Un ciberincidente se convierte en un problema de operaciones de atención médica 

El lunes 26 de octubre de 2026, aproximadamente a las 11:30 a. m., hora de la montaña, las computadoras de todo el Centro de Ciencias de la Salud de la Universidad de Nuevo México comenzaron a mostrar un mensaje contundente: "Ha sido comprometido". Una voz sintética transmitida a través de las máquinas afirmó que los atacantes tenían en su poder información personal, números de Seguro Social, documentos privados y correos electrónicos de estudiantes y empleados, y exigió contacto a través de la aplicación de mensajería cifrada Session. En cuestión de una hora, UNM Health hizo algo que ningún hospital toma a la ligera: indicó a todas las ambulancias de la región que se desviaran a otros centros médicos. 

Durante aproximadamente dos horas, Nuevo México —un estado con más de dos millones de habitantes— se quedó sin ningún centro de traumatología de Nivel I disponible para recibir pacientes. Se cancelaron todas las citas en más de 30 clínicas. Se suspendieron las cirugías ambulatorias. El sistema de salud que gestiona alrededor de 900,000 consultas ambulatorias y 100,000 visitas de urgencia al año pasó a operar en modo degradado mientras su personal trabajaba con formularios en papel.  

Hacia las 2:30 p. m., UNM Health comenzó a restablecer los sistemas por fases "a medida que era seguro hacerlo". Para el martes por la mañana, los hospitales estaban abiertos, las clínicas operaban y el centro de traumatología volvía a estar en línea. Sin embargo, el grupo de extorsión que se atribuye la responsabilidad —una organización poco conocida llamada BYOD— afirma haber comprometido 36,000 máquinas y poseer desde bases de datos de nómina de Oracle hasta registros de EHR de Cerner. UNM no ha confirmado nada de esto. 

Para los CISO de hospitales, líderes de seguridad de OT y equipos de ingeniería biomédica, el incidente de UNM Health constituye un caso de estudio conciso de por qué la disponibilidad —y no la confidencialidad— es la propiedad de ciberseguridad crítica para la seguridad física del paciente en el sector de la salud, y por qué la identidad, la segmentación de red y la preparación ante periodos de inactividad clínica merecen el mismo rigor que cualquier entorno de control industrial. 

¿Qué ocurrió en UNM Health? Resumen verificado del incidente 

De acuerdo con las actualizaciones oficiales del incidente emitidas por el Centro de Ciencias de la Salud de UNM, el evento de ciberseguridad afectó a todo el Centro de Ciencias de la Salud —lo que incluye el sistema de atención clínica de UNM Health—, pero no a los campus central y sucursales de UNM.  

Las consecuencias operativas el 26 de octubre fueron severas e inmediatas: 

• Desvío de todo el tráfico de ambulancias hacia otros hospitales del área de Albuquerque. 

• Cancelación de todas las citas en todas las clínicas; se indicó a los pacientes que no acudieran a las instalaciones de UNM. 

• Suspensión de cirugías y procedimientos ambulatorios durante el resto del día. 

• Restricción en la admisión de nuevos pacientes de 12:30 a 2:30 p. m. 

• Cancelación de clases de Ciencias de la Salud (Facultad de Medicina, Facultad de Farmacia, Facultad de Enfermería, Facultad de Salud Poblacional); los estudiantes y el personal no esencial fueron enviados a casa. 

• Alrededor de las 12:07 p. m., se instruyó al personal a apagar y desconectar computadoras, deshabilitar el Wi-Fi en dispositivos móviles y pasar a flujos de trabajo en papel.  

La respuesta se coordinó mediante la activación de un Centro de Operaciones de Emergencia (EOC). UNM notificó a las autoridades estatales y federales y contrató a socios externos de respuesta a incidentes; la oficina del FBI en Albuquerque confirmó que está "asistiendo a nuestro socio" en lo que sigue siendo una investigación activa. UNM agradeció públicamente a los sistemas de salud de Albuquerque y Santa Fe —incluidos Presbyterian Healthcare Services y Lovelace Health System, que absorbieron pacientes adicionales— por colaborar para garantizar la continuidad de la atención médica.  

A partir de la última actualización verificada (5:52 a. m. MDT, 27 de octubre), el Hospital UNM y el Centro Médico Regional Sandoval se encuentran abiertos, las clínicas reanudaron sus horarios habituales, el centro de traumatología está "de nuevo en línea para recibir todos los niveles de traumatismos" y las unidades académicas y de investigación del HSC permanecen cerradas con el personal no esencial trabajando de forma remota. Es posible que algunos servicios prestados a través del HSC continúen interrumpidos. 

Cronología del ciberataque a UNM Health: de la interrupción inicial a la recuperación 

Todos los horarios en MDT, 26 de octubre de 2026, salvo que se indique lo contrario. 

Un detalle merece especial atención: el lapso transcurrido desde la detección confirmada hasta la reanudación de la admisión clínica fue de aproximadamente tres horas. Se trata de una recuperación operativa considerablemente más rápida que la media del sector de la salud. A modo de comparación, el Centro Médico de la Universidad de Misisipi, que también es el único centro de traumatología de Nivel I de su estado, necesitó nueve días para reanudar sus operaciones normales tras el ataque de ransomware que sufrió en febrero de 2026, y los análisis del sector sitúan el promedio de inactividad en la atención médica en 17 días.  

¿Quién está detrás del ciberataque a UNM Health? 

Un grupo de extorsión que se hace llamar BYOD se ha atribuido el ataque. En su sitio de filtraciones alojado en Tor, el grupo afirma haber comprometido 36,000 máquinas en el campus principal de UNM y en los entornos hospitalarios, incluidas "dos bases de datos de Oracle, la PII de todos los estudiantes y empleados (incluidos SSN), información de investigación, el tenant completo de Entra, registros de estudiantes de Banner + RR. HH. y nómina de Oracle, correos internos y plantillas de EHR de Cerner".  

Cada elemento de esa afirmación requiere ciertas reservas: 

• La atribución es una afirmación, no una conclusión comprobada. La publicación de BYOD está indexada por ransomware.live y ha sido reportada por la prensa especializada en seguridad, pero UNM no ha confirmado la participación del grupo y no se dispone de corroboración forense independiente de carácter público.  

• La afirmación contiene inconsistencias internas. BYOD asegura haber comprometido el "campus principal de UNM"; sin embargo, las declaraciones verificadas de la universidad sostienen que el campus Central y las sucursales no resultaron afectados. Esto sugiere que la afirmación está inflada o que la definición de "compromiso" del grupo es muy laxa. 

• La cifra de 36,000 máquinas no está verificada, al igual que cada una de las categorías de datos enumeradas. Cabe destacar que el mensaje de audio transmitido en las máquinas durante el ataque alegaba el robo de datos de estudiantes y empleados, pero en el fragmento grabado por KRQE no se mencionaban datos de pacientes. 

• El grupo se describe mejor como una organización de extorsión que como un operador consolidado de ransomware. Los informes señalan que no está claro si BYOD llega a cifrar los sistemas de las víctimas; su modelo parece basarse en publicitar la brecha, amenazar con la divulgación y negociar.  

Ninguna fuente confiable ha documentado un monto de rescate, fecha límite o demanda de pago. Al momento de redactar este texto, no se han autenticado públicamente datos de muestra, capturas de pantalla o listados de archivos de la supuesta filtración. Si BYOD llega a publicar presuntas pruebas, el criterio determinante será la verificación independiente frente a las estructuras de datos conocidas de UNM, y no la afirmación en sí misma. 

¿Fue esto un ataque de ransomware? Lo que realmente muestran las pruebas públicas 

Respuesta sincera: aún no lo sabemos, y la distinción es relevante tanto a nivel operativo como legal. 

En la cobertura inicial de este tipo de incidentes, con frecuencia se confunden cuatro eventos distintos: 

1. Interrupción del sistema: confirmada en UNM HSC. Las computadoras fueron intervenidas, los servicios se interrumpieron y las operaciones se suspendieron. 

2. Extorsión: un mensaje que exige contacto y amenaza con la destrucción es compatible con un intento de extorsión; la existencia de una exigencia monetaria no ha sido verificada. 

3. Robo de datos: afirmado por los atacantes; no confirmado por UNM ni por los investigadores. 

4. Cifrado por ransomware: no existen pruebas públicas de un cifrado masivo. El rápido restablecimiento (en cuestión de horas) de la admisión clínica es compatible con —aunque no demuestra— un escenario en el que los sistemas clínicos principales no fueron cifrados, o donde la recuperación fue ágil porque los endpoints afectados se reinstalaron en lugar de descifrarse. 

La táctica del audio transmitido es sumamente inusual. Josephine Wolff, profesora de políticas de ciberseguridad en Tufts, citada por Associated Press, señaló que "vulnerar un sistema para reproducir un mensaje en las computadoras es bastante fuera de lo común", una señal, afirmó, de "cuánto trabajo nos queda por hacer para defendernos mejor". Desde el punto de vista del comportamiento, el incidente se asemeja más a una intrusión de extorsión e intimidación con impacto disruptivo —que posiblemente utilizó herramientas tipo wiper o de mensajería masiva— que a un despliegue clásico de ransomware de doble extorsión. Los investigadores trabajarán para determinar si se produjo algún cifrado, cómo obtuvo el actor de amenazas el acceso inicial (phishing, explotación de accesos remotos, credenciales robadas o una vía a través de terceros suelen ser los vectores habituales) y cuánto tiempo permaneció dentro de la red antes del 26 de octubre. 

Hasta que UNM, el FBI o las firmas de análisis forense publiquen sus conclusiones, la descripción más prudente de este incidente es "ciberataque con reclamaciones de extorsión". 

Qué sistemas resultaron afectados y qué continúa sin conocerse 

Verificado como interrumpido: la infraestructura informática de UNM HSC en términos generales (se ordenó al personal desconectar los equipos), los flujos de trabajo de registro y programación clínica (todas las citas fueron canceladas), la recepción de urgencias y ambulancias, las operaciones de cirugía ambulatoria, las TI académicas y de investigación, y diversas secciones de los servicios de todo el campus accesibles mediante HSC. 

Reportado pero no confirmado: bases de datos empresariales (RR. HH./nómina de Oracle, registros estudiantiles de Banner), el tenant de Entra ID, almacenes de correo electrónico y plantillas de EHR de Cerner; todo ello proveniente de la afirmación no verificada de BYOD. 

Desconocido: el vector de acceso inicial; si se produjo cifrado en algún endpoint; si se tuvo acceso a información médica protegida (PHI); si se vieron afectados dispositivos biomédicos, sistemas de imágenes médicas, de laboratorio o de gestión de edificios/instalaciones; daños a pacientes; e impacto financiero. 

Un detalle verificado tiene gran peso analítico: la directiva de desconectar las computadoras es una decisión de contención, no una conclusión técnica. Indica que el equipo de respuesta de UNM no pudo distinguir de inmediato entre equipos limpios y comprometidos; una postura prudente y lógica cuando la confianza en la red y la identidad está en duda. Esto no constituye evidencia de que los dispositivos médicos o sistemas de OT hayan sido comprometidos, ni tampoco demuestra que hayan salido indemnes. 

Cómo un incidente de ciberseguridad puede interrumpir las operaciones hospitalarias 

El Hospital UNM es el único centro de traumatología de Nivel I de Nuevo México: la instalación de referencia para las lesiones más críticas, incluidas heridas de bala, apuñalamientos y casos neuroquirúrgicos complejos.  

Cuando desvió ambulancias, incluso por unas pocas horas, la carga se trasladó a los sistemas de Presbyterian, Lovelace y Santa Fe; un testigo en otra sala de urgencias local describió la situación como "un caos generalizado y tiempos de espera significativamente mayores".  

Esta es la lección central del incidente: la dependencia digital de un hospital transforma los fallos de TI en interrupciones de servicios físicos. Considere lo que implican las alteraciones verificadas: 

• El desvío de ambulancias y la respuesta a traumatismos dependen de una admisión en urgencias, gestión de camas y comunicaciones confiables. Cuando estos elementos pierden confiabilidad, la decisión clínicamente correcta es el desvío, incluso para un centro de traumatología. 

• La programación y el registro son el sistema nervioso de la atención ambulatoria. Perderlos cancela de inmediato un día completo de citas en más de 30 clínicas. 

• Los flujos de trabajo en papel para periodos de inactividad mantuvieron la atención en marcha; la transición se completó en aproximadamente 40 minutos tras la detección. Esta rapidez no es fortuita; responde a protocolos entrenados previamente. 

• La coordinación regional funcionó: los sistemas de salud competidores absorbieron a los pacientes desviados y UNM les agradeció públicamente. Los planes de crisis que asumen que las instituciones vecinas absorberán la demanda solo funcionan si las relaciones y los protocolos de ayuda mutua existen antes de que ocurra el incidente. 

De manera fundamental, nada de esto requirió que un dispositivo médico fuera vulnerado. La interrupción se originó en las TI corporativas y los servicios compartidos que, en un hospital moderno, son la infraestructura misma de prestación de servicios clínicos. 

La conexión con la seguridad de OT en el sector salud 

Los hospitales son instalaciones industriales que, además, brindan atención médica. Más allá del EHR, operan una capa invisible de tecnología operativa (OT): bombas de infusión en red, monitores de signos vitales, analizadores de laboratorio, modalidades de imagenología y PACS, automatización de farmacia, controles ambientales, sistemas de llamada de enfermería, redes de tubos neumáticos y sistemas de gestión de edificios (BMS) que controlan HVAC, gases medicinales y energía eléctrica. Estos sistemas comparten cada vez más los mismos almacenes de identidades, infraestructura de red y planos de gestión que las TI corporativas. 

Esa convergencia es el punto exacto donde el incidente de UNM —incluso sin haberse confirmado un compromiso de OT— se convierte en un caso de estudio de seguridad de OT: 

La identidad es la dependencia compartida. El presunto compromiso de un "tenant completo de Entra", de confirmarse, representaría el vector de fallo más crítico en un hospital convergente. La gestión de identidades y accesos (IAM) sustenta los inicios de sesión en el EHR, el acceso a aplicaciones clínicas, conexiones VPN y de proveedores remotos, el correo electrónico y las interfaces de administración de dispositivos biomédicos conectados. Un directorio comprometido significa que ya no se puede confiar en ninguna decisión de autenticación, que es precisamente la condición bajo la cual el comandante del incidente ordena desconectar los equipos. Tanto la guía NIST SP 800-82 como el modelo de zonas y conductos de IEC 62443 asumen que las zonas de control son tan sólidas como las vías de identidad y acceso remoto que conducen a ellas. 

La segmentación de red determina el radio de impacto. Una arquitectura que aísla las redes de dispositivos biomédicos y la OT de las instalaciones detrás de conductos —sin rutas directas desde estaciones de trabajo de usuarios o internet— restringe el alcance de una cuenta corporativa comprometida. La velocidad con la que UNM logró su restauración por fases sugiere que existía segmentación entre los sistemas corporativos y las plataformas clínicas críticas; no obstante, la magnitud de la desconexión indica que la segmentación entre los equipos de usuario y los servicios corporativos no existía o no resultaba confiable. 

La visibilidad pasiva es un requisito de seguridad clínica. El escaneo activo puede desestabilizar dispositivos médicos heredados; la detección pasiva en red es la única vía segura para elaborar un inventario de activos e identificar comunicaciones anómalas en entornos clínicos. Las organizaciones que no pueden monitorear con qué interactúan sus bombas de infusión y sistemas de diagnóstico por imagen no pueden verificar si esas vías se mantuvieron seguras durante un incidente. 

La detección debe integrar telemetría de TI y OT. Autenticaciones inusuales, desplazamientos imposibles en cuentas administrativas, nuevas sesiones de acceso remoto, tráfico este-oeste inesperado hacia VLAN clínicas y patrones masivos de acceso a archivos son los indicadores tempranos característicos de este tipo de incidentes. Correlacionar registros de identidad, alertas de EDR y monitoreo pasivo de redes de OT en un plano único de detección es lo que permite reducir los 40 minutos entre la detección y la desconexión física, o evitar la necesidad de tomar una medida tan drástica. 

Nada de esto pretende asegurar que la OT o los dispositivos médicos de UNM hayan sido vulnerados. Plantea algo mucho más útil: las consecuencias operativas fueron exactamente las mismas. Cuando la infraestructura digital falla, la continuidad clínica se degrada; por ello, la planificación de la resiliencia hospitalaria debe incluir a la OT biomédica y de instalaciones dentro del alcance de la evaluación de riesgos cibernéticos, aun cuando el incidente se limite por completo al ámbito de TI. 

Evaluación de las implicaciones operativas, de datos, financieras y de seguridad del ciberataque  

Contexto a tener presente: esta no es la primera experiencia de UNM con este tipo de eventos. En 2021, el grupo de ransomware Hive vulneró la red de UNM Health (acceso desde principios de mayo; detectado el 4 de junio), exponiendo los datos de 637,252 pacientes, aunque en dicho incidente no se accedió directamente al EHR.  

Un segundo incidente de gran escala cinco años después intensificará el escrutinio regulatorio, legal y social. 

Qué deben aprender los CISO de hospitales y los líderes de seguridad de OT 

1. La disponibilidad es la propiedad crítica para la seguridad física. El ransomware suele encabezar los titulares por la filtración de datos, pero el momento más crítico del incidente de UNM fue el desvío de ambulancias, no una fuga de información. En la atención médica, los fallos de integridad y disponibilidad se traducen en incidentes de seguridad para el paciente en cuestión de minutos. Los registros de riesgos y los informes de la junta directiva deben considerar la disponibilidad clínica como un objetivo de primer orden. 

2. La velocidad de recuperación es el resultado directo de la segmentación. Tres horas desde la detección hasta la reanudación del ingreso de pacientes es un tiempo excepcional en este sector. La explicación técnica más razonable es que las plataformas clínicas críticas estaban aisladas de los activos comprometidos, ya fuera por diseño intencional o por circunstancias fortuitas. Desarrolle la segmentación para que la explicación sea siempre fruto de una arquitectura intencional. 

3. Las decisiones de contención son decisiones clínicas. Indicar al personal que desconecte las computadoras afecta la labor de enfermería, el escaneo de medicamentos y el registro de información clínica. La rápida transición de UNM al uso de papel —en cerca de 40 minutos— demuestra que los protocolos de contingencia se habían ejercitado de forma práctica y no se quedaron en manuales olvidados. La métrica de preparación fundamental es: ¿cuánto tiempo puede operar cada unidad crítica en modo degradado y el personal sabe realmente cómo llevarlo a cabo? 

4. El compromiso de la identidad es el escenario que anula la lógica de contención. Cuando la autenticación deja de ser confiable, cada equipo se vuelve sospechoso. La implementación de MFA resistente al phishing, la gestión de accesos privilegiados (PAM), la administración escalonada y los planes de restablecimiento acelerado de credenciales marcan la diferencia entre un incidente contenido y una directiva de desconexión masiva en todo el hospital. Si la afirmación de BYOD respecto al tenant de Entra tiene algún grado de veracidad, el robustecimiento de la identidad será el punto principal de remediación en el que UNM pondrá el foco. 

5. La incertidumbre debe integrarse explícitamente en las decisiones directivas. Durante las primeras 24 horas, el liderazgo de UNM operó desconociendo el alcance real, el actor involucrado y el impacto en los datos; aun así, tomó determinaciones operativas prudentes (desviar, cancelar, desconectar y restaurar por etapas). Contar con protocolos previamente aprobados para desvíos, cancelaciones y operación en modo degradado permite tomar decisiones que sean a la vez rápidas y seguras bajo condiciones de incertidumbre. 

6. La interdependencia regional es una dependencia de seguridad. El plan de resiliencia cibernética de un hospital incluye forzosamente a sus competidores. Los acuerdos de ayuda mutua, los protocolos coordinados con los servicios de emergencias (EMS) y la previsión de capacidad de desvío son controles de resiliencia cibernética indispensables, no meros trámites de gestión de emergencias. 

Plan práctico de remediación y resiliencia cibernética hospitalaria 

Fase 1: Respuesta inmediata (0 a 24 horas) 

• Activar el comando de incidentes con la participación directa del liderazgo clínico, no mediante consultas posteriores. 

• Establecer un canal de comunicación fuera de banda seguro y validado (la exigencia de contacto vía Session demuestra que los atacantes interfieren los canales habituales). 

• Definir los criterios para desvíos y cancelaciones antes de dimensionar el alcance total; formalizar quién tiene la facultad de declararlos. 

• Preservar evidencia volátil antes de realizar apagados masivos siempre que sea factible; luego asumir que la seguridad del paciente prevalece sobre el análisis forense. 

• Aislar por zona de red y evitar desconexiones eléctricas indiscriminadas, siempre que la telemetría de conmutación o radar confirme el alcance. 

• Poner en marcha los procedimientos de contingencia validados por unidad y designar responsables de la documentación manual. 

Fase 2: Estabilización y recuperación (24 a 72 horas) 

• Restablecer sistemas según su prioridad clínica: primero los vinculados a soporte vital y dependencias asistenciales; al final, los administrativos. 

• Validar la integridad de la infraestructura de identidad antes de conceder acceso a los usuarios: restablecer credenciales privilegiadas, auditar políticas de acceso condicional y buscar mecanismos de persistencia. 

• Verificar minuciosamente la operatividad de dispositivos médicos e instalaciones: bibliotecas de fármacos en bombas de infusión, conectividad de imagenología, interfaces de middleware de laboratorio y alarmas de HVAC/BMS. 

• Conciliar los registros en papel con los sistemas oficiales mediante un proceso de doble verificación. 

• Reforzar el monitoreo ante reinfecciones: la etapa de restauración suele ser el momento en que los atacantes con persistencia intentan recuperar el control. 

• Evaluar la exposición de la información con rigor pericial antes de emitir cualquier declaración pública sobre robo de datos. 

Restablecer la conectividad no equivale a la recuperación. La recuperación finaliza cuando el liderazgo clínico valida que los procesos asistenciales son seguros a plena capacidad operativa: un estándar mucho más exigente que lograr que los sistemas respondan a un ping. 

Fase 3: Fortalecimiento de la resiliencia (7 a 30 días) 

• Encargar un análisis de causa raíz y trazar detalladamente la ruta completa de intrusión. 

• Remediar los vectores confirmados e inspeccionar sistemas homólogos en busca de esas mismas vulnerabilidades. 

• Volver a segmentar donde el incidente haya evidenciado niveles de confianza injustificados; blindar el acceso remoto de proveedores con sesiones limitadas en el tiempo y grabadas mediante jump hosts. 

• Auditar los respaldos para confirmar su integridad, inmutabilidad y aislamiento frente al plano de identidad comprometido. 

• Ejercitar el plan de respuesta actualizado a través de simulacros de mesa (tabletop) que involucren a los servicios de emergencias y a las redes de salud vecinas. 

Fase 4: Madurez del programa a largo plazo (30 a 90 días en adelante) 

• Alcanzar una visibilidad continua de activos en TI, tecnología biomédica y OT de instalaciones, priorizando el descubrimiento pasivo en equipos que no toleren escaneos. 

• Alinear la arquitectura de segmentación con las zonas y conductos de IEC 62443 y las directrices de NIST SP 800-82; evaluar la madurez frente a NIST CSF 2.0. 

• Vincular los indicadores de seguridad con el riesgo operativo: tiempo para pasar a modo degradado seguro, tiempo de recuperación del servicio clínico y porcentaje de VLAN clínicas con cobertura de monitoreo pasivo. 

• Incorporar el riesgo cibernético de OT y dispositivos médicos en la agenda de la junta directiva con la misma relevancia que el riesgo de TI corporativa. 

Lista de verificación para el CISO: ¿Está preparado su hospital ante un incidente similar? 

1. ¿Pueden nuestras áreas de urgencias y cuidados intensivos operar de forma verificable durante una caída total de TI? (Exija la evidencia de los simulacros, no solo el documento de la política). 

2. ¿Cuánto tiempo toma pasar de la detección a la operación degradada basada en papel en cada unidad crítica? 

3. ¿Contamos con un inventario actualizado y validado de dispositivos médicos conectados y OT de instalaciones, que detalle además con qué otros equipos se comunican? 

4. Si nuestro tenant de identidad fuera vulnerado mañana, ¿podríamos aislar los sistemas clínicos mediante controles de red en lugar de tener que desconectar todo físicamente? 

5. ¿Están las redes corporativas, clínicas, biomédicas y de gestión de edificios segmentadas mediante conductos monitoreados, y cuándo fue la última vez que validamos esto en la práctica? 

6. ¿Tenemos la capacidad actual de detectar accesos remotos no autorizados y desplazamientos laterales anómalos (este-oeste) hacia VLAN clínicas? 

7. ¿Están las cuentas privilegiadas y las conexiones remotas de proveedores protegidas con MFA, ventanas de tiempo restringidas y registro de sesiones? 

8. ¿Reflejan nuestros objetivos de tiempo de recuperación (RTO) las prioridades asistenciales, y la aprobación de la restauración está bajo la responsabilidad del liderazgo clínico? 

9. ¿Se encuentran los respaldos aislados de nuestro plano de identidad y se han realizado pruebas recientes de restauración de sistemas clínicos críticos a partir de ellos? 

10. ¿Existen protocolos previamente autorizados para el desvío de ambulancias, cancelaciones masivas de consultas y esquemas de ayuda mutua regional? 

11. ¿Se encuentran formalizados y respaldados legalmente los procedimientos de notificación de brechas de seguridad (plazo de 60 días de HIPAA, fiscalías estatales)? 

12. ¿Puede la junta directiva observar una tendencia cuantificable en el riesgo cibernético operativo, y no únicamente observaciones de auditoría? 

Si alguna respuesta es "no" o "no estamos seguros", el incidente de UNM ha ilustrado con total claridad el costo de esa incertidumbre un lunes por la mañana. 

Conclusión: la resiliencia cibernética debe proteger la continuidad de la atención médica 

El ciberataque a UNM Health será recordado —con o sin justicia— por una imagen: el día en que el único centro de traumatología de Nivel I de Nuevo México tuvo que desviar ambulancias debido a un problema informático. Ya sea que el evento subyacente resulte ser ransomware, una extorsión por robo de datos o un vector distinto, los hechos verificados aportan lecciones claras: la disponibilidad clínica es un resultado directo de la ciberseguridad; la infraestructura de identidad es la piedra angular de todo el hospital; la segmentación y los procedimientos de contingencia entrenados son lo que separa una catástrofe potencial de un día sumamente difícil; y ningún hospital logra recuperarse de forma aislada. 

Las organizaciones que aprendan de UNM no serán aquellas que se pregunten "¿fuimos el objetivo?", sino las que se planteen "¿con qué rapidez podemos mantener seguros a los pacientes cuando nos ocurra a nosotros?", y cuenten con una respuesta sustentada en métricas reales.