Los sistemas de salud fragmentados crean riesgos cibernéticos invisibles

Por qué las plataformas desconectadas de agendamiento, mensajería y datos amenazan la resiliencia operativa — y qué deben hacer los líderes

Por Mladen Petrovic | 16 de agosto, 2026

Los líderes de salud enfrentan un problema operativo creciente: sus organizaciones dependen de muchos sistemas y proveedores desconectados para gestionar la atención diaria. El agendamiento, la mensajería segura, el correo electrónico, WhatsApp, los call centers y las plataformas de datos del paciente suelen operar en silos. Esta fragmentación oculta riesgos de ciberseguridad, debilita la trazabilidad, complica la gestión de accesos y amenaza la continuidad cuando ocurren incidentes. La ciberseguridad, en este contexto, ya no está separada de las operaciones. Es parte de lo que permite a la organización mantenerse estable, trazable y resiliente cada día.

---

La realidad operativa: muchas herramientas, muchas brechas

La mayoría de los hospitales y clínicas utilizan herramientas separadas para flujos de trabajo distintos. Un proveedor gestiona el agendamiento de citas. Otro administra la mensajería del personal. El correo electrónico corre sobre una tercera plataforma. Los equipos clínicos usan WhatsApp para la coordinación rápida. Los call centers dependen de otro sistema más. Las historias clínicas electrónicas residen en un cuarto entorno.

Este mosaico de herramientas crea puntos ciegos. Los líderes no pueden ver el panorama completo de quién accede a qué datos, hacia dónde fluye la información ni qué proveedores tienen datos sensibles. Cuando los sistemas no se comunican entre sí, la gobernanza se vuelve reactiva en lugar de proactiva.

---

Cómo la fragmentación aumenta el riesgo de seguridad

Los sistemas desconectados amplían la superficie de ataque. Cada plataforma introduce sus propias vulnerabilidades, métodos de autenticación y prácticas de almacenamiento de datos. Los atacantes explotan los eslabones más débiles. Una brecha en una aplicación de mensajería puede exponer datos del paciente. Un sistema de agendamiento comprometido puede filtrar información de citas.

ENISA informa que los prestadores de salud representan el 53% de todos los incidentes de seguridad reportados en el sector sanitario. Las vulnerabilidades de software y hardware impulsan la mayoría de estos incidentes. Los entornos fragmentados dificultan parchear, monitorear y asegurar cada punto de conexión.

El riesgo de terceros también crece. Cada relación con un proveedor añade un punto de entrada potencial. Cuando un proveedor sufre un ataque de ransomware, la interrupción puede propagarse por toda la red de atención. HIMSS y HHS enfatizan que el riesgo sistémico amenaza hoy la prestación a nivel nacional cuando las dependencias permanecen sin gestionar.

---

La trazabilidad se resiente cuando los sistemas no se conectan

Los líderes operativos necesitan registros de auditoría claros. Deben saber quién accedió a los datos del paciente, cuándo y por qué. Las herramientas fragmentadas rompen esta cadena. Los registros residen en lugares distintos. Los formatos difieren. La correlación se vuelve manual y lenta.

Durante un incidente, esta falta de trazabilidad retrasa la respuesta. Los equipos pierden tiempo recopilando registros de múltiples proveedores. No pueden reconstruir la secuencia de eventos con rapidez. Los reguladores esperan reportes oportunos. La fragmentación dificulta el cumplimiento normativo y aumenta la exposición legal.

---

La gestión de accesos se vuelve compleja y propensa a errores

Cada sistema mantiene su propio directorio de usuarios. El personal maneja múltiples credenciales. Algunas plataformas utilizan inicio de sesión único. Otras, no. Los privilegios se acumulan con el tiempo. Los ex empleados pueden conservar acceso en un sistema pero no en otro.

Esta complejidad genera una expansión de privilegios. Los usuarios acumulan accesos que ya no necesitan. La segmentación se debilita. Las sesiones de HIMSS destacan que la confianza mal asignada y la segmentación débil impulsan el riesgo de brecha más que la cantidad de herramientas de seguridad que posee una organización.

Los líderes no pueden aplicar políticas consistentes en entornos fragmentados. Los principios de Confianza Cero exigen una verificación continua. Los sistemas desconectados hacen que esa verificación sea incompleta.

---

La continuidad operativa falla durante los incidentes

Cuando un incidente cibernético golpea, los sistemas fragmentados ralentizan la recuperación. Los equipos deben coordinarse con múltiples proveedores. Cada proveedor sigue su propio cronograma de respuesta a incidentes. Algunos restauran los datos más rápido que otros. Las dependencias permanecen poco claras.

Los flujos de trabajo clínicos se detienen. El personal no puede acceder a agendas, mensajes ni registros de forma unificada. Los call centers pierden contexto. Las operaciones del ciclo de ingresos se pausan. La atención al paciente se ve afectada. Las directrices del HHS subrayan que la planificación ante interrupciones debe proteger los flujos de trabajo clínicos, no solo los servidores.

Las organizaciones con dependencias claramente mapeadas, planes de respuesta a incidentes coordinados y procedimientos de recuperación bien definidos están mejor posicionadas para mantener la continuidad cuando los sistemas fallan. Los entornos fragmentados dificultan esa coordinación porque las dependencias críticas pueden estar repartidas entre múltiples plataformas y proveedores.

---

La gobernanza y la responsabilidad requieren supervisión unificada

Los ejecutivos necesitan visibilidad clara sobre cómo se conectan los sistemas, los proveedores, el acceso a los datos y las dependencias operativas.

La fragmentación oscurece la responsabilidad. ¿Quién asume el riesgo cuando cinco proveedores tocan datos del paciente? ¿Quién aprueba los controles de seguridad? ¿Quién garantiza el cumplimiento del RGPD, HIPAA o los estándares ISO?

Las directrices HHS 405(d) y ENISA sobre adquisición instan a las organizaciones a integrar la ciberseguridad en la selección de proveedores y la gobernanza. Los líderes deben clasificar a los proveedores por nivel de riesgo, auditar los accesos con regularidad y definir una responsabilidad clara para cada sistema.

Sin supervisión unificada, la ciberseguridad sigue siendo un problema de TI en lugar de una prioridad operativa. Esta mentalidad deja a las organizaciones expuestas.

---

El camino a seguir: tratar la ciberseguridad como excelencia operativa

El objetivo no es simplemente reducir el número de sistemas. Las operaciones de salud siempre dependerán de múltiples plataformas, proveedores y canales. El verdadero desafío es asegurarse de que esas dependencias sean visibles, gobernadas, trazables y capaces de trabajar juntas sin comprometer la continuidad operativa.

La ciberseguridad se fortalece cuando se diseña dentro de la operación misma: cuando el acceso puede rastrearse, las responsabilidades son claras, la información fluye a través de procesos controlados y la organización sabe qué debe ocurrir cuando una parte del sistema falla.

Lo más importante es que los líderes deben posicionar la ciberseguridad como parte de la excelencia operativa. Cada decisión sobre agendamiento, mensajería o selección de proveedores tiene implicaciones de seguridad. Los líderes que tratan estas decisiones como riesgos de negocio, no como detalles técnicos, construyen organizaciones más resilientes.

Los sistemas fragmentados siempre existirán en alguna medida. Pero los líderes que mapean dependencias, aplican gobernanza y priorizan la continuidad convierten el riesgo invisible en una realidad operativa visible y gestionable.