A principios de 2025, el Instituto Saúde e Cidadania (Isac) – organización social que administra unidades públicas de salud en Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí y Tocantins – sufrió un ataque de ransomware que paralizó sistemas y puso en riesgo aproximadamente 500 mil registros de pacientes. Entre los datos potencialmente expuestos, nombres, fechas de nacimiento, historiales médicos, exámenes y diagnósticos. De este total, 78.772 eran de niños y adolescentes; otros 47.921, de ancianos.

La Agencia Nacional de Protección de Datos (ANPD) instauró un proceso administrativo sancionador contra Isac, señalando fallas graves en la protección de los datos, comunicación inadecuada a las víctimas y ausencia de controles básicos de seguridad. El caso, además de ilustrar los riesgos que rodean el tratamiento de información sensible, sirve como una alerta urgente para cualquier organización que maneja datos personales, especialmente aquellas que operan en sectores críticos como salud, finanzas e infraestructura.

En este artículo, vamos a diseccionar el incidente, conectar los puntos con las exigencias de la LGPD y del GDPR, y proponer una hoja de ruta práctica para que los equipos de operaciones, soporte y SRE eleven la postura de seguridad de la información a un nivel de resiliencia real.

El incidente de Isac: qué salió mal en la práctica

Según el auto de infracción de la ANPD, el ataque fue de tipo ransomware: los delincuentes secuestraron los datos originales y también los backups almacenados en servidores en la nube, dejando los sistemas temporalmente indisponibles. Sin embargo, la entidad no pudo informar con precisión qué datos fueron accedidos o extraídos, porque simplemente no existía un mecanismo de registro robusto, herramienta que registra actividades en los sistemas y permite rastrear accesos y acciones en caso de incidente.

La ANPD enumeró las siguientes debilidades:

• Ausencia de registros y monitoreo: sin registros automáticos, fue imposible determinar la extensión real del compromiso.
• Protección insuficiente de los backups: las copias de seguridad estaban en la misma nube accedida por los atacantes, violando el principio de aislamiento de entornos.
• Comunicación inadecuada a los titulares: en lugar de notificar individualmente a los pacientes afectados, Isac se limitó a un aviso en su sitio web, sin informar fecha, naturaleza de los datos ni medidas adoptadas, elementos obligatorios según la LGPD y la regulación específica de la ANPD sobre Comunicación de Incidentes de Seguridad.
• Minimización del incidente: la organización afirmó que no hubo fuga de datos, pero no presentó evidencias técnicas que respaldaran esa afirmación, incluso después de repetidos pedidos de la autoridad.

El superintendente de Fiscalización de la ANPD, Fabrício Guimarães, fue categórico: “Quien trabaja con datos de salud debe adoptar el modelo más riguroso posible de seguridad de la información. En una escala de riesgo para nosotros, los datos de salud probablemente se encuentran entre los más altos, tal vez en el mismo nivel que imaginamos para el sector financiero.”

El proceso puede resultar en sanciones que van desde advertencias hasta multas de hasta el 2% de la facturación (limitadas a R$ 50 millones), además de la posible prohibición de tratar datos personales. Más allá del riesgo financiero, queda la mancha reputacional y la pérdida de confianza de pacientes y contratantes públicos.

LGPD y GDPR: el paraguas legal que atrapó a Isac

La Ley General de Protección de Datos (Ley nº 13.709/2018) establece que los datos de salud son “datos personales sensibles” y, por lo tanto, exigen protección reforzada. El tratamiento de esta información solo puede realizarse con el consentimiento explícito del titular o por obligación legal, y siempre acompañado de medidas técnicas y administrativas capaces de garantizar un nivel de seguridad compatible con el riesgo.

Entre los principios violados en el caso Isac, la ANPD destacó:

• Prevención (art. 6º, VIII): el controlador debe adoptar medidas para prevenir la ocurrencia de daños. La inexistencia de registros y la fragilidad de los backups indican que Isac no se preparó adecuadamente.
• Responsabilidad y rendición de cuentas (art. 6º, X): el agente de tratamiento debe demostrar, de forma proactiva, que cumple con la normativa. Isac no pudo comprobar la eficacia de las medidas que afirmaba haber adoptado.
• Deber de comunicación (art. 48): en caso de incidente de seguridad que pueda acarrear riesgo o daño relevante, el controlador debe comunicar a la ANPD y a los titulares. La ANPD consideró que la comunicación fue genérica y tardía.

Para organizaciones con operación internacional, el Reglamento General de Protección de Datos (GDPR) europeo impone exigencias similares, y multas aún más severas, que pueden llegar al 4% de la facturación global. El caso sirve de ejemplo: quien procesa datos de ciudadanos europeos, incluso sin sede en la UE, está sujeto a las mismas reglas y a la fiscalización transfronteriza.

Por qué la seguridad de la información no es un costo, sino un seguro de continuidad

El ataque a Isac ilustra una verdad incómoda: backup no es sinónimo de protección. Guardar copias en un mismo entorno de nube, sin aislamiento lógico y físico, anula la estrategia de recuperación. Del mismo modo, prescindir de registros y monitoreo es como operar un centro de datos a oscuras: imposible detectar intrusiones o dimensionar los daños.

Para los equipos de operaciones, soporte y SRE, el incidente revela tres pilares que deben ser revisados:

1. Gobernanza de identidad y acceso

Muchos ataques de ransomware comienzan con credenciales comprometidas. Es esencial adoptar autenticación multifactor (MFA) para todo acceso administrativo, revisar permisos regularmente y aplicar el principio de menor privilegio.

2. Monitoreo y observabilidad

Registros centralizados, métricas de rendimiento y alertas en tiempo real no son un lujo: son la línea de defensa que permite identificar movimientos sospechosos antes de que el secuestro de datos se consolide. Herramientas como Zabbix, Prometheus o soluciones SIEM deben integrarse al día a día de la operación.

3. Resiliencia de backups y plan de disaster recovery

Los backups deben seguir la regla 3-2-1-1-0: tres copias de los datos, en dos tipos de medios diferentes, una copia offsite, una copia inmutable y cero errores después de pruebas de restauración. El almacenamiento en la nube debe estar aislado de la red principal, con credenciales separadas y cifrado fuerte.

Checklist: 10 acciones prácticas para evitar un “caso Isac” en su organización

1. Clasifique los datos: identifique qué es sensible, dónde está almacenado y quién puede acceder a él. Los datos de salud, financieros o de menores exigen controles adicionales.
2. Implemente MFA: exija segundo factor de autenticación para acceder a sistemas críticos, VPN y portales administrativos.
3. Active registros detallados: registre eventos de autenticación, cambios de configuración y accesos a datos sensibles. Almacénelos de forma centralizada y segura.
4. Centralice el monitoreo: use una plataforma de observabilidad (p. ej., Grafana, Elastic Stack, Datadog) con paneles y alertas para anomalías.
5. Aísle los backups: almacene copias en una nube diferente o en medios offline, con retención inmutable durante el período mínimo definido en el RPO/RTO.
6. Pruebe la restauración periódicamente: un backup que no puede restaurarse es solo un gasto. Simule la recuperación de sistemas completos al menos una vez por trimestre.
7. Elabore un plan de respuesta a incidentes: defina roles (quién activa, quién comunica), canales de notificación (internos y externos) y una plantilla de comunicado a los titulares y a la ANPD.
8. Mantenga un programa de actualización de vulnerabilidades: priorice correcciones críticas basadas en CVSS y mantenga un inventario de activos.
9. Capacite a los equipos: promueva simulaciones de phishing y concienciación sobre ingeniería social. El eslabón humano suele ser el más frágil.
10. Documente todo: la ANPD exige evidencias. Informes de pruebas de seguridad, actas de revisión de accesos y registros de incidentes anteriores son la prueba de una postura preventiva.

Conclusión: el precio de la omisión es más alto que la inversión en seguridad

El caso Isac evidencia que no basta con tener un contrato con un proveedor de nube o un software de backup. La seguridad de datos es un proceso continuo, que exige gobernanza, tecnología y preparación humana. La LGPD no perdona la negligencia, y la ANPD está demostrando que está dispuesta a aplicar sanciones severas a quienes tratan datos sensibles con descuido.

Los puntos clave para su operación son claros:

• Los datos de salud (y cualquier dato sensible) son activos de altísimo riesgo: tratarlos sin controles robustos es un pasivo jurídico y financiero inminente.
• El monitoreo y los registros no son opcionales: sin visibilidad, su equipo está volando a ciegas y no podrá dimensionar un incidente.
• La resiliencia real depende de backups probados y aislados: la falsa sensación de protección es la principal aliada de los delincuentes.

No espere a que la ANPD llame a su puerta. Comience hoy una revisión de sus controles de seguridad, documente las medidas adoptadas y prepare a su equipo para responder, y no solo reaccionar, cuando el próximo ataque intente secuestrar sus datos.