Un hospital que no puede acceder a la ficha clínica de un paciente en urgencias. Una clínica dental que pierde el historial de tratamientos de cientos de personas. Un centro médico que debe decidir, bajo presión, si paga un rescate para recuperar sus sistemas. Estos escenarios no son hipotéticos: son el tipo de incidentes que han convertido al sector salud en uno de los blancos más atacados por ciberdelincuentes, tanto a nivel global como en Chile.

Si trabajas en una clínica, hospital, centro médico o cualquier organización que maneje datos de pacientes, entender por qué tu sector es especialmente atractivo para los atacantes es el primer paso para protegerlo.

¿Por qué el sector salud es un blanco atractivo para los ciberdelincuentes?

La ciberseguridad en el sector salud enfrenta un desafío particular: combina información extremadamente sensible, infraestructura crítica que no puede detenerse y, muchas veces, presupuestos de tecnología más ajustados que otras industrias. Esa combinación explica por qué clínicas, hospitales y centros médicos aparecen de forma recurrente entre los sectores más afectados por ciberataques.

El primer factor, la sensibilidad de la información, merece un vistazo más de cerca. Una ficha clínica contiene mucho más que un nombre y un número de contacto: incluye antecedentes médicos, diagnósticos, tratamientos, datos de seguros y, con frecuencia, información financiera asociada. A diferencia de una tarjeta de crédito, que puede bloquearse en minutos, los datos de salud no se pueden "cancelar" ni reemplazar, lo que los hace especialmente valiosos y difíciles de proteger una vez expuestos, y explica por qué suelen cotizarse más alto en el mercado de la información robada que otros tipos de datos personales.

Además, no se trata de un problema exclusivo de grandes redes hospitalarias. Clínicas dentales, laboratorios, centros de salud mental y consultas médicas independientes manejan el mismo tipo de datos sensibles y, en muchos casos, cuentan con menos recursos dedicados a protegerlos.

Por qué el ransomware golpea tan fuerte al sector salud

El ransomware es una de las amenazas que más ha golpeado al sector salud a nivel mundial, y no es casualidad. Muchas instituciones de salud operan con sistemas y software que llevan años en uso, integrados con equipos médicos, plataformas de terceros y redes que fueron creciendo sin una arquitectura de seguridad centralizada. Cada dispositivo conectado, cada integración con un proveedor externo y cada punto de acceso remoto suma una puerta adicional que hay que vigilar, y sin una estrategia clara esa superficie de ataque termina siendo más grande de lo que la organización alcanza a monitorear.

Esa combinación de sistemas antiguos y puntos de entrada difíciles de controlar es, en gran parte, lo que facilita que un ataque de ransomware logre entrar. Y una vez dentro, la naturaleza del sector hace el resto: cuando un ataque deja fuera de servicio los sistemas de agendamiento, fichas clínicas o equipos conectados a la red, la presión para restablecer la operación es inmediata, porque de por medio hay atención a pacientes. Esa urgencia es exactamente lo que buscan explotar los atacantes al elegir sus objetivos, apostando a que la organización prefiera pagar el rescate antes que prolongar la interrupción.

Ciberseguridad en Chile: el sector salud también está en la mira

El panorama de ciberseguridad en Chile no es la excepción a esta tendencia. Según el Informe sobre el Panorama de Amenazas en América Latina para el 2025 de CrowdStrike, los servicios de salud representaron el 15,2% de los incidentes de extorsión de datos y ransomware documentados en América Latina durante 2024, ubicándose entre los cuatro sectores más afectados de la región, junto a tecnología, servicios financieros y comercio minorista. El mismo informe registró un total de 291 víctimas de este tipo de ataques en LATAM durante 2024, un 15% más que el año anterior, y ubicó a Chile entre los seis países de la región con más de 10 víctimas identificadas en sitios de filtración de datos.

A esto se suma un marco regulatorio cada vez más exigente. Por un lado, la nueva Ley de Protección de Datos Personales (Ley 21.719) impone obligaciones concretas sobre cómo se deben resguardar los datos de salud, que son considerados datos sensibles y reciben un nivel de protección reforzado. Por otro, la Ley Marco de Ciberseguridad (Ley 21.663) puede afectar de forma aún más directa a hospitales, clínicas y centros médicos de mayor envergadura.

Si tu organización es una clínica dental o un centro de salud, puedes profundizar en las obligaciones específicas de la Ley 21.719 en nuestro artículo sobre clínicas dentales y la Ley 21.719. Puedes ver además cómo esta tendencia de aumento de ciberataques afecta la continuidad operativa de las empresas en general en nuestro artículo sobre el aumento de ciberataques en Chile.

Qué exige la Ley Marco de Ciberseguridad a los centros de salud declarados OIV

La Ley Marco de Ciberseguridad (Ley 21.663) creó la categoría de Operador de Importancia Vital (OIV): instituciones cuya interrupción de servicio podría tener un impacto significativo en la población. Hospitales, clínicas y otras instituciones de salud de gran escala pueden quedar dentro de esta categoría, dado el rol crítico que cumplen para la continuidad de la atención de pacientes.

La ley establece un conjunto de obligaciones para los OIV, entre ellas implementar un sistema de gestión de seguridad de la información, reportar incidentes a la autoridad correspondiente dentro de plazos establecidos y someterse a auditorías periódicas. Entre esas exigencias, y de particular relevancia para el sector salud dado lo señalado en la sección anterior, se encuentra contar con planes de continuidad operativa y recuperación ante desastres, que permiten restablecer los sistemas críticos dentro de plazos definidos ante un incidente.

Si tu institución podría estar dentro de esta categoría, o simplemente quieres entender mejor qué implica contar con un plan de continuidad y recuperación ante desastres, puedes revisar nuestra guía sobre qué es el Disaster Recovery y por qué es fundamental para las empresas. También puedes conocer más sobre los alcances generales de esta normativa en nuestro artículo sobre la Ley Marco de Ciberseguridad.

Qué debería tener resuelto tu organización de salud

A grandes rasgos, cualquier organización de salud debería tener resuelto:

• Un mapeo de qué datos sensibles maneja y dónde se almacenan (sistemas propios, nube, proveedores externos).
• Control sobre quién tiene acceso a la ficha clínica y a los sistemas críticos.
• Respaldos actualizados y probados, separados de la red principal.
• Capacitación del equipo frente a correos y enlaces sospechosos, ya que el phishing sigue siendo una de las puertas de entrada más comunes.
• Un plan de adecuación a la Ley 21.719 para el tratamiento de datos de salud.
• Claridad sobre si su institución podría ser clasificada como OIV bajo la Ley Marco de Ciberseguridad y, de ser así, un plan de continuidad y recuperación ante desastres.

Traducir estos puntos en una implementación técnica concreta es, precisamente, el trabajo de asesoría en el que se apoyan las organizaciones de salud. Si quieres revisar antes los conceptos generales, en nuestra guía sobre cómo comenzar con la ciberseguridad en tu empresa cubrimos las bases que aplican a cualquier organización, sin importar su tamaño o industria. En Netsus, como Partner Blue Diamond de Kaseya en Chile, acompañamos a organizaciones de distintas industrias —incluida la salud— en ese proceso de cumplimiento técnico. Si quieres conversar sobre el estado actual de la ciberseguridad en tu clínica o centro médico, conversemos.

Fuente de datos: CrowdStrike, Informe sobre el Panorama de Amenazas en América Latina para el 2025.