Las organizaciones sanitarias ya utilizan herramientas de inteligencia artificial para elaborar documentación clínica, resumir información de pacientes, gestionar citas, procesar reclamaciones o mejorar determinados procesos asistenciales.

Estas soluciones permiten reducir tareas administrativas y agilizar el trabajo de unos equipos que, en muchos casos, se encuentran sometidos a una fuerte presión. Pero cada nueva herramienta también puede incorporar proveedores, infraestructuras y flujos de datos que amplían la superficie de ataque de la organización.

En un artículo publicado en DOTmed, Rand Davis, CTO de SecurityScorecard, analiza por qué el próximo gran riesgo de ciberseguridad para el sector sanitario podría encontrarse precisamente en la cadena de proveedores de inteligencia artificial.

La inteligencia artificial amplía la cadena de proveedores

Cuando un hospital incorpora una plataforma externa a sus sistemas clínicos, financieros o administrativos, permite que un tercero acceda a determinados procesos, infraestructuras o datos. Ese acceso puede ser necesario para prestar el servicio, pero también extiende el riesgo a un entorno que el hospital no controla directamente.

En el caso de la inteligencia artificial, esta relación puede ser todavía más compleja. La organización sanitaria contrata una herramienta a una empresa determinada, pero esa solución puede depender a su vez de un proveedor de modelos de IA, una plataforma en la nube, una base de datos u otros servicios tecnológicos.

Por tanto, el riesgo no se limita únicamente al proveedor con el que se ha firmado el contrato. También puede proceder de otras empresas que se encuentran varios niveles por debajo y que no siempre son visibles para el hospital.

Esta situación genera riesgos de terceros y cuartos, especialmente cuando la información de los pacientes sale del entorno de la organización para ser procesada mediante servicios externos.

El riesgo de los proveedores se convierte en riesgo operativo

Un problema de seguridad en uno de estos proveedores puede tener consecuencias directas sobre la actividad sanitaria. No se trata únicamente de proteger sistemas informáticos. Una interrupción o una brecha puede afectar a los datos de los pacientes, impedir el acceso a información necesaria o dificultar el funcionamiento de procesos esenciales.

Rand Davis recuerda el caso de Serviceaide, un proveedor de servicios tecnológicos que ofrece herramientas basadas en inteligencia artificial. En 2024, una base de datos gestionada por uno de sus proveedores permaneció expuesta en Internet durante cerca de siete semanas.

La exposición dejó desprotegida información sanitaria de más de 483.000 pacientes, incluidos nombres, números de la Seguridad Social, números de historias clínicas, información médica y algunas contraseñas.

El incidente muestra cómo una vulnerabilidad localizada fuera de la infraestructura directa de una organización sanitaria puede terminar afectando a sus pacientes y a su actividad.

Una evaluación inicial no es suficiente

Los hospitales ya disponen habitualmente de procesos para evaluar a sus proveedores. Estos controles pueden incluir cuestionarios de seguridad, documentación de cumplimiento, acuerdos para el tratamiento de datos, inventarios de componentes de software o revisiones previas a la firma de un contrato.

Estas comprobaciones son necesarias, pero ofrecen una fotografía tomada en un momento concreto. Un proveedor puede cumplir los requisitos cuando se realiza la evaluación y cambiar su situación pocos meses después.

Por ejemplo, puede incorporar nueva infraestructura, comenzar a trabajar con otro subcontratista, modificar los permisos de acceso, exponer accidentalmente un servicio en Internet o sufrir el robo de unas credenciales.

En las soluciones de inteligencia artificial existe una dificultad añadida: el comportamiento de la herramienta también puede cambiar cuando se actualiza el modelo, se modifican los datos utilizados o se añaden nuevos servicios al procesamiento.

Por este motivo, una revisión anual o una comprobación realizada únicamente antes de contratar al proveedor no permite conocer el riesgo real durante el resto del tiempo.

Supervisar el riesgo de manera continua

El artículo defiende la necesidad de sustituir las evaluaciones puntuales por un modelo de visibilidad continua y basado en amenazas. Para ello, propone trabajar sobre tres aspectos principales:

1. Identificar los procesos que puede interrumpir cada proveedor. No basta con registrar qué empresas prestan un servicio. También es necesario conocer qué procesos dependen de ellas, qué datos pueden tratar y qué consecuencias tendría una caída o un incidente de seguridad.
2. Monitorizar las señales que modifican el nivel de riesgo. Las organizaciones deben detectar cambios en los accesos, nuevos flujos de información sanitaria, modificaciones en la infraestructura o indicios de que el entorno de un proveedor puede haber sido comprometido.
3. Definir la respuesta antes de que ocurra un incidente. Cuando aparece una señal de riesgo, el hospital debe saber quién tiene la responsabilidad de actuar y qué medidas deben aplicarse para contener el problema y reducir su impacto.

El objetivo no es crear otro inventario estático de proveedores, sino disponer de una visión actualizada de las dependencias tecnológicas que sostienen los procesos críticos de la organización.

La seguridad del proveedor forma parte de la seguridad del hospital

A medida que la inteligencia artificial se integra en más áreas de la actividad sanitaria, la postura de seguridad de sus proveedores pasa a formar parte de la propia postura de seguridad del hospital.

Las organizaciones que conozcan las dependencias que existen detrás de cada herramienta y supervisen cómo evoluciona su nivel de riesgo estarán mejor preparadas para responder ante una brecha, una interrupción del servicio o una exposición de datos.

En su artículo para DOTmed, Rand Davis profundiza en los riesgos que se esconden en la cadena de proveedores de inteligencia artificial y explica cómo pueden abordarlos las organizaciones sanitarias.

Leer el artículo completo de Rand Davis en DOTmed