SOC gestionado 24/7 en un grupo sanitario privado

El equipo de TI eran seis personas para siete clínicas: sistemas, redes, soporte al HIS — el sistema de información hospitalaria del que depende toda la actividad asistencial — y ni una sola dedicada a seguridad. La protección era un antivirus tradicional, y la visibilidad terminaba donde terminaba la jornada: a partir de las ocho de la tarde y durante todo el fin de semana, nadie miraba nada. El susto llegó un lunes: un técnico encontró rastros de un intento de intrusión que llevaba activo desde el viernes por la noche. Esa vez no pasó nada. Fue suerte, y lo sabían.

A eso se sumaban dos particularidades del sector. Una: buena parte del parque era equipamiento de diagnóstico con Windows antiguos que el fabricante no permite parchear ni tocar. Otra: los datos tratados son historias clínicas — categoría especial del RGPD — y NIS2 clasificaba al grupo como entidad esencial del sector salud, con la obligación de demostrar capacidad de detección y respuesta, no solo de contarla.

1. Despliegue de EDR e inventario real — agentes en ~1.100 endpoints y servidores de las siete clínicas, desplegados por oleadas para no interferir con la actividad asistencial. El inventario destapó la primera sorpresa: un 14% de activos conectados que TI no tenía censados, desde equipos de consulta hasta un servidor de pruebas olvidado con acceso al HIS.
2. El legacy médico no se toca: se aísla y se vigila — en los equipos de diagnóstico con Windows no parcheables no se instaló ningún agente. En su lugar, microsegmentación de red para que solo hablen con lo estrictamente necesario y monitorización reforzada de su tráfico desde fuera. Cualquier conexión anómala desde un TAC o un ecógrafo salta como alerta prioritaria.
3. Casos de uso priorizados con el negocio, no con un catálogo — playbooks construidos sobre los tres escenarios que más daño harían: ransomware, acceso anómalo a historia clínica y exfiltración de datos. Cada uno con acciones de contención predefinidas y umbrales acordados con dirección.
4. Escalado definido con TI y dirección médica — quién decide aislar un servidor del HIS a las tres de la mañana no puede improvisarse. Se definió una cadena de escalado con guardias de TI y un interlocutor de dirección médica localizable, con criterios claros de cuándo el SOC actúa solo y cuándo despierta a alguien.
5. Operación 24/7 y mejora continua — vigilancia permanente desde nuestro SOC, con revisión mensual de métricas (detecciones, falsos positivos, tiempos de respuesta) y ajuste de reglas y playbooks. El servicio del mes doce no se parece al del mes uno: detecta más y molesta menos.
6. Vigilancia mensual de credenciales expuestas e inteligencia de amenazas — cada mes se rastrean fuentes abiertas, foros de compraventa, canales de filtraciones y volcados de brechas de terceros en busca de credenciales corporativas del grupo. Solo en el primer año aparecieron 47 credenciales expuestas en filtraciones de servicios externos — todas se rotaron antes de que nadie pudiera usarlas, y tres pertenecían a cuentas con acceso al HIS. Cada hallazgo alimenta un informe mensual de inteligencia para dirección: exposiciones nuevas, campañas activas contra el sector salud, técnicas observadas en los incidentes propios y recomendaciones priorizadas. Dirección dejó de enterarse de las amenazas por la prensa: las ve venir en su informe.

Los tres incidentes del primer año — dos intentos de ransomware detectados en fase inicial y una cuenta comprometida usada de madrugada — se contuvieron sin que la actividad asistencial se viera afectada: ninguna clínica dejó de operar ni una hora. Y cuando llegó la fecha de aplicabilidad de NIS2, el grupo no tuvo que improvisar un relato: tenía métricas, playbooks e incidentes gestionados con los que demostrar capacidad real de detección y respuesta.

La vigilancia mensual de credenciales expuestas añadió una capa que el EDR no ve: las 47 credenciales rotadas a tiempo eran puertas de entrada compradas y pagadas que nunca llegaron a abrirse. Y el informe mensual de inteligencia convirtió la seguridad en un asunto de comité de dirección, con datos del propio grupo y de su sector — no en un anexo técnico que nadie leía.