El ciberataque pasó, las calificaciones permanecieron. ¿Qué determina realmente el destino de hospitales y servicios de agua?

Un gran ciberataque no necesariamente reducirá la calificación crediticia de un hospital o de un servicio de agua. Lo que influye mucho más en la calificación es la capacidad de la organización para restablecer rápidamente sus operaciones y soportar las pérdidas financieras; así lo concluyó la agencia de calificación Fitch.

La agencia publicó informes separados sobre los riesgos para las organizaciones sanitarias estadounidenses y los sistemas de agua. Ambos sectores atraen a los atacantes por razones similares: los servicios no pueden interrumpirse durante mucho tiempo, la infraestructura depende cada vez más de sistemas conectados, y muchas organizaciones siguen operando con equipos antiguos y presupuestos limitados.

Según Fitch, el hecho mismo de un ataque exitoso rara vez obliga a la agencia a reconsiderar una calificación. Los problemas comienzan cuando el incidente agrava dificultades financieras u operativas ya existentes. Las organizaciones sanitarias con ingresos estables y reservas suficientes por lo general mantienen su calificación si son capaces de responder con rapidez al incidente y continuar operando mientras se recuperan.

Los más vulnerables son los pequeños centros médicos con recursos limitados y falta de especialistas en seguridad informática. Debido a las largas interrupciones aumentan los costos de recuperación y disminuyen los ingresos; esto puede afectar con mayor fuerza su situación financiera y ser motivo para rebajar su calificación.

Para los servicios de agua surge un problema adicional. Las pequeñas empresas necesitan dinero para proteger los equipos y contratar personal, pero a menudo solo pueden obtener fondos si aumentan las tarifas. Tras un incidente grave que interrumpa el suministro de agua o provoque una fuga de datos de clientes, la confianza en la dirección puede disminuir y será más difícil lograr la aprobación de nuevas tarifas.

La amenaza contra la infraestructura hídrica de EE. UU. ya es de carácter práctico. En abril, la Agencia de Protección Ambiental de EE. UU., el FBI, la Agencia de Seguridad Cibernética y de Infraestructura y la Agencia de Seguridad Nacional advirtieron sobre ataques continuos vinculados con Irán por parte de atacantes contra equipos tecnológicos de los sistemas de agua potable y de tratamiento de aguas residuales.

Al mismo tiempo, el sector sanitario se prepara para el endurecimiento de los requisitos de HIPAA. El Departamento de Salud y Servicios Humanos de EE. UU. propuso obligar a las organizaciones a cifrar los datos médicos protegidos, aplicar la autenticación multifactor, segmentar las redes, buscar vulnerabilidades de forma regular, realizar evaluaciones anuales de seguridad y probar los planes de respuesta a incidentes.

Fitch no espera que los nuevos requisitos por sí solos deterioren de forma significativa las calificaciones de las organizaciones en la cartera de la agencia. Muchas instituciones grandes ya han implantado gran parte de las medidas propuestas, y los gastos para cumplir los requisitos son pequeños en relación con sus ingresos. El principal factor de resiliencia crediticia, según la agencia, no es la capacidad de impedir por completo los ciberataques, sino la disposición para sobrevivir a un incidente sin detener la actividad por mucho tiempo y sin permitir que la situación financiera se deteriore gravemente.