Vulnerabilidades críticas en sistemas de salud en Argentina: filtraciones en bases de datos clínicas y protocolos PACS exponen datos confidenciales

1. La fragilidad del estándar DICOM y los servidores PACS en redes hospitalarias

El estándar DICOM (Digital Imaging and Communication in Medicine) fue concebido originalmente en la década de 1980 para permitir que tomógrafos, resonadores y equipos de rayos X enviaran imágenes digitales a estaciones de visualización dentro de redes de área local (LAN) aisladas. No obstante, con la digitalización de la atención médica y la expansión del telediagnóstico durante la última década, muchas instituciones argentinas conectaron sus servidores PACS (Picture Archiving and Communication System) directamente a módems y routers con IP pública, omitiendo la configuración de túneles VPN o controles de autenticación.

Como consecuencia de esta configuración negligente, cualquier atacante o escáner automatizado de Internet (como Shodan o Censys) podía consultar los puertos estándar DICOM (puerto TCP 104 y 11112) y descargar:

• Estudios de diagnóstico por imágenes de alta resolución: Resonancias magnéticas, tomografías computadas y radiografías con datos biométricos directos.
• Metadatos personales y de salud embebidos en el encabezado del archivo: Nombre y apellido completos del paciente, número de DNI, fecha de nacimiento, diagnóstico presuntivo, médico tratante y cobertura médica.
• Bases de datos SQL Server y PostgreSQL asociadas: Conteniendo historiales de medicación prescrita, análisis de laboratorio y resultados de patología.

«La información médica constituye la categoría más sensible de datos personales amparada por la Ley 25.326 de Protección de Datos Personales. Un número de tarjeta de crédito puede cancelarse en segundos, pero el historial médico, los diagnósticos y las imágenes biológicas de una persona son irrevocables y permanentes para toda la vida.» — Dra. Beatriz Busaniche, Especialista en Derechos Digitales y Privacidad

2. El marco regulatorio y la intervención de la AAIP

La difusión de estas brechas activó actuaciones de oficio por parte de la AAIP en el marco del Registro Nacional de Bases de Datos. El organismo recordó a los directores médicos y responsables informáticos de sanatorios y clínicas que el incumplimiento en la implementación de medidas de seguridad técnicas y organizativas adecuadas conlleva:

1. Sanciones económicas y multas graduadas: Conforme al nuevo régimen sancionatorio de infracciones graves y muy graves en materia de datos sensibles.
2. Responsabilidad penal y civil directa para los directivos: Por negligencia manifiesta en la custodia de datos amparados por el secreto profesional médico.
3. Obligación de notificación pública de incidentes: Intimación a comunicar de manera fehaciente a todos los pacientes cuyos registros clínicos hayan quedado expuestos públicamente en Internet.

3. Análisis FinOps y costos de remediación en infraestructuras de salud

El impacto económico de una contingencia de ciberseguridad en el sector salud trasciende las multas regulatorias:

• Costo de paralización del servicio de guardia y quirófanos: Cuando un incidente de intrusión fuerza la desconexión preventiva de la red hospitalaria, la institución debe suspender cirugías programadas y derivar urgencias, acumulando pérdidas superiores a $35 millones de pesos diarios.
• Coste de actualización tecnológica vs. pasivo contingente: Aislar los servidores médicos mediante una DMZ (Zona Desmilitarizada), túneles VPN WireGuard y autenticación de doble factor para médicos remotos demanda una inversión equivalente al 0,8% del presupuesto operativo anual de un sanatorio mediano.
• Pérdida de convenios con obras sociales y prepagas: Las empresas de medicina privada líderes han comenzado a auditar la seguridad informática de sus prestadores médicos asociados, cancelando contratos a aquellos que no acrediten estándares mínimos de ciberseguridad.

4. Qué deben implementar las clínicas y sanatorios de inmediato

El diagnóstico médico a distancia no debe comprometer la confidencialidad de los datos. Resulta imprescindible que los directivos de instituciones de salud contraten auditorías externas de seguridad informática (Ethical Hacking perimetral) para verificar que ningún servidor interno esté respondiendo solicitudes directas desde Internet pública sin cifrado robusto.

5. Hoja de ruta de blindaje para sistemas sanitarios en 4 etapas

1. Etapa 1 - Desconexión inmediata de puertos DICOM de la IP pública: Cerrar todos los puertos DICOM y paneles web de historias clínicas en los firewalls perimetrales, permitiendo el acceso únicamente desde la red interna.
2. Etapa 2 - Implementación de VPN corporativa para médicos radiólogos: Proveer a los especialistas que efectúan informes desde sus hogares de conexiones VPN seguras con autenticación multifactor obligatoria.
3. Etapa 3 - Cifrado de bases de datos clínicas en reposo y en tránsito: Configurar cifrado TLS 1.3 para todas las transferencias de imágenes y habilitar cifrado de discos (LUKS / BitLocker) en los servidores de almacenamiento masivo.
4. Etapa 4 - Capacitación del personal administrativo y médico: Establecer protocolos rigurosos sobre no compartir usuarios maestros, bloqueo automático de pantallas en puestos de atención y políticas de contraseñas robustas.