Ciberseguridad en laboratorios: qué enseña el caso Synnovis y diez controles

La ciberseguridad en laboratorios suele verse como un asunto del área de sistemas. El caso Synnovis muestra lo contrario: cuando un laboratorio se detiene, se detiene todo lo que depende de sus resultados. Este artículo resume qué pasó, qué enseña y qué controles concretos puede aplicar un laboratorio de calibración o ensayo, sea cual sea su tamaño.

¿Qué pasó en Synnovis?

• 3 de junio de 2024: un ataque de ransomware cifra sistemas de Synnovis, proveedor de análisis de patología para hospitales del sur de Londres.
• Impacto: según NHS England, se aplazaron más de 11.000 citas ambulatorias y procedimientos programados, y la capacidad de procesar análisis cayó de forma drástica.
• Datos: el grupo Qilin se atribuyó el ataque y publicó cerca de 400 GB de información robada.
• Recuperación: Synnovis no pagó el rescate, reconstruyó su infraestructura y restableció los servicios a finales de 2024.

La lección para cualquier laboratorio: el daño no fue solo perder datos, sino no poder trabajar durante meses.

¿Qué tiene que ver con ISO/IEC 17025?

En la práctica, el numeral 7.11.3 cubre tres cosas distintas: quién puede entrar al sistema (acceso), que nadie altere un dato sin rastro (manipulación) y que un fallo no borre los registros (pérdida). El numeral 8.4 agrega que los respaldos se puedan recuperar durante todo el tiempo de conservación, y el 8.5 obliga a pensar el ciberataque como un riesgo con probabilidad e impacto, igual que una falla de un patrón.

Diez controles para tener listos

1. Una cuenta por persona. Nada de usuarios compartidos: sin cuenta propia no hay trazabilidad ni control.
2. Doble factor de autenticación en el correo, el software del laboratorio y el acceso remoto.
3. Mínimo privilegio. Cada persona accede solo a lo que su trabajo requiere; las cuentas de administrador se usan solo para administrar.
4. Respaldo 3-2-1. Tres copias, en dos tipos de almacenamiento, una fuera del sitio. Mejor aún si una copia está desconectada o no se puede modificar.
5. Restauración probada. Al menos dos veces al año, recupere un trabajo completo desde el respaldo y mida cuánto tarda.
6. Actualizaciones al día en sistemas operativos, navegadores y equipos conectados a la red.
7. Equipos de medición separados de la red general cuando no necesitan internet.
8. Registro de accesos que permita saber quién entró, cuándo y qué hizo.
9. Plan de continuidad escrito: cómo seguir midiendo y registrando si el sistema cae, y a quién avisar.
10. Formación breve y repetida para reconocer correos fraudulentos, la puerta de entrada más común.

Errores frecuentes

• Tener respaldos que nunca se han restaurado.
• Guardar la única copia en un disco conectado al mismo computador.
• Dejar la cuenta de un empleado activa después de su salida.
• No incluir el ciberataque en la matriz de riesgos porque «somos pequeños».

Términos clave

• Ransomware: programa malicioso que cifra o roba los datos y exige un pago. Ejemplo: todos los archivos del servidor aparecen con una extensión extraña y una nota de rescate.
• Doble factor: además de la contraseña, un código que llega a un dispositivo propio. Ejemplo: un código de seis dígitos en el celular al iniciar sesión.
• Mínimo privilegio: cada persona accede solo a lo que necesita. Ejemplo: un técnico captura lecturas, pero no puede aprobar certificados ni borrar registros.
• Respaldo 3-2-1: tres copias, dos tipos de almacenamiento, una fuera del sitio.
• Plan de continuidad: documento que dice cómo mantener el servicio mínimo durante una falla y cómo recuperarse.

Cómo lo resuelve Go-Cal

Go-Cal trabaja con una cuenta por persona, permisos por rol, autenticación de doble factor y bitácora de auditoría de lo que se hace en la plataforma. Los registros técnicos, los cálculos y los certificados viven en un solo sistema en lugar de repartirse entre computadores y carpetas, lo que reduce los puntos débiles. La ciberseguridad del laboratorio incluye además sus equipos, su correo y su red, que siguen siendo responsabilidad del laboratorio.

Go-Cal es una herramienta de gestión: no otorga la acreditación y las decisiones técnicas siguen siendo del personal autorizado del laboratorio. Complemente con la guía de integridad de datos en ISO/IEC 17025.

Probar Go-Cal sin costo · Agendar asesoría