Los controles de acceso de los profesionales médicos y el personal hospitalario son una puerta de enlace fundamental para proteger los datos confidenciales de los pacientes. Memorial Hermann Health Systems (MHHS), un sistema de salud comunitario sin fines de lucro con sede en Houston (Texas), entiende que la información de salud protegida (PHI) convierte las historias clínicas en un objetivo primordial para los actores de amenazas. Con más de 63 000 usuarios —entre personal administrativo, profesionales médicos, voluntarios, estudiantes y otros— distribuidos en 11 hospitales, MHHS necesita soluciones de tecnología que ayuden a brindar una eficiente atención al paciente sin poner en riesgo sus datos.
Este enfoque tecnológico llevó a MHHS a considerar la identidad como una parte fundamental de su estrategia de seguridad. “Todos los atributos de la identidad pueden causar daños materiales si no se gestionan adecuadamente”, afirma Zach Phillippe, subdirector de Seguridad de la Información (CISO). “Comprender lo que las personas pueden hacer, lo que pueden ver y cómo interactúan con nuestros sistemas es tan valioso como cualquier otra forma de ciberseguridad”.
Implementar controles de seguridad de nivel empresarial para proteger los datos de los pacientes
A medida que la organización crece, su pila tecnológica también lo hace, y, con más de 200 aplicaciones de software como servicio (SaaS) implementadas en todo el sistema, el equipo necesitaba una forma de poder ver estas aplicaciones basadas en la nube. El proceso actual de MHHS implicaba hojas de cálculo distribuidas y revisiones de acceso manuales, lo que resultaba laborioso y requería mucho tiempo. “Somos responsables de garantizar que los controles de acceso estén actualizados”, añade Padma Sree Ventrapragada, directora de Riesgos Cibernéticos e IAM. “Pero, cuando las revisiones se hacían manualmente, para cuando terminábamos de analizarlo todo, teníamos que empezar de nuevo”.
Mientras tanto, a medida que el conjunto de aplicaciones seguía expandiéndose, las solicitudes para restablecer contraseñas de los usuarios finales se volvían cada vez más frecuentes. Estas solicitudes se convirtieron en la tarea principal del equipo de TI, lo que le impidió centrarse en problemas más complejos. El equipo de MHHS sabía que necesitaba un socio de identidad empresarial compatible con la gestión de identidades local y en la nube para ayudarles a gestionar la complejidad de su organización y proporcionar una autenticación multifactor (MFA) fácil de usar. “La MFA es una de las cinco mejores soluciones de control de seguridad, y sabíamos que Okta nos ayudaría a implementarla y a subsanar esas deficiencias”, afirma Phillippe.
Mejorar la resiliencia y la protección de los usuarios en su día a día
Okta es ahora un pilar fundamental de la estrategia de resiliencia en la nube de Memorial Hermann, lo que garantiza que, si su red local se desconecta (debido a un huracán o un ciberataque), los médicos puedan seguir accediendo a los datos de la historia clínica electrónica y mantener la seguridad de los pacientes. “Gracias a la forma en que Okta se integra con nuestros sistemas, contamos con un nivel constante de identificación y autorización que aumenta nuestra capacidad de respuesta”, afirma Phillippe. “Ese acceso repercute directamente en la atención al paciente. Si un médico tiene que recurrir a formularios en papel, está retrasando la atención, por lo que debemos estar preparados tanto en situaciones de desastres como en nuestro trabajo diario”.
Al combinar controles de identidad fundamentales con supervisión y detección continuas mediante un único socio de identidad, MHHS puede ofrecer una seguridad integral más uniforme antes, durante y después de la autenticación. Para los empleados de MHHS, Single Sign-On, Adaptive MFA y FastPass hacen que el acceso sea sencillo y seguro desde el momento en que ingresan en un dispositivo, incluso para los usuarios de la red extendida del sistema. Con más del 95 % de las cuentas activas de MHHS protegidas con MFA, la organización puede estar tranquila de que sus sistemas más importantes están protegidos contra ataques de phishing.
El equipo también implementó un sistema de restablecimiento de contraseñas totalmente autogestionado, que no depende de la ubicación ni de la afiliación con MHHS. La erradicación de este cuello de botella, junto con otros ajustes realizados a las contraseñas, ayudó a reducir las solicitudes a la mesa de ayuda de TI en más de la mitad, lo cual, en definitiva, permitió a los médicos centrarse en sus pacientes en lugar de enfocarse en el acceso a los sistemas.
Okta protege no solo a los empleados principales, sino también a los médicos y al personal de los pequeños centros de salud rurales, quienes dependen de la solución de historia clínica electrónica de MHHS para gestionar sus consultorios. Con FastPass, estos consultorios, que de otro modo serían independientes, pueden acceder de forma segura y constante a la información del paciente y otros datos valiosos desde diferentes dispositivos en sus oficinas, lo cual garantiza que los pacientes reciban una atención continua.
Una vez protegidos los inicios de sesión, el equipo pudo centrar su atención en desarrollar un método para detectar y mitigar continuamente los riesgos para el usuario. Descubrieron que Identity Threat Protection (ITP) e Identity Security Posture Management (ISPM) ayudarían a pasar de los procesos de revisión manual a una monitorización continua en tiempo real. “Más allá de MFA, la solución que realmente cambió las reglas del juego para nosotros fue Identity Security Posture Management”, dice Phillippe. “Si no lo usa, se está buscando problemas”.
Transición de la supervisión continua a la “sanación continua”
Mientras los profesionales clínicos de MHHS pueden centrarse en sus pacientes, el equipo de seguridad de MHHS también está redirigiendo sus esfuerzos hacia proyectos de mayor impacto. Al sustituir el proceso manual de auditoría con hojas de cálculo por una combinación de ITP e ISPM, el equipo creó un sistema automatizado y continuo de detección y respuesta de identidad. Este nuevo enfoque aprovecha las ventajas de una arquitectura unificada de seguridad de la identidad para brindar al equipo información continua sobre la postura de seguridad de toda la organización.
Mientras ITP ofrece detección de amenazas y respuesta a ellas en tiempo real —lo cual enriquece la telemetría de Okta y corrige las amenazas activas—, ISPM supervisa y ayuda a abordar las principales deficiencias en las prácticas de seguridad de identidad. “Con ITP e ISPM, pasamos de las revisiones puntuales a la detección y la respuesta continuas y en tiempo real en toda nuestra organización”, afirma Ventrapragada. “Tenemos toda la información que necesitamos de antemano, para poder abordar de inmediato los problemas que surgen”.
Esta combinación es clave para evitar cualquier interrupción operativa. “Si tenemos que desviar la atención médica de nuestros centros de traumatología porque nuestra infraestructura fue víctima de un ciberataque, eso tiene un impacto material en la vida humana”, señala Phillippe. “El valor de una herramienta como ITP es incalculable para nosotros, porque nuestros pacientes están seguros cuando nuestros sistemas son seguros”.
Al centrar la atención del equipo en el saneamiento en lugar de en la detección, MHHS puede subsanar cualquier posible fallo de seguridad en el momento en que aparece, en lugar de depender de la siguiente ronda de auditorías. En palabras de Ventrapragada: “El ISPM prioriza de forma automática, lo cual nos permite resolver problemas complejos que, en realidad, incluyen varios problemas de menor prioridad. Sin ISPM, tendríamos que haber resuelto uno por uno”. El cambio en las prioridades está ayudando al equipo a identificar y solucionar problemas más rápido que nunca: los problemas de identidad que antes requerían una semana laboral completa o más para investigarse en múltiples herramientas ahora solo llevan unas pocas horas a la semana.
Más automatización para respaldar a agentes de IA seguros para el sector de la salud
A medida que los distintos sectores avanzan hacia la integración de agentes de IA en sus flujos de trabajo, MHHS ve la oportunidad de evaluar y proteger su infraestructura para incorporar estos agentes a las experiencias de atención médica. “Es importante que tratemos a los agentes de IA como una nueva clase de identidad”, comparte Ventrapragada. “Como socio de identidad, Okta ya nos ayuda a detectar y proteger nuestras identidades humanas y no humanas, y esperamos continuar con esa relación para proteger a la IA”.
Además de supervisar y proteger las cuentas de servicio y a los agentes de IA, el equipo está estudiando nuevas formas de combinar ISPM con Okta Workflows para automatizar sus procesos de gestión del ciclo de vida. “ISPM detecta los problemas de identidad y Workflows puede corregirlos automáticamente. Juntos, nos ayudarán a pasar de la supervisión continua a la sanación continua de la identidad”, afirma Phillippe. “Y el equipo de Okta demuestra constantemente que se preocupa por nosotros como socios. No todo el mundo tiene eso, y estamos ansiosos por descubrir qué más podemos lograr juntos”.
Acerca del cliente
Memorial Hermann Health System (MHHS) es un sistema de salud integrado líder que presta servicios en el sureste de Texas. Gestionar el acceso de más de 63 000 usuarios requiere proteger diversos perfiles clínicos y administrativos, incluidos empleados, personal médico y personas ajenas a la organización (como residentes y voluntarios).
