Las credenciales compartidas fallan en los tres simultáneamente — y no dejan rastro forense cuando algo sale mal.
Las estaciones de trabajo clínicas en entornos de sala ocupados se comparten frecuentemente entre turnos. Cuando ocurre un incidente, no hay individuo a quien atribuir el acceso — la credencial compartida significa que todos en el turno son sospechosos y nadie es comprobablemente responsable. Los auditores tratan las credenciales compartidas como un hallazgo material. Las aseguradoras las tratan como un riesgo de cobertura.
04 — Acceso remoto
Clínicos accediendo a plataformas de EHR remotamente
Change Healthcare entró a través de un portal Citrix remoto. Las credenciales de acceso remoto son el punto de entrada más atacado en salud — y el MFA solo no protege una credencial que ya ha sido robada.
Clínicos, administradores y proveedores acceden a plataformas de EHR desde casa, desde clínicas o desde organizaciones asociadas. La credencial para ese acceso remoto existe en manos humanas — puede ser phisheada, ingenierada socialmente o comprada en la dark web. El MFA verifica a la persona que presenta la credencial. No puede verificar si esa persona es la correcta si la credencial fue robada antes de presentar el MFA.
05 — Responsabilidad regulatoria
HIPAA, DSP Toolkit y aplicación de la ICO
Los datos de salud son categoría especial bajo GDPR. Las investigaciones de HIPAA OCR sobre todas las grandes brechas de salud en EE.UU. en 2024 están en curso. La ICO calibra las multas según la sensibilidad de los datos expuestos — no solo el número de registros.
NIS2 crea responsabilidad personal para la dirección nombrada en operadores de servicios esenciales. El CISO o CFO de la NHS trust que fue informado de una brecha de gobernanza de credenciales y no actuó ahora está dentro del alcance de acción regulatoria individual bajo el Artículo 20 de NIS2. El marco regulatorio ha cambiado — conciencia sin acción es la responsabilidad.
06 — IA en flujos de trabajo clínicos
Agentes de IA clínica con credenciales no gobernadas
Agentes de IA desplegados en flujos de trabajo clínicos acceden a datos y sistemas de pacientes a través de credenciales. Esas credenciales suelen ser creadas por desarrolladores, almacenadas en archivos de configuración y no gobernadas por nadie. La brecha de credenciales no humanas crece tan rápido como la adopción de IA en salud.
IA de imagen diagnóstica, herramientas de documentación clínica y sistemas de triaje de pacientes poseen credenciales para plataformas de EHR y bases de datos clínicas. Un agente de IA dado de baja o comprometido conlleva el mismo riesgo de brecha que un usuario humano que nunca fue dado de baja — a velocidad de máquina y sin las señales de comportamiento que busca la detección de anomalías. MyCena gobierna las credenciales de agentes de IA en la misma plataforma que los usuarios humanos.