Su inventario sabe qué equipos tiene. ¿También sabe cómo pueden ser atacados?

Imagine esta escena: el fabricante publica una vulnerabilidad que afecta una versión específica del software de un equipo médico. La gerencia hace una pregunta aparentemente sencilla: “¿Cuántos tenemos y dónde están?”

El inventario entrega fabricante, modelo, serie, ubicación y fecha del último mantenimiento. Pero no responde si el equipo usa esa versión, si está conectado por Ethernet o Wi‑Fi, si tiene acceso remoto habilitado, si almacena información clínica, si acepta memorias USB o si todavía recibe actualizaciones del fabricante.

El problema no es que la IPS carezca de inventario. El problema es que tiene un inventario físico para administrar activos, pero no siempre un inventario cibernético para administrar exposición.

Un equipo médico no necesita estar conectado a internet para tener riesgo de ciberseguridad. Basta con que intercambie datos, acepte medios externos, dependa de software o pueda ser intervenido mediante una interfaz digital.

La FDA advierte que la conectividad que mejora la atención también puede incrementar el riesgo cibernético y afectar la seguridad o el desempeño de un dispositivo. El IMDRF, por su parte, plantea que la ciberseguridad debe gestionarse durante todo el ciclo de vida y como una responsabilidad compartida entre fabricantes, instituciones de salud y otros actores.

Para una IPS, la pregunta ya no es si tiene “equipos de sistemas”. La pregunta correcta es: ¿qué tecnología médica tiene una superficie de ataque y cómo está controlando ese riesgo?

Conectado no significa solamente “con internet”

En una evaluación biomédica conviene ampliar la mirada. Un equipo puede tener exposición cibernética cuando incorpora una o varias de estas características:

• Conectividad por Wi‑Fi, Ethernet o Bluetooth.
• Puertos USB u otros medios removibles para exportar datos, instalar configuraciones o prestar servicio técnico.
• Software o firmware que puede presentar vulnerabilidades y requerir actualizaciones.
• Acceso remoto para soporte, mantenimiento o diagnóstico del proveedor.
• Integración con PACS, HIS, LIS, servidores, estaciones centrales, aplicaciones móviles o plataformas en la nube.
• Almacenamiento o transmisión de datos clínicos o identificables del paciente.
• Dependencia de un sistema operativo, una librería o un componente de terceros.

Esto incluye equipos evidentes —monitores, ventiladores, bombas, ecógrafos, tomógrafos, resonadores, analizadores y estaciones centrales—, pero también otros que suelen pasar inadvertidos porque “nunca navegan en internet”. Un puerto de servicio, una memoria removible o un computador usado por el proveedor pueden crear rutas de intercambio que deben conocerse y controlarse.

No todas esas rutas tienen el mismo riesgo. Un puerto USB sellado y usado bajo un procedimiento autorizado no equivale a un acceso remoto permanente con credenciales compartidas. El objetivo no es declarar peligroso todo equipo digital, sino reconocer cada vía de exposición y aplicar controles proporcionales a su función clínica, vulnerabilidad e impacto.

El riesgo cibernético puede convertirse en riesgo clínico

En tecnología médica importan tres propiedades clásicas de la información:

• Confidencialidad: que los datos clínicos no sean consultados o extraídos por personas no autorizadas.
• Integridad: que parámetros, configuraciones, resultados o registros no sean alterados indebidamente.
• Disponibilidad: que el equipo y la información necesaria estén accesibles cuando la atención los requiere.

En un sistema administrativo, una interrupción puede causar demora o reproceso. En un dispositivo médico, según su función y el contexto de uso, esa misma interrupción puede afectar la continuidad asistencial, retrasar un diagnóstico o exigir un traslado a un equipo de respaldo. Por eso el IMDRF vincula expresamente la ciberseguridad con la funcionalidad y la seguridad del dispositivo.

Esta relación evita un error frecuente: tratar la ciberseguridad biomédica como un asunto exclusivo del área de TI. TI conoce redes, identidades, registros, segmentación y respuesta a incidentes; ingeniería biomédica conoce criticidad clínica, configuración autorizada, mantenimiento, ciclo de vida y restricciones del fabricante. El servicio asistencial conoce las consecuencias operativas. La evaluación completa aparece cuando esas tres miradas se encuentran.

El primer control no es un firewall: es saber qué existe

No se puede evaluar una tecnología que la organización no ha identificado. El inventario cibernético debe complementar la hoja de vida tradicional con información que permita responder, como mínimo, estas preguntas:

1. 1¿Qué interfaces tiene el equipo: Wi‑Fi, Ethernet, Bluetooth, USB u otras?
2. 2¿Cuáles están habilitadas y para qué se utilizan?
3. 3¿Qué versión de software, firmware o sistema operativo está instalada?
4. 4¿Existe una versión aprobada más reciente o una alerta del fabricante?
5. 5¿El equipo almacena, procesa o transmite información clínica?
6. 6¿Tiene usuarios, contraseñas, roles o credenciales predeterminadas?
7. 7¿Permite acceso remoto del proveedor y bajo qué autorización?
8. 8¿Con qué sistemas, servidores, aplicaciones o accesorios se comunica?
9. 9¿Hasta cuándo tiene soporte técnico y actualizaciones de seguridad?
10. 10¿Quién es responsable de aceptar, tratar y verificar sus riesgos?

Una hoja de cálculo puede registrar parte de esta información, pero se vuelve frágil cuando las versiones cambian, los equipos rotan de ubicación, aparecen alertas, se vencen compromisos o deben relacionarse evidencias de mantenimiento y tecnovigilancia. La dificultad real no está en crear una lista: está en mantenerla viva y convertir cada hallazgo en una decisión verificable.

La frase que debería preocupar a una gerencia

“No hemos tenido incidentes” no significa “no tenemos riesgo”. También puede significar que la IPS no tiene visibilidad suficiente para detectarlos, clasificarlos o relacionarlos con el equipo afectado.

Una evaluación inicial puede clasificar cada activo con criterios como:

• Criticidad de la función clínica.
• Tipo y alcance de la conectividad.
• Datos que almacena o transmite.
• Posibilidad de alterar su configuración o funcionamiento.
• Exposición a redes internas, internet, medios removibles o acceso remoto.
• Estado de soporte del fabricante.
• Disponibilidad de actualizaciones y controles compensatorios.
• Alternativas clínicas si el equipo deja de estar disponible.

La clasificación no necesita comenzar con una fórmula sofisticada. Puede usar niveles cualitativos —crítico, alto, medio y bajo— siempre que los criterios estén definidos y la conclusión conduzca a una acción. Un riesgo “alto” sin responsable ni fecha es solo una etiqueta.

Del hallazgo al tratamiento: seis pasos que sí cierran el ciclo

El Marco de Ciberseguridad 2.0 de NIST organiza la gestión alrededor de gobernar, identificar, proteger, detectar, responder y recuperar. Llevado al contexto biomédico, ese ciclo puede aterrizarse así:

1. 1Identificar. Reconocer los equipos, interfaces, versiones, dependencias, datos y responsables.
2. 2Priorizar. Combinar criticidad clínica, exposición, vulnerabilidades conocidas y consecuencias posibles.
3. 3Tratar. Definir el control apropiado: configuración segura, segmentación, restricción de puertos, gestión de credenciales, actualización autorizada, respaldo, monitoreo o reemplazo.
4. 4Verificar. Comprobar que el control se implementó y que el equipo conserva su seguridad, desempeño y configuración aprobada.
5. 5Monitorear. Revisar alertas, cambios de versión, nuevas conexiones, fin de soporte, incidentes y riesgos pendientes.
6. 6Responder y recuperar. Tener una ruta para aislar, escalar, mantener la continuidad clínica, documentar el incidente y restablecer la operación de forma segura.

La actualización merece especial cuidado. Instalar cualquier parche encontrado en internet puede comprometer la funcionalidad o la garantía. La FDA recomienda mantener los dispositivos actualizados con las correcciones suministradas o autorizadas por el fabricante y evitar intervenciones no validadas. En equipos médicos, parchar rápido y parchar bien no siempre son la misma cosa: la decisión debe coordinar seguridad, riesgo clínico, compatibilidad y continuidad del servicio.

Cinco controles que una IPS puede empezar a fortalecer

1. Segmentar según función y riesgo

Separar la tecnología médica de redes administrativas o de invitados reduce movimientos innecesarios entre sistemas. La arquitectura concreta corresponde a TI y seguridad de la información, pero ingeniería biomédica debe aportar el mapa de equipos, dependencias y restricciones clínicas.

2. Gobernar accesos y soporte remoto

Cada acceso debe tener propósito, responsable, autorización y trazabilidad. Las cuentas genéricas, las contraseñas predeterminadas y las conexiones de proveedor permanentemente abiertas amplían la exposición y dificultan saber quién hizo qué.

3. Controlar versiones, actualizaciones y fin de soporte

Software y firmware deben tratarse como parte de la configuración del activo. También conviene registrar la fecha de fin de soporte: un equipo puede seguir funcionando clínicamente y, al mismo tiempo, quedarse sin correcciones de seguridad.

4. Gestionar USB y medios removibles con criterio

Bloquear todos los puertos puede ser incompatible con mantenimiento, exportación de estudios o recuperación. Dejarlos sin control tampoco es razonable. La IPS necesita una regla basada en uso autorizado, revisión del medio, custodia y evidencia.

5. Preparar continuidad clínica

La respuesta no termina en “desconectar el equipo”. Debe definir qué servicio se afecta, qué alternativa existe, quién autoriza el aislamiento, cómo se preserva la información necesaria y qué condiciones permiten volver a operación.

Lo que debería ver el comité directivo

La gerencia no necesita una lista interminable de direcciones IP. Necesita indicadores que traduzcan la exposición técnica en decisiones de riesgo y presupuesto. Por ejemplo:

• Porcentaje de equipos con evaluación cibernética completa.
• Equipos conectados sin responsable asignado.
• Activos con software o firmware sin versión registrada.
• Equipos con actualizaciones pendientes de evaluación o instalación.
• Activos próximos o posteriores al fin de soporte.
• Riesgos altos abiertos y antigüedad del plan de tratamiento.
• Equipos que almacenan datos clínicos sin controles documentados.
• Servicios críticos sin alternativa de continuidad definida.

Estos indicadores permiten decidir si hace falta segmentar una red, priorizar una actualización, renegociar soporte, restringir una interfaz, capacitar al personal o adelantar una reposición. La ciberseguridad deja de ser una conversación abstracta cuando cada riesgo tiene un equipo, una ubicación, un impacto, un responsable y una fecha.

Ciberseguridad y tecnovigilancia deben conversar

En Colombia, el Programa Nacional de Tecnovigilancia del Invima se orienta a identificar, evaluar, gestionar y divulgar eventos, incidentes y factores de riesgo asociados con dispositivos médicos durante su uso. Esto no convierte automáticamente toda vulnerabilidad informática en un evento reportable ni crea, por sí solo, una obligación específica de adoptar un marco extranjero.

Sí deja una conclusión de gestión: si una vulnerabilidad, pérdida de disponibilidad, alteración o acceso no autorizado afecta o puede afectar la seguridad o el desempeño de un dispositivo, ingeniería biomédica, seguridad de la información, calidad y tecnovigilancia deben evaluar el caso de manera coordinada y aplicar los criterios institucionales y regulatorios correspondientes.

Una alerta del fabricante no debería quedarse en el correo de TI. Un comportamiento anómalo observado por enfermería no debería cerrarse como “falla de usuario” sin revisar registros, versiones y conectividad. Un cambio de firmware no debería quedar separado de la hoja de vida. Son señales distintas de un mismo sistema de riesgo.

Cómo lo resuelve el nuevo módulo de ciberseguridad de BiomedOS

BiomedOS incorpora la ciberseguridad dentro de la gestión del equipo biomédico para que la IPS pueda identificar y controlar los activos que presentan exposición digital.

Desde el módulo es posible llevar el registro de equipos que cuentan con conectividad por Bluetooth, Ethernet o Wi‑Fi, así como aquellos con puertos USB, software o firmware actualizable y los que almacenan o gestionan información clínica. Esto permite que la evaluación no quede separada del inventario y de la hoja de vida del activo.

La IPS puede documentar la superficie de exposición, mantener control sobre versiones y capacidad de actualización, identificar equipos que manejan datos clínicos y realizar seguimiento a los riesgos y medidas de mitigación definidos por la organización. La información queda asociada al activo real, a su ubicación y a su historial, de modo que una alerta o decisión pueda convertirse en un universo de equipos identificados y no en una búsqueda manual de última hora.

BiomedOS no reemplaza el firewall, el monitoreo de red, la gestión de identidades ni el criterio del fabricante. Su función es cubrir una brecha que suele quedar entre ingeniería biomédica y seguridad de la información: convertir el inventario técnico en una base de gobierno del riesgo cibernético de la tecnología médica.

El resultado es una conversación más útil para todos:

• Ingeniería biomédica sabe qué equipos revisar y qué condiciones técnicas validar.
• TI y seguridad reciben un inventario contextualizado por criticidad y uso clínico.
• Calidad puede seguir acciones, responsables y evidencias.
• La gerencia puede priorizar recursos con información consolidada.
• Los servicios asistenciales conocen las alternativas de continuidad cuando existe un riesgo.

Porque el riesgo más difícil de mitigar no siempre es el más avanzado. Muchas veces es el equipo conectado que la institución todavía no ha reconocido como tal.

¿Su IPS puede identificar hoy, en minutos, todos los equipos con Wi‑Fi, Ethernet, Bluetooth, USB, software, firmware o datos clínicos? Si la respuesta requiere correos, llamadas y varias hojas de cálculo, el nuevo módulo de ciberseguridad de BiomedOS puede ayudarle a construir ese control.

Conozca BiomedOS en app.biomedos.co.

Fuentes y referencias

• IMDRF — Principles and Practices for Medical Device Cybersecurity (N60, 2020).
• IMDRF — Medical Devices Cybersecurity Working Group.
• FDA — Cybersecurity in Medical Devices.
• FDA — Postmarket Management of Cybersecurity in Medical Devices.
• FDA — Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions (febrero de 2026).
• NIST — Cybersecurity Framework 2.0.
• Invima — Programa Nacional de Tecnovigilancia.

Nota editorial: las guías de FDA, IMDRF y NIST se presentan como referencias técnicas internacionales; no sustituyen la normativa colombiana, la evaluación del fabricante ni el análisis de riesgo particular de cada IPS.