Ciberseguretat

Octubre es el mes Europeo de la Ciberseguridad y una vez más, se ha llevado a cabo una campaña anual de sensibilización que ofrece orientaciones prácticas para que los ciudadanos de la Unión Europea se mantengan seguros en línea. La campaña ha sido liderada por la Comisión Europea y la Agencia de la Unión Europea para la Ciberseguridad (ENISA), con el apoyo de diversas organizaciones de toda Europa.

En esta ocasión se ha centrado en las amenazas de phishing, que es el método más común usado por los atacantes para violar la seguridad de los dispositivos digitales. En efecto, las estadísticas indican que el 60% de los ciberataques comienzan con el phishing, un intento de robar información o sistemas de acceso a través de mensajes engañosos o sitios web fraudulentos. Pero ¿qué es el phishing? El phishing puede tomar muchas formas, desde correos electrónicos malintencionados a los usuarios para que regalen datos confidenciales hasta sitios web falsos diseñados para capturar detalles de inicio de sesión. Los ataques de phishing y otras amenazas cibernéticas pueden tener consecuencias devastadoras, interrumpiendo nuestra infraestructura crítica y negocios, y socavando nuestra confianza en el mundo digital. Por ello, esta campaña pone un fuerte énfasis en la construcción de conocimiento de los ciudadanos para contrarrestar estos ataques, ayudando a asegurar que fracasen antes de que puedan causar daño.

La Agencia de Ciberseguridad de Catalunya ha puesto en marcha bajo el lema ‘Aplasta la estafa’ una difusión en medios consistente en ocho cápsulas con consejos prácticos de ciberseguridad, con el objetivo de ofrecer herramientas para que la población, en especial las personas mayores, sepan identificar y evitar las estafas digitales, cada vez más sofisticadas como la estafa del hijo en problemas, los riesgos de invertir en criptomonedas, la detección de noticias falsas, en qué consiste la estafa romántica, qué permisos damos a las aplicaciones o la detección de estafas en alojamiento. De este modo, con un formato atrevido y en clave de humor, las cápsulas pretenden informar a la ciudadanía para que pueda reconocer y ‘aplastar’ las estafas antes de caer en ellas. 

Por otro lado, el pasado 16 de octubre el presidente del Gobierno, Pedro Sánchez,  clausuró la decimonovena edición del Encuentro Internacional de Seguridad de la Información del Instituto Nacional de Ciberseguridad (INCIBE) destacando que España es “uno de los países más comprometidos con la ciberseguridad del mundo”, con “capacidades por encima de la media europea”, fruto de una “estrategia acertada que combina la anticipación con el fomento de la cooperación entre el sector público y el privado”.

Servicios Jurídicos

El pasado 2 de julio, el Comité Europeo de Protección de Datos (CEPD) adoptó la Declaración de Helsiniki1 que marca un punto de inflexión en el camino hacia una aplicación más armónica y eficaz del Reglamento General de Protección de Datos (RGPD) en la Unión Europea. 

Uno de los principales retos que aborda el CEPD es la fragmentación interpretativa del RGPD. Si bien es cierto que el reglamento tiene por objeto establecer un marco común en toda la UE, la realidad muestra que su aplicación varía entre las distintas autoridades de protección de datos, pudiendo llegar a generar inseguridad jurídica y dificultades prácticas por responsables y encargados del tratamiento, en especial por aquellos que operan en varios Estados miembros. (más…)

A pesar de la presión coordinada llevada a cabo para retrasar la aplicación del Reglamento (UE) 2024/1689, de 13 de junio, en materia de inteligencia artificial (RIA) por parte de más de 100 empresas tecnológicas (entre las que figuran Google y Meta), la Comisión Europea se mantiene firme, y el 4 de julio manifestó de forma contundente “There is no stop the clock. There is no grace period. There is no pause”.

En efecto, después de meses de intensas negociaciones, la Comisión recibió el pasado 10 de julio la versión final del Código de buenas prácticas de IA de uso general, una herramienta voluntaria desarrollada por trece expertos independientes, con aportaciones de más de 1.000 partes interesadas, incluidos proveedores de modelos, pequeñas y medianas empresas, académicos, expertos en seguridad de la inteligencia artificial (IA), titulares de derechos y organizaciones de la sociedad civil.

El Código está diseñado para ayudar a la industria a cumplir las normas sobre IA de uso general del RIA, que entrarán en vigor el 2 de agosto de 2025. Las normas pasan a ser ejecutables por la Oficina de IA de la Comisión un año después en lo que respecta a los nuevos modelos y dos años después en lo que respecta a los modelos existentes. Con ello se pretende garantizar que los modelos de IA de uso general introducidos en el mercado europeo sean seguros y transparentes.

El Código consta de tres capítulos: Transparencia y derechos de autor (art. 53 RIA), ambos dirigidos a todos los proveedores de modelos de IA de uso general, y seguridad y protección (art. 55 RIA), pertinentes solo para un número limitado de proveedores de los modelos más avanzados.

• El capítulo de transparencia del Código ofrece un modelo de formulario que permite a los proveedores documentar fácilmente la información técnica necesaria en un solo lugar e incluye atributos de metadatos como tiempo de entrenamiento y cálculo, consumo de energía y métodos de recopilación y conservación de datos.
• El capítulo sobre derechos de autor del Código ofrece a los proveedores soluciones prácticas para establecer una política que cumpla la legislación de la UE en esta materia, con detalle de licencias y excepciones de minería de texto y datos (TDM) tanto para origen de datos (upstream) como para uso final (downstream).
• Algunos modelos de IA de uso general podrían conllevar riesgos sistémicos (FLOPS >10^25), como riesgos para los derechos fundamentales y la seguridad, incluida la reducción de las barreras para el desarrollo de armas químicas o biológicas, o riesgos relacionados con la pérdida de control sobre el modelo. El capítulo sobre seguridad y protección contiene las prácticas más avanzadas pertinentes para la gestión del riesgo sistémico con obligaciones de evaluación, de mitigación de riesgos, reporte de incidentes graves y medidas de ciberseguridad.

Una vez que el Código sea refrendado por los Estados miembros y la Comisión, los proveedores de modelos de IA de uso general que lo firmen voluntariamente podrán demostrar el cumplimiento de las obligaciones pertinentes del RIA adhiriéndose al Código. Al hacerlo, los signatarios del Código se beneficiarán de una menor carga administrativa y una mayor seguridad jurídica en comparación con los proveedores que demuestren el cumplimiento de otras maneras.

El Código se complementará con directrices de la Comisión sobre la IA de uso general que se publicarán antes de la entrada en vigor de las obligaciones en materia de IA de uso general. Las directrices aclararán quién está dentro y fuera del ámbito de aplicación de las normas de IA de uso general del RIA. 

El avance de la IA en la UE es imparable. Desde febrero de 2025 ya aplican las prohibiciones de prácticas ilegales y la alfabetización obligatoria en IA para proveedores. Y ahora, ¿cuáles son los siguientes pasos en el calendario?

• Tal y como se ha expuesto antes, a partir de agosto de 2025, los modelos de IA de uso general, incluidos los modelos fundacionales, los sistemas basados en API y los desarrollos de código abierto, han de cumplir con el nuevo marco regulador de la UE.
• En agosto de 2026 serán de aplicación obligaciones de sistemas de alto riesgo en sectores como salud, recursos humanos, educación y finanzas.

Y ante este escenario, son muchas las organizaciones que todavía: operan sin auditar los modelos de IA, usan modelos entrenados con datos opacos o no conformes, no tienen establecidas estructuras de gobernanza para la propiedad, explicabilidad o seguimiento del modelo, despliegan la IA sin supervisión legal ni responsabilidad formal, …

Frente a esto, hay que recordar que el RIA no solo regula el uso, sino que vincula el liderazgo del riesgo mediante documentación, registro y mecanismos de aplicación. Bastante similar a los requerimientos que derivan del RGPD pero de forma más profunda, ya que esta vez, el sistema está tomando decisiones.

Equipo Servicios Jurídicos

Microsoft Corporation ha anunciado oficialmente que, a partir del 14 de octubre de 2025, todas las ediciones del sistema operativo Windows 10 (Home, Pro, Enterprise y Education) dejarán de recibir actualizaciones gratuitas. Estas actualizaciones incluyen:

• Correcciones y actualizaciones de seguridad.
• Mejoras de rendimiento.
• Soporte técnico general.

¿Qué implica esto?
Esta finalización del soporte implica que los dispositivos con Windows 10 quedarán expuestos a riesgos de seguridad, ya que no se detectarán ni se solucionarán nuevas vulnerabilidades. El impacto puede traducirse en:

• Menor protección frente a nuevas amenazas.
• Pérdida o robo de datos sensibles.
• Acceso no autorizado a los equipos.
• Disminución del rendimiento y la estabilidad.

¡La tecnología avanza… y hay que mantenerse al día!
Para proteger los equipos y mantener una experiencia digital segura, Microsoft recomienda actualizar a Windows 11. Antes de realizar la actualización, es necesario verificar si el dispositivo cumple con los requisitos técnicos mínimos.

¿Cómo saber si tu equipo está preparado para el cambio?

• Accede a Configuración > Windows Update.
• Comprueba la versión actual del sistema y las actualizaciones disponibles.
• Consulta los requisitos técnicos de Windows 11 en el portal oficial.

Más información:
Encontrarás detalles sobre el fin del soporte de Windows 10, así como los requisitos e instrucciones para actualizar a Windows 11, visitando el sitio web oficial de Microsoft haciendo clic aquí.

Recomendación final:
No dejes para el último momento la transición a Windows 11. Anticiparte a estos cambios te garantizará un entorno informático más eficiente y seguro.

La Autoridad Catalana de Protección de Datos (APDCAT) ha anunciado una disminución en el número anual de notificaciones de violaciones de seguridad durante el año 2024 en comparación con el año anterior. Esta reducción rompe, por primera vez, la tendencia al incremento del 20% anual que se venía observando desde el año 2018.

Concretamente, la APDCAT recibió un total de 182 notificaciones de violaciones de seguridad a lo largo de 2024, una cifra que supone una ligera disminución en relación con las 183 notificaciones registradas en 2023. A pesar de tratarse de un descenso modesto –del 0,5%–, el número de afectados se ha reducido a más de la mitad, con un total de 230.000 personas, en comparación con el millón y medio que se registró a lo largo de 2023.

La Autoridad atribuye esta mejora tan pronunciada en el número de afectados, principalmente, a la disminución de ciberataques, que pasan del 31% en 2023 al 17% en 2024, especialmente los de tipo ransomware, que han pasado del 19% al 3%. Estos ataques ransomware, basados en el secuestro de datos, son los que afectan a un mayor número de personas. En consecuencia, el 41% de las violaciones de seguridad que ha recibido la APDCAT durante 2024 solo han tenido impacto en un número de entre 1 y 10 personas.

Aun así, cabe destacar la forma en que, a pesar de la notable disminución en el impacto de estas violaciones, el número de notificaciones a las autoridades se ha mantenido en línea con las de 2023. Esto pone de manifiesto que los responsables de realizar estas notificaciones no han reducido su labor de vigilancia y han continuado cumpliendo rigurosamente con su obligación de reportar los incidentes de manera adecuada.

En cuanto al origen de las violaciones de seguridad, el error humano pasa a ser la primera causa de los incidentes (aumenta del 43% al 59%), mientras que el acto externo malintencionado se sitúa en segundo lugar (baja del 52% al 33%). En última instancia, se encuentra el acto interno malintencionado (por ejemplo, abuso de privilegios de acceso por parte de empleados que extraen, copian o reenvían datos sin autorización), que se mantiene en tercer lugar con ligeras variaciones al alza.

En la misma línea de 2023, en la gran mayoría de los incidentes (92%) se ve afectada la confidencialidad de los datos, mientras que las violaciones que afectan a la disponibilidad disminuyen (hasta el 7%), en coherencia con la reducción del número de ataques ransomware, que al operar mediante la encriptación de los datos con el objetivo de posteriormente exigir un rescate, limitan su accesibilidad y cuando se necesitan.

Finalmente, como es habitual, la mayoría de las violaciones afectan datos identificativos básicos (nombre y apellidos y, en algunos casos, fecha de nacimiento) y datos de contacto, en un alto porcentaje combinados con datos de documentos de identidad (como DNI, NIE o pasaporte), cuyo acceso y uso indebido puede suponer un riesgo importante de daño para los titulares de los datos comprometidos, como el riesgo de sufrir una suplantación de identidad o ser víctima de fraude.

Estas noticias son especialmente relevantes para el sector sanitario, un ámbito particularmente vulnerable a este tipo de incidentes debido a la naturaleza sensible de los datos que gestiona. Según el artículo 9.1 del RGPD, estos datos se consideran de categoría especial y requieren la aplicación de medidas específicas de seguridad que garanticen su integridad y confidencialidad frente a intentos de acceso no autorizados y tratamientos ilícitos que puedan comprometer la privacidad de sus titulares.

Aun así, es importante mantener el nivel de alerta. Como recordaba el Informe de Prospectiva de Ciberseguridad para 2024 de la Agencia de Ciberseguridad de Cataluña, el sector sanitario sigue siendo un objetivo principal en esta materia, por lo que continúa siendo primordial la adopción y el mantenimiento de estrategias de ciberseguridad proactivas, flexibles y adaptables ágilmente a los cambios dinámicos y a la evolución de este tipo de amenazas cibernéticas.

En este sentido, es importante recordar que, según el artículo 33 del RGPD, en caso de que se produzca una violación de seguridad de datos personales, el responsable del tratamiento deberá notificarlo a la Autoridad «sin dilación indebida» y, por regla general, en un plazo máximo de 72 horas desde que se haya tenido constancia del incidente. Según el RGPD, se considera violación de seguridad cualquier incidente que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra manera, o la comunicación o el acceso no autorizado a dichos datos.

Así pues, cuando el responsable de protección de datos considere, en base a criterios como el tipo de violación, la categoría y tipología de los datos o el volumen y tipo de afectados, que la violación supone un riesgo de que se produzcan perjuicios (daños físicos, materiales o inmateriales) para las personas titulares de los datos afectados, deberá comunicarlo a la autoridad competente –en el caso de Cataluña, a la APDCAT– en los términos establecidos.

A modo ilustrativo, la Autoridad ha considerado violaciones de seguridad que deben ser comunicadas aquellas que impliquen pérdida de control sobre los datos, restricción de derechos de los titulares, discriminación, suplantación de identidad, pérdidas financieras, daño a la reputación, reversión no autorizada de la pseudonimización o pérdida de confidencialidad de datos sujetos a secreto profesional.

En definitiva, a pesar de la clara mejora, seguiremos con interés la evolución de los datos registrados por las Autoridades en materia de violaciones de seguridad y su impacto en la protección de los datos personales de los afectados, especialmente en sectores críticos como lo es el sector sanitario.

La continua evolución de las amenazas cibernéticas ha dado origen a nuevos desafíos, poniendo de manifiesto ciertas limitaciones que dificultan abordar de manera eficaz los retos actuales y emergentes en el ámbito de la ciberseguridad. En este contexto, la Directiva NIS2 surge como respuesta a esa necesidad de actualización y fortalecimiento de las medidas establecidas en la Directiva NIS1, erigiéndose como un marco normativo estratégico para abordar los retos actuales en materia de ciberseguridad en el marco de la Unión Europea. La Directiva NIS 2 entró en vigor el 16 de enero de 2023, y su transposición en España se hará a través del anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad aprobado el pasado 14 de enero de 2025 por el Consejo de Ministros.

La NIS2 amplía el ámbito de aplicación, dotando así de una mayor cobertura a los sectores y servicios de más relevancia social y económica, considerándolos como entidades esenciales o importantes, en función del grado de criticidad de sus sectores, de su tamaño o del tipo de servicio prestado. El sector sanitario forma parte de los sectores de alta criticidad, y en él se incluye: laboratorios de referencia de la UE, entidades que realizan actividades de investigación y desarrollo de medicamentos, entidades que fabrican productos farmacéuticos de base y especialidades farmacéuticas y entidades que fabrican productos sanitarios que se consideran esenciales en situaciones de emergencia de salud pública.

Además, la NIS2 refuerza los requisitos de seguridad que han de cumplir las entidades afectadas, precisa el proceso de notificación de incidentes, aborda la seguridad en la cadena de suministro y las relaciones con proveedores, refuerza el intercambio de información sobre incidentes y la divulgación de vulnerabilidades y establece una red europea de soporte de crisis (EU-CYCLONe). Todas las medidas deben, por un lado, ser proporcionadas al riesgo, tamaño, coste e impacto y gravedad de los incidentes; y, por otro lado, tener en cuenta el estado de la técnica, y cuando proceda, las normas europeas e internacionales.

En cuanto a la notificación de incidentes, solo en 2023, los países de la UE notificaron 309 incidentes de ciberseguridad graves contra sector sanitario, más que en cualquier otro sector crucial. Además, hay que considerar que el 54% de los ciberataques en el sector de la salud implican ransomware.

Tal y como se indica en el Informe de prospectivas de ciberseguridad para el 2024 de la Agencia de Ciberseguridad de Cataluña  “Se identifica, en primer lugar, que el sector salud emerge como un objetivo principal, ya que se enfronta a amenazas que pueden paralizar los sistemas críticos de salud pública y comprometer datos sensibles de pacientes. (…) El reto de implementar un entorno de ciberseguridad robusto y avanzado en Cataluña también exige adquirir y desplegar de forma efectiva nuevas capacidades. La aplicación de inteligencia artificial, para automatizar y escalar las defensas cibernéticas, junto con la incorporación de otras tecnologías punteras, es imprescindible para hacer frente a la evolución de las ciberamenazas. Además, hay que adoptar una estrategia de ciberseguridad proactiva, flexible y adaptable ágilmente a los cambios dinámicos y a la evolución de las amenazas cibernéticas.”

Los ciberataques también tienen consecuencias en la normativa de protección de datos. Por ello, es importante que el responsable sea consciente de cómo ha evolucionado el contexto de brechas de datos personales en el ámbito de la salud y, en particular, de los ciberincidentes de tipo ransomware que se han multiplicado en los últimos años, y que afectan a todo tipo de organizaciones asistenciales. Son varias las resoluciones sancionadoras de la Agencia Española de Protección de Datos que se han publicado en los últimos tiempos derivadas de ransomware, por ejemplo, el PS/00529/2022 contra Institut Marquès Obstetrícia i Ginecología SLP, en que se imputan infracciones de los arts. 5.1.f), 32 y 34 del Reglamento General de Protección de Datos (RGPD); o los procedimientos de la Autoridad Catalana de Protección de Datos PS 1/2024 y PS 4/2024, referentes al Hospital Clínic de Barcelona y Fundació de Recerca Clínic Barcelona-Institut d’Investigacions Biomèdiques August Pi i Sunyer, en los que se declara una infracción del art. 83.4.a en relación con el art. 32.1 RGPD e infracción del art. 83.4.a en relación con el art. 32.2 RGPD.

En definitiva, de todo lo expuesto se desprende que la ciberseguridad seguirá marcando la agenda de las organizaciones del sector salud durante los próximos ejercicios, así como también de la política comunitaria. El pasado 15 de enero de 2025 la Comisión Europea presentó un plan de acción de la UE destinado a reforzar la ciberseguridad de los hospitales y los prestadores de asistencia sanitaria, que tiene como objetivo crear un entorno más seguro y protegido para los pacientes.  Esta iniciativa marca la primera iniciativa sectorial específica para desplegar toda la gama de medidas de ciberseguridad de la UE. El Plan se basa en las cuatro prioridades siguientes:

1. Prevención mejorada.  El plan ayuda a desarrollar las capacidades del sector sanitario para prevenir incidentes de ciberseguridad a través de medidas de preparación mejoradas, como orientaciones sobre la aplicación de prácticas críticas de ciberseguridad.
2. Mejor detección e identificación de amenazas. Se desarrollará un servicio de alerta temprana a escala de la UE, que ofrecerá alertas casi en tiempo real sobre posibles ciberamenazas, de aquí a 2026.
3. Respuesta a los ciberataques para minimizar el impacto. El plan propone un servicio de respuesta rápida para el sector sanitario en el marco de la Reserva de Ciberseguridad de la UE.
4. Disuasión. Proteger los sistemas sanitarios europeos disuadiendo a los agentes de ciberamenazas de atacarlos. Esto incluye una respuesta diplomática conjunta de la UE a las actividades informáticas malintencionadas.

Seguiremos con interés los pasos previstos para 2025-2026 definidos en el Plan y analizaremos si con ello dejan de aumentar año tras año los ciberataques a hospitales y otros prestadores de asistencia sanitaria.