Caso representativo · Sector salud
Un laboratorio de análisis clínicos que pasa de 3 a 8 sobre 10 en una a dos semanas.
Caso representativo: la empresa es ficticia y el informe no tiene datos de ningún cliente. Muestra el tipo de hallazgos y el formato del diagnóstico que entregamos.
Un laboratorio que funciona bien, con la seguridad informática nunca revisada. No hay un virus ni un acceso confirmado: el riesgo está en la configuración y en la gestión.
3 / 10
calificación global antes del plan
3
hallazgos críticos abiertos
5
hallazgos altos abiertos
8
equipos auditados
Este informe de auditoría de ciberseguridad evalúa la seguridad informática de un laboratorio de análisis clínicos de tamaño medio: recepción, sala de extracción, equipos de análisis, el sistema de gestión de pacientes y resultados, y el portal de turnos. En la ciberseguridad de los laboratorios de análisis clínicos lo que hay que proteger son datos de salud, que la Ley 25.326 clasifica como datos sensibles: su exposición no es solo un problema técnico, es un riesgo legal y de reputación.
La calificación de 3 sobre 10 refleja un laboratorio que funciona bien en lo clínico, pero cuya seguridad informática nunca fue revisada. Los resultados de los pacientes se alcanzan desde cualquier equipo de la red, la base de datos no está cifrada y el sistema de gestión se abre sin segundo factor. La buena noticia: la mayoría se arregla rápido y con poco costo, y con el plan priorizado el laboratorio llega a 8 sobre 10 en una a dos semanas.
El patrón que más se repite, y el más peligroso porque nadie lo ve: cosas instaladas que parecen funcionar y no funcionan. Un antivirus que no se actualiza hace meses, una copia de seguridad que nunca se probó, una cámara con la contraseña de fábrica.
La revisión abarcó la red interna del laboratorio y lo que muestra hacia internet. Combina el análisis de la configuración de los equipos, la revisión de la red y de los accesos, y un análisis pasivo de la exposición del dominio, siguiendo las cinco funciones de NIST CSF 2.0: identificar, proteger, detectar, responder y recuperar.
No se hicieron pruebas destructivas ni se accedió a datos reales de pacientes.
Verificado durante el relevamiento. Todos los equipos comparten una única red.
| Equipo | Función | Estado |
|---|---|---|
| Servidor de gestión | Sistema de pacientes y resultados | Operativo, expuesto en la red |
| PC de recepción | Turnos y admisión | Operativo |
| PC de carga de resultados | Ingreso de resultados | Windows sin soporte |
| Equipos de análisis | Analizadores conectados | Operativos, sin aislar |
| NAS | Almacenamiento de estudios | Con contraseña de fábrica |
| Router y wifi | Red del laboratorio | Una sola red para todo |
Trece hallazgos: 3 críticos, 5 altos, 3 medios, uno bajo y uno informativo. Cada uno dice qué pasa, por qué importa y qué hay que hacer.
Crítico C-01
El servidor que guarda los resultados es alcanzable desde cualquier equipo conectado a la red del laboratorio, incluidos los celulares de la sala de espera y los equipos de análisis. Cualquiera en la red puede intentar acceder a datos de salud, que son datos sensibles bajo la Ley 25.326. Hay que restringir el acceso al servidor a las estaciones que lo necesitan.
Evidencia: Servidor de resultados escuchando en toda la red local.
Crítico C-02
La base de datos con la información de los pacientes está en texto plano en el disco del servidor. Si el equipo es robado o se accede a su disco, toda la información queda expuesta sin ninguna barrera. Hay que activar el cifrado de disco completo.
Evidencia: Sin cifrado en reposo en el servidor de gestión.
Crítico C-03
El sistema de gestión de pacientes se abre solo con usuario y contraseña, sin segundo factor, y el personal comparte una misma cuenta. Una contraseña filtrada o adivinada da acceso completo al historial de pacientes, y no queda registro de quién hizo qué. Hay que activar el segundo factor y dar una cuenta por persona.
Evidencia: Ingreso sin segundo factor; una cuenta compartida.
Alto A-01
Hay una copia de seguridad configurada, pero nunca se verificó que se pueda restaurar, y la única copia vive en el mismo lugar que los datos. Un secuestro de datos, un incendio o un robo implican la pérdida total. Hay que implementar el esquema 3-2-1 (dos copias locales en soportes distintos y una fuera del sitio) y probar una restauración.
Evidencia: Copia única, local, sin prueba de restauración.
Alto A-02
La recepción, los equipos de análisis, la administración y el wifi de pacientes están en la misma red, sin cortafuegos. Un equipo comprometido (un celular con malware, un analizador desactualizado) alcanza directamente al servidor de pacientes. Hay que separar la red en zonas y activar un cortafuegos.
Evidencia: Una sola red para todos los dispositivos.
Alto A-03
El profesional entra desde su casa por escritorio remoto (RDP) publicado a internet. Es una de las vías más usadas para el secuestro de datos en pymes de salud. Hay que cerrar el acceso directo y reemplazarlo por una VPN con segundo factor.
Evidencia: Escritorio remoto alcanzable desde internet.
Alto A-04
La estación donde se cargan los resultados tiene antivirus instalado, pero su base de firmas está vencida hace meses: figura activo y no reconoce amenazas nuevas. Hay que actualizarlo y dejar la actualización automática.
Evidencia: Antivirus activo, firmas vencidas.
Alto A-05
Al menos un equipo usa una versión de Windows que ya no recibe parches de seguridad: cada vulnerabilidad nueva queda sin arreglo posible. Hay que planificar su actualización o reemplazo.
Evidencia: Windows en fin de vida en uso.
Medio M-01
Los pacientes se conectan al mismo wifi que usan los equipos del laboratorio. Hay que crear una red de invitados separada y aislada.
Medio M-02
No hay forma de saber quién entró a qué historia clínica ni cuándo. Ante un incidente o un reclamo, no hay evidencia. Hay que activar el registro de accesos.
Medio M-03
El almacenamiento en red y las cámaras conservan la contraseña que viene de fábrica, que es pública. Hay que cambiarla de inmediato.
Evidencia: Credenciales de fábrica sin cambiar.
Bajo B-01
El certificado de seguridad del portal de turnos vence pronto. Conviene agendar y validar su renovación automática.
Informativo I-01
El equipo no recibió capacitación para reconocer correos de engaño, la puerta de entrada más común. Una capacitación breve reduce mucho el riesgo.
Mientras se hacía el relevamiento, el escritorio remoto del profesional venía recibiendo, desde días atrás, intentos de ingreso fallidos desde direcciones de internet desconocidas: un ataque automatizado de fuerza bruta buscando entrar.
El riesgo se evaluó como alto por la vía de entrada, aunque no se confirmó un acceso. Es la vía habitual de los secuestros de datos en el sector salud, así que la primera medida fue cerrarla, antes que cualquier otra.
El análisis pasivo de la exposición pública dio una postura aceptable (grado B), sin hallazgos críticos desde afuera. La mayor exposición del laboratorio no está en su cara pública, sino en su red interna.
Este plan de remediación está ordenado por impacto y esfuerzo, como el que arma Escudo TdF para una pyme: los primeros pasos cierran lo crítico y se hacen en una o dos horas cada uno.
La Ley 25.326 de Protección de los Datos Personales clasifica los datos de salud como datos sensibles. Además de cerrar los hallazgos, un laboratorio gana tranquilidad y cumplimiento con estas prácticas sostenidas en el tiempo:
La diferencia entre tener un control y que ese control proteja de verdad es donde vive el riesgo que nadie ve. Nosotros lo verificamos midiendo y probando, no suponiendo.
Esto es lo que entrega Escudo TdF, nuestra auditoría de ciberseguridad para pymes. Si tenés una clínica, un laboratorio o una farmacia, mirá nuestra página de ciberseguridad en el sector salud en Argentina y la de farmacias.
Empezá por el escaneo externo, sin cargo: te decimos qué muestra tu empresa hacia internet y si conviene seguir con el diagnóstico completo.
Asistente de Tech del Fuego
Servicios, precios y cómo empezar
Respuestas con IA, pueden tener errores. Guardamos la charla: no escribas datos sensibles. Privacidad.
