Los ciberataques en el sector salud ahora ponen en riesgo la atención al paciente

Durante años, los líderes de seguridad en el sector salud han escuchado que un ciberataque es un evento financiero. Las investigaciones más recientes afirman que es un evento clínico. En el estudio de 2026 de Proofpoint y el Ponemon Institute, el 97 por ciento de las organizaciones de salud encuestadas sufrieron al menos un ciberataque en los últimos 12 meses, y el 74 por ciento de ellas reportó interrupciones en la atención a pacientes.

El promedio de ataques por organización subió a 51, frente a 43 el año anterior. El costo del ataque más caro aumentó casi un 8 por ciento, de $3.9 millones a $4.2 millones. Estas cifras provienen de las respuestas de 705 profesionales de TI y seguridad en organizaciones de salud de EE. UU., por lo que representan una señal, no un censo. Aun así, son la señal más clara que ha tenido el sector sobre cómo los ataques se traducen en retrasos en procedimientos, estancias más largas y complicaciones.

Aquí tienes el argumento completo. Todos esos ataques terminan en el mismo punto para un CISO o un responsable de privacidad. Un regulador, auditor o abogado del demandante te pedirá que demuestres qué ocurrió con la información de salud protegida y quién la manipuló. La detección importa. La evidencia decide el resultado. Kiteworks secure data exchange existe para ese segundo problema, y las siguientes secciones explican por qué ese segundo problema es el que menos preparadas tienen la mayoría de las organizaciones.

Puntos clave

1. Los ataques ahora son un problema de atención al paciente.

De las organizaciones de salud afectadas el último año, casi tres de cada cuatro reportaron interrupciones en la atención, lo que traslada la conversación de la exposición presupuestaria a la exposición clínica.

2. Dos conjuntos de datos de costos pueden ser correctos a la vez.

Uno mide el costo promedio de una filtración y el otro mide el costo del peor ataque de una organización, así que un promedio a la baja puede convivir con un máximo al alza.

3. Los ataques a la cadena de suministro son los más dañinos.

Nueve de cada diez organizaciones afectadas reportaron interrupciones en la atención por ataques a la cadena de suministro, lo que significa que el intercambio de datos con terceros debe estar en el registro de riesgos clínicos.

4. HIPAA no espera la regla final.

La propuesta de revisión de la Security Rule sigue siendo solo eso, una propuesta, pero la identificación única de usuarios, los controles de auditoría y la notificación de filtraciones ya aplican hoy.

5. La evidencia supera la postura.

La mitad de las organizaciones encuestadas en un estudio de 2026 no puede producir un registro completo de acceso a datos de IA en un día hábil, así que la brecha de evidencia es de donde saldrá el próximo hallazgo.

Lo que encontró el estudio de 2026

Las cifras principales merecen una lectura más pausada que la que les dieron la mayoría de los medios. Empieza por el impacto en la atención, porque cambió la historia. Entre las organizaciones que reportaron interrupciones en los cuatro tipos de ataque estudiados (compromiso de cuentas y nube, ransomware, cadena de suministro y compromiso de correo empresarial), el 53 por ciento mencionó más complicaciones en procedimientos, el 52 por ciento estancias más largas y el 52 por ciento retrasos en pruebas o procedimientos.

Eso es una pérdida diferente. Una clínica puede presupuestar un incidente de $4.2 millones. No puede presupuestar una prueba retrasada.

La estructura de costos apunta en la misma dirección. La interrupción operativa fue la categoría más grande con un promedio de $1.39 millones, y el tiempo inactivo y la pérdida de productividad promediaron $1.05 millones. Los pagos de rescate representan una porción cada vez menor del daño. Entre las víctimas de ransomware, el 31 por ciento pagó, frente al 33 por ciento anterior, y el pago más alto promedio bajó de $1.2 millones a $1.1 millones. Las organizaciones pagan menos a los atacantes y más por el tiempo de inactividad.

La pérdida de datos añade una capa fácil de pasar por alto. Las organizaciones promediaron 21 incidentes de pérdida o exfiltración de datos que involucraron información de salud sensible en dos años. De los encuestados que dijeron que esos incidentes interrumpieron la atención (54 por ciento), el 56 por ciento reportó tasas de mortalidad más altas. Estas son percepciones autoinformadas de los profesionales, no datos clínicos, así que tómalas con cautela. Aun así, llama la atención que los profesionales de seguridad las documenten.

La negligencia de empleados fue la causa principal reportada de pérdida de datos. El fallo común supera al dramático aquí, como sucede en la mayoría de los sectores.

Dos conjuntos de datos que parecen contradecirse

Aquí es donde empieza la lectura contraria. El Informe sobre el costo de una filtración de datos 2026 de IBM encontró que la salud sigue siendo la industria más costosa para filtraciones con $6.64 millones, pero esa cifra cayó un 10.5 por ciento desde $7.42 millones en 2025, según Becker’s Hospital Review.

Un promedio a la baja junto a un peor caso al alza parece una contradicción. Es una diferencia de medición. IBM, junto con el Ponemon Institute, estudia organizaciones que sufrieron una filtración y promedia el costo entre ellas. El estudio de Proofpoint y Ponemon pregunta a cada organización por el costo de su ataque más caro, luego suma frecuencia, interrupción operativa y resultados clínicos. Un instrumento describe el centro de la distribución. El otro describe la cola, y ahí es donde viven los consejos de administración de hospitales.

Así que no dejes que nadie te diga que los costos están bajando y el problema se está aliviando. Tampoco dejes que te digan lo contrario solo por un estudio. El resumen honesto es más concreto y útil. En ambos conjuntos de datos, la salud es costosa de vulnerar, y el segundo conjunto muestra que el daño está migrando del libro contable a la cama del paciente.

Eso importa para cómo informas a un consejo. Un consejo que escucha «el costo promedio de una filtración bajó» se relaja. Un consejo que escucha «nuestro peor día empeora y ahora afecta la atención» pedirá controles. La segunda afirmación es la precisa para un programa de seguridad, porque tu exposición la define tu peor día, no el promedio del sector.

Cadena de suministro, ransomware y ataques por correo llegan a la sala

No todos los tipos de ataque afectan a los pacientes con la misma intensidad. Los ataques a la cadena de suministro tuvieron el mayor impacto en los datos de Proofpoint y Ponemon. El noventa por ciento de las organizaciones afectadas reportaron interrupciones en la atención, frente al 87 por ciento en 2025. Es el hallazgo más concentrado del estudio.

Esto también coincide con lo que ven investigadores externos en el mercado. El Informe de filtraciones de terceros 2026 de Black Kite contó 136 eventos verificados de filtraciones de terceros en 2025 y un retraso medio de 73 días en la divulgación pública. Un proveedor puede estar comprometido durante diez semanas antes de que te enteres, y en ese tiempo los registros de tus pacientes pasan por un socio que no controlas.

Los ataques de ransomware muestran el vínculo con la atención de forma más directa. Entre las organizaciones de salud que sufrieron ransomware, el 72 por ciento reportó interrupciones en la atención, frente al 67 por ciento el año anterior, y el 70 por ciento de ellas mencionó estancias más largas. El compromiso de correo empresarial tiene una huella clínica diferente. De las organizaciones que reportaron interrupciones, el 68 por ciento lo relacionó con retrasos en procedimientos y pruebas que derivaron en malos resultados.

La adopción de la nube complica los tres escenarios. El estudio encontró que el 35 por ciento de las organizaciones ya trasladaron aplicaciones clínicas a la nube, frente al 30 por ciento anterior, y otro 44 por ciento planea hacerlo en dos años. Los compromisos de cuentas y nube promediaron hasta 20 por organización y afectaron la atención en el 65 por ciento de los casos.

Lee esos cuatro hallazgos juntos y verás la estructura. Ransomware, compromiso de correo y apropiación de cuentas en la nube son puntos de entrada diferentes al mismo lugar: datos sensibles intercambiados entre tu organización y otra. Si no puedes ver ni controlar ese intercambio a través de correo seguro, uso compartido de archivos, transferencia, formularios y APIs desde un solo lugar, defiendes cuatro perímetros con cuatro conjuntos de registros. Un único motor de políticas y un solo registro de auditoría, que es lo que ofrece Kiteworks secure data exchange en esos canales, reduce los puntos donde una solicitud de evidencia puede fallar.

Por qué la evidencia importa más que la detección

Piénsalo: después de un ataque a un sistema de salud regional, el equipo de seguridad lo contiene. Las operaciones clínicas se recuperan. Entonces empieza el otro reloj. Los requisitos de notificación de filtraciones de HIPAA establecen un límite de 60 días desde el descubrimiento para notificar individualmente, y las preguntas del regulador llegan cuando llegan.

Esta parte del trabajo nunca aparece en el panel de incidentes. La pregunta no es si detectaste la intrusión. La pregunta es si puedes reconstruir, con registros confiables, qué datos de pacientes estuvieron expuestos, quién accedió y si los controles funcionaron según lo documentado.

Conviene ser exacto sobre lo que exige la ley hoy. La Security Rule de HIPAA ya exige identificación única de usuarios y controles de auditoría, y trata el cifrado de información electrónica de salud protegida como una especificación direccionable, según el texto de 45 CFR 164.312. La revisión general que endurecería esos requisitos fue propuesta en enero de 2025 y aún no se ha finalizado. La agenda regulatoria de la OMB ahora prevé una regla final para julio de 2027, según The HIPAA Journal.

Algunas organizaciones ven ese retraso como un respiro. No lo es. Las obligaciones actuales ya te exigen demostrar control de acceso y capacidad de auditoría, y la aplicación se está dando bajo la norma vigente. The HIPAA Journal informa que la OCR impuso una multa de $450,000 a una empresa en 2026 por no realizar un análisis de riesgos adecuado, lo que indica que el regulador revisa lo básico.

Los reguladores regulan datos, no modelos ni estados de ánimo. A HIPAA no le importa si una persona o una herramienta automatizada accedió al registro. Pregunta si el acceso fue autorizado, registrado y defendible.

La capa de IA que la mayoría aún no gobierna

El estudio de Proofpoint y Ponemon añade un hallazgo que debería estar en la próxima presentación de cualquier CISO de salud. Entre los encuestados, el 45 por ciento ya ha incorporado IA en ciberseguridad o en ambos, ciberseguridad y atención, y el 60 por ciento carece de controles para datos sensibles usados en sistemas de IA. Solo el 32 por ciento reporta visibilidad total sobre el uso de herramientas de IA no autorizadas por parte de empleados, y los agentes de IA sin límites fueron señalados como causa principal de pérdida de datos por el 24 por ciento.

En pocas palabras, el sector está adoptando IA más rápido de lo que gobierna los datos que la IA manipula. En salud, esos datos son PHI, lo que eleva el riesgo, pero la brecha es la misma que aparece en todos lados. La investigación de Kiteworks apunta en la misma dirección, como muestra la siguiente sección.

El principio de gobernanza es fácil de enunciar y difícil de implementar. Una herramienta o agente de IA que accede a datos de pacientes debe estar vinculado a la autoridad de una persona, limitado al mínimo de datos necesario y registrado en un log que soporte una auditoría. La Regla de Mínimo Necesario de HIPAA aplica a los datos, no a quién o qué los solicita. Una cuenta de servicio compartida entre una herramienta de IA y un almacén de registros puede ser difícil de conciliar con la identificación única de usuario, porque el registro muestra la cuenta y no la persona cuya autoridad se usó.

Aquí es donde encajan Kiteworks Compliant AI y el Secure MCP Server. Aplican las mismas políticas RBAC y ABAC y el mismo registro de auditoría que gobierna el acceso humano, así que una integración de IA lee datos de pacientes bajo los mismos límites y deja la misma evidencia. Kiteworks no participó en el estudio de Proofpoint y Ponemon, y nada aquí implica que alguna plataforma hubiera evitado los ataques medidos.

Lo que dice la encuesta de Kiteworks sobre demostrarlo

La evidencia más clara de la brecha de evidencia viene de otro instrumento. El Informe Anual de Seguridad de Datos y Riesgo de Cumplimiento 2026 de Kiteworks encuestó a 459 profesionales de seguridad, cumplimiento y tecnología de diferentes sectores en el segundo trimestre de 2026. Es autoinformada, global y no específica de salud. En ella, el 63 por ciento de las organizaciones experimentó al menos una consecuencia de cumplimiento en los últimos 12 meses, como un hallazgo de auditoría, un plan de remediación, una escalada a la junta, una penalización contractual o una investigación regulatoria.

Las cifras de preparación para auditoría son las que deberían quitarle el sueño a un responsable de privacidad. La mitad de las organizaciones no puede producir un registro completo de acceso a datos de IA en un día hábil, y el 67 por ciento carece de registros de auditoría a prueba de manipulación. Los registros a prueba de manipulación son los que examina un investigador para confirmar que no se alteraron después. Un registro de auditoría que no puede probar su propia integridad es solo un diario, no evidencia.

La muestra del sector salud en la encuesta es pequeña, alrededor del 8 por ciento de los encuestados, así que tómala como indicativa. Aun así, es interesante. Las organizaciones de salud superaron la media de la encuesta en controles de seguridad, con una puntuación media de madurez de seguridad de datos de 42.3 frente a 39 en general. El perfil dominante del sector fue el llamado Fortified, con 1.84 veces la tasa esperada. Ese perfil significa infraestructura de seguridad sólida que aún no se ha extendido a la gobernanza específica de IA.

El dinero no cierra esa brecha. En el Informe Anual 2026, el 54 por ciento de los encuestados que dedica al menos una cuarta parte de su presupuesto de TI a ciberseguridad promedió una puntuación de madurez de 39.7, estadísticamente igual al promedio general de 39.2. El gasto siguió la intención. Los controles siguieron la arquitectura.

Esa es la conexión entre los dos estudios. Los ataques en los datos de Proofpoint y Ponemon son el costo de la exposición. Las brechas de auditoría en los datos de Kiteworks son el costo de no poder demostrar lo que pasó después. Las organizaciones de salud pagan ambas facturas, y solo una aparece en el titular de un proveedor.

Qué hacer antes de la próxima solicitud de auditoría

Deja de preguntarte si tu organización podría sobrevivir a un ataque. Haz una pregunta más difícil. Si la OCR o un demandante pidieran el registro de acceso a los datos de un paciente en todos los canales para el viernes, ¿quién lo produciría y cuánto tardaría?

Este es el trabajo, en el orden que yo lo haría.

Empieza por los canales. Mapea todas las vías por las que la PHI sale o entra en la organización, incluyendo correo seguro, uso compartido de archivos, transferencia gestionada de archivos, formularios web, APIs y herramientas de IA. La encuesta de Kiteworks halló que el 54 por ciento de las organizaciones usa cuatro o más plataformas para el intercambio de datos sensibles, y el 73 por ciento no tiene control técnico sobre qué canales pueden usar los empleados. Cada plataforma extra es un registro separado, una política separada y una brecha adicional. Una herramienta como DSPM para salud ayuda con el descubrimiento, pero descubrir no es controlar.

Después, consolida la evidencia. Alimenta un registro consolidado de registros de auditoría en tu SIEM en tiempo real y prueba si un investigador podría confiar en él. La pregunta no es si registras. La pregunta es si el registro es completo, a prueba de manipulación y atribuible a una persona identificada.

Luego, reescribe el manual para terceros. Una tasa de interrupción del 90 por ciento por ataques a la cadena de suministro significa que el intercambio de datos con proveedores es un riesgo clínico, no solo un apunte de compras. Exige a los socios intercambiar PHI a través de canales que tú gobiernas, aplica principios de protección de datos de confianza cero a lo que pueden ver y ensaya tu plan de respuesta a incidentes con esos proveedores presentes, no solo en un documento.

Por último, pon la IA al mismo nivel que las personas. Vincula las herramientas de IA a usuarios autorizados y al mínimo de datos necesario, registra lo que tocan y prueba tu capacidad de bloquearlas. Las organizaciones que piden esta evidencia antes que el auditor son las que la tienen cuando importa. Kiteworks ofrece un Acuerdo de Socio Comercial y registros de auditoría alineados con HIPAA para organizaciones de salud que intercambian PHI, y su cifrado doble en reposo, arquitectura de tenencia única y registro de auditoría consolidado están diseñados para el problema de evidencia descrito arriba.

Nada de esto requiere esperar una regla final. Requiere decidir que la evidencia es un requisito de diseño, no una improvisación.

Para saber más sobre cómo producir evidencia lista para auditoría del intercambio de PHI bajo HIPAA, agenda una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog Arquitectura Zero Trust: Nunca confíes, verifica siempre
• Video Microsoft GCC High: Desventajas que impulsan a los contratistas de defensa hacia ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados cuando DSPM los detecta
• Artículo del Blog Cómo generar confianza en la IA generativa con un enfoque Zero Trust
• Video Guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI