Por ponernos de nuevo en contexto para una nueva entrada de los dispositivos médicos, en el anterior capitulo, he tratado el tema de la relevancia que tienen los dispositivos médicos en la industria. En este, en cambio, hablaré sobre los riesgos que traen estos mismos.

Bien, antes de seguir adelante con este tema, me gustaría dar la definición de “riesgo” por parte del diccionario de la Real Academia Española (RAE). ¿Qué es un riesgo?

“Riesgo: Contingencia o proximidad de un daño” [1]

Como podemos ver en la definición, es la proximidad de un daño y en las instituciones médicas, la tecnología de información puede mitigar ese riesgo. En caso de que no se tenga una gestión adecuada del riesgo operativo, la gestión de riesgo de TI fracasará.

Los factores de riesgos en las instituciones médicas no solo incluyen factores médicos (por ejemplo, errores médicos, infecciones hospitalarias…) como todos pensamos, si no también errores financieros (entre otros, pagos no cobrados, estancias hospitalarias más cortas, administración de costos) y regulatorios (entre las cuales, aceptación de internos, estados de cuenta electrónicos) [2].

Asimismo, en la siguiente imagen podemos ver como es un proceso de gestión de riesgos en dispositivos médicos.

En primer lugar, se estima y analiza el riesgo del dispositivo médico, una vez analizado, se evalúan los riesgos con diferentes criterios. En el caso de los niveles que se hayan definido como inaceptables, se debe analizar las opciones de control de riesgo. Por último, durante las etapas de producción y post producción se debe analizar periódicamente toda la información que pueda indicar nuevos peligros o incremento en los niveles de riesgo, para tomar las medidas de mitigación necesarias [3].

 

Hasta ahora sabemos cómo es la gestión de riesgos en los dispositivos médicos, pero…, ¿Cómo se consigue definir la clase de riesgo de un dispositivo médico? Los dispositivos médicos se clasifican según su complejidad y el potencial riesgo para el paciente [4] y de la siguiente manera. Mencionar también algunos ejemplos de cada tipo.

 

---

Tipo de clase:      

Descripción:     

Ejemplos:

---

Clase I

Son aquellos dispositivos médicos de bajo riesgo, sujetos a controles generales, no destinados para proteger o mantener la vida o para un uso de importancia especial en la prevención del deterioro de la salud humana y que no representan un riesgo potencial no razonable de enfermedad o lesión.

Vendajes, camas clínicas, frascos para recolectar orina, estetoscopios, entre otros.

---

Clase II a

Son los dispositivos médicos de riesgo moderado, sujetos a controles especiales en la fase de fabricación para demostrar su seguridad y efectividad.

Guantes quirúrgicos, prótesis dentales removibles, lentes de contacto, entre otros.

---

Clase II b

Son los dispositivos médicos de riesgo alto, sujetos a controles especiales en el diseño y fabricación para demostrar su seguridad y efectividad.

Preservativos, bombas de infusión, máquinas de anestesia, equipos de diálisis, equipos de radioterapia, entre otros.

---

Clase III

Son los dispositivos médicos de muy alto riesgo sujetos a controles especiales, destinados a proteger o mantener la vida o para un uso de importancia sustancial en la prevención del deterioro de la salud humana, o si su uso presenta un riesgo potencial de enfermedad o lesión.

Válvulas cardíacas, dispositivos intrauterinos, implantes, entre otros.

---

 

 

Una vez sabemos que tipos de clases hay, informaré sobre los riesgos top 10 de la tecnología médica para el 2018. Se han seleccionado acuerdo a los siguientes criterios:  [5]

• Severidad: ¿Cuál es la probabilidad que el riesgo ocasione daños serios o la muerte?
• Frecuencia: ¿Cuál es la probabilidad que el riesgo pueda ocurrir a menudo?
• Expansión: En caso de que el riesgo ocurra, ¿Las consecuencias puedan afectar a un gran número de pacientes ya sea dentro o fuera de la institución?
• Percepción: ¿El problema es difícil de reconocer? ¿Puede el problema conducir a una serie de problemas antes de ser identificado o corregido?
• Perfil: ¿El riesgo es propenso a recibir publicidad significativa? ¿Puede ser reportado en los medios de comunicación y puede afectar negativamente a la institución? ¿El riesgo puede ser foco de atención de las agencias reguladoras?
• Prevención: ¿Se pueden tomar acciones que prevengan el problema o que disminuyan el riesgo? ¿Dar a conocer el riesgo ayudaría en un futuro a reducir las ocurrencias?

Para finalizar con este post, nombraré los riesgos top 10 de los dispositivos médicos, ¿imagináis cuáles pueden ser?

1. Ransomware (Secuestro de datos).
   1.  En este riesgo, mencionar el reciente y masivo ataque de WannaCry, como la interconexión de los sistemas  de salud y las débiles practicas de seguridad pueden poner en riesgo tanto a las organizaciones como a los pacientes. Los atacantes se aprovecharon de las vulnerabilidades conocidas en el software de los dispositivos[6].
2. Fallos en el reprocesamiento de endoscopios
3. Colchonetas y protectores pueden ser infectados por fluidos corporales y contaminantes microbiológico
4. Alarmas perdidas como resultado de dispositivos y sistemas de notificación secundaria configurados inadecuadamente.
5. La limpieza incorrecta.
6. Electrodos activos electroquirúrgicos pueden provocar quemaduras en el paciente.
7. Uso inadecuado de herramientas de imagen.
8. Uso inadecuado del sistema de código de barras para la administración de medicamentos.
9. Fallos en las redes de dispositivos médico.
10. Adopción lenta de conectores de alimentación enteral más seguros deja a los pacientes en riesgo.

 

¿Tienen alguna duda sobre los riesgos de los dispositivos médicos?

Continuará…

 

Referencias:

[1] Riesgo. Acceso el 17 de noviembre del 2018.

http://dle.rae.es/srv/fetch?id=WT8tAMI

Fuente obtenida por el uso de ISACA:

[2] Using COBIT to Aid in Hospital Risk Management. Acceso el 17 de noviembre del 2018.

http://www.isaca.org/Knowledge-Center/cobit/Pages/COBIT-Case-Study-Using-COBIT-to-Aid-in-Hospital-Risk-Management.aspx

[3] 8 elementos de Gestión de Riesgos en dispositivos médicos. Acceso el 18 de noviembre del 2018.

https://blog.pxsglobal.com/2016/03/14/8-elementos-de-gestion-del-riesgo-en-dispositivos-medicos/

[4] ¿Cómo se consigue definir la clase de riesgo de un dispositivo médico? Acceso el 18 de noviembre del 2018.

http://www.thema-med.com/es/como-consiguo-definir-la-clase-de-riesgo-del-dispositivo-medico/

[5] Top 10 Riesgos de la tecnología Médica para el 2018. Acceso el 19 de noviembre del 2018

https://www.ingbiomedica.com/blog/top-10-riesgos-tecnologia-medica-2018/

Fuente obtenida por el uso de Knowledge Leader:

[6] Life Sciences, Pharmaceutical and Medical Device Companies Need to Trust Less and Question More to Keep High-Value Data Safe

https://www.knowledgeleader.com/knowledgeleader/content.nsf/web+content/hotissuekeephighvaluedatasafe

 

La tecnología de la información orientada a la salud usa muchos de los elementos, aplicaciones, procesos en incluso infraestructura de los sistemas tecnológicos (IT) empresariales.

Pero las redes medicas tienen dos rasgos únicos importantes:

• Contienen y transmiten información que es altamente sensible. Información que tiene que ser controlada por altos niveles de rigurosidad, bajo una serie de estándares y normas, como por ejemplo la ‘U.S. Health Insurance Portability and Accountability Act (HIPAA)‘ en caso de Estados Unidos.
• El segundo rasgo es la alta complejidad y el diverso número de dispositivos médicos existentes, sobre todo aquellos que están conectados a internet, que, como consecuencia, hacen la labor de proteger y securizar la información una labor más difícil que proteger un simple servidor conectado a Internet.

El problema de los dispositivos vulnerables ha estado latente en nuestra sociedad durante mucho tiempo, pero es hoy en día cuando la sociedad actual, junto a las modas actuales, los han convertido en un riesgo inmediato.

• Un fuerte aumento en el volumen, la sofisticación y el enfoque del malware, aumentando la probabilidad y el daño de ataques de malware y violaciones de datos.
• Dispositivos médicos que incorporan más hardware y software, lo que aumenta su vulnerabilidad a malware, piratería informática y robo de datos.
• Nuevos incentivos y mandatos del gobierno para compartir la información del paciente electrónicamente, simultáneamente con severas sanciones por cualquier pérdida, desvío o exposición de dicha información.

La entrada actual, se dedicará a informar tanto sobre los riesgos en los dispositivos médicos, como en las redes que lo componen.

Existen dos riesgos principales: los riesgos internos y los riesgos externos. Pero independientemente del tipo, el grado de confianza de cada dispositivo que confirma el sistema se puede apreciar en la siguiente imagen. Donde teóricamente, un dispositivo móvil tendrá unas medidas mas seguras y estará bajo una normativa y control mas estricto que uno de los items mas alejados.

Los riesgos internos

Las redes medicas empresariales pueden llegar a tener cientos o miles de servidores conectados en su red para poder dar servicio,

Las redes empresariales pueden incorporar decenas de miles de servidores y, mientras la seguridad y protección de datos son preocupaciones constantes, el consenso es que los riesgos tienen que estar bajo control. ¿Qué hace que los dispositivos médicos conectados a la red sean tan diferentes? La respuesta es que, a pesar de que los dispositivos médicos recién construidos funcionan más como computadoras, todavía se les trata como si fueran diferentes, de manera que tienen consecuencias graves para la seguridad y protección de datos.

La revolución de PC ha transformado instrumentos y dispositivos de todo tipo, y los dispositivos médicos no son una excepción. Su uso cada vez mayor de tecnologías de hardware y software disponibles en el mercado desbloquea importantes ventajas de interfaz de usuario, rendimiento y costo. A medida que los dispositivos crecen más productivos, los hospitales los usan para aumentar la eficiencia del personal y por consecuencia, proliferan en los hospitales. Estos dispositivos sofisticados tienen más probabilidades de estar conectados a redes para crear eficiencias y permitir el control de forma remota por personal autorizado, para comunicar datos, para ser administrados, etc.

Con la consecuencia de que se estan exponiendo a toda una gama de riesgos por el mero hecho de estar conectados a Internet.

• La responsabilidad de los dispositivos médicos a menudo radica en los departamentos de Ingeniería Biomédica (o Clínica), cuya misión y capacitación se centran en la calibración y el mantenimiento. La seguridad y la protección de datos suelen estar subordinadas o compartidas con la organización de TI, para lo cual los dispositivos médicos son secundarios al mantenimiento de los niveles de servicio de TI básicos.
• Los largos ciclos de vida de los dispositivos mantienen el hardware, los sistemas operativos, los protocolos de comunicaciones y los sistemas de aplicaciones en servicio en dispositivos médicos mucho después de haber desaparecido de las redes informáticas empresariales, por lo que los dispositivos siguen siendo vulnerables a exploits que no conciernen a las computadoras de escritorio y portátiles.
• La regulación tiene un efecto paradójico: la Administración Federal de Alimentos y Medicamentos de los Estados Unidos (FDA) y sus contrapartes fuera de los Estados Unidos estipulan que los fabricantes de dispositivos médicos, y no los propietarios, deben controlar y validar la configuración del dispositivo, incluidas las actualizaciones de seguridad. Esto retrasa la entrega de parches de vulnerabilidad a los usuarios, ralentiza el ritmo de las actualizaciones de seguridad y de protección de datos y mantiene soluciones de seguridad de terceros, independientemente de su eficacia, de las PC incorporadas en dispositivos médicos.

Los riesgos externos

Las amenazas de la red se adaptan a las oportunidades encontradas por sus creadores en los sistemas IT, incluyendo los sistemas médicos. Mediante esta navaja de doble filo, sus creadores también se ponen en riesgo, y en el punto de mira de las autoridades. Muchas bandas amateurs usan este medio online para crear actos vandálicos ya que ven una nueva oportunidad para un futuro criminal. Este comportamiento se puede ver influenciado por el alto ancho de banda entre las conexiones de este tipo de sistemas, dado que una vez comprometidos, pueden usarse para otros fines ilícitos.  Aunque parezca que no es lo común, este tipo de comportamientos.

Clasificación general de los riesgos externos

• Global: China ocupa el segundo lugar después de Estados Unidos como fuente de amenazas en línea, y Brasil, se ha colocado como el tercero como fuente de varios ataques de alto perfil. La variación geográfica en las leyes y el cumplimiento de las mismas complica y retrasa el procesamiento de este tipo de ciberdelitos.
• Dirigido: Los ataques cibernéticos recientes suelen dirigirse a organizaciones individuales, utilizando reconocimiento avanzado en redes sociales, mensajes de “phishing”, ataques dirigidos a compañías o personas y/o captura de datos persistentes durante largos períodos de tiempo.
• Basados en web: Todos los ataques cibernéticos actuales, incluidos los que implantan registradores de pulsaciones de teclas (keyloggers) y otras herramientas de recopilación de información, explotan vulnerabilidades en navegadores y otras aplicaciones populares.
• Automatizados: Los kits de herramientas “Crimeware” aceleran la creación de exploits personalizados, incluyendo el despliegue de botnets para lanzar ataques automatizados globales. Más de 90.000 variantes únicas de uno de estos kits aparecieron en 2009 solamente.
• Financieros/Médicos: Los ataques de hoy se centran en información financiera o información sensible sobre organizaciones y consumidores. Una economía online oculta apoya un importante comercio de trafico de información robada: información de tarjetas de crédito, por ejemplo, vende entre $ 0.85 y $ 30.00, y credenciales de cuenta bancaria de $ 15 a $ 850. En este tipo de sitios, los datos médicos son especialmente tratados pos su carácter único y sensible, por lo que su valor puede ascender notablemente.

Es por eso que todas las organizaciones y consumidores, no sólo hospitales y pacientes, se enfrentan a este tipo de amenazas. Pero la sensibilidad de la información médica y la exposición de los dispositivos médicos conectados a la red plantean riesgos especiales en la industria de la salud.

En el siguiente post, veremos cuáles son las normativas y regulaciones que se aplican a dichos dispositivos médicos, tanto en Europa como en Estados Unidos.

[1] Classify Your Medical Device,
http://www.fda.gov/MedicalDevices/DeviceRegulationandGuidance/Overview/ClassifyYourDevice/