La salut de les persones no només està a les mans dels millors professionals i d’unes infraestructures. Avui, el seu funcionament descansa també sobre una arquitectura digital imprescindible. Històries clíniques, proves diagnòstiques, receptes electròniques, comunicació entre equips assistencials o gestió de recursos es gestionen a través de xarxes informàtiques complexes i interconnectades. En aquest escenari, la ciberseguretat ha deixat de ser una qüestió tècnica per convertir-se en una condició essencial perquè el sistema sanitari funcioni amb normalitat, seguretat i confiança.
Per tot plegat, el Govern ha optat per reforçar la defensa digital i ampliar el Model de ciberseguretat al Sistema sanitari integral d’utilització pública (SISCAT), desplegant-lo també a les entitats sociosanitàries i de salut mental. L’objectiu és millorar la resiliència de les entitats sanitàries i garantir la continuïtat dels serveis assistencials, fins i tot en un context d’amenaces digitals creixents.
L’ampliació del model es finança amb fons europeus RETECH, dins del Pla de Recuperació, Transformació i Resiliència, amb el suport de l’INCIBE. El projecte té una durada prevista aproximada d’un any, i el Departament de Salut ja ha previst finançar-ne la continuïtat amb recursos propis fins al 2027.
Ciberatacs al sector sanitari
L’amenaça és real i creixent, tal com demostren les dades. Segons la memòria del 2024 de l’Agència de Ciberseguretat de Catalunya, aquell any es van detectar 6.900 milions d’atacs informàtics, dels quals 1.250 milions es van dirigir a l’àmbit de la salut.
Les xifres catalanes s’inscriuen en una tendència global preocupant: el Cyber Security Report de Check Point assenyala que els ciberatacs contra el sector sanitari van augmentar un 47% el 2024 respecte a l’any anterior, amb una mitjana de 2.210 atacs setmanals a escala mundial.
Protegir un servei essencial
El Model de ciberseguretat es desplega en cinc fases. La primera és el diagnòstic, que permet identificar el grau d’exposició de cada entitat, detectar vulnerabilitats, sovint vinculades a sistemes obsolets, i analitzar quines vies podrien aprofitar els atacants. La segona fase és el pla de seguretat, que defineix accions concretes per reduir riscos, incloent-hi actualitzacions, proteccions tècniques i formació del personal.
La tercera fase estableix la integració operativa amb l’Agència de Ciberseguretat, connectant cada entitat amb el Centre d’Operacions de Ciberseguretat, actiu les 24 hores del dia, els set dies de la setmana. La quarta fase incorpora serveis recurrents com proves de penetració, simulacres d’incidents, reavaluacions constants i capacitació continuada. Finalment, el procés culmina amb la certificació en l’Esquema Nacional de Seguretat, que acredita el nivell de maduresa i robustesa de cada entitat en matèria de ciberseguretat.
Un cop desplegat el model de ciberseguretat i integrades les entitats, els resultats obtinguts el 2024 en van demostrar l’eficàcia. Durant aquell any, el model va permetre disposar de més visibilitat de les entitats, detectar encara més atacs i evitar que qualsevol d’ells tingués un impacte rellevant en els serveis assistencials.
Sistema homogeni per a tot el SISCAT
Fins ara, el model s’havia desplegat en tots els hospitals del SISCAT. El pas següent és ampliar-lo progressivament a la salut sociosanitària, la salut mental i l’atenció primària durant els anys 2025 i 2026. L’objectiu és construir un sistema de ciberprotecció homogeni, capaç d’evolucionar de manera contínua gràcies al monitoratge permanent, la formació i la revisió constant de vulnerabilitats.
Les dades sanitàries tenen un valor altíssim i són molt atractives per als ciberdelinqüents, especialment els grups criminals especialitzats en ransomware o programari de segrest. No només busquen bloquejar sistemes, sinó obtenir beneficis econòmics a partir d’informació confidencial. Davant d’això, el Model de ciberseguretat actua com una estructura viva de vigilància i protecció, però també com una cultura organitzativa compartida.
Les entitats sanitàries, juntament amb l’Agència, aprenen a detectar anomalies, a reaccionar davant de símptomes d’intrusió i a recuperar-se ràpidament si algun incident arriba a produir-se. Així, la ciberseguretat esdevé una peça clau de la qualitat assistencial, una capa invisible que garanteix la seguretat i la continuïtat del servei.
