3ª Jornada Chilena de Ciberseguridad en Salud

Name: 3ª Jornada Chilena de Ciberseguridad en Salud
Uploaded: 2026-08-26 19:08:33.971199
Description: Análisis y extracción de conocimiento del video '3ª Jornada Chilena de Ciberseguridad en Salud'

Recordar que en caso eventual de una evacuación, este salón cuenta con una sala de emergencia debidamente identificada ubicada al costado derecho del escenario, así como dos puertas principales del acceso del aula magna. Asimismo, les queremos comentar que esta sala cuenta con Wi-Fi eh cuyo usuario sería Wi-Fi Campus y la clave esandes 2200 todo en mayúsculas. Con esto damos la más cordial bienvenida a la tercera jornada chilena de ciberseguridad en salud organizada por la Facultad de Ingeniería y Ciencias Aplicadas de las de la Universidad de los Andes en conjunto con la Alianza Chilena de Ciberseguridad, la Universidad del Desarrollo, la Universidad de Andrés Bello y la Clínica Alemana. Esta jornada tiene como objetivo contribuir al desarrollo de capacidades nacionales en ciberseguridad en salud, promoviendo una cultura de prevención, resiliencia y cumplimiento normativo que fortalezca la confianza en el ecosistema digital de salud, convocando a profesionales del ámbito clínico, tecnológico, jurídico, académico y gestión de a reflexionar y a compartir experiencias. En esta ocasión se abordarán los impactos de la ley marco de seguridad, la nueva ley de protección de datos personales, la interoperabilidad clínica y los recientes incidentes que evidencian lo crítico de la resiliencia digital en estos temas tan relevantes. Saludamos a las autoridades presentes, al decano de la facultad de Ingeniería y Ciencias Aplicadas, profesor Rodrigo Astrosa Eulufi, a la directora nacional subrogante de la Agencia Nacional de Ciberseguridad, señora Micher Bordachar, al presidente de la Alianza Chilena de Ciberseguridad, señor Marco Antonio Álvarez, y al director de la tercera jornada chilena de ciberseguridad en salud, académico de la Facultad de Ingeniería, profesor Claudio Álvarez. Gómez. Agradecemos especialmente la presencia a los auspiciadores y patrocinadores de esta jornada, representantes y coorganizadores. Ministerio de Salud, Ministerio de Ciencia, Tecnología, Conocimiento e Innovación, la Agencia Nacional de Ciberseguridad, BIM, Rayén Salud, Equifax, Centro Nacional en Sistemas de Información en Salud, Colegio Médico de Chile, 8.8 Computer Security Conference Trentic. A los expositores y panelistas, a los investigadores, académicos, alumnos presentes y, por supuesto, a todos ustedes que hoy nos acompañan. Para comenzar tendremos un saludo que nos envía por video la ministra de salud, Dra. May Chomalí, quien ha querido enviar un mensaje para la apertura de esta gran jornada. Es un gusto saludarles en esta tercera jornada chilena de ciberseguridad en salud. Agradezco a la Alianza Chilena en ciberseguridad y a todas las instituciones públicas, privadas y académicas que hacen posible este importante encuentro. La transformación digital nos permite avanzar hacia una atención más rápida, integrada y cercana. Sin embargo, también aumenta nuestras dependencias tecnológicas y nos exige proteger la información de las personas y asegurar la continuidad de las prestaciones. Desde el Ministerio de Salud seguiremos fortaleciendo las capacidades de nuestra red y promoviendo un ecosistema digital seguro, resiliente e interoperable. Les deseo una jornada muy provechosa y que sus reflexiones se traduzcan en acciones concretas para proteger la seguridad de la información de nuestros pacientes. [música][campana] En representación de la Agencia Nacional de Ciberseguridad, ANSI, se dirigirá a ustedes su directora nacional subregante, señora Michelle Bordachar, a quien le aceptamos y recibimos con un gran aplauso. [aplausos] [carraspeo] Eh, bueno, buenos días a todos y a todas. Voy a partir la presentación con una distinción que puede sonar obvia, pero la experiencia me ha demostrado que nunca está de más hacerla. La Agencia Nacional de Ciberseguridad no es la Agencia de Protección de Datos Personales, ni pretende serlo. Punto uno. Y tampoco somos cibercrimen. No nos dedicamos eh a muchas gracias. perseguir cibercriminales en el ciberespacio ni buscar los responsables de los ciberataques. Nosotros estamos del lado de la prevención y eso nos distingue de estas otras labores. Lo digo porque todos los días nos llegan requerimientos relacionados con datos personales y cibercrimen. Dicho lo anterior, bueno, estamos hablando acá de las jornadas de hoy se tratan sobre uno de los sectores que es probablemente el más atacado de todos. Y e esto se explica tanto por el tipo de datos que tienen, que son probablemente los de mayor eh valor en el mercado ilícito, desde para extorsionar a la institución, para extorsionar a los pacientes e incluso para otros fines como, por ejemplo, eh vender las bases de datos de pacientes, ¿no? Para extorsionarlos, pero por ejemplo para poder entrenar inteligencia artificial. No está en discusión que sea el sector más afectado, pero no necesariamente es el sector que tiene las medidas de seguridad acorde al nivel de riesgo que tienen. Y uno esperaría un cambio de mentalidad, ¿no es cierto?, con la ley marco de ciberseguridad, la ley de protección de datos personales. Sin embargo, pareciera que eso no es así. Yo hace poco, hace menos de un mes, estuve en otra eh conferencia de salud eh donde estuvieron hablando sobre interoperabilidad y le preguntaron a una persona qué faltaba en Chile para poder tener una interoperabilidad. eh robusta. Habló de todo menos de seguridad. No escuché la palabra seguridad ni ciberseguridad en ningún momento. Y eso nos muestra que en general este cambio de mentalidad o viene por las leyes o por la experiencia. Y yo diría que sobre todo por la experiencia porque como seres humanos nos cuesta representarnos los riesgos en abstracto. Vamos en la carretera a 140 km/h sin cinturón y obvio que el accidente no nos va a pasar a nosotros. Es un poco lo mismo. Consider seguridad. Eh, lamentablemente, en general, las instituciones no invierten en estos temas, sino hasta después de haber sufrido un ciberataque. Y otro factor también que influye en esto es que a veces nos vemos abrumados por la cantidad de eh pasos o acciones que tenemos que tomar para cumplir con la ley estar más seguros, ¿cierto? Un ejemplo aclarar de ello es la ley de protección de datos personales. Eh, si uno va a verla, los requisitos son super amplios. eh son muy intensos también y muchas veces eso ha provocado que aplacemos ese momento, como que no queremos, ese es un problema de la institución del mañana, no de la hoy día, porque nos abruma todos los cambios que hay que hacer y la adecuación de las instituciones a la futura ley de protección de datos personales parece mostrarlo. Sabemos hace al menos 10 años que se viene una nueva ley y creo que muy pocas instituciones han hecho los cambios necesarios y de verdad soy una convencida que esto tiene que ver por nuestra incapacidad de representarnos los riesgos, pero también por lo abrumados que nos sentimos a veces, por todas las medidas que tenemos que tomar para lograr un un determinado una determinada finalidad. Siempre hago esta comparación, me gusta mucho llevar ejemplos prácticos porque no nos sirven a todos. E es como cuando uno dice, "Voy a empezar la dieta el lunes con todo. La dieta al lunes." Entonces llega el lunes y uno llega a la dieta hasta las 12 del día y después aborta misión. Cambio, cuando uno empieza con hábitos saludables de a poco, la cosa se empieza a uno sentir más natural y dos a durar más en el tiempo. Ese es el enfoque que tenemos en ciberseguridad. Acá no vamos el todo por el todo. Muchas veces se critica que las medidas que estamos tratando de imponer con la agencia son quizás muy poco ambiciosas. Lo sabemos, pero también eh sabemos o creemos firmemente que es la forma correcta de ir haciendo las cosas en ciberseguridad, de avanzar con lo básico, porque muchas veces las instituciones ni siquiera avanzan con eso. Por ejemplo, el doble factor de autenticación. El doble factor de autenticación es una de las medidas más básicas, es la medida que en nuestra experiencia y conforme a la información que nosotros manejamos evitaría algo así como el 80% de los ciberataques. Y sin embargo, las instituciones son muy reacias al cambio con el doble factor de autenticación, porque desde que los funcionarios no quieren ocupar su teléfono para el doble factor hasta eh funcionarios que eh no quieren perder el tiempo consideran que es un trámite engorroso y nosotros mismos como ciudadanos eh todos nos hemos visto en el momento en que tenemos que hacer una transferencia y ya al cuarto pin que nos pide es como, ¿para qué tanto pin? Cuando no nos pedían tanto pin, había muchas más estafas eh bancarias. Así que e en cier seguridad no es todo nada, sino que partimos con medidas simples como el doble factor de autenticación y otras medidas que pueden ver en los nueve básicos. Yo les sugiero ir a ver la página web de la Agencia Nacional de Ciberseguridad y ver estos nuevos nue nueve básicos y van a darse cuenta que muchas veces medidas muy simples van a tener efectos también en datos personales. Les decía hace un rato que nosotros no somos la agencia de datos personales, sin embargo, en muchos casos eh las misiones se van a complementar. Si los registros médicos están en soporte de papel, la Agencia Nacional de Ciberseguridad no tiene nada que hacer ahí. O sea, si les pasa algo como lo que le pasó al Banco Santander hace muchos años, que encontraron en un basural archivadores con la información de los clientes que estaban pidiendo crédito hipotecario, eh, y se vieron enfrentados una demanda por protección de datos personales, eso no tiene nada que ver con ciberseguridad. Si atacan eh un dispositivo médico y lo hacen que deje de funcionar y por eso muere un paciente, ese ciberataque lo pueden haber realizado sin haber sacado ningún dato personal del paciente. Ese es un problema solo de ciberseguridad. Sin embargo, en la mayoría de los casos, obviamente, buenas medidas de seguridad van a radicar también en eh una protección de datos personales. Acá, volviendo a los ejemplos prácticos, en este país hace algo así como 10 años ocurrieron dos casos bien interesantes que se podrían haber evitado con una buena segmentación de eh privilegios que no todo el mundo tenga acceso a todo, que esa es una ley básica de ciberseguridad. que podría haber evitado este problema de datos personales. ¿Qué pasó en un caso, en una conocida clínica, una enfermera se metió a la ficha clínica de su compañera con la que no se llevaba bien y se dio cuenta que ella se había puesto un implante mamario. Le contó a toda la clínica. Eso se podría haber evitado con limitación de privilegios porque esa enfermera tenía acceso a la ficha clínica de su compañera si no la atendía. Y en otra clínica también muy conocida de este país pasó que eh una secretaria tenía un pololo y el pololo le pidió que mirara la ficha clínica de su exseñora. Resulta que la exseñora mientras estaba casada quedó embarazada y tuvo un aborto. El marido no sabía, el exmarido no sabía, o sea, ni les explico el problema que eso ocasionó. Ese es un problema de datos personales que se pudo haber evitado con medidas de ciberseguridad muy simples, como que no todos tengan acceso a toda la información. En esos dos casos no hubo un problema de ciberseguridad porque no hubo un incidente de ciberseguridad que puso en riesgo la operación del hospital o de la clínica, pero sí hubo un problema de datos personales. Pero esa medida de ciberseguridad pudo haber evitado un ataque de ciberseguridad. por ejemplo, que a la enfermera le robarán su clave y usuario, que es como suelen entrar los hiberatacantes a los sistemas, y robarán la información de muchos pacientes. Eh, por eso, para terminar, mi invitación es a No le tengan miedo a la ciberseguridad, no se abrumen, no piensen, es que tengo que tener la 27001 certificada con todos los controles, si no eh mejor no tengo nada. No, partan de a poco, vayan, vean los nueve básicos, partan medidas simples, doble factor de autenticación, gestor de contraseñas, segmentación de de redes, limitación de privilegios y luego a medida que su institución vaya siendo más sofisticada pueden ir obviamente eh poniendo controles más más robustos porque tienen el deber, pero pero también porque es importante proteger la confianza de los pacientes. Nosotros siempre pensamos, nos ponemos en el caso de de la autoridad que nos va a sancionar o el paciente que nos va a demandar en salud. Lo peor que nos podría pasar es que las personas dejen de confiar en el sistema de salud porque saben que sus datos no están seguros. Eh, durante la época del COVID tuvimos el problema de que las personas no querían decir que tenían COVID porque tenían miedo a lo que otras personas podían hacerles, como a las personas que les tiraban cloro en la puerta de la casa. Si las personas empiezan a sentir que sus datos de salud no están seguros, que son los más sensibles que tienen, van a empezar a mentir. Hay exámenes que no se van a querer hacer, hay información que no le van a querer entregar a los a los médicos y eso nos podría generar un problema grave. Eh, entonces, hay que pensar esto desde un punto de vista quizás más global, complementario y total. Y por último, además de empezar de a poco, tomar medidas e ir avanzando progresivamente para no abrumarnos, mi siguiente recomendación es: inscríbanse y reporten. Todas las instituciones de salud, independiente del tamaño, porque esta pregunta me la suelen hacer mucho, da lo mismo si son una pequeña eh clínica dental, están obligados a inscribirse en la plataforma de reporte de incidentes en la agencia y están obligados a reportar, ¿no? Porque esto sea una gran carga regulatoria para ustedes y eso significa que porque son sujetos obligados van a tener muchas obligaciones de ciberseguridad y 27001. Obviamente que no no todas las instituciones necesitan eh cumplir con un mismo estándar de seguridad de la información. va a depender del tamaño de los riesgos, etcétera, pero porque el reporte le permite a la agencia comprender qué está pasando en el ecosistema, qué está pasando en el ciberespacio, cuáles son las nuevas técnicas, tácticas y procedimientos de los ciberatacantes y con eso hacer prevención. Así que inscríbanse porque tienen el deber, pero no solo por eso, sino que porque eso permite les va a permitir recibir alertas de la agencia diciendo, "Ey, su sector o este sistema en particular está siendo eh víctima de mayorías de ataques. Tome esta y esta y esta medida de seguridad." Y además porque si alguien nos reporta que suele pasar, a veces investigadores encuentran vulnerabilidades en los sistemas y le avisan a la agencia, nosotros la primera fuente de datos donde vamos a ir a buscar información de contacto es en nuestra plataforma de reporte. Entonces van a estar más seguros. y reporten también porque tienen el deber legal, pero también porque eso nos permite protegerlos, nos permite, como ya decía, entender el ecosistema, pero también darles ciertas recomendaciones. Muchas veces nosotros sabemos cómo actúan ciertos atacantes, sabemos cuando ciertos atacantes están mintiendo y en realidad pareciera que les robaron los datos, pero solo robaron algunas carpetas, eh, y para tranquilizarlos los podemos ayudar a gestionar los incidentes. Y no tengan miedo a la sanción. Y acá con esto termino. Eh, yo soy abogada de profesión, pero a pesar de eso siempre digo, eh, el nivel de reporte es inversamente proporcional a la cantidad de abogados que hay en una institución, porque cada vez que hay un ciberataque, los abogados empiezan con, no sé si reportemos, es que hay que ver el riesgo legal. El riesgo legal de reportar a la agencia es prácticamente cero porque somos 40 personas para todo el país y créanme que no vamos a poner nuestros esfuerzos de fiscalizar y sancionar en aquellos que cumplen la ley y se están esforzando por confiar en nosotros y ayudarnos a hacer nuestro trabajo. El esfuerzo fiscalizador y sancionatorio y el garrote va a estar 100% enfocados en aquellos que no quieren reportar y que no quieren colaborar. La agencia está para ayudar, no para eh hacerles la vida más difícil. Por lo mismo no tenemos un eh muro de la vergüenza, como se podría decir, como en datos personales, eh en cuanto a las gente que incumplió, por ejemplo, en eh o que perdón, que fue víctima de un ciderataque, porque ser víctima de un cidataque no necesariamente habla de las medias de seguridad que tuvimos. Uno puede tener las mejores medias seguridad y ser víctima de un cidataque. Sí va a existir un muro de la vergüenza respecto de aquellos que les vaya mal en las fiscalizaciones aleatorias y preventivas. Entonces, si vamos a una institución y nos damos cuenta que no tenían las medidas de seguridad que tenían que tener, ahí sí, por supuesto, vamos a tener un muro de la vergüenza como el de datos personales, pero no porque nos hayan reportado. No vamos a tener un muro de quienes nos reportaron. De [carraspeo] hecho, somos muy cuidadosos con esa información, eh, porque entendemos que a cualquiera le puede pasar y la idea no es desincentivar el reporte porque es nuestra principal herramienta de trabajo. Así que para terminar con tres ideas, partan medias de seguridad de a poco, no se abrumen, pero pero empiecen por algo, nueve básicos. Visiten la página web de la agencia ansi.gov.cl/9básicos. Inscríbanse en la plataforma para ayudarnos, ayudarles y reporten. Dicho lo anterior, les eh deseo una muy buena jornada, que aprendan mucho y sigamos avanzando en el camino de la ciberseguridad. Muchas gracias. [aplausos] Muchas, muchas gracias Michel por tus palabras. Ahora corresponde al presidente de la Alianza Chilena de Ciberseguridad, señor Marco Antonio Álvarez, dar sus palabras para la bienvenida. Le invitamos a su y lo recibimos con un gran aplauso. [aplausos] [ovación] Muy buenos días. En primer lugar, me quiero sumar a todos los vocativos que se indicaron al inicio de esta actividad. Para mí es un honor darles la bienvenida a la tercera edición de la jornada chilena de ciberseguridad en salud. Este es un espacio que reúne a quienes hoy tienen la responsabilidad de fortalecer la resiliencia digital en uno de los sectores más críticos del país. En representación de la Alianza Chilena de Ciberseguridad, quiero destacar la relevancia de este evento. Cuando hablamos de ciberseguridad en salud, no estamos hablando únicamente de proteger sistemas informáticos o bases de datos. Estamos hablando de proteger la continuidad de la atención clínica, la privacidad de millones de pacientes y la capacidad de respuesta de instituciones que cumplen un rol esencial para el funcionamiento del país. Hoy la transformación digital del sector salud avanza con mucha rapidez. La incorporación de inteligencia artificial, telemedicina, interopelabilidad, historia clínica electrónica y dispositivos médicos conectados están cambiando profundamente la forma en que se entrega la atención. Pero esa transformación también amplía la superficie de exposición frente a amenazas cada vez más sofisticadas. Los ciberataques contra el sector salud han aumentado significativamente en todo el mundo, como muy bien explicaba la directora de la ANSI, porque trafican una información que es de altísimo valor. Hoy vemos organizaciones criminales que utilizan inteligencia artificial para automatizar ataques, generar campañas de fishing altamente personalizadas, desarrollar malware más sofisticado e incluso crear deep fakes capaces de engañar procesos de autentificación. La información clínica se ha convertido en uno de los activos más valiosos para los ciberdelincuentes, como comentábamos recién. Y cuando una institución de salud es afectada, las consecuencias trascienden lo tecnológico. Puede verse comprometida la atención de pacientes, desde luego, retrasarse procedimientos médicos, afectarse diagnósticos, interrumpir ese tratamientos y dañarse la confianza de las personas en todo el sistema. Por eso, la ciberseguridad ya no puede entenderse como una función exclusiva de las áreas de tecnología. debe ser parte de la gestión estratégica de todas las instituciones de salud. Chile está viviendo un cambio profundo en materia de ciberseguridad. La entrada en vigencia de la Ley Marco de Ciberseguridad y la creación de la Agencia Nacional de Ciberseguridad marcan un antes y un después en nuestro país. Estas normas no deben entenderse únicamente como nuevas obligaciones regulatorias. representan una real oportunidad para fortalecer capacidades, profesionalizar la gestión de riesgo y construir organizaciones mucho más resilientes. El desafío no consiste solamente en cumplir la normativa, consiste en instalar una cultura permanente de prevención, preparación y mejora continua. Cuando hablamos de resiliencia en salud solemos pensar en infraestructura hospitalaria. equipamiento médico o capacidad clínica. Hoy debemos incorporar un nuevo componente, la resiliencia digital, porque un hospital puede tener la mejor infraestructura física, pero si sus sistemas críticos dejan de operar, también se compromete la continuidad asistencial. Por eso, la conversación para avanzar desde la producción tecnológica hacia la continuidad operacional. Esto implica fortalecer procesos, gobernanza, capacidades humanas y preparación para responder adecuadamente cuando ocurre un incidente. Porque la pregunta ya no es si enfrentaremos nuevos ataques, la pregunta es, ¿cuán preparados estaremos para responder y recuperarnos? Sobre todo, otro de los grandes desafíos que enfrentamos como país es el desarrollo de capacidades. La tecnología evoluciona rápidamente, las amenazas también. Por eso necesitamos seguir formando especialistas, fortalecer la investigación aplicada y generar espacios donde el conocimiento pueda compartirse entre la academia, el estado y la industria. En ese sentido, quiero destacar especialmente el trabajo que realizan las universidades que hoy organizen esta jornada. Su aporte resulta fundamental para formar talento que Chile necesita en los próximos años. Pero también debemos avanzar en algo igual de importante, desarrollar una cultura organizacional donde la ciberseguridad sea entendida como una responsabilidad compartida. La inteligencia artificial está transformando profundamente el sector salud, están mejorando los diagnósticos, está optimizando procesos clínicos, está fortaleciendo la investigación y permitiendo una medicina cada vez más personalizada, pero al mismo tiempo está siendo utilizada por actores maliciosos. Eso nos obliga a incorporarla de manera responsable, ética y segura. Necesitamos desarrollar capacidades para aprovechar todo su potencial sin comprometer la privacidad, la seguridad ni la confianza de las personas. Ese equilibrio será uno de los grandes desafíos de esta década. Esta jornada nace precisamente con ese propósito, generar un espacio donde converjan distintas miradas, en especial la de la experiencia del sector salud, la visión de las autoridades, el conocimiento de la academia, la innovación de la industria tecnológica y la experiencia práctica de quienes se enfrentan día a día estos desafíos. Porque los problemas complejos requieren soluciones construidas de manera colaborativa y esa ha sido siempre la esencia de la alianza chilena de ciberseguridad. Esto es articular, conectar, generar comunidad y transformar las conversaciones en acciones concretas, como muy bien decía la ministra en el mensaje de saludo que nos indicó al inicio de esta actividad. Quisiera finalizar con una reflexión. La confianza es probablemente el activo más importante del sistema de salud. Las personas confían en su información más sensible, confían sus diagnósticos, confían en sus tratamientos y muchas veces, y hay que decirlo claro, confía en su propia vida. Proteger esa confianza es una responsabilidad compartida. Por eso, fortalecer la ciberseguridad significa mucho más que proteger datos, significa proteger personas, proteger instituciones y proteger la continuidad de uno de los servicios más esenciales de nuestra sociedad. Desde la Alianza Chilena de Ciberseguridad seguiremos impulsando espacios como este porque creemos que la colaboración, el conocimiento compartido y el trabajo conjunto son el camino para construir un sistema digital más seguro y resiliente para Chile. Muchas gracias. [resoplido] Muchas gracias, presidente. A continuación los quiero invitar a ponerse de pie para que desde el escenario inmortalicemos esta inauguración con una fotografía. Bueno. Toma asiento. Y con este acto damos inicio oficial a las actividades de la tercera jornada chilena de ciberseguridad en salud. Esperamos que esta instancia sea una valiosa oportunidad de encuentro e intercambio de conocimiento para todos quienes nos dedicamos a este ámbito del saber. Durante esta jornada queremos recoger la visión de la comunidad sobre las principales prioridades estratégicas para fortalecer la ciberseguridad y la protección de datos en el ecosistema de salud chileno durante el 2026 y 2027. Les invitamos también a responder una breve encuesta que les tomará menos de 3 minutos a través de el código de QR que está proyección para que cuyos resultados sean presentados en la última parte de este evento. Hay Wi-Fi. [risas] Recordamos que el Wii es Wandes y la contraseña es Wandes 2200. A continuación, Para comenzar con el primer bloque titulado Gobernanza cumplimiento regulatorio, invitamos a nuestro keynote magistral, el señor Felipe Arboe, que nos ofrecerá una mirada estratégica y regulatoria sobre los principales cambios que introduce el nuevo marco normativo chileno, en particular la ley marco de ciberseguridad y la nueva ley de protección de datos personales y sus implicancias para el ecosistema de salud. Su conferencia magistral se titula Ciberseguridad en el ámbito de la salud. Nuevas exigencias regulatorias, experiencia comparada, desafíos de la industria y tendencias globales. Felipe Arbo es especialista en regulación tecnológica, protección de datos personales y ciberseguridad, con una destacada trayectoria en el desarrollo de políticas públicas y marcos regulatorios en estas materias. fue autor de la reforma constitucional que consagró la protección de los datos personales como un derecho fundamental en Chile y coautor de la nueva legislación sobre protección de datos personales. Con un gran aplauso recibimos a Felipeados. [aplausos] Muy buenos días. Hago propio también los vocativos que mencionara la locutora al inicio de la jornada, pero no puedo sino dejar de agradecer en primer lugar a la Universidad Los Andes por esta invitación, pero particularmente por el desarrollo de esta tercera jornada chilenas de ciberseguridad. tan importante, resulta que la academia participe activamente de este proceso, no solo en la generación de debate, en la generación de contenido, sino también la formación o el apoyo a formación de especialistas en esta materia, situación que tiene nuestro país también en un déficit, digamos, que tenemos que suplir prontamente. Luego de ello, agradecer la presencia, por cierto, de la directora de la Agencia Nacional de Ciberseguridad y destacar la voluntad que ha manifestado permanentemente ya no solo de tener una agencia destinada a sancionar, sino más bien a orientar a el mundo público y el mundo privado en torno a mejorar una a crear una cultura de ciberseguridad y orientar en mejorar los estándares en nuestro país. Luego solo quiero, para reducir expectativa, porque la locutora hablaba de clase magistral, no pretendo ni mucho menos eso, sino más bien participar activamente una jornada y motivar y provocar un debate respecto de estas materias y la situación que está ocurriendo no solo en el país, sino también a nivel internacional. Acá está más o menos lo que vamos a a conversar ahora. Y lo primero que uno tiene que que surge es que debe preguntarse, ¿por qué la salud? ¿Por qué el mundo de la salud es tan relevante para la ciberseguridad y para la protección de datos? Hago un un paréntesis para decir que cuando me refiera a hospital me estoy refiriendo a la cadena completa, desde la posta rural, el CFAM, el consultorio, el hospital, la clínica, es decir, los prestadores de salud des el punto de vista estrictamente de atención. Porque cada vez que uno mira un hospital, lo que está viendo ahí para el ciudadano es la posibilidad de resolver un problema que le aqueja en materia de salud, obviamente. Pero para aquellos que estamos trabajando esta materia, observamos un hospital y vemos una fuente inagotable de datos sensibles y observamos también una tentación para el cibercrimen para justamente acceder a esa información. Y acceder a esa información, ¿por qué? Porque esa información sensible la calificó el legislador no por casualidad, sino porque entiende el legislador que la filtración, manipulación o alteración de esa información puede generar un daño muy superior a la mera administración o mal uso de un dato personal propiamente tal. Para decirlo de otra forma, un dato sensible de una enfermedad, de la condición del perfil biológico humano, de una condición determinada, puede significar afectación en sus derechos familiares, en en sus derechos laborales, en su dignidad, en su privacidad, en su honra y un conjunto de otras consideraciones. Y por tanto, por eso el legislador le otorga un un un carácter reforzado de de administración y de seguridad, exigiendo medidas tanto de seguridad en la información como de tratamiento, digamos, en su en su en su esencia. Cuando uno mira, entonces, adicionalmente uno dice, bueno, ya esto es lo que el legislador está pensando, pero ¿qué está pasando acá? Bueno, lo que está pasando acá es que tenemos estadísticas oficiales que nos señalan que tenemos eh más o menos, digamos hoy día eh una afectación eh creciente del sector salud en materia de ciberseguridad. Y no digo solo en Chile, esto es a nivel global. lo que está ocurriendo est una tendencia global porque evidentemente así como el crimen físico se daba cuenta que en los bancos habían bóvedas con dinero, hoy día se da cuenta que una forma de capturar recursos rápidamente es afectando aquellos datos sensibles que principalmente se manejan en comillas los hospitales y no en los bancos. y por tanto la posibilidad de capturar esos datos para después cobrar vía criptomonedas es un atractivo relevante porque además se es un delito de carácter mediato donde no requiere presencia física y por tanto los riesgos criminales disminuyen considerablemente. Y en ese escenario entonces uno tiene que observar por ejemplo que cuando uno mira esta esta cifra que dice 241 días es el tiempo medio para identificar y contener una brecha del sector, ¿no? Dice, "¿Cómo conversa eso con la norma? Porque puede ocurrir que una institución esté afectada por un incidente de ciberseguridad y no lo sepa o bien que lo sepa y no tenga capacidad de conocer su origen. Ahí entonces radica la importancia del mensaje que nos trasladaba la directora de la Agencia de Ciberseguridad al decir, "Notifíquennos de los incidentes y ayúdenos a ayudar para tener una red de especialistas, porque tampoco podemos pretender que en un país como Chile los la red de hospitales tenga en cada uno de sus hospitales expertos capaces de reaccionar tan rápido, sin perjuicio del trabajo que se está desarrollando centralizadamente el Ministerio de Salud, que hay que reconocerlo y que ha ido mejorando considerablemente. No obstante, eh evidentemente la necesidad siempre en países eh en vías de desarrollo será mayor que los recursos eh disponibles. Ahora, dicho lo anterior, ¿cuáles son, digamos, los eh puntos focales, digamos, en los cuales debemos concentrarnos, obviamente en la infraestructura crítica que mantiene eh datos de los pacientes, ¿no es cierto? por ejemplo, la ficha clínica electrónica, todo lo que dice relación con imagenología y laboratorio, los dispositivos médicos conectados, la biología sintética, digamos, eh los terceros y cadenas de suministro, la identidad y acceso remoto y la también obviamente la operación administrativa y por incluye dentro de la operación administrativa también todo lo que es la administración de recursos humanos y sus bases de datos, digamos. Y lo digo porque una cosa es concentrarse en las normas de protección de datos, pero este es un ecosistema. Esto no aquí no se puede trabajar con la lógica de un compartimento estanco. Alguien me dijo una vez, "Oiga, no, es que mi empresa está certificada por la ISO 27,701, así que yo tengo eh en privacidad." Perfecto. ¿Y cómo está en ciberseguridad? No, todavía no empiezo con eso. ¿Cómo no empiezo con eso? O sea, usted no puede estar certificado en protección de datos y no en ciberseguridad al final del día. Lo que le exige la ley de protección de datos dentro de las exigencias está la seguridad de la información y por tanto se requiere administrar y crear mecanismos tecnológicos que permitan asegurar no solo que no va a haber accesos no autorizados, sino que adicionalmente los datos se van a mantener intangibles en el sentido de evitar, digamos, una alteración, porque por cierto sería importante que a una persona le alterara un resultado, digamos, o cómo ha ocurrido en último tiempo. tiempo, digamos, que eh se conozca información que es sensible eh sin eh los protocolos que eh corresponden, ¿no? Dicho dicho eso, veamos el caso de lo que ocurrió en la clínica de Dávila. ¿Se acuerdan ustedes lo que pasó en la clínica de Ávila en diciembre del 2025? Eh, bueno, ahí lo que tenemos eh había un vector que fue un acceso a través de una VPN, digamos, con credenciales débiles, digamos, eh el impacto, más de 250 GB de información, eh datos comprometidos, fichas clínicas, resultados de exámenes de alta sensibilidad, incluidos el VIH, eh cédulas de identidad y la reacción institucional lo reconoció eh como un incidente eh de terceros, eh intervino el CERNAC, digamos, y una presión pública sobre el estándar del sector. Pero en la práctica ocurrió, esos datos ya salieron. Esto es como cuando el niño se enoja con el papá o con la mamá, sale a la calle, dice, "Daño, agarra la almohada y le saca las plumas, ¿no es cierto?" En la calle. Después viene la mamá y se arregla con el niño y le dice, "Ya el niño va a buscar las plumas." Las plumas ya no están. Aquí es lo mismo. Esta fuga de datos significó que no no tengo la información de la cantidad de datos específicos, pero que 250 GB de información que se pueden referir a miles de personas está circulando y en algún minuto esa información va a ser utilizada, sea para cobrar o sea para chantajear. ¿Y qué es lo que ocurre? ¿Y qué dice el afectado? ¿Qué dice ese paciente que se hizo el examen de VIH en esa clínica y que su resultado está dando vuelta y no quiere que se sepa? ¿Quién le responde? Nadie. Entonces, tenemos un problema porque Chile tiene que organizarse en función ya no solo también de la prevención, pero por sobre todo de el régimen de sanción que debiera tener una institución que más allá de los esfuerzos tiene malos resultados. Chile tiene de una vez por todas que terminar con la lógica de valorar el esfuerzo. Aquí hay que tenemos que pasar a metas de resultado. Eso es fundamental porque si no el daño es exactamente el mismo. ¿Cuáles son las nuevas exigencias en nuestro país? Bueno, ustedes ya ya lo saben, se ha conversado latamente, digamos. Tenemos un ecosistema jurídico administrativo en materia de eh regulación tecnológica. Tenemos una reforma constitucional que consagró la protección de datos que no es menor porque del momento que está instalada como un derecho constitucional lo que hace es que establece la obligatoriedad para toda la normativa legal por principio de supremacía, pero adicionalmente le faculta a cualquier persona que se sienta afectado en una vulneración de sus de sus datos personales para iniciar un recurso de protección. Así lo lo establece el número cuatro del artículo 19. Pero adicionalmente esa norma constitucional cuando la redactamos no fue fácil. Primero porque no podíamos poner un número nuevo en la Constitución, porque es muy difícil, para que ustedes sepan, solo desde el año 1980 a la fecha solo se habían modificado una vez, una vez el artículo 19 y esa fue la segunda vez que logramos hacerlo porque no es fácil crear nuevos derechos por las implicancias que tiene para oramiento jurídico. Entonces, utilizamos el número cuatro del artículo 19 que se refiere a la honra y a la privacidad y le pusimos una palabra, nos costó mucho encontrar la palabra y utilizamos el adverbio a sí mismo. dice privadía y honra, asimismo la protección de sus datos personales. ¿Por qué utilizamos ese adverbio? Porque quiere decir que es un derecho autónomo, pero se protege de la misma forma, relevante para efectos prácticos. Pero adicionalmente le pusimos una frase final que dice, "La regulación de la protección se se realizará en la forma que establezca la ley." La ley, ¿no? Dice la ley de datos. Y por tanto, aquí está el ecosistema legal que se ha ido creando, la ley de protección de datos, la ley de ciberseguridad, la ley deuda consolidad, la ley fintech y un conjunto de otras normas de regulación tecnológica van creando un ecosistema que requiere, digamos, de una administración muy eficiente, porque una cosa es dictar leyes y otra cosa es que el regulado tenga la capacidad de eh adaptarse. Por ejemplo, aquí tenemos la norma de ciberseguridad y la de protección de datos. Bien decía la directora, nosotros no somos la agencia de protección de datos, pero lo que ocurre en la práctica es que ocurrido un incidente, enfrentado un incidente, el operador del del sistema, ¿qué es lo que va a tener que hacer? Vamos a ver más adelante. Va a tener que reaccionar para diferentes reguladores. ¿Por qué? Porque no hay, además, no hay norma de coordinación. Hay esfuerzos de coordinación entre las instituciones, pero no hay norma de coordinación y eso genera un cuadro también de cierta incertidumbre que es importante verla. Ahora, los prestadores de salud ya están dentro del perímetro de de ciberseguridad, es evidente, ¿no es cierto? Eh, ya esto ha ocurrido. La salud figura entre los sectores de servicios esenciales del artículo cuarto de la ley. hay muchos que han sido calificados, digamos, como tales y otros organismos de importancia vital, estableciendo el punto de vista de la ciberseguridad un régimen reforzado en materia de ciberseguridad para efecto justamente de resguardar no solo la continuidad operacional, sino había consideración de la naturaleza de los datos que tratan, digamos, la sensibilidad de los mismos, ¿no es cierto? ¿Cuál es el punto? Como yo decía, un incidente, varios reguladores, en este caso estoy poniendo solo dos reguladores. Se produce un incidente, tenemos que reaccionar eh 3 horas, 72 horas, 15 días, nos dice una de las leyes. La otra nos dice eh a la brevedad posible. Eh, y resulta que lo que va a ocurrir es que nos vamos a tener que instalar y vamos a tener que saber inmediatamente en este comité de crisis vamos a tener que reaccionar, vamos a tener que reaccionar rápidamente respecto de alguien que va a tener que informar a la ANSI e informar rápidamente dentro de las 3 horas con un reporte determinado. Pero en paralelo si hay compromiso de datos y si sabemos es que hay compromiso de datos, hay que informar a la agencia de protección de datos y en algunos casos, cuando el compromiso es muy alto, hay que notificar a los titulares de los datos afectados. Entonces, estamos ya en un comité de crisis que tiene que tener la capacidad de reaccionar para allá, pero además reaccionar comunicacionalmente, ¿no? Entonces, lo que quiero decir acá es que la estructura corporativa de las empresas y las instituciones y particularmente de los hospitales tiene que tiene que contemplar un comité de crisis para efectos de reaccionar oportunamente y cumplir la normativa, que como digo, tiene particularidades y diferencias entre una y otra, ¿no es cierto? ¿Y por qué lo hace? Porque evidentemente lo que tenemos acá es que eh las categorías de de los datos en salud evidentemente tienen digamos una máxima protección. De hecho, en la normativa de protección de datos se establece en algunos casos la evaluación de impacto. Acuérdese que estamos hablando de datos sensible, ¿no? Eh, se establece una fuente de ilicitud reforzada por de pronto no aplica el interés legítimo, ¿no es cierto? Ya la fuente de acceso público no existe. Ojo con esto. Ah, ojo con esto. El legislador, a mi entender, en la Cámara de Diputados eliminaron la fuente de acceso público como una base de ilicitud. A mi entender, personal es un grave error en un país donde parte importante de su sistema de información estaba eh alojado sobre la base de fuente de acceso público. Entonces, no se reconoce como una sola fuente por sí misma como una fuente de acceso públo, como una base de licitud o fuente de legitimidad. ¿Qué es lo que ocurre? Yo, hospital o yo clínica me informo respecto de la condición de un paciente y de su capacidad de pago. ¿Cómo me informo? por una un buróo de información. ¿De dónde saca la información? El buróo de información no de fuente éxito público, pero ya no existe, no es interés legítimo. Cuidado, es un dato socioeconómico. Se le ocurrió a los diputados poner como dato socioeconómico a a en los datos sensibles. Eh, si si es sensible, no admite interés legítimo. ¿Cómo se va a compatibilizar eso? ¿Cómo yo, hospital, clínica, me cubro ante, digamos, una situación que un proveedor puede tener información que no es habilitada? eh cómo juntó esa información o esa norma con la ley de la con la norma del 21,459 de la ley de delitos informáticos que prohíbe la compraventa de bases de datos. Se dan cuenta que aquí hay que empezar a mirar el bosque, no solo el árbol. Entonces, en ese escenario, mi provocación tiene que ver con decir que tenemos un conjunto de normas de derecho sustantivo que a mi juicio elevan o debieran elevar los niveles de cuidado de la información, pero también tenemos que estar conscientes de que estamos en presencia de un una institucionalidad en salud que no necesariamente tiene la capacidad real espacios eso, porque además estamos en presencia de una situación de permanente cambio, de permanente ajuste de permanente eh llegada y entrada y salida de información. Cuando en un servicio o en un hospital entra en una urgencia eh no sé, 300 personas al día eh y eso se multiplica por la cantidad de hospitales en el sentido amplio que yo he planteado eh por todo Chile. Bueno, lo que tenemos es la entrada y salida de datos. Cuando yo los miro y miro un paciente, el médico mira al paciente, yo miro el dato, ¿no? Que circula el dato y va acá efectivamente hay un dato. Esta persona llegó inconsciente, entonces está habilitado por la ley de datos para poder utilizar su dato sin consentimiento. ¿Se fijan? Uno va mirando el flujo de datos, entonces va a requerir necesariamente de una adecuación estructural más bien corporativa en esta materia. Ahora, lo que ya está siendo obligatorio va a seguir siéndolo, digamos, ya que hay conjunto de normas, digamos, que establecen esta materia y aquí tenemos dentro de nosotros, digamos, probablemente a a la mayor experta en materia de datos de salud, que es Lorena Onoso, digamos, y que ha trabajado mucho en estas materias, digamos, eh, y que conoce ya la regulación no solo legal, sino más bien la infralegal. Y aquí también una advertencia ya porque hicimos una pequeñita maldad cuando redactamos la norma constitucional al poner el principio de legalidad o de reserva legal para confundar la ley, le dijimos a los reguladores, muchachos, no se pongan creativos, esto es por ley. No es que es que la CMF va a sacar una norma carácter general o una RAN. No, no, no, no. Usted puede regular lo que ya está establecido en la ley, pero usted no puede ser ni más laxo ni más exigente que lo que dice la ley. Usted solo puede aplicar lo que dice la ley. Entonces, yo me he encontrado con ciertos reguladores que encuentran que el tema de datos es medio fancy, entonces empiezan a sacar dictámes o circulares. El principio de reserva legal dice, perdón, esto es por ley y por tanto todo lo que haya sea infralegal tiene que ser de conformidad a la ley y no puede pasarse dos pueblos ni tampoco intentar suplir vacíos de la ley errores de la ley por la por vía reglamentaria, porque eso está completamente prohibido y prontamente vamos a tener una nueva eh episodio donde vamos a echar abajo un reglamento de una autoridad que se pasó en tres pueblos, a mi juicio en esta materia. Entonces, porque creemos también que es muy relevante que la gente pueda defender ese derecho a través de una norma legal y no de infralegal, porque si no empieza a tener cierta inestabilidad, ¿no? Y vamos exigiendo según la autoridad de turno y eso es altamente inconveniente. Experiencia comparada. Miren ustedes lo que ocurrió en la unidad en la Comunidad Europea, digamos. Lo que tenemos ahí es que eh introdujo el NIS 2, digamos, introdujo responsabilidad personal de los órganos de dirección, algo que la ley 21663 más bien insinúa. Eh, la transposición nacional ha sido un poquito regular. España no cumplió el plazo de octubre de 2024 y recibió finalmente un dictamen motivado, digamos, de la Comisión Europea, lo que muestra que el problema de implementación no es exclusivo de América Latina, sino que efectivamente hay tanto movimiento que se requiere, digamos, de ir eh haciendo ciertas adecuaciones. Luego, si uno se quiere ir al otro lado, vamos a Estados Unidos, digamos. Y lo que hay acá, acá hay una reforma, digamos, que está eh pendiente eh y que no se ha avanzado mucho, pero que efectivamente eh lo recientemente ustedes saben que la Corte Suprema de de Justicia de Estados Unidos declaró inconstitucional eh la el carácter independiente de la agencia de datos que estaban creando, estaban creando por por exigencia Unión Europea para considerar un país adecuado. Entonces se produce un problema porque Europa va a seguir considerando un país no adecuado a Estados Unidos y uno dirá nos da lo mismo. No, porque si yo mi información del hospital la alojo en un data le que está en Estados Unidos, va a ser declarada inadecuada. Y cuando el gobierno actual nos dice, "Oiga, ¿sabes que estamos pensando en prorrogar la vigencia, suspender la vigencia de la ley?" Yo le digo, "Ah, estupendo. ¿Por qué no contratemos a alguien que empiece a mirar el bosque, por favor? Si usted suspende eso, lo que va a lo que va si usted suspende la aplicación de la ley 21,719 ahora en diciembre, lo que va a estar haciendo es que le va a seguir dando competencias al CERNAC, que evidentemente no es un calificado experto en esta materia, que las tiene hoy día porque la nueva ley le suspende es le determina esas facultades, pero en su a su vez ya la Unión Europea levantó la mano y dijo, "Cuidado, si Chile suspende esto, toda la política de data centers de Chile no sería un país adecuado." Y por tanto, voy a pon un ejemplo, el Banco Santander no podría tener sus datos alojados en los datos centes chilenos porque no son adecuados. Son las consecuencias de hacer ciertas modificaciones que de repente parecen como medias eh populares o son presionadas por cierta industria, pero que cuando no se observa este ecosistema puede tener consecuencias bien complejas, que es lo que estoy tratando de poner. Tres modelos, el mismo problema. Eh, al final del día lo que ocurre es que la norma legal debe establecer los principios y las regulaciones generales, pero necesitamos también normas infralegales tipo directivas de funcionamiento en Europa para ir regulando casos específicos. ¿Y por qué digo esto? Porque cuando uno observa ciertos eh desafíos de la industria, lo que uno tiene que empezar a mirar, digamos, más bien es que ya ha ido ocurri esto ya ya ocurriendo casos de de de impactos, digamos, que han habido a nivel global. Y luego veamos los desafíos de la industria para ir más rápido. Eh, acá lo que tenemos, por ejemplo, eh algunos elementos que hay que cumplir que son más complejos, digamos. Por ejemplo, la eh el equipamiento certificado sanitariamente, digamos, de las clínicas. Vamos a ver más adelante eh la estadística cuando nosotros hicimos doble clic respecto de el aumento de ataques en el sector salud a nivel global y no es que ataquen solo los hospitales en t��rminos genéricos, sino que ahora están desplazándose hacia ciertos proveedores de servicios de los hospitales y como y dentro de ello, por ejemplo, cuando uno se hace un escáner, ese equipo de escáner que deja registrado se le pone el nombre, la persona, el examen, está certificado en materia de privacidad y materia de ciberseguridad. Sabemos que esa información, no la del hospital, la la del equipamiento está certificada, se está comprando material certificado en materia de ciberseguridad para evitar que pueda ser interceptado. Voy a pon un ejemplo práctico. ¿Qué ocurre si el día mañana se instala o se masifica la biología sintética y yo puedo monitorear a una persona, por ejemplo, en su marca paso desde una gran central para efecto de ir viendo si tiene ciertas alteraciones y obviamente dotarlo de los los las eh prevenciones correspondientes que hoy día eso ya existe en Europa y también en algunos estados en Estados Unidos. ¿Qué pasa si llega a Chile y se instala como un servicio? Eh, fantástico. Alguien me va a estar monitoreando o si hay una persona que necesita glucosa y se está pinchando en un dispositivo permanentemente. Bueno, ¿y qué pasa si ese servicio es hackeado y alguien interfiere el servicio? Bueno, todos estos proveedores creo son son muy importantes de ir eh viendo. Entonces, por eso que es importante que la gobernanza, que aquí yo pongo que está bien desarticulada, se requiere que se articule y ya no es solo responsabilidad de la ANI, es responsabilidad de cada sector, en este caso de los hospitales, del ministerio, pero también obviamente de la estructura nacional para que haya un trabajo más bien eh eh incorporado. Las tendencias globales. Yo ya les decía, miren acá, lo que está ocurriendo es que el riesgo hoy día se está concentrando en la cadena. En la cadena. Entonces, ya no es solo el hospital. Fíjense ustedes, distribución retail farmacéutico. ¿Qué pasa con las eh recetas médicas retenidas en una farmacia? ¿Dónde queda esa receta? ¿A dónde va? Sabemos si esa cadena de farmacia no le va a entregar por debajo o le va a vender por debajo a la compañía de seguros que yo compro todas las semana o todos los meses un remedio para la presión y cuando llegue a pedir un seguro van a decir, "No, está rechazado." Y yo decir, "Pero, ¿por qué? Si yo declaré que estaba perfecto, no van a poder decir la razón, pero tienen toda la información de compra." Sabemos si eso está ocurriendo o no está ocurriendo. Sabemos si esa receta médica queda almacenada, encriptada debidamente. Sabemos esa receta médica respecto de la enfermedad de un niño, de una niña de 5 años, de 3 años, dato sensible, está siendo almacenado como corresponde con encriptación separada. ¿Creen ustedes que las cadenas de farmacia tienen eso? Entonces, lo que está empieza a ocurrir es que se transforman en un espacio atractivo para ir también a robar datos, ¿no? Y obviamente a generar un cuadro importante. Los ecosistemas de servicio, miren ustedes, 67% en la distribución de ritel y farmacéutico de aumento respecto al año 2025. Esto es un estudio de del primer semestre del 2026. Eh, ecosistema de servicio 35%, empresa de tecnología sanitaria 12%, fabricante de insumo y equipo 36%. prestadores aumentado un 3%. Entonces, ¿por qué? Porque los prestadores en general están adoptando ciertas medidas, pero no necesariamente la cadena que los provee. Entonces, esto es un tema mucho más eh integral que tenemos que eh enfrentar. cinco cinco desplazamientos que van a definir el próximo ciclo. Probablemente vamos a pasar de la privacidad a la seguridad del paciente, porque lo más relevante en esto es entender que en materia de ciberseguridad eh el indicado relevante debe dejar de ser el número de registro filtrado y más bien en el tiempo de indisponibilidad de clínica, digamos, y los desenlaces sanitarios. Entonces, la ciberseguridad se va a ir incorporando al debate de calidad asistencial porque podría ocurrir, digamos, eso, ¿no es cierto? Tenemos de la extorsión al espionaje, el tema de los ransomware, la inteligencia artificial de doble uso, ya lo decía el presidente de la Alianza Chilena de CBerseguridad, la inteligencia artificial nos ha facilitado enormemente la vida y probablemente nos va a reemplazar a muchos, pero adicionalmente no solo la ocupan aquellos que la queremos hacer de buena forma, también los que quieren hacer de mala forma. Entonces viene ya todo un sistema de seguridad cuántica y incluso postcuántica para efecto de evitar, digamos, el mal uso de eh esas herramientas de de alto eh poder. O por ejemplo eh yo le pido al eh al gerente del hospital que me haga un reporte rápido, digamos, de eh el tipo de pacientes que está siendo afectado por determinado tipo de enfermedades, digamos, en los últimos 6 meses y él no tiene tiempo porque está lleno lleno de pega, digamos. lo que hace agarra, lo mete a chatt o cloud, digamos, y pone los nombres de todos los pacientes allá entre hazme un informe, un reporte para el jefe. Fantástico. ¿Dónde quedó esa información? Sensible. ¿Dónde están los protocolos de uso de inteligencia artificial? Y esto lo digo los hospitales y lo digo las empresas. Yo me he encontrado con eh abogados que me dicen, "Oye, eh te voy a recomendar lo siguiente para estudio de abogado." Si lo tienen que hacer, olvídate de los contadores. Si lo que tienen que hacer acá es que agarre darse el balance al tiro. ¿Cómo? Sí. Sí. tú metes todas las tu empresa y clot balance al tiro, estupendo, balance público, está bien, cada uno opta por lo que quiere, pero es relevante. Y además, como digo, acá también se requiere porque tanto la ley de ciberseguridad como la ley de datos parten del principio de que lo que no se prueba, lo que no se puede probar no existe y por tanto necesitamos reporte registrabilidad de cada una de las de los avances de de las innovaciones o lo que estamos haciendo en esta materia. Eh, yo diría la hoja de ruta hasta el primero de diciembre y digo primero de diciembre espero que se aplique la ley, pero si no se aplica va que seguir igual. Diagnóstico de visibilidad, verificar la calificación como servicio esencial o IB, inventario activo, el registro de actividad de tratamiento, eh catastro de encargado, si hay que hacer una evaluación de impacto. Y aquí también una recomendación práctica. eh han llegado a mi oficina muchas veces eh eh empresas que abogados le han hecho estudio de impacto de protección de datos y son verdadero registro de actividad de tratamiento. Son cosas distintas y la evaluación de impacto no es como dicen los auditores que están acostumbrados y formados para eso en un hospital que dice hazme una evaluación de impacto de riesgo, digamos, analísame los riesgos del hospital y hacen todo tipo de riesgos reales, que es la probabilidad de ocurrirse un daño, digamos, de un peligro. Ah, y lo hacen correctamente respecto a la institución. La evaluación de impacto de la ley de datos es respecto del titular, no respecto a la empresa. O sea, no es como me dice, "No, es que yo hice lación de impacto y la verdad es que si hago reconocimiento facial en el hospital resulta que puedo puedo tener una multa. Ese es un riesgo institucional. El la evaluación de impacto en datos supone saber qué riesgo para el titular tiene el reconocimiento facial. Entonces, ojo con eso, porque también se exige evaluación de impacto cuando hay ciertas circunstancias, tratamiento pasivo de datos, datos sensibles, conjunto, eh operación sistemática de vigilancia, etcétera, ¿no? Entonces, es importante tenerlo claro en gobernanza y contrato. Sería clave, por ejemplo, que en todas las licitaciones públicas, en todas se instalara del mundo del mundo de salud exigencia que el proveedor tenga adecuación en datos y en ciberseguridad. Oye, pero es que va a quedar mucha gente fuera. Bueno, es que será la manera de obligarnos a ir mejorando los estándar, porque si no lo que va a ocurrir es que de aquí a poco esto va a ser una linda política privacidad, una linda política de ciberseguridad, pero no va a tener aplicación práctica y eso va a generar el daño a cualquiera de nosotros en nuestra condición de paciente, ¿no? Entonces, hay que ir mejorando los estándar también. eh el compartir bases de datos, la interoperabilidad, la ficha clínica abre todo un escenario que también tiene que ser relativamente resuelto. Es muy importante que el médico de Arica, del hospital de Arica, sepa si yo tengo alguna alergia, porque si estoy de vacaciones allá, resulta que mi médico es de acá, tiene que saberlo, pero el acceso a esa ficha clínica tiene que tener sistemas de controles, sistema de ciberseguridad en en en la carretera por la cual va a circular, etcétera, ¿no? Entonces, la institucional pública también requiere eso en esta materia. Para terminar, yo diría cinco ideas para llevarse para la casa, digamos. Yo diría en salud la ciberseguridad hoy día no está no protege datos. Lo que está protegiendo en estricto rigor es la continuidad de la atención y el bien jurídico protegido al final del día es la seguridad del paciente. Eso es. Y por tanto es clave avanzar en esa materia. Eh, Chile ya tiene una ley marco que es exigible para las instituciones. Eh, la entrada en vigencia a ley de datos probablemente va a venir a ser un módulo adicional que va a exigir medidas técnicas y organizativas y de procesos al interior de de los hospitales para mejorar la la seguridad también de los datos y el tratamiento de los mismos. Un mismo incidente va a activar dos o más fiscalizadores. Yo estoy poniendo el ejemplo acá de la Agencia de Ciberseguridad y la de datos. ¿Me permiten un segundo? un segundo salirme del mundo de la salud, pero para por una caricatura. Una señora va a comprar un retail, compra con tarjeta de crédito, a los 3 minutos hay un incidente de ciberseguridad y se roban los datos. va a llegar la agencia decir, "Mira, cerraron los datos, así que yo soy competente." La agencia de ciberseguridad decir, no no sab que aquí la motivación de esto fui yo, aquí hay un incidente, así que yo soy competente. El CNAC va a decir, "Perdónenme, yo los quiero mucho, pero aquí hay una relación de consumo, así que yo soy competente." Y finalmente la CMF, muchachos, ¿saben que se pagó tarjeta de crédito, operación financiera, así que yo soy competente. No hay norma de coordinación. Hay esfuerzos de coordinación que yo valoro, pero no hay norma de coordinación. Y la ley de protección de datos tiene una una una un párrafo arriba que dice sin perjuicio de las responsabilidades legales y por tanto las normas son de sanción son acumulativas. Entonces a las 20,000 UTM 1,300,000 de la ley de datos podríamos sober las 40,000 de la ciberseguridad más la evaluación que se le ocurrió hacer al CERNAC que dice que vale 25 millones cada dato. ¿Quién quién puede pagar algo así? Nadie. Bueno, pero entonces ahí también hay una responsabilidad del Estado de decir, "Oiga, miremos el bosque completo." Entonces, la provocación tiene que ver con asumir que esto es un proceso, que estamos en un camino sin retorno, que más allá que se pueda postergarle el inicio de la ley 21719, esto ya llegó para quedarse por la existencia del recurso de protección y por tanto lo que se requiere ahora, digamos, es avanzar en la implementación práctica de las ley del ecosistema jurídico y administrativo en materia de ciberseguridad y protección de datos. Muchas gracias. [aplausos] Muchas gracias, Felipe, por tu presentación. Ahora damos paso a un panel, a un conversatorio. Para esto les voy a recordar la eh el wifi para que puedan ir escribiendo por ahí sus preguntas. es WiFi Campus Wandes y la clave es Wandes 2200. Ahora sí, los vamos a invitar a tomar asiento a nuestro escenario y dar inicio a este primer panel de expertos de la jornada. Y para moderar esta conversación vamos a invitar a Pablo Antillarca para eh poder dirigir. Eh, Pablo es director de la revista Trentic. Junto a él convidamos a tomar asiento en el escenario a nuestros valiosos panelistas. abogada Lorena Donoso, quien además de trabajar en ADLIGAL es consejera del Instituto Chileno de Derecho y Tecnologías, profesora asociada de la Universidad de Chile, asesora legal en el Ministerio de Salud y Árbitro de Nick Chile. También invitamos a Josely Arteaga, CISO de BUPA Chile. Joselyine es ingeniera en informática Global, MBA y Master of Science Management y ha orientado su trabajo a proteger activos digitales y fortalecer el gobierno de datos y promover una cultura de resiliencia frente a riesgos digitales. También llamamos al Dr. Javier Mora, cardioocirujano y especialista en ciencias de datos aplicados a datos clínicos. Hoy ejerce en la clínica Las Condes y en el Hospital Sottero del Río. Creó la unidad de ciencia de Datos Clínicos en la clínica Las Condes y lideró el centro de innovación en salud del mismo centro de salud. El panel se desarrollará en cuatro rondas. En la primera, nuestro moderador planteará una pregunta dirigida a cada uno de los panelistas de acuerdo con su experiencia y ámbito de especialidad. Una segunda ronda se abordará una pregunta general invitando a los integrantes del panel a contrastar sus perspectivas y dialogar entre ellos. A continuación tendremos una tercera ronda dedicada a preguntas del público, seleccionando algunas de las inquietudes que ustedes nos hagan llegar durante la actividad, escaneando el código QR que va a aparecer en el fondo. Allí pueden ingresar a la dirección indicada. Y finalmente vamos a cerrar con una última pregunta común para nuestros panelistas, orientada a recoger sus principales recomendaciones y mensajes de cara a los desafíos que enfrenta hoy el ecosistema de salud. Volvemos a invitar a Felipe. Muchas gracias. Puede tomar, puede volver a tomar asiento y damos paso al panel. [resoplido] Gracias. Bueno, gracias por la invitación. en primer lugar a moderar y a participar en este importante encuentro que en realidad encontrado ha sido un punto de de encuentro, valga la redundancia, para todo el ecosistema de salud, sector público, sector privado. Nosotros vemos, estamos transmitiendo ahí en la revista, en nuestro canal de YouTube de Trentic y vemos la gente que está conectada y hay distintos sectores que están conectados, así que estamos felices de poder también aportar nuestro granito de arena en en en este ecosistema de la ciberseguridad en salud. Nosotros como medios estamos s eh motivados y desde siempre hemos tenido un espacio ahí para para estos tipos de temas. Así que muchas gracias en primer lugar y vamos a partir inmediatamente. Estamos super eh atrasados, algo atrasado, así que vamos a entrar en materia inmediatamente. Eh Lorena, estamos por acá. Eh, prácticamente todo el ecosistema te conoce, eh tienes bastante experiencia en en en todos estos temas que estamos hablando y por lo tanto eh entremos inmediatamente eh al detalle de dónde están hoy los principales desafíos eh jurídicos y de gobernanza en la interoperabilidad que tanto se habla. Ya. A ver, creo que ahí se escucha, ¿verdad? Sí. Eh, la interoperabilidad en salud, ustedes saben que es una ley que eh cuyo reglamento se encuentra pendiente de tramitación y de dictación. E los tiempos no lo acompañaron, eh vino un cambio de gobierno y por tanto hubo que hacerlo, ¿no? ¿Cuál es el principal desafío en esta materia? Eh, recordemos que esa ley se articula con la Ley 21541 de telemedicina. Y eh tomando algo de lo que señaló Felipe recién, eh el principal desafío en este minuto es que los todos los sistemas tecnológicos que se empleen en la industria de salud tienen que estar acreditados y eso significa eh acreditación en materia de de cumplimiento normativo en salud, en protección de datos y en seguridad de la información, ¿ya? Y eso creo yo que es un tema en donde debe avanzar toda la industria para los efectos de la eh implementación correcta. Eso significa adecuarse a HL7 en lo que significa interoperabilidad, ¿ya? O sea, HL7, el estándar universalmente aceptado. Los sistemas deberían estar acreditados en estos cuatro elementos: ciberseguridad, protección de datos, eh el HL7, por cierto, y eh también en materia de de derechos y deberes del paciente, ya para los efectos de poder dar origen a las prestaciones. Eso no significa solo las prestaciones de telemedicina, sino que implica ficha clínica, equipamiento, sistemas de de eh de gestión en general sanitaria, creo yo. Hasta ahí lo voy a dejar porque Perfecto. Ahí vamos haciendo doble clic. Vamos a hacer ir haciendo doble clic. La siguiente pregunta, Javier, recuerden hacer sus preguntas al QR, que después lo voy a estar leyendo aquí un par de ellas si es que el tiempo no está. Eh, Javier, tú de acuerdo a tu experiencia en el en la expertiz, en el tratamiento de datos, me gustaría que transmitiera un poquito cómo cómo impulsar dentro de las organizaciones, porque eh a veces falta eh impulsar un poquito más de mejor uso. En definitiva, no necesariamente depende de la dirección, no necesariamente eh eh de factores que que son técnicos, cómo impulsar dentro de las organizaciones el mejor uso de de los datos. Sí. Bueno, hay que transmitir a la a la a la a la alta dirección de la organización, ¿cierto? A los tomadores de decisiones. Ver al dato como un activo valioso de la institución es lo es lo principal. Eh, segundo, gradualmente transformarnos en generadores de modelos con nuestros datos, modelos propios con datos propios, no solo ser usuarios de las aplicaciones que que existen, que obviamente todo el mundo usa, los modelos de diferencia de de grandes modelos de lenguaje, etcétera, porque tiene que ver no solo con la con la agregar valor a estos modelos, sino que con lo que se está hablando hoy día de la ciberseguridad. E todo el mundo también de del punto de la alta dirección hacia abajo existe una presión de usemos inteligencia artificial, es super fancy, super hype, está de moda. Todo el mundo dice, "Usemos inteligencia artificial." ¿Cómo no usa? Ah, está, si no usa, está ahí fuera. El tema es cómo. Y el tema y y y en el contexto de las jornadas de hoy día, eh, es la salvaguarda de la seguridad que us que tenemos al usar estos modelos. ¿Quién usa estos modelos? ¿Qué información sube? Hoy por hoy hasta hasta muy actual sobre todo la la etapa de los médicos formación, los becados, ¿cierto? Tienen que hacer muchos resúmenes de pacientes. Muy fácil subirlos a a los de inferencia grandes modelos de lenguaje y hacer resumen que son muy buenos para eso. Pero, ¿qué datos estamos subiendo? No todos son anonimizados y a veces los anonimizan sacando el nombre y el root, lo típico, pero eso es el comienzo de la anonimización. Una anonimización robusta no basta solo con borrar el nombre y el root. Hay muchas formas de deanonimización que puedes llegar al modelo. Hay eh modelos de de ataques y de inversión de modelo que incluso en las redes neuronales tú puedes hacer ingeniería inversa y llegar a porque los modelos aprenden e aprenden como de memoria ciertos patrones. Entonces, tú puedes hacer un una ingeniería inversa eh con estos modelos, aunque no aunque no lo crean. Entonces, tiene que haber una animización robusta de canonimización, Lbcinos, etcétera. Hay muchas técnicas para eso que no es solo entonces cuando vemos a los a a los usuarios eh eh subiendo haciendo resúmenes en los modelos, ojo, ¿qué información suben? E cuando hay en las reuniones clínicas hoy por hoy todo el mundo dice, "No, yo estoy aplicando inteligencia artificial porque tien modelos de audios que escuchan las reuniones clínicas. y la resumen muy bien en parámetros. Perfecto, pero qué información se está filtrando ahí o o posiblemente filtrando de nuestro modelo. Entonces, a eso hoy, con la importancia de no solo ser usuario de estas de estas aplicaciones, sino que generar nuestros modelos, porque ese generar va a involucrar todo lo que se está hablando, lo que lo que hablaron en la conferencia recién, lo que hablamos recién de las salvaguardas, porque al armar los modelos vamos a tener que cumplir, vamos a tener que tener compliance de toda esta legislación, vamos a tener que tener un oficial de datos, vamos a tener que cumplir con la ley de ciberseguridad. Entonces, y vamos porque el el el usuario va a poder nos va a poder llegar a preguntar es si si a primero si acepta que usen sus datos y segundo si usaron sus datos tenemos en algún momento pueden llegar a a pedirnos explicaciones de cómo llegamos a ese modelo con esos datos. Tenemos que ser capaces de hacerlo. Para ser capaces de hacerlo, hay que tener todo trazado desde el inicio. Entonces, los proyectos de machine learning y data science, que son superinesantes, pero tenemos que tenerlos documentados eh desde el inicio y ahí está el valor de usar nuestros propios datos. Muchas veces en las clínicas, los hospitales estamos sentados sobre cerros de datos, usamos grandes fichas pero como máquinas de escribir y nada más y tenemos datos debajo de eso que tenemos que usarlo, pero para usarlos tiene que haber una muy buena gobernanza de datos y transmitirle en tu pregunta a toda la alta dirección de las instituciones lo valioso del dato como un activo de la compañía. Tan activo como el resonador, como el escáner, los datos un activo valioso de la compañía. Ese es el mensaje que tenemos que transmitir. Ca cuando nos sentemos con ellos pedirle cosas, ellos lo vean como tal cual como si están cambiando un escáner o están cambiando un resonador. Sú, muchas gracias. Joselin, tú estás encargado de la ciberseguridad en una organización importante de salud e como y en el ecosistema de salud, por lo tanto, hay proveedores, hay multiplicidad de de actores que hace que eh resguardar la ciberseguridad no sea fácil. ¿Dónde están hoy día esas superficies de riesgo y qué hacer como para enfrentarlas? Porque por un lado tienes harta población eh flotante, por ejemplo, los mismos doctores. Eh, ¿dónde está hoy día el principal riesgo de de en de la ciberseguridad en el sector salud? ¿Está prendido? Ahí sí. Hola, eh, buenos días a todos. Primero, eem creo que el principal riesgo hoy día es multifactorial. Eh, no se puede decir que viene solo desde desde un lado, eh, partiendo por la cadena, como bien dices tú. Eh, hoy día sí no somos entes aislados. Eh, cada empresa no trabaja por sí sola, estamos dentro de un ecosistema. Entonces, desde la gestión de las terceras partes, eh lo mencionabas tú también eh en tu conferencia, e los terceros, por ejemplo, eh por ser grandes marcas y me imagino que aquí a varios les ha tocado, eh no están completamente en compliance con las políticas de seguridad y a nosotros nos han llegado a decir, "Oye, la Coca-Cola me ha pedido tanto y sorry, no somos la no tenemos la Coca-Cola, pero somos mucho más sencill sensibles. La información que nosotros trabajamos es muy sensible y si ellos no están acorde también a nuestras políticas, eh nos rompen el ecosistema. Entonces, nosotros hemos debido parar eh proveedores y efectivamente tampoco estamos para parar el negocio, pero el negocio también tiene que entender que si no ponemos un stop desde el principio va a ser muy difícil después que, por ejemplo, ese proveedor pueda estar parchando y nos dicen, "Oye, pero es que no me puedes poner un agente porque después nosotros no nos hacemos cargo ustedes se tienen que hacer cargo si algo pasa o si funciona mal o si no corre el sistema." Eh, desde eso también yo creo que lo más importante es que eh la gestión de riesgo se tiene que manejar desde el inicio. O sea, esto es ya hemos conocido los términos de eh ciberseguridad por diseño. Ahora también en el último año al menos estamos conociendo mucho más la privacidad por diseño. Eh, pero todo debería ser por diseño, o sea, tenemos que llamar a todos los actores a la mesa. Eh, continuidad operacional también tenemos que saber qué hacer. si un sistema nuevo, si una nueva implementación la estamos diseñando, ¿qué hacer si eso no está disponible? Si finalmente lo que sabemos es que eh nosotros no protegemos sistemas, trabajamos en la parte técnica, pero estamos protegiendo también eh se mencionó la continuidad de la operación, la continuidad de una persona que nos va a confiar y las personas cuando van a las clínicas, a los hospitales, eh no van por entretención, ¿cierto? No es lo mismo ir a un cine que ir a una clínica. O sea, ellos van con una preocupación. Y creo que eso también es muy importante traspasárselos a nuestros equipos, que si bien nosotros somos técnicos y trabajamos eh por lo general la mayoría del tiempo detrás de un computador, no estamos tan cercanos al paciente y creo que eso también es muy importante. La cultura organizacional también e por eso creo que es multifactorial hoy día, ¿no? No podría decir que hay un solo riesgo en por nuestra parte. Lo importante es estar atento a todos esos multifactores en definitiva, que yo creo que la madurez que tenemos. Felipe, es imposible no hacerte esta pregunta. Se ha escuchado de la posibilidad de aplazar la ley de protección de datos. Eh, pensando en quiénes nos están viendo y a quiénes participan hoy día en este encuentro en esta jornada, a qué deberiésemos estar atentos si es que se llega a aplazar, por ejemplo, la ley de protección de datos. ¿Qué cuáles son los warning y las cosas que deberíamos preocuparnos? En primer lugar, para cumplir el plazo que está para cumplirlo y segundo, si es que se aplaza, ¿a qué deberíamos estar atentos por si solamente es un aplazamiento de tiempo o no? Yo diría primero, esta es una ley que ya dio 2 años para prepararse y por tanto igual que en Europa y por tanto aquí lo que debió haber ocurrido es que una parte importante del mundo privado y particularmente el mundo público hubiese adoptado medidas para poder adecuarse. No digo estar adecuado, pero pero ir en camino de adecuación. Eh, no habla bien del país que estemos prorrogando la entrada en vigencia de las leyes, porque nos vamos a asimilar a otros países, digamos, que no queremos parecernos, ah, donde hay cierta incertidumbre regulatoria permanente y eso no es bueno porque las leyes buscan finalmente supuestamente ir cambiando conductas sociales y si el gobernante de turno va aplazando la entrada en vigencia Lo que le va dando al regulado es una señal de no te preocupes si no alcanzaste el próximo año, pero el próximo año a la chilena, a la Chile en Way, lo que va a pasar es que van a faltar dos meses y van a decir de nuevo, oye, no hemos alcanzado, entonces otro año más. Eso me parece que es poco serio, mala política pública. Segundo, si el gobierno manda un proyecto para eh postergar la entrada en vigencia de la Ley de Protección de Datos, la 21,719, lo primero advertir es que la 19628 sigue regiendo y hay gente dice, "Ah, no, es que no hay norma de datos." No, es que hay norma de datos. Es que no pueden reclamar. Hoy día hay recurso de protección que antes no estaba. Entonces, cuidado porque esto no es que quede ahí. Segundo, respecto de eso, si yo pudiese hacer una sugerencia a la autoridad, es más bien decir, mire, no suspenda la entrada en vigencia de la ley, pero postergue el régimen de sanciones para que sea en la práctica una norma que está vigente eh y que supone una adecuación y que mantenga la obligatoriedad, pero que frente a un eventual incumplimiento tengamos un año para poder adecuarnos. Eso me parece que sería razonable. ¿Dónde está, a mi juicio una una bandera amarilla, digamos? es en esto que ha anunciado el gobierno de manera yo bien oblicua, porque no ha sido directo, de que probablemente va por un tema solo de recursos que eh los consejeros, los tres consejeros de la nueva agencia de protección de datos serían como dedicación parcial. ¿A quién se le hubiera ocurrido poner un comisionado a la CMF a medio tiempo? A nadie. Esta no es una ley para poner a alguien a medio tiempo porque el monto de las multas, la complejidad de de implementación es extremadamente alta. Me dijo un ministro, a quien le representé esto el otro día, me dijo, "Mira, pero es que no, si que no entiendes porque solo en la etapa intermedia, o sea, entre que la agencia se instale y que la ley empiece a regir, peor, pues le digo yo, que justamente el momento en que hay que dictar reglamentos, instrucciones, generar los protocolos y ahí es donde se requiere evitar todo tipo de conflictos de interés o eventualmente falta la probidad porque complicado. Entonces, yo creo que ojalá si si es que se va a prorrogar que se haga solo del régimen sancionatorio y que se abandone la idea de la dedicación parcial, porque creo que es un tema extremadamente complejo que además requiere de expertos o expertas instalados ahí, que además sea multidisciplinario. Nosotros nuestra oficina originalmente de abogados, solo abogados, hacíamos normativa y nos dimos cuenta, nuestros clientes nos empezaron a decir, "Oye, está bien, tú me redactaste la super política de privacidad, los contratos, todas, pero yo necesito que las cosas pasen. Entonces requiero hacer modificación de procesos y necesito adecuación tecnológica." Bueno, entonces hoy día tenemos abogados, ingenieros, auditores, oficina porque nos obligó. Entonces el consejo debería ser igual. Uno, un abogado, ojalá un ingeniero o ingeniera con con experti en tema de datos y un analista o en materia de ciencia de datos que que complementa la visión porque al final del día las decisiones que se van a tomar son ah no solo jurídicas, son más bien de implementación práctica y muchas veces los abogados nos falta esa preparación más bien técnica para entender que la implementación no siempre va de acuerdo a lo que dice la ley. Perfecto. Les recuerdo nuevamente que hagan las preguntas al QR. Ahora viene una pregunta general. Quien quiera responder no es obligación que todos la respondan, pero si quieren participar no hay problema. Una una es una pregunta general para todos ustedes y después de eso viene la pregunta del público. Así que este el momento que pueden hacer su sus preguntas. Yo la voy a estar leyendo aquí un par de ellas. Estamos juntos con el tiempo. Eh, en el sector salud. Eh, yo me acuerdo en en la segunda jornada participaste tú también, Lorena, y y destacabas como la República Independiente de de sector salud, que no es como otras industrias, en definitiva, porque hay tiene muchos eh controladores, además tiene muchos controladores, múltiples controladores y por lo tanto tiene eh muchos muchos desafíos. Y por otro lado está, como también se decía acá, Michel, lo destacaba en su en su presentación que ella es la directora suprogante de de la ANSI, de la Agencia de Ciberseguridad, pero no es de la protección de datos y por lo tanto la República Independiente de Protección de Datos ya fijará su norma y todo eso. Bueno, las organizaciones hoy día estas repúblicas independientes también existen. Entonces, ¿cómo logramos que haya una gobernanza unificada entendiendo de que estos son problemas que son tangenciales, un conjunto que se reúne en definitiva? ¿Cómo hacemos de que se eh se logre esa mirada integral para todos estos desafíos que tienen que ver con ciberseguridad, con interoperabilidad, con protección de datos? ¿Cómo logramos, en definitiva de que no se formen silos y y lo de allá yo no me meto? ¿Cómo logramos esa gobernanza? En definitiva, a ver, si me permiten primero referirme a una cosa pequeñita. Primero, en materia sanitaria hay derechos fundamentales comprometidos que están el 19 número uno con la neuroprotección, que ahí están todas las imágenes de laboratorio, todos los exámenes asociados a ello, el 19 número 4, la protección de datos personales, pero además le sumamos el 19 número 9. Entonces, tenemos recursos de protección por múltiples vías en esta materia. Segundo lugar, el en esta materia eh además del CERNAC, de la Agencia de Protección de Datos de la Agencia de Ciberseguridad, tenemos la Superintendencia de Salud y la Superintendencia de Prestadores. Entonces, en ese en ese contexto, a mi juicio, si es que si es que vamos y la suceso, por cierto, en salud laboral, si es que pensamos nosotros si si este país pretende eh modificar la entrada en vigor completa de la ley, debería volverse al diseño original del proyecto de ley, que es que la Agencia de Protección de Datos no se toca y se inicia en el proyecto original. Si te acuerdas, Felipe, la Agencia de Protección de Datos que quedó en el transitorio, que no fue modificado después, tenía que ser designada a los 6 meses de la publicación de la ley, porque las agencias de protección de datos a nivel internacional tienen por finalidad uno capacitar al eh público y privado en la implementación de la ley, asesorar a las distintas industrias, dictar guías de bajada de la ley que permiten la coordinación regulatoria en cada una de ellas, ¿cierto? representar internacionalmente al país en la eh en la promoción del país como un país adecuado para los efectos de que las inversiones puedan venir a Chile. Nosotros acabamos de anunciar un gran convenio con el CERN de Francia para gestionar y tratar millones de datos y esos datos no pueden venir a Chile porque no somos un país adecuado. Entonces, lo que yo pienso es que deberíamos en primer lugar por fin designar la Agencia de Protección de Datos. No tengo, a mí me parece que es más cercano a el a los tribunales ambientales que a las agencias tecnológicas. Yo no pondría dos de dos de dos de informática. Pondría un economista, un abogado y alguien de ciencia de datos. Hm. porque real o de o de que entienda de tecnologías. Hm. Eh, pero no dejaría como esto como un tema tecnológico porque y por eso les digo que es un tema de derechos fundamentales y es mucho más amplio que solo la protección de datos, es el entramado global de derechos de las personas, pero también es la inserción de Chile en la economía digital a nivel global y en ese sentido necesitamos hacerlo, ¿no? Entonces, la única forma de que haya gobernanza real en este minuto que podamos salir del punto cero del pánico. Hm. Es que exista una agencia de protección de datos que impulse y sirva de locomotora y capacite a nuestro país en este en este tema, ¿no? Eh, incluido obviamente un consejo asesor como lo hicimos, ¿no? Pensemos que la Alianza Chilena de CBeguridad nació al alero de los consejos consultivos del Ministerio de Economía como el Consejo Consultivo de Ciberseguridad y hoy en día ha sido el motor principal de que en Chile tengamos una ciberseguridad más robusta. Entonces, yo partiría por ahí. Yo quisiera poner otro actor sobre la mesa que que no se ha mencionado, pero que está en proyecto, que es la Ley de Inteligencia Artificial. a ser otro tema que también no podemos caer en lo que lo que decía Felipe que la posongamos. Hay dos boletines andando, se reunió en uno. Eh, ¿por qué? Porque yo trabajo con datos y soy cientista de datos y yo voy a ser la pulga en la oreja de las instituciones pidiéndole datos. Denme datos, denme datos, demme datos. Pero tampoco quiero que haya fuga alguna un bag en mi proceso de datos. No quiero que mi laboratorio de datos hallan fuga de datos porque voy a capotar todo, voy a echar abajo. Entonces, la ley de inteligencia artificial también nos va a obligar a ponernos de acuerdo en muchos aspectos. Eh, debería ir obviamente alineada con la con la ley de protección de datos, ir seguridad, etcétera. Interoperabilidad también la ley de gobierno de datos, acuérdate, también se está tramitando en el Congreso. Eh, entonces tenemos que ponernos de acuerdo. tenemos que, yo creo que la clave es ponernos de acuerdo porque es algo que que incluye incluso a las universidades como estamos hoy día acá, porque hay una parte que las leyes no todo can ética, eh, porque a la hora, la última milla, por decirlo así, quien toma la decisión de cómo usar el dato si lo subo no más porque necesito este resumen ahora, entonces no importa que haya el nombre, lo subo no más, total me van a evaluar. Entonces, bueno, eso va en la ética y eso no está definido en las leyes y eso va en la conducta cada uno. Entonces, eh para ir pensando en este en este difícil ponernos de acuerdo que también tenemos que sumar a la mesa el proyecto de ley de inteligencia artificial, que por otro lado ya vimos las experiencias en Europa muy protegida, en Estados Unidos muy poco protegida para favorecer el desarrollo de la de las startups, que está bien. Entonces, tenemos que aprender de esa experiencia para que cuando nos estemos poniendo de acuerdo, estemos de acuerdo, valga la redundancia, y que cuando el usuario final en la última milla estemos poniendo adecuadamente una capa de seguridad entre el conocimiento, los datos, los agentes, porque todos lo van a estar haciendo con agentes hoy en día y el usuario. tiene que haber capa de seguridad en cada una de esas etapas, poner poner la seguridad en los datos antes de usarlos y no quejarnos después, sino que ponerlos antes que lo estemos usando y como les digo, considerar la ley de inteligencia artificial, que también es algo que hay que acelerar su su desarrollo. Bueno, me voy a salir un poquito de los datos. em creo que para una gobernanza única y estratégica, y volviendo al concepto de estrategia que es para las palabras que uno usa en el día a día y a veces como que pierden un poco de sentido, estrategia en el sentido de tomar ir tomando decisiones para un objetivo común, ¿no? Eh, y vuelvo un poco con el punto anterior, que para eso creo que tienen que estar todos los actores y las diferentes miradas. tú, me imagino que ahí en en los comités debe estar hablando de los datos, eh qué datos vamos a usar, que los consentimientos, la anonimización, la pseudonanimización, todo eso. Por mi parte eh desde la seguridad también eh está desde la cultura. Hoy día las personas todavía no entienden bien que es un dato personal y que es un dato sensible. Eh y también tenemos que llegar, ¿no?, con tantos tecnicismos. Yo creo que también como más abajo, como con ejemplos claros, eh también con los temas de la inteligencia artificial, el uso responsable de la inteligencia artificial, pero también, ¿qué significa eso? Suena bien, pero ¿qué significa en el en el uso en el como dices tú la última milla? la persona tal vez la cajera que tiene que entregar la información, a veces hablan fuerte, no sé, como que son muchas cosas que también hay que tomar en consideración desde personas también. Eh, por ahí nos hacíamos la pregunta nosotros. Es una persona que va a entrevista, por ejemplo, a una empresa, eh, y uno tiene su currículum, yo me tengo que quedar con ese currículum, lo tengo que que votar, pero ellos quieren tener, no sé, People quiere tener una base de datos de posibles candidatos, pero tengo derecho, tengo que pedir el consentimiento. La persona lo entregó por voluntad porque quería trabajar en esa empresa, pero por ejemplo si no quedó, ¿qué pasa también con con ese currículum? Entonces, eh por eso digo que cada uno tiene su foco, su mirada de atención y por eso tenemos que estar todos. Y lo otro que también tenemos que adaptarnos. Si eh la ley no va a terminar hoy, las políticas organizacionales no van a ser la última versión. Eh ha sido algo que yo sí he ido aprendiendo con el tiempo y con la experiencia de la flexibilidad y de la adaptación. O sea, como que uno tiene su plan en enero, bueno, en marzo que parte el año en realidad. bien clarito de a fin de año en el Q1 hago esto, Q2, Q3, Q4, pero llega una nueva política, en mi caso, en nuestra organización desde UK y nos cambia todo y ya obviamente uno se frustra, pero hay que adaptarse. Creo que mientras más rápido seamos capaces de adaptarnos, esto va a funcionar mejor, pero todos tenemos que adaptarnos desde, no sé si es que acá también hay estudiantes, el conversar, el comparar, el comprender el punto de vista del otro también. Creo que eso es muy importante que desde que seamos estudiantes aprendamos del pensamiento crítico, o sea, no cerrar la puerta, quedarse enfocado solo en mi en mi rancho, digamos, y yo soy dato, yo soy seguridad, tú eres people y cada uno defiende, obviamente, y quiere ganar también. Bueno, se puede ampliar mucho la conversación, pero también todos estamos peleando por los presupuestos. Eh, tenemos que aprender a priorizar y por eso eh comento de la estrategia que las decisiones también las debemos priorizar. Esto es conversar y creo que y hay un concepto que tal vez es bien eh bajo nivel, si se puede decir, que yo siempre digo también cuando las personas estamos entrevistando y entran al equipo, yo le pregunto al que entrevista, le digo, "¿Habla de corrido?" Pero a eso me refiero, no en el mal sentido, sino que esa persona es capaz de presentar su punto de vista porque puede ser muy bueno técnicamente y de partida yo asumo que si ya pasaste por la universidad, has tenido experiencia en trabajo, la parte técnica está un poco chec, ¿cierto? Pero tienes un pensamiento crítico. O sea, yo hoy día no necesito personas que eh solo estén detrás del computador, bueno, eh y solo sepan hacer la parte técnica. Necesito que esa persona sepa explicar lo que está haciendo, perfecto. Sepa conversar también con con las otras áreas y llegar a acuerdos, que tal vez ahí también es bastante más difícil. Felipe, tú tienes que radiarte, lamentablemente. Eh, vamos a despedir a Felipe, no sé si quieres mencionar algo o estamos okay. Perfecto. Muchas gracias, Felipe. Un aplauso para Felipe Arz. se tiene que retirar, dejarnos en este momento. [aplausos] Muy bien. Justo habían varias preguntas del público para Felipe, pero bueno, será para otra ocasión. Lamentable, no te preocupes, no te preocupes. No, bueno, hay una pregunta de Camilo, una pregunta del público ya, Camilo, si estás por ahí. Eh, y tomando un poquito lo que tú estás mencionando, eh, hoy día hay una necesidad de efectivamente de generar una cultura dentro de las organizaciones tanto de ciberseguridad como de protección de datos. Eh, y tú y literalmente coincidía con lo que dice aquí la pregunta tiene que ver con que cómo sin usar tecnicismo, ¿cómo logramos entonces qué experiencias qué pueden decir de cómo hacerlo en definitividad? Dígale algunos tips a la a la gente que que que nos está viendo, que está escuchando de, oye, mira, si, por ejemplo, para no usar tecnicismo lo que hicimos fue esto o puede ser por esto o vimos una experiencia de este tipo. ¿Qué qué experiencia podían transmitir respecto a eso? A ver, yo también me tengo que retirar, así que voy a voy a tomar la palabra. Eh, tengo que estar en BOCEF en en la escuela de ingeniería en media hora, con lo cual va a ser un poco complejo, pero bueno. Bueno, excelente. Pero bueno, en helicóptero, sí, no sé cómo lo voy a hacer, pero bueno, les comento, eh, dentro de mi vida académica me he dado cuenta que la gente entiende mucho más todos estos conceptos eh cuando se le habla en términos claros y que sean pertinentes a su dolor. Pertinentes a su dolor, no pertinentes a su actividad. Hm. O sea, por ejemplo, habría que decir que por eh que la Agencia de Protección de Datos podría decirle a usted que no puede tratar datos personales mientras no arregle su problema de ciberseguridad. ¿Cuánto significaría en la facturación de su industria que usted no pueda tratar datos personales durante los 60 días que tiene para arreglar esto? Hm. Eh, eso se lo puede decir al área financiera, ¿no? Eh, pero lo otro es lo que tú decías, el dato es un activo, por tanto, la protección de datos, la implementación de esta ley, usted la tiene que meter en los costos directos, no en los costos indirectos ni en los gastos, porque el el desarrollo de su negocio depende de que usted tenga implementada esta ley, ¿ya? eh y así sucesivamente. O sea, en el fondo, si usted eh lo otro, no, la ley declara o establece que el responsable del tratamiento se tiene que hacer cargo frente a terceros de eh de los incumplimientos que se produzcan con independencia de que tenga un proveedor tecnológico que le dé sustento. Eso significa que la multa la paga usted y usted después tramitará el juicio civil para que el proveedor le devuelva lo que gastó en eso, ¿no? O sea, hay que apuntar al al hecho fáctico o al al a cómo le va a afectar en su vida diaria esto, ¿no? Y asimismo al funcionario uno lo puede hacer firmar muchos NDA o muchos NDA, como dicen, o muchos eh contratos. Sin embargo, él tiene que saber que es una falta grave, una falta de probidad o una falta grave que puede ocasionar el despido, el hecho de que le saque un pantallazo a una ficha clínica de un famoso para mandarlo un diario, ¿ya? O sea, en el fondo tienen que, yo creo que esa es una técnica eh que sirve, que trae a la a la experiencia práctica y a los efectos específicos en relación a una persona, la aplicación de todas estas leyes, porque en realidad no es solo una ley, es un entramado normativo que lo que hace es ponernos al día respecto de cómo se está hoy en día aplicando el derecho en una era tecnológica, o sea, la era la las tecnologías están metidas en todas las áreas de nuestra vida y lo que lo único que estamos haciendo es adecuar nuestro sistema jurídico a esta realidad. Ya. Y respecto de del proyecto de ley de gobierno de datos, creo yo que es super importante que ustedes participen, porque la ley de gobierno de datos lo que hace es decirle al Estado que ponga a disposición de los privados los datos con que cuentan para que puedan hacer su tarea, en este caso, por ejemplo, investigación. Pero sin protección de datos en el área privada, el Estado no puede pasar los datos. Entonces, ojo con eso. Lo mismo inteligencia artificial. El estado, si el Estado no pone, es el gran tenedor de datos de este país, si no los pone a disposición de los modelos para entrenarlos, por ejemplo, en la TAN GPT, eh no vamos a tener modelos adecuados a nuestra realidad local, pero sin ciberseguridad en el sector privado, el Estado no puede pasar los datos, lamentablemente. Así solo eso, comentarles que con ejemplos prácticos aplicables al dolor específico de cada área se aprende mucho más que con letra entra la sangre, como dicen eh la dice con sangre entra la letra. Así es. Eh, no va la gente si le por muchas clases que uno le haga de las de los contenidos normativos, no hay un internalización real, si no hay un ejemplo práctico que sea pertinente a la actividad de cada uno de las personas que participan en la cadena de valor de la de la industria de que se trate. S eso y muchas gracias. Gracias, Lorena. Un aplauso para Lorena. [aplausos] Bueno, no sé si tenían un punto que mencionar. Sí, yo creo algo muy simple que se escapa un poco de lo técnico, pero de nuevo, ya que estamos en la academia, en una universidad, hay que poner énfasis en Yo creo que los lingüistas van a tener una arduo desarrollo y tarea porque hablando lo que lo que tú decías, cómo le explicamos, cómo entiende la gente en simple, tenemos que todavía ir una barrera atrás y es que todavía tenemos mucha gente joven que entra a la universidad sin comprender lo que lee. Todavía el 50 60% de los jóvenes no entiende lo que lee. Entonces, esa es la tarea de los colegios, de la universidad, desarrollar el pensamiento crítico, como dices tú, porque como decía el profesor Claudio Gutiérrez de BOCHEF también del departamento social de computación, ellos más que enseñar a programar ahora están enseñando a a los estudiantes a cómo decirle a la máquina lo que quiere hacer y para eso necesita lingüística. Entonces, para hablar bien, para entender lo que lee o hablar de corrido, como dices tú, en el buen sentido de la palabra, los jóvenes tienen que entender lo que hablan y lo que leen. Y eso es una tarea de todos, digamos, y no es no es técnico para que entiendan lo que cómo les transmitimos estas cosas. lo entiendan, porque también cómo le transmites que la los modelos de inteligencia artificial, los modelos de diferencia de grandes modelos de lenguaje no son determinísticos, son probabilísticos, pero la gente lo está usando ahora como determinístico. Tú le preguntas un chatbot de inferencia grandes modelos y la gente lo asume como verdad y no es verdad. Son probabilísticos, no determinísticos y en salud pucha que eso importa. Eh, para terminar ya la la última y yo no sé si tú además quieres aportar ahí a la pregunta de Camilo, es tiene que ver con entregar eh e alguna recomendación a las organizaciones de salud, en definitiva, no más que las organizaciones de salud que para hacer de de el sector aún más ciberseguro. Sí, bueno, no soy nadie por decir para dar una recomendación, pero solamente como lección aprendida de mi parte. Eh, creo que es eso, la capacidad de adaptarse. Yo creo que ya la tecnología va a seguir avanzando, inteligencia artificial va a seguir avanzando, nos vamos a seguir sorprendiendo todos los días. Sabemos que todas las semanas hay avances en esto, eh, pero sí tenemos que ir al día, tenemos que ir junto con eso, no podemos quedarnos atrás, sobre todo en salud. Creo que eh también, como dices tú, todos quieren usar inteligencia artificial, pero sí tiene que ser bien guiado, eh bien organizado. El tema de la IA responsable también es muy importante. Entonces creo que es eso, como adaptándonos, ir al mismo paso, porque si no los malos nos van a a ganar en esta carrera, ¿cierto? Eh, y eso tiene que ir desde la cabeza, tú también lo mencionabas, desde los altos ejecutivos, pero nosotros también tenemos que ser capaces de traspasarle este conocimiento, o sea, eh contarles, a lo mejor ellos lo escucha, la gente escucha la inteligencia artificial y como dices tú, eh, el chat GPT es Dios, pues el psicólogo es todo. Entonces, explicarles, pero desde esa humildad también, creo yo, como que todos aprender, tal vez cosas que eh todavía escuchamos, pero si esto se hacía así no lo toquemos porque si sacamos el palito se va a caer. Tenemos que ser valientes también, eh, presentar nuestras ideas, pero de nuevo en conjunto yo creo que todos podemos avanzar. No sé si tú quieres decir algo. Lo último, cerramos. Eh, no poner énfasis en que un poquito la la eh mi tarea evangelizadora es de desarrollar nuestros propios modelos de lenguaje de de machine learning, no solo de diferencia de lenguaje, porque creo que ahí está el valor. Eh, Lorena, lo decía recién, mencionó la TAMGPT, que es una gran acierto nacido de un de una idea chilena que convocó a 60 instituciones de Latinoamérica, se logró hacer un modelo de la TAMGBT. podemos hacer algo parecido en salud porque acuérdense los modelos tienen mucho sesgo y en estos momentos están entrenados con la mayoría de datos del hemisferio norte. Entonces, sobre todo si eh lo usamos para hacer inferencia en salud, no tenemos representación de los datos de nuestra población que absolutamente tienen otro patrón cultural, biológico, étnico, genético, que es la población del hemisferio norte. Y los modelos que estamos preguntando hoy en día están mayoritariamente entrenados con datos del hemisferio norte. Entonces, tenemos que desarrollar modelos propios, tenemos que trabajar bien nuestros datos para que los modelos cuando los pongamos en producción sean representen patrones de nuestra población y eso es crítico, creo yo. Salud. Bueno, se nos viene altos desafíos, uno eh a través de las distintas normativas, distintas leyes, las distintas tendencias tecnológicas, por lo tanto, hay mucho que hacer y muchas gracias por participar ustedes primer lugar al panel. Le damos un aplauso al panel y [aplausos] muchas gracias a ustedes. Muchas gracias a nuestro moderador, Pablo y a todos los panelistas por este enriquecedor debate. Y continuamos en honor al tiempo. Damos paso al bloque dos, que va a consistir en eh un bloque de 15 a 20 minutos y se tratará de resiliencia digital y continuidad asistencial. Para abrir este bloque con el keynote principal recibiremos en el escenario a Cristian Donire, Siso en Red Salud y Cristian cuenta con más de 18 años de trayectoria en ciberseguridad e infraestructuras críticas y hoy abordará las estrategias claves para la continuidad operativa asistencial ante incidentes de ciberseguridad. Así que con un aplauso le damos la bienvenida. [aplausos] Hola a todos. Eh, muchas gracias. Vamos a ser muy eficientes en estos 15, 20 minutos. E siguiente. No sé si esto ir a funcionar. La hora de oro comienza. Llamen a TI. No son solo los sistemas. El reloj legal empieza a correr. Hoy las amenazas van mucho más allá de la tecnología. Fallas, desastres, la propia intención humana. Ransomware, ¿qué tan preparado está tu plan de resiliencia hoy? Ya parto con ese video eh rápidamente, 20 segundos hablando de qué es lo que pasa hoy día en las clínicas. Hoy día las clínicas cada vez están más tecnologizadas, la ficha tenemos un montón de de sistemas que nos apoyan y hay un concepto que acuñaron los norteamericanos que habla de la hora de oro. La hora de oro, para los que no lo conocen, es son los primeros 60 minutos que tienen los médicos, los distintas las entidades de salud para salvar un paciente, por ejemplo, con un ACB o con un eh infarto. ¿Ya? Eh, esos 60 minutos son la diferencia entre la vida y la muerte. Y han estudiado también que en algunos casos las clínicas o los centros médicos de salud que han estado afectos por un Ramsonware en específico, esa obro aumenta un 30% y ustedes entenderán que eso también impacta directamente la vida de nuestros pacientes. el tema de la resiliencia hoy día, la continuidad BCP o DRP, como queramos llamarlo hoy día, distintos niveles de la continuidad, ya no es un tema de ETI, hoy día nos debemos a los pacientes y nuestro enfoco principal es que la atención continúe, ¿okay? No es solamente un tema ti, yo siempre hago el comparativo con un bancario donde queremos proteger las transacciones, que el banco continúe, a diferencia de nosotros los clínicos, que tenemos que seguir dando salud a nuestro paciente y salvando vidas. Cuando hablamos de eh qué nos podría afectar, yo siempre separo esto en dos partes. Esta es la parte más técnica que acá es cuando hablamos de los DRP, de lo que hoy día controlamos desde los respaldos y la continuidad, que es un disaster recovery, como se dice en inglés. Y eh también tenemos lo que es el BCP, que es mucho más integral, que es un business continuity plan. Y acá hay otras y hay otras cosas que que tenemos que ver también en lo técnico hablamos de eh luces, de servidores, fierro, respaldo, pero también hay cosas que nos pueden detener la operación. Por ejemplo, tema geopolítico. Hoy día estamos en una encrucijada en que se abre el estrecho, se cierra el estrecho, subió el petróleo y esto afecta un montón de otras materias primas, pero también hay otros temas físicos. Bueno, todos sabemos lo que pasó con la la pandemia. Entonces, eh, ¿qué nos puede afectar hoy día? Son múltiples factores. Haciendo un drill down un poco en lo que es la parte de la tecnología, tenemos nuestro famoso Ramsonware. Tal vez est la parte menos fancy de de todo el foro, porque hay que hablar de la continuidad, no hay que hablar hoy día de cómo nos protegemos. Tenemos el famoso Ramsonware, que ya la gran mayoría me imagino que saben, pero es cuando un un atacante, un grupo entra a alguna clínica, roba la información y ejecuta el Ramsonware. Lamentablemente, cuando ya vemos en la pantalla que tenemos un Ramsonware, esa es la última parte del ataque. El atacante ya pasó varios meses dentro de la compañía. Lo más probable que haya robado toda la información que teníamos. Lo más probable y lo más seguro es que haya eliminado todos los respaldos y lo más probable que ya esté extorsionándonos en varias redes sociales, inclusive los medios locales. También está las fallas internas y ahí es donde fallan los servidores, se caen las cosas, los cortes de enlace, las comunicaciones, sobre todo si tenemos grandes grupos de clínica o centros médicos, estamos afectos a la continuidad de del Asterelco y hoy día como estamos también está bien de moda la caída de las nubes, las nubes también se caen, podemos tener distintas Google, Amazon, Asure y estas eh si bien aseguran una disponibilidad o uptime bastante alto también pueden caer. Así que hoy día fallas técnicas vamos a tener varias y el riesgo ya deja de ser hipotético. Le expliqué el 30% aumento y eso está estudiado. Ahí están abajo la fuente que la hora de horas se se la hora de oro se extiende durante un ataque. También en promedio, y esto acá lo llevo al ATAM, eh Felipe mostró un valor con respecto a a lo que cuesta la recuperación de salud de 7 y algo millones de dólares. El Atam está en 3.8, och un poquito más barato, pero deja de ser no deja de ser importante. Y en promedio un ataque ramsonware afecta a una entidad de salud en 24 días de operación, de días que son cero operación donde muchas veces lo más probable es que las urgencias deban decir, oiga, por favor, atiéndase en la clínica de al lado. A eh detenernos completamente. En Chile hay algunos casos donde en definitiva los eh personas que trabajaban que no eran de la área clínica, se les pidió que se fueran a la casa por dos semanas. Y bueno, también hay un dato bien duro que el 53% de las víctimas en Estados Unidos que han sido atacados por un Ramsonware pagaron el rescate. ¿Y por qué pagaron el rescate? Porque lamentablemente el plan de respaldo, todos los sistemas de poder recuperar la información y la continuidad de la clínica fueron borrado. Y como les digo, esto pasa y en el mundo tenemos eh un sistema de entrega de medicamento en Estados Unidos que se detuvo, o sea, varias semanas porque no lograba volver a echar a andar la operación. Eh, tenemos también en Barcelona que se cancelaron un montón de cirugías porque los sistemas estaban caídos, no sabían que había que hacer con los pacientes en en específico dada la dependencia tecnológica. Y también en Londres hay otro otro caso internacional de detención de las clínicas. No quise colocar particularmente nombres en Chile, pero lo más probable es que ustedes se hayan enterado de un par de eh entidades de salud que fueron atacadas por un Ramsonware y como les digo, también con infiltración de datos, a lo menos tres el último año, eh los últimos 12 meses ya han pasado por esto. también un asegurador o llámese Isapre, hace un par de meses atrás también sufrió una pausa en superación, por decirlo así y y de hecho lo más curioso que tú llegabas a la suursal de Ilisapre y había un papelito que decía, fuimos, tenemos un ciberataque. No tenía ni idea lo que era un ciberataque, pero estaba el papelito ahí y decía que no podían atender. Eso duró tres semanas. Si alguien se tenía si esa va se va a acordar perfectamente. Y también lamentablemente las entidades eh públicas también están afectadas. Una entidad bastante importante que está a cargo de eh permitir o no permitir distintos tipos de medicamentos en Chile fue afectada y yo creo que muchos sabemos lo que pasó. Entonces sí pasa. Bueno, todos sabemos lo que es la resiliencia, la continuidad, un DRP, un BCP. Por favor, todos saben estas tres conceptos que levanten la mano, no lo saben. Yo creo que el 10% del salón lo conoce. Espectacular, porque como esto es una universidad, vamos a hacer la parte académica. Hoy día estos conceptos son los que le dan la vida a las empresas en la continuidad. hablamos de la parte de eh el DRP, que es el es la recuperación técnica de los sistemas, ¿ya? Okay. Todo lo que son los respaldos, los dobles servidores, tener de casi el doble de todo. Después vienen los BCP, que es cuando salimos un poco de lo técnico y vemos lo que tenemos que hacer para operar. Por ejemplo, en esta en caso de esta de esta eh universidad, un BCP perfectamente podría ser si se apagan todos los sistemas de matrícula que los profesores tengan un plan de contingencia manual para anotar las notas o las asistencias. Así de forma bien genérica. Y cuando hablamos de la resiliencia general la cultura desde cuando se forman los distintos procesos para que siempre esté en operación, es como decir acá se va a atender pase lo que pase. y vamos a colocar, si acá se muere un pabellón completo, tenemos un pabellón de campaña y lo vamos a echar a andar y no vamos a depender de los sistemas porque tenemos un respaldo absoluto tal vez en un proceso manual que nos permita eh seguir en la en la en la operación. Como les comentaba, bueno, la resilencia que es parte de la cultura, el DRP que es técnico y el BCP, no es un acuerdo TI. Yo creo que hay muchos errores y a mí me me pasa cuando explico al Comité Ejecutivo que lo por lo menos en Red Salud lo entiende bastante bien, no es lo que yo quiera respaldar, es lo que la clínica en particular necesita para entrar en operación. Primero, es un acuerdo con el negocio. Segundo, hay que tener claras las preguntas que tenemos que hacer, porque tal vez no todo hay que respaldarlo, no todo hay que cuidarlo, no todo tiene que tener un doble factor. Respaldar en general significa colocar varias lucas encimas para que esto funcione y termina formalizado por ellos. Si bien nosotros somos el articulador técnico, el la gerencia, los responsables de la las clínicas, los centros médicos, los hospitales son los que tienen que entender que estamos respaldando y que estamos hoy día cuidando y por qué. Y particularmente eh justo se fue Michel, pero ahora somos las entidades de salud, sobre todo las privadas, somos operadores de importancia vital. ¿Y qué significa? Que dentro de todas las cosas que tienen que hacer los operadores de importancia vital, una de las obligaciones es tener un plan de continuidad, un plan de continuidad técnico. ¿Okay? Y no solamente con eso, hoy día tenemos tres leyes en especí en específica y el decreto que habla específicamente de guardar y resguardar la ficha. Por ejemplo, tenemos la ley de de como les decía de de ciberseguridad que habla del respaldo, habla del decreto 41 en específico, también habla de la la el resguardo de la ficha tanto de papel o electrónica, acá no hay una una diferencia. Y la ley de derechos y deberes de los pacientes, que es obligatoria para todas las entidades de salud, también en específico habla de el tiempo que se tiene que resguardar la ficha. Entonces, hoy día no nos podemos hacer los locos porque realmente el marco regulatorio nos es exige tener un plan de continuidad. Ahora, para todos los que después se van a llevar una copia de la presentación, abajo están todos los marcos que encontré que son referentes a los respaldos, continuidad, cómo se hacen, cómo se deben hacer. De hecho, está HIPA, que es el americano, y hay una hay una entidad americana que se llama Join Commission y ellos también tienen un plan de respaldo muy muy cercano a lo que hacemos realmente en salud. la otros son lo hizo que son mucho más estándares en Red Salud, por ejemplo, después que pasamos por todo este proceso de hablar con los gerentes y decir qué vamos a respaldar, obviamente llevamos una propuesta muy parecido a lo que mostraba Felipa anteriormente. Hoy día hablamos de la ficha clínica que está dentro de los top que tenemos que guardar. Tenemos todos los sistemas de laboratorio que si bien debiese estar toda la información dentro de la ficha, son sistemas que son paralelos. Tenemos todo lo que son los sistemas de calidad y mucha gente se pregunta, ¿calidad? ¿Por qué? ¿Qué tiene que ver hoy día la herramienta que guardamos para hacer calidad entre las clínicas? Para los que no saben, los sistemas de calidad tienen los reclamos y dentro de los reclamos está el, por ejemplo, oye, se quedó una gasa dentro de la cirugía anterior y están los videos. Entonces hay información altamente sensible. los sistemas de imágenes, los sistemas de agenda por la continuidad operativa y el acceso a los servicios clínicos, los sistemas de finanzas por un tema de de la de de cómo se lleva la contabilidad y por supuesto todo lo que es el negocio y de qué generalmente esto se quiere proteger del robo de información y el daño de imagen, el fraude y la indisponibilidad como podría ser un Ramson. Bueno, y abajo también están todas las leyes que siempre muestro el comité ejecutivo que tenemos que cumplir. Ya hablamos un poco de los respaldos, el DRP técnico, el BCP, pero la experiencia nos ha enseñado que ya no solo basta un respaldo antes, oye, tienes el respaldo sí, perfecto. ¿Dónde estaba? En el servidor que hackearon. Hasta ahí llegó el respaldo. Es verdad, créanme que muchas veces hacen esa pregunta. Es más, nosotros conocemos un caso muy cercano, no voy a decir que fue del grupo, pero había un respaldo que mensualmente, además, se sacaba otra copia y cuando un Ramson lo atacó, fueron a recuperar el respaldo y lo enchufaron al servidor que estaba infectado y ahí vienen qué pasó con el respaldo. Bueno, entonces vamos a un concepto que no sé si es nuevo, pero por lo menos hoy día hay que acuñarlo dentro de los respaldos. Hoy día hay que hablar de la inmutabilidad, que la inmutabilidad simple es la capacidad de guardar la información y que nadie la pueda tocar. Es tan así que yo, por ejemplo, si la respaldo y la quiero borrar, no puedo. Así de de especial. Hay distintos métodos para poder borrarlo. Obviamente pasa muchas cadenas de custodia. De hecho, hay muchas veces se se pide tener dos autorizantes porque ya hasta el cuadro legal podría cambiar entre el dolo de borrar información. eh tiene ventajas reales, tiene protección contra el factor humano. Por ejemplo, si algún ingeniero un día se equivoca, digámosmoslo así, eh no la va a poder borrar, va a tener un montón de alertas. Tiene estrategias de multicloud. Hoy día, en general, todos los los conceptos de inmutabilidad pueden respaldar en distintas nubes. Si cae mi nube por un tema de tecnología, no sé, supongamos que un día Google dice, "No, vendo más servicios Latinoamérica y nos corta los accesos." tomamos esta inmutabilidad, la llevamos a otra nube que nos pueda ayudar y nos ayuda también con la diversificación tecnológica. Estos respaldos los podemos llevar a nuestras clínicas y temporalmente mientras estamos en una contingencia echarlo a andar ahí. ¿Qué es lo que yo digo? Esto no es ningún framewor estándar, es algo que armamos nosotros y estamos eh haciendo ya la automatización de la de la inmutabilidad. Yo propongo un modelo que es 321, que eso es muy estándar, lo han dicho muchas marcas, pero coloco un uno y un cero. Ya hay que tener por lo menos tres respaldo. Ideal en local rápido de recuperar, una copia un poquito más fuera en la nube y otra copia inmutable así, pero absolutamente que no se toque. Okay. Medios distintos, no todos sirve en el mismo servidor, no todo sirve en la misma nube. Y aquí la gente de de las marcas Nube dice, "No, deja todo acá." No estoy muy de acuerdo con eso. Hay que tener una copia en el estilo glacier, que son los intocables, inmutables. Pero lo más importante y y yo creo que esto es como lo que hay que llevar de esta presentación, todos los respaldos se deben verificar. Hoy día lo podemos hacer de forma manual, hoy día lo podemos hacer, podemos colocar una persona que lo haga eh cada vez que se respalda y después recuperar, pero eso es hoy día lo que marca la diferencia entre tener la continuidad real de una clínica y darnos cuenta el día que falle que esto no estaba bueno. Entonces, final, todo, finalmente, como les digo, no todo puede quedar en la teoría. Eh, el tema hoy día de la inmutabilidad lo podemos abordar de distintas formas, con marcas, con procesos medianamente manuales, pero hay que armar el plan, hay que bajar realmente los sistemas. Yo recomiendo por lo menos todo, no hay que bajar todas las clínicas para para no afectar, pero hay que hacer una baja y probar que los sistemas, nuestros respaldos comiencen, que realmente entremos en un proceso de contingencia. Hay que recuperar, hay que ver cuánto nos cuesta, qué cuáles son nuestros niveles de de aprendizaje. Idealmente, si podemos estar un par de horas operando en contingencia, eso nos va a asegurar que el momento que falle va esta cuestión va a funcionar. registremos todos los incidentes e informamos el comité ejecutivo, le decimos, "No fue super bien" o también tenemos que decir no fue super mal y vamos a tener que hacer otra otro plan de respaldo. Como resumen, identificar qué es lo que tenemos que respaldar. No todo hay que respaldarlo, de verdad. Hay cosas que son poco necesarias. Siempre hay que tener la aprobación de la alta dirección, sobre todo por las lucas. Esto no no es gratis. El plan técnico y el despliegue operativo tiene que estar sobre todo, no olvidemos el plan de prueba, ¿okay? El plan de prueba, los simulacro hoy día es la mejor forma. Si bien como eh somos responsables de la parte del DRP, lo tecnológico y todo lo que son e estos respaldos para que partan, no olvidar que también hay un proceso manual, que ahí nos tenemos que apoyar las generalmente de las otras gerencias de las clínicas para que existan los planes manuales, documentos, folletos, formularios que después se puedan integrar de forma fácil y por medio de un proceso a nuestra ficha clínica y así ojalá que cuando ocurra el próximo incidente sea Como este video, la hora de oro comienza. Se activa código naranja, plan de resiliencia manual. Inicia el plan de contingencia. Reporte enviado a la ANSI. La continuidad es una cultura viva. La resiliencia se construye día a día con el compromiso de la alta dirección y se demuestra cuando la tecnología falla. Es nuestro deber proteger la vida. Bueno, si se dieron cuenta, ese video fue con y muchas gracias. esté muy bien. [aplausos] Muchas gracias, Cristian. Siguiendo con el programa de bloque dos, se dirigirá a ustedes Dimitri Sarubín, director de ingeniería para la TAM de BIM, quien hablará sobre resiliencia e IA, el futuro del sector de la salud. una unos aplausos para recibir a Dimitri. Muchas gracias. [aplausos] Buenas, ¿cómo andan? Muchas gracias a todos. Antes que nada, gracias por la invitación. Bueno, vamos a seguir un poquito con lo que empezó Cristian, pero bueno, aplicando un poquito los números. Bueno, a ver si los podemos asustar un poquito con con todo lo que lo que están escuchando el día de hoy. Bueno, yo soy Jimmy Terresín, director de ingeniería para Latinoamérica para BIM. Hace ya 4 años que vivo acá en Chile, así que al menos los impuestos los pago acá. Así que bueno, vamos a estar hablando un poquito de todo lo que resilencia y un poquito también vamos a estar hablando de inteligencia artificial, algo que ya estaban hablando acá en el panel. ¿Y por qué vamos a estar hablando de inteligencia artificial? Porque hoy en día es el motor principal de generación de los datos. Bien, y estamos hablando todo el día sobre los datos. Para que tengan idea, en los primeros 8 meses del año se generaron 230B de datos. O sea, imagínense 1024 * 1024 por 1024. Se espera que para el año 2028 vamos a tener más de 500 de datos generados, por lo cual estamos hablando de cómo vamos a proteger esos datos, cómo vamos a clasificar esos datos, sobre todo con la ley y como bien dijo Cristian, no todos los datos tienen que estar protegidos, lo que tenemos que proteger los datos que son necesarios. Y algo que les quería traer acá es un poquito de de los números. Bien, es un, perdón, es un reporte del año ahora actual del año 2026, bien, que está asociado con todo lo que es eh reporte de protección de datos. De hecho, más si ustedes después lo quieren descargar, lo pueden ir a la página nuestra que es público, porque no vamos a ir por 300 slides porque si no no terminamos. Así que lo que quería empezar es entre lo que es percepción y la realidad. Fíjense, si yo hago la pregunta a todos nosotros, a los líderes de la de la industria, inclusive, por supuesto, de de salud, ¿qué tan preparados estamos? Fíjense que 90% de las de los líderes dicen que estamos bien preparados para cualquier eventual ataque de de Ramson, ataque de seguridad o cualquier eh incidente. Pero si después nosotros preguntamos si están alineados hacia hacia el negocio, hacia RT, por ejemplo, que también mencionó Cristian, que solamente 69% de las de las personas dicen que están preparados. Acá muy importante, que de hecho lo comentaron también en el panel, es empezar a juntar distintos equipos, bien, y juntar distintas tecnologías. Fíjense que es importante es saber dónde se encuentra la información, cuáles son las políticas, qué data tengo, dónde se encuentra esa data. Hay algo muy importante, hoy en día nuestra data está distribuida. Bien, tenemos cierta información en onpremes, cierta información la tenemos en la nube. Entonces, tenemos que empezar a entender, sobre todo con la inteligencia artificial, es quién tiene acceso a esa información. Bien, porque Felipe, don Felipe comentó de, por ejemplo, es que hay gente que está envolcando la información en en la inteligencia artificial, en cloud y eso queda público. Bien, debería estar la información ahí, ¿quién está generando? Porque hoy en día todos nosotros estamos usando inteligencia artificial en la vida cotidiana como en las empresas. ¿Quién tiene permisos? Hay un montón de ataques hoy a través de la inteligencia artificial. Por ejemplo, hace 2 años atrás, un ataque promedio tardaba 3 semanas. Bien, es lo que tardaban los los atacantes entrar a una a una empresa, una institución. La semana pasada, la semana pasada, el año pasado estábamos hablando de 24 horas, hoy en día estamos hablando de minutos y segundos. De hecho, ya hay un récord que 9 segundos tardaron a través de inteligencia artificial entrar, borrar toda la información eh productiva y toda la información de backup, 9 segundos. Bien, así que ahí es muy importante lo que mostró también Cristian de la regla 321 Eh, pero fíjense que ahora vamos a hablar un poquito de de la realidad. Bien, solamente 56% de las empresas o las instituciones pudieron recuperarse post un ataque. Bien, fíjense que ya ustedes se acuerdan que 90% dijeron que estaban listos, pero solamente 56 pudieron eh recuperarse. Bien, por más que esté en verde, solamente 28 recuperaron 100% de datos o la información, o sea, el número es muy bajo. Y fíjense que solamente 44 podían recuperar 75% o más de de la información. Ahora, si esto también lo llevamos un poco a lo que es eh percepción nuestro como como usuarios. Bien, fíjense que 42% reportó, por supuesto, corte de servicio, etcétera, pero también e afectó al tema eh financiero o la imagen. Bien, también Cristian estaba comentando que que me gustó es por qué hoy en día con la era digital si yo me voy a a la clínica y no puedo hacer el el pasar mi mi sapre o el bono, etcétera, por cualquier eventualidad, sea un ataque Ramson o lo que sea, lo primero que hago yo me enojo con esa con ese, ¿no? Entonces, lo puedo poner en el X o ex Twitter. Entonces, ¿eso qué es lo que genera? genera una mala imagen para la institución, para la empresa. ¿Cuál es el costo de eso? Es incalculable ese costo, bien, porque no sabemos cuántos eh afiliados vamos a perder, bien, y además puede generar costos adicionales más allá de la ley, ¿no? Costos adicionales de con nuestros proveedores, etcétera. Y 38% tuvieron una una caída prolongada. De hecho, ya existen hoy en día, al menos en Chile por ahora, no, esperemos que no tengamos, pero en muchos países ya hay eh fallecidos o muertes asociados a un ataque de Ramsonware. Bien, por ejemplo, en Estados Unidos por un ataque ramsomware eh no tenían acceso a la clínica a la información del paciente, por lo cual dieron una dosis incorrecta de de digamos de de las inyecciones o no pudieron hacer análisis en el tiempo que se necesitaba. En en Colombia hace un par de años hubo un ataque muy grande y se afectó el Ministerio de Salud, por lo cual tuvieron que cancelar operaciones, operaciones críticas. Bien, entonces imagínense y fíjense qué tan importante es tener un una buena política y cumplir con todas las leyes que se están generando. Eh, me gustaría hablar un poquito también de inteligencia artificial y un poco que ya empezaron a charlar un poco en el panel. 43% afirman que ya están empezando usando inteligencia artificial al menos. De hecho, más hay varios reportes e si ustedes descargan ese reporte más de 70% de decisiones están tomadas en base a la inteligencia artificial. Bien, usamos la inteligencia artificial para tomar las decisiones, no únicamente como eh como psicólogo. Bueno, algunos se están usando también como como psicólogo personal. [resoplido] Pero ahí es muy importante porque al final, ¿de dónde viene la información? ¿De dónde consume eh la información de inteligencia artificial? De los datos. Es muy importante saber qué datos estamos dando la inteligencia artificial y qué datos consume inteligencia artificial. Porque si los datos son incorrectos, el resultado que nos va a dar va a ser incorrecto. Bien, entonces vamos a tomar las decisiones erróneas o incorrectas. Bien, fíjense también ustedes pueden ver que 40 eh 25% por ejemplo estamos hablando también de todo lo que es Shadow IT o Shadow inteligencia artificial, que nuestros agentes empiezan a actuar de forma autónoma. Bien, y también seguramente van a ver que con la inteligencia artificial todos nosotros estamos transformando y crear su propias aplicaciones. Bien, entonces esas aplicaciones, esos agentes empiezan a trabajar de forma autónoma. Eh, un poco si esto empezamos a cruzar con todo lo que es protección de datos. Fíjense el riesgo. Si nosotros aplicamos la protección de datos en la inteligencia artificial, el riesgo empieza a bajar. Bien. y también todo el tema de controles de seguridad. Fíjense que ya también en el panel lo comentaron es y también lo comentó Cristian de Red Salud es la decisión no es de una sola persona, la decisión no es únicamente de la gente de seguridad o de ciberseguridad. 38% sí sigue cayendo la responsabilidad del CISO. De hecho, más eh cada vez que hay un ataque, lo primero que hacemos es el board va a llamar o los directores o los CEOs o lo que sea, van a llamar el CISO y va a decir, "¿Qué pasó?" Y el [resoplido] Siso va a decir, "Y bueno, yo dije que cierren la puerta acá, pongan los firewalls, etcétera, etcétera." Pero también sabemos si hacemos todo eso, la empresa no va a funcionar. Bien, de hecho, más acá con varios que estábamos sentados y nos estábamos un poco cagándonos de risa sobre la clave de Wi-Fi, ¿no? O sobre el QR. Estamos acá en el foro de ciberseguridad y bueno, es lo primero que no deberíamos usar, ¿no? Entonces nosotros tampoco, si eso lo trasladamos a la vida cotidiellana, yo no puedo encerrarme en casa y no salir más a la calle, ¿no? Al final, cuando salgo a la calle hay un riesgo de un accidente, lo que sea. Esto es exactamente lo mismo. El CISO tiene que dar eh la digamos las políticas, etcétera. Y pues está por sobre esta responsabilidad del CO y tiene que haber un comité o inclusive comité de crisis quién va a tomar las decisiones al final, qué es lo que sirve para el negocio. Inclusive cuando hay un ataque, existe algo que se llama incense response plan o es básicamente un plan de continuidad del negocio. ¿Por qué? En este plan tenemos que tener cuáles son las aplicaciones más críticas, cuál es el dato más crítico, pero también cuáles son quiénes son las personas que van a tomar la decisión que vamos a hacer. Pagar el rescate, no pagar el rescate, recuperar desde el backup, recuperar desde un backup montable, recuperar desde la nube. Tiene que haber comité y no puede depender de una sola persona. ¿Por qué tampoco puede depender de una sola persona? Por una simple razón. 90% o más de 90% de los ataques son los fines de semana largos o en los feriados. Bien, se vienen las fiestas patrias, la mayoría van a estar afuera de vacaciones, etcétera. Entonces, lo más probable que va a haber más ataques de lo normal y por lo general la persona que se asigna es una persona que va a estar afuera, probablemente yendo de vacaciones en un avión. Entonces, 9 horas, 10 horas esperando de que el aterriza o hay que ver si tenga la señal del teléfono para que tome la decisión. Eso es un riesgo muy alto. Bien, entonces si si seguimos avanzando un poquito y ya para ir cerrando y ganar un poquito el tiempo que que estamos un poquito atrasados es un par de prácticas bien eh de todo lo que esté relacionado con resencia y protección de de datos. Fíjense que 37% de las organizaciones que no tuvieron incendiente de seguridad tuvieron un comité de multifuncionales, bien, que tenían comité de los ISO y de los CIOS. Bien. Y 31% de esas organizaciones que sufrieron incendiente también usaron esa mul el digamos el multiequipo. También se acuerda ese número, si alguien tiene buena memoria, esos números son mejores porque solamente 28% si ustedes se acuerdan pudieron recuperarse 100% de de un ataque. también todo esto y también nosotros como una empresa que ayudamos a a cumplimiento de las leyes y el tema de seguridad, tanto la ley como estos ataques está ayudando a los a los tomadores de decisiones conseguir mejores presupuestos. Bien, el budget, porque ya hay conciencia en lo que puede generar ese ataque y qué daño puede generar. Fíjense que la mayoría mayoría de los casos el el presupuesto está aumentando en todo lo que esté relacionado con AT con el ciberseguridad y con todo lo que es protección de datos. Bien, fíjense, eh una de las una de las preguntas también es en 56% de las personas eh de las empresas, mejor dicho, no tuvieron un ataque eh no eh perdón eh comunicar e eso es un punto también muy importante, es el equipo de seguridad o el equipo que esté relacionado con todo el tema de de protección de los datos tiene que informar a los de arriba, los bord quien sea, sobre los ataques, cuántos ataques hay y qué tipo de los ataques. Bien, ¿por qué es muy importante qué tipo de los ataques existen o quiénes son los atacantes? De hecho, más nosotros hacemos ese tipo de reportes porque yo voy a poder saber qué tácticas y qué técnicas utilizan para esos ataques. Porque si yo sé que en una de las presentaciones mostraron de que el tema de actualizaciones, el tema de parches, el tema de los permisos, si yo sé que el atacante X utiliza esa técnica, un una VPN, por ejemplo, un una de data dentro de una VPN, yo puedo analizar si yo [resoplido] tengo o no tenga esa vulnerabilidad. Entonces puedo preventivamente, digamos, de antemano preparar mi infraestructura para que no me pase lo mismo. Bien, por eso es muy importante la comunicación, la comunicación, qué es lo que pasa el día a día con nuestra empresa. Entonces, un poco también asociado a lo que ya comentaron acá, es muy importante todo lo que son las pruebas de restauración, digamos, y de backup y recuperación. Yo siempre digo lo mismo, es algo muy antiguo, creo que lo sirve para nuestra vida cotidiana. ¿Cuándo nosotros podemos saber que el bacá funciona? Ahora, ¿alguien se anima? ¿Cuándo lo voy a recuperar? No, está claro. Ese es el ese es el único momento cuando lo voy a saber. De igual a mí me gusta comparar con la vida día a día. Es como tener un auto y tener la rueda de de auxilio. Me imagino que todos ustedes todos los días antes de salir, inclusive antes de venir acá, regresaron que esté que esté en su lugar, que esté inflada y y [resoplido] que tengan el gato para cambiar la la rueda en caso de que pase eso, ¿no? Todos lo hicieron eso. Bueno, esto es lo mismo. Fíjense que no todos lo hacen, pero en realidad cuando pase eso vamos y digimos, "Oh, ¿dónde está el backup? Si está replicado, si está inmutable." Entonces, es muy importante aplicar las herramientas que nos permiten analizar en tiempo realendo y empezar también a usar esa data para generar para generar reportes. Eh, Mitre son los en realidad eh tácticas y técnicas que lo que ya les les los les comenté. eh el contención, bien, qué tan rápido puede contener el el ataque y analizar ese ataque. Y es muy importante es todo el tema de automatización y orquestración. Bien, porque si hacemos eso de forma manual, al final eh el tiempo que ustedes dieron ya varios reportes, que estamos hablando de días, semanas, eh lo que estamos caídos sin servicio, para poder achicar este tiempo necesitamos tener herramientas y procedimientos qué tan rápido poder recuperar, pero también no recuperar por recuperar, sino recuperar el dato sano. Bien, porque si está contaminado por el por el ramsumware, necesitamos limpiarlo antes. Bien, y esto lo vamos a pasar rápido porque ya hablamos un poco de todo lo que es eh el aumento del presupuesto. Entonces, básicamente de vuelta probar mi recuperación, bien, tener la gobernanza de los datos, es muy importante saber dónde están los datos y probarlos. Y este es el último slide, así ya los dejo y con con los siguientes oradores de vuelta si quieren algo más de información o que si quieren charlar, vamos a estar ahí afuera. Bueno, nosotros somos una empresa de software, 100% de software. Somos número uno a nivel a nivel mundial. Somos número uno también acá en Chile, tenemos muchos, muchos clientes, así que nada, está todo, somos somos agnósticos tanto para la nube, para como en premes, tenemos todas las capacidades para poder analizar la información en tiempo real y tenemos herramientas para poder adaptar la ley que sale ahora el primero de diciembre a a la a la infraestructura, en este caso el tema de de salud. Así que los dejo, muchas gracias de vuelta, muchas gracias por la invitación. Así que el que el que sigue [aplausos] caer acá. Agradecemos a a BIM y a Dimitri también por su presentación. Para cerrar las ponencias de este segundo bloque, eh tenemos 10 minutos. En este en este siguiente bloque vamos a recibir a Andrés Barrientos con una presentación en formato Lightning Talk titulada Vectores de amenaza en el sector de la salud, una mirada actualizada. Damos un aplauso para recibir Andrés. Gracias. El pas slide está. Sí. Okay. Ya vamos a hacer algo más más dinámico. Tengo muy poco tiempo, son 10 minutos y tengo que ser muy breve y conciso. Primero agradecer la instancia, la alianza, a los presentes, a las instituciones que han estado y todos los que han apoyado este evento. Me presento, Andrés Barrientos, algunos me conocen, no voy a gastar tanto tiempo en presentaciones, vamos a ir a lo que nos convoca. han hablado mucho de estos tres temas, tanto en confidencialidad, continuidad, gobernanza. Escuchamos al panel, tenemos ya la idea de cómo hay que actuar o como hay que hacer ciertas cosas. Veo a muchas personas caras conocidas, veo personas que están trabajando, mi respeto para los que están ahí tecliendo. Eh, hay un tema importante que se ha dejado de lado y yo creo que eh vamos a hablar de virus, ¿sí?, Pero lo más importante es entender qué es lo que está sucediendo con los actores de amenaza. Podemos hablar de leyes todo el momento, pero si yo lo llevo a números, en números estamos hablando de que según Ranson LIE tenemos más de 412 víctimas con el grupo de Gentlemen que está atacando muy fuerte a Chile. [resoplido] Esos IOC están compartidos y nos ha pasado el caso que en algunos ciberataques la ANI, que igual se agradece su esfuerzo, tiene un número limitado de muestras porque la muestra o a nivel de inteligencia nosotros estamos viendo solamente una capa de la superficie del ataque y lamentablemente por ataque tenemos alrededor de promedio entre 5 a 10 IOC y en este caso podemos tener mayor cantidad de indicadores, mayor cantidad de artefactos que un atacante puede detonar en un sistema. Entonces, ¿qué está pasando? Hay una conversación pendiente hacia el rubro, hacia el sector. ¿Cómo hacemos cyber tradig? Lo aplicamos a nuestros modelos y en este caso a nuestra infraestructura. La bajada es la que hoy día está un poco lenta y si tengo un vendor quizás no tenga la misma cantidad de fuentes de amenaza. Ese es un tema muy recurrente. Tenemos más de 900 ataques registrados e en este caso según Treet Locker y Ranson L. de Quin, que es una banda china. Los chinos están colocando los ojos en Chile hace bastante rato. Tenemos una nota de espionaje de Estados Unidos que salió hace muy poquito en la prensa, pero ya teníamos avisos a nivel de inteligencia hace más de un año. El problema que esto entra también en contexto geopolítico y no está atacando todos los sistemas. Entonces, las telcos están siendo objeto de puente para llegar a la infraestructura crítica y ahí es donde entra el sector salud. Entonces, lo que a nosotros nos dicen, estamos seguros cuál es la deuda que tenemos. Nosotros nos tenemos que cuestionar si mi sistema está seguro, qué es lo que estoy haciendo para estar seguro. Mi insal se tiene que cuestionar, el sector privado se tiene que cuestionar y los proveedores de sector privado también tienen responsabilidad, pero son culpas compartidas. No sacamos nada con hablar tanto de la ley de protección de datos personales, que no es menos importante, pero no confundamos las cosas. ¿Quién ve la infra? ¿Quién se preocupa del sis admin? Hoy día hablamos de ciberseguridad como si fuera un concepto, pero hay más gente detrás que los ingenieros en ciberseguridad. Está la administración administrador de sistema, el tema redes, eh todo es importante en una cadena. Entonces, no podemos individualizar a uno como culpable. Es el equipo, es la cadena completa la que falla. Eso es lo que quiero visibilizar. Entonces, yo no voy a colocar nombres, pero tenemos dos ataques principales, uno por Quilin y uno por Dimman. Y después otro se sucedió con The Gentlemen. Ya, The Gentlemen también es un actor de amenaza bastante importante y en este caso el patrón de ataque persiste y es muy similar. Podemos hablar de eh algunos indicadores generales. Si alguno ha leído, por ejemplo, el informe del equipo del CCI Dentel, que es bastante bueno, y que ellos han ido haciendo un trabajo constante con el panorama latinoamericano. Obviamente yo los referencio ahí. saludos a a Luis Elola que nos apoyó con los datos y en este caso tenemos eh evolución en las brechas de datos y vamos a tener evolución en Ramsonware. ¿Qué quiere decir? que no solamente estamos hablando que nos pegan más, sino que puede notar quizás una disminución en cierto tipo de ataques porque tenemos más infraestructura, es decir, las empresas están comprando firewall, están haciendo compliance más sumar el equipo técnico y están haciendo toda esta unión, ¿ya? Pero esa sinergia se necesita madurez. Reitero, para nosotros tener y responder a legislación tenemos que tener madurez y ese es el gran problema chileno. No puedo estar en el estándar europeo que tiene NIS 2 que es para infraestructura crítica, que es la base de nuestra ley marco de ciberseguridad. Eh, y tenemos también la otra base que tiene que ver preponderantemente con GDBR o el GDPR europeo, que es la base también de nuestra legislación en datos personales. Si yo tengo un ecosistema seguro, ¿cómo protejo y cómo evito estas brechas? ¿Qué es lo que yo tendría que hacer? Entonces, esa es la dificultad que tenemos hoy día. Entonces, yo no me voy a detener en el tema de la ley. Han hablado bastante, creo que se ha tenido un approach bastante importante, pero yo les voy a transmitir lo que me transmiten las empresas pequeñas y medianas. No voy a hablarles de retail, no les voy a hablar de gran empresa, el pequeño y el mediano esto lo complica porque es costo fijo todo el rato. Y cómo esa empresa es más eficiente en proteger, si por ejemplo una empresa de desarrollo que es chiquitita y quedó calificado IB, les colocamos una gran mochila. No quiere decir que no sea importante cumplir, pero la gradualidad es la que se tiene que buscar. De hecho, la ley, la 21663, se tenía que revisar en abril del año pasado y no se ha hecho. Es un dato muy muy relevante. Entonces, hablando un poco infraestructura crítica y salud, en este caso tenemos algunos actores de amenaza, pero esto se va a conducir con actor salud 6%. Entonces, yo traigo un poco eh la mala noticia de que ese número va a empezar a subir. Es decir, hoy día empezamos a visibilizar ataques al sector salud constantes. Me tocó con mis alumnos en clases de ciberseguridad, estábamos haciendo un análisis de amenazas avanzadas, empezamos a hacer análisis a a un portal, no vamos a decir nombres y al final encontramos una brecha que podría afectar a todo el sector salud chileno muy grande. Obviamente esto se estimó y y detuvimos el ejercicio, pero se los comento. ¿Por qué? Porque nadie está haciendo una segunda mirada de las cosas. Nos estamos confiando mucho. Esa es la sensación. que tenemos, pero también traigo esa urgencia de que tenemos que atender esto. Entonces, nosotros tenemos muchos actores que van a tener motivaciones, pero hoy día el salto es desde la telco. La telcos tienen una gran responsabilidad. Yo soy extalco y reconozco y cuando yo fui gerente tenía la responsabilidad de todos de cuidar todos mis clientes. La verdad que yo fui bastante responsable, no dormía, pero había que hacerlo. Ya. Entonces, eh es que es verdad, no no se duerme en ese tipo de trabajo. Entonces, el tema es que al final uno mirando cómo está el panorama, nosotros nos vamos a encontrar con que hay modelos de extorsión, pero vamos a tener cantidades o tipos de salto. Con Quillin, por ejemplo, con los chinos tenemos el tema de las VPN, en donde ellos también aprovecharon una BPN para entrar a una entidad de gobierno a dos semanas de de iniciada de esa entidad. Entonces uno dice, "Oye, pero ¿cómo entraron en dos semanas si todavía no no estoy siquiera dando los puestos ya están hackeados?" Entonces, ¿por qué? No es una solo una falta de cuidado. Tenemos que tener, y yo creo que acá eh hay un tema de políticas sectoriales, porque yo no puedo hablar solamente del problema, tengo que hablarle de soluciones. La política sectorial tiene que ser que no el Ministerio del Interior tenga todo. No puede ser que un solo organismo de Estado tenga casi todas las agencias. Si yo le pego ahí, le estaría pegando a un montón de objetivos. Y segundo, tenemos que tener mucho cuidado con el tema de la nube. Nadie ha hablado de nube acá y la nube es complicada. La nube con hipa, las multas son tan grandes que te pueden cerrar una clínica. Nadie habla de eso. La nube si no se va a fedrar uno pierde el control. No puedo tener un ten en cualquier lado. Hoy día yo tengo que diseñar mi arquitectura y no hablamos de seguridad de diseño solamente hablamos de una planificación estratégica que hoy día nos está dando. Entonces el mensaje acá es más profundo. Me van a pegar. Sí. Y hoy día el actor de amenaza tiene una ventaja. Tampoco se ha hablado. Acá tenemos agentes, la famosa agentica. Puedo levantar un bot. El bot no duerme, no come, no toma monster, no come empanada, no hace nada. Ese está día y noche y le pega y le pega y le pega hasta que pasa. ¿Qué pasa si hago una granja de bot y exploto las vulnerabilidades de ciertos servicios? Tengo la tormenta perfecta. Tuvimos el famoso mes del mar hace poquito y teníamos unos amigos de otros países enojados con nuestro lindo desfile y nuestro lindo mes del mar. Y mucha gente no durmió en esa fecha y la gente no lo vio. Obviamente por seguridad nacional no se ve, pero pasa, es una constante. Entonces, en este caso acá nosotros a nivel de los indicadores, nosotros vamos a ver que se repite un poco el caso o se explota una vulnerabilidad eh en este caso a nivel de una VPN, eh un ataque, por ejemplo, a Crix, que obviamente los que no conozcan Citrix toman los RDP o los escritorios remotos y lo administran. Crix le han pegado bastante mucho tiempo. Eh, tenemos también eh credenciales expuestas donde tenemos actores de amenaza que están en ciertos grupos y foros revendiéndose credenciales. Hay un movimiento credenciales bastante interesante. Hay varias sondas en este momento activas haciendo seguimiento a quienes entran a vender. Tenemos, por ejemplo, en el caso de Loogbit 5, el tema de las inyecciones, hay mucho tema también con los plugins de navegador y yo creo que el llamado un poco al sector salud microinformática tiene un valor muy importante en las áreas clínicas, no se está observando, pero si microinformática hace bien su trabajo y lo hace de una manera mancomunada para controlar bien los navegadores, podemos bajar el rango de atacas de ataques. Te puede bajar el rango de amenaza porque yo bajo la superficie de ataque, porque hoy día mi ataque no es solo una persona que va a salir por internet y va a entrar y le va a pegar a tu firewall. Tú vas a tener una línea de defensa. Hoy día el ataque no llega por ahí. Hoy día el ataque llega por el portal web, por el agendamiento de hora, el llega por el proveedor de, por ejemplo, la telemedicina. ¿Se han fijado que hay tanta telemedicina? Y si tiene uno uno un error de soporte, llama y dicen, "No, es que eso lo ve otra empresa." Y eso es una debilidad en en la en la casuística. Entonces, tenemos que observar más en la parte técnica y yo sé que acá expusieron personas muy orientadas a lo metodológico, al tema normativo, al tema legal. Yo la verdad respeto mucho eso, pero no porque tengamos esa parte tenemos que dejar de lado la infraestructura. Ya, la infraestructura es un pilar. Somos top del mundo en infra. Tenemos los mejores data center, tenemos la mejor conectividad. Viene ahora otro cable de Google, viene un montón de avances, se están desbloqueando los proyectos. Vamos a hacer un hub tecnológico, yo creo que el más grande de Sudamérica y eso significa una responsabilidad. Y ya otros países nos están diciendo, "Bueno, ¿y cómo están ustedes?" Entonces, en este caso, para para ir cerrando, que me pasé un poquito, eh tenemos infiltración y explotación como medida inicial, tenemos movimiento y filtración y tenemos evasión y destrucción. Ahora, ¿por qué les planteo esto? Porque muchas veces hablamos del ataque, muchas veces estamos hablando de la amenaza, pero nadie habla de la etapa. Entonces, ¿en qué etapa estamos? Entonces, tenemos que tener mucho cuidado porque un actor de amenaza puede estar vivo 6 meses, un año en un objetivo y usted no lo ve. Tiene evasión. Su EDR, su XDR, su gran empresa, no lo ve. El SOC no lo vio. Yo he estado en incidente donde hemos levantado artefactos con evasión desde el 2018. O sea, imagínense la cosa es esa. El vivió años y nadie lo vio. Lo encontramos en un treshunting a todo esto. Pero es una experiencia que igual uno lo va ganando con el tiempo, pero la máquina se mueve de esa manera. ¿Cómo reaccionamos nosotros? Para [resoplido] ir terminando, vulnerabilidades sistémicas. Esto es lo que yo he podido como recolectar, no solamente a nivel de lo que se da por los vendors, no solo a nivel por lo que hablamos con los colegas, con con las comunidades, sino que tenemos un tema mayor, fragmentación de red, tenemos la obseriencia tecnológica, alguien aquí ya mencionó el Shadow IT, que es el gran cáncer del sector salud, gobernanza fragmentada, ya que eso ya es un tema cómo nos toman las legislaciones y cómo nos afectan de manera era cruzada, no cumplimos en una y no cumplimos en otra y y viceversa y al final el CAPEX y el Opex no lo podemos controlar. Exposición perimetral, en este caso VPN es débil o reutilizada, CB es desconocido. O sea, no no es posible que yo tenga eh posibilidad de explotación en algunos portales o en algunas páginas, siendo que son datos de salud. ¿Ya? Entonces, tengamos ojo, porque esa es la puerta para el atacante. Si el atacante no va a entrar directo a la clínica a por medio de internet directo, tiene el portal y a veces el portal lo maneja una una agencia de diseño y las agencias de diseño, perdónenme, no es ser peyorativo, pero agencia de diseño no tienen ingenieros en ciberseguridad, son muy poquitas las que tienen. Entonces el en el diseño de la web se ve super bonito el WordPress o el portal, pero por detrás el backend está tan fragmentado, incluso colocan en letra verde los comentarios, este es el plugin tanto. Entonces pues el atacante va el plugin y busca el CB. Ah, ya. Y se va y hace un video de 15 minutos en YouTube y ya está dentro. Ya. Y lo otro que tenemos descontrol en los servicios de imaginología. Está saliendo ahora una publicación de un colega bastante interesante en una explotación a nivel mundial de los servicios de imágenes que afecta a todo el mundo. Estamos hablando de algo muy grande ahí. Samuel, saludo a Samuel que tiene una investigación de alto nivel. Eh, tenemos gobernanza sobre proveedores. Aquí falta mucho. ¿Quién controla el proveedor? ¿Qué capacidad técnica tengo yo para controlar un proveedor? ¿Cómo me paro delante un proveedor si no tengo las políticas para decirle a mi proveedor, sabe qué, cumpla ley marco, cumpla esto y el proveedor te va a decir, bueno, y usted qué política tiene, tiene comité de seguridad de la información, tiene ISO, tiene algo y la persona te va a decir, no es que estamos trabajando en un borrador, ¿no? Entonces, mira, cuando esté formalizado con directorio, ahí recién yo me voy a mover. Eso puede ser un año, 2 años y el ataque no va a esperar. Entonces, tampoco podemos esperar a que se generen condiciones. Si la protección tiene que ser hoy, no mañana. Tenemos el tema de adopción HIPA lenta por el regulador. Hipa se habló en un momento para Chile y fue muy importante, fue muy relevante. Hubo bombo y platillo, no me acuerdo bien, había un sector que decía, "Todos vamos con HIPA, okay, pero para tener JPA estamos hablando de las ligas mayores. Primero superemos GDPR, o sea, ley de protección de datos personales. Primero superemos NIS 2, que es nuestra ley marco en PCI o IB. Elevemos el nivel y de ahí vamos a HIPA. A JPA se llega, pero con una preparación. Estado privado, no puedo estar uno más allá, uno más acá. Tienen que estar al mismo nivel porque voy a tener un reguladores intermedios que hoy día no visibilizo en Estados Unidos los tienen. Hubo una pérdida de datos en una universidad en Estados Unidos y la multa era tan grande que la universidad tenía que cerrar porque la las multas de las comisiones por pérdida de datos son altísimas. tenemos eh cerrando controles mínimos. Esto es lo que nosotros tendríamos que tener como mínimo. Y acá en una empresa nosotros tendríamos que tener, y este es el punto que nadie tiene, gobernanza unificada en donde yo tengo la ciberseguridad operativa o formal y tengo al directorio consciente de lo que se está haciendo en la parte técnica. Si yo no tengo estrategia táctica y operativa en los tres niveles y no la trabajo bien, el negocio no va a poder habilitar recursos para que se pueda adquirir tecnología para poder hacer más cobertura. Son cosas que faltan ya y no se están haciendo. En este caso, los planes de respuesta de la ANSI, si estamos en sector salud, tenemos que tener un plan de respuesta para podernos comunicar con la ANCI. Y eso no es solamente hablar de un BCP, business continuity plan. Tenemos que tener eh BCP, tenemos que tener DRP o DRP, Disaster Recovery Plan, tengo que tener un plan de recuperación de desastres, pero para ciberseguridad. Y ahí me voy a detener porque nadie habla de eso. Nadie habla de los planes, los en este caso SIRP, eh Cyber Security Incident Response Plan, un plan de respuesta incidente solo para ataques de ciberseguridad sectorial. con playbook activables rápido para que el negocio trabaje rápido y no espera un gran comité. Tenemos que tener el ataque en 10 minutos. Si yo tengo una evasión, salto a siete servidores en menos de 4 minutos con una evasión, con mimicats, por ejemplo, y si me salta cualquier laboratorio, cualquier ataque grande, tienes que saber dónde apagar. Después buscas tu paciente cero. Tú ya tienes la IP, ya tienes el CIM. En un ataque real tenemos 10 minutos, no tenemos una hora. 2 días, 3 días, eso es irreal. Segmentación con cero trust. Eso es cuando nosotros trabajamos modelos, no sé, de TNA, trabajamos con equipamiento S1, nos vamos como lo último lo último donde tenemos eh tecnología que es eh eh como un paraguas que cubre todo y tenemos automatización de respuesta, pero no todos lo tienen. Entonces, ¿cómo hacemos que lleguemos a ese nivel? Esa es, yo creo, lo más crítico. Ya les agradezco la instancia. Sé que es un tema difícil, es muy poco tiempo para algo que es muy extenso. Quise condensar las cosas lo más lo más grande posible. No mencioné marcas, no mencioné eh atacados. Eh, creo yo que hay que respetar también en el sentido de que a todos nos pueden atacar. No tenemos que hacer leña al árbol caído. Tenemos que aprender de esas lecciones. Sí. y no nos pueden atacar constante. Tenemos que hacer lo necesario. Gracias. [aplausos] Muchas gracias, Andrés, por tu clara presentación sobre vectores de amenaza. A continuación vamos a tener una pausa de 15 minutos con un coffee en el front del edificio de biblioteca. Así que que tengan un buen tiempo. Les esperamos de vuelta. ќ quizás dónde nos pueden hacer pebre y más aún cuando estamos hablando de interoperabilidad que que viene con todo este cuento de la ley, pero que afecta al proceso propiamente tal que tienen los establecimientos de salud, o sea, su registro clínico, su sistema de laboratorio, su sistema de imágenes, su RP, no todo está en la no está en la clínica. La cuenta corriente del paciente no está en la clínica, está en el RP y ahí se sabe todo lo que se le hace. Entonces, no es tan no es tan trivial esto y no es tan simple. Entonces, como para ordenar un poco la conversa, vamos a hablar por qué y para qué interoperar, que yo creo que es super importante que entendamos el problema propiamente tal, los objetivos que plantea la ley, el viaje del paciente en este concepto interoperable. hay un una cantidad de viajes que hace este paciente y que hoy día desde incluso lo que estuvimos haciendo antes en el ministerio y lo que hemos estado haciendo y lo que viene hoy día y lo que estamos haciendo hoy precisamente es entender ciertos viajes. Uno no podría pretender que va a hacer todo, sino que tiene que ir construyendo este camino. hablar un poco de arquitectura, obviamente o bien, que son arquitecturas bases o bien del mismo Fire o el HL7, que son temas que hoy día nos interesan mucho en cómo vamos a mensajearnos, cómo vamos a mandar estos mensajes de un lado para otro, beneficio de desafío y obviamente no puedo dejar de no contarle de ciberseguridad. Entonces, en palabras simple, ¿por qué? ¿Por qué vamos a interpelar y para qué? Muy simple, porque ¿cuál era el láser? Bien, porque hoy la información del paciente no es ninguna novedad. Están en islas en el sector privado, está en islas en el sector público, está en islas en todos los centros de atención cuando uno va a atenderse, está en islas en todo lugar donde un día asiste en salud. Y el que diga que no es así, está equivocado porque 100% es así. No falta el sistema o la famosa ida o lo que quieras que ya está funcionando en isla. Entonces, cada prestador público privado guarde su propia versión de la historia clínica. Tú vay a la consulta médica del Bronco y guarda la historia clínica. Tú tienes un problema en la piel, vas a la consulta médica del dermatólogo y guarda la historia clínica. Vas al centro médico y te tomas una radiografía, guarda parte de tu historia clínica y así el sistema es degregado porque es así el sistema. No todo está centralizado en un solo edificio, no todo está centralizado en una sola red, sino que está absolutamente distribuido. Entonces, tenemos que entender y vivir con eso. El paciente, obviamente, repite exámenes, cuenta su historia de nuevo y carga con exámenes ya realizados. ¿Cuántos de ustedes? Yo siempre hago ejemplos del público, pero el público venden afuera de los hospitales unas carpetitas para que los pacientes guarden los papelitos y los transporten, ¿cierto? Y en el sector privado la gente anda con unas lindas carpetas del logo de la clínica o el logo de la isapre y también es exactamente lo mismo. Lleva ahí parte de su historia clínica. ¿Por qué? Porque descansamos en el paciente la memoria. A cada paciente le decimos, "Cuénteme, ¿a qué es lo que viene, cuéntenos?" Y el paciente el que empieza a relatar esto, porque sí está el sistema. Entonces, en una urgencia, el equipo clínico decide con información absolutamente incompleta. Yo podría atenderme en Las Condes, podría atenderme en en otra Santa María, en la que sea, en el centro médico Juanito, del doctor X, del doctor I, da lo mismo, pero que si estoy en una urgencia en Aicén, estoy en una urgencia en Magallán, estoy en una urgencia en Copiapó, nada ese así, no está esa información, no existe. Y como no existe, el médico tiene que empezar a tomar decisiones de acuerdo a lo que él estudió, de acuerdo conformó y de acuerdo a lo que el paciente le puede contar o o más aún de acuerdo a la información que le puede recolectar el mismo sistema de información local. Pero seguimos duplicando. Y el para qué está clarito el por qué, ¿cierto? información distribuida, la continuidad del cuidado, la continuidad clínica real, sin importar dónde se atendió antes, las decisiones más seguras, con menos duplicación y menos error y un sistema que gasta mejor, no necesariamente gasta de más. Esto es algo que nos piden todos, seamos eficientes. Se le pide al sector público que sea eficiente. Se le pide también al sector privado que sea eficiente. Cuántas veces no hemos hecho una resonancia y sale, ¿para qué me hicieron una resonancia si no tenía para qué hacerla? Pero esa información queda y queda ahí sin antecedentes, o sin observaciones o cómo le dicen, eh, sinjos. Sin ayajo, esa es la palabra técnica, ¿no? Sinjo. Y yo me olvidé, total sinjo y de eso ya ni me acuerdo. Como paciente, desde la mirada del paciente. Y cuando voy al médico me dice, "¿Usted se ha hecho alguna resonancia?" Sí, sí, pero hace mucho tiempo, pero no tenía nada. Y uno como irresponsablemente dice, "No, pero si me dijeron que tuviera algo, me acuerdo. Pero me acuerdo yo en la versión mía y en mi lenguaje de lo que tenía y le tengo que decir al médico, mire, no sé, algo tuve aquí en la rodilla, pero me dolía y ahora ya no me duele. En términos muy simples y vulgares. Entonces, la interoperabilidad hace un recorrido simple desde la consulta de la atención clínica. Perdón, voy a volver aquí. desde la consulta de la atención clínica donde la información es absolutamente parcial, pero si me derivieron el especialista, la información ahora la transporto yo, se lleva manual, se lleva en un PDF, se lleva en un archivo y si hay si hay integración se va directa y más aún se va directa y yo también la sigo llevando porque se confía mucho en la memoria del paciente. el examen de laboratorio de imagen o qué sé yo. ¿Cuántos de nosotros tenemos en nuestra casa una cantidad de set de papeles de exámenes? Yo tengo varios y, incluso tengo de hasta el año pasado y yo no sé para qué los tengo en realidad, [risas] pero los tengo. Es una cuestión de locos. ¿Por qué? Porque la historia la ando transportando uno, la historia la andaando uno. Incluso mi mamá, y voy a ser muy referente, eh tiene exámenes de imágenes de hace como 5 años. Y cuando le preguntáis un especialista y mi mamá los lleva al a la consulta y cuando le preguntáis al especialista si los va a usar, me dice, "No, 5 años esa cuestión ya prescribió." Y cuando vamos al registro clínico y están los exámenes de hace 5 años, ¿qué dice el clínico? Yo no soy clínico, pero ¿qué dice ese 5 años? No me sirve mucho, reculeque. Entonces voy a pedirle nuevos antecedentes. Y empezamos a generar una historia enorme. Y ahí obviamente entran los amigos que estaban en la mañana hablando hace cto rato, dónde lo guardamos, dónde la almacenamos, cómo la aseguramos, cuánto tiempo la guardamos, tres, dos, cinco veces, está lo mismo. Esa información que se debe cumplir porque la ley así lo pide, son 15 años y que debo tener esa información. Ahora, la pregunta es, ¿vamos a transportar toda esa información si ya clínicamente no la estamos mirando? Es son preguntas que hay que hay que hacerse. Hay preguntas que hay que recorrer. Por eso hablamos de un momento, de un episodio. Hablamos de que cuándo tengo que tener esa información disponible, los diagnósticos, hay cosas que viven con uno. Por ejemplo, yo soy asmático y me gustaría que cuando vaya al médico, el médico sepa que yo soy asmático. Si yo no le dije, a veces a mí se me olvida, dije, "Uy, no le dije que era asmático." Y me voy con un síntoma de culpabilidad así como que la habría embarrado. Eh, nadie consolida los episodios. Aquí es lo que quiero decir esto y el próximo prestador siempre parte de cero. Todo este relato es porque va en esa línea. El prestador siempre parte de cero y la interoperabilidad viene como a buscar algo en esa línea. Entonces, si hacemos este recorrido interoperable, uno podría pensar que tiene la atensión clínica. Obviamente guardo esa información, guardo este resumen, no tengo que guardar todo. Esto no es un transcribir el punto de vista de una atención clínica. Sí tengo que guardar información relevante, tengo que derivar un especialista. Y cuando un episod el episodio o el clínico sin de perder del paciente, sin que el paciente me cuente la interpretad lo que busque es eso. Optimizamos tiempo que yo tengo que leer solamente rápidamente y no tengo que estar contándole como paciente que hace 4 años me aperaron de esto, hace 3 años me hice esto otro y sea que fue la urgencia porque me pegué. Eso de hecho cuando el médico trer se lo dicen, me pasa a mí, yo se lo cuento y me quedan mirando con ya y Jorge y algo más porque es poco relevante, pero para información del especialista debe estar los exámenes, obviamente que el sistema debe verificar exámenes previos, obviamente, incluso la duplicación no debe existir la urgencia ya deberíamos tener la información y los episodios obviamente se consolida en la ficha interoperable para el próximo prestador. O sea, siempre está la información disponible. Por lo tanto, viaja conmigo la información, no la transporto, la transporto cuando es absolutamente necesario. Ahora ustedes me escuchan aquí y vamos pensando inmediatamente. Seguridad aquí, perdón, este era seguridad aquí, seguridad aquí, seguridad. Sí, pues obvio, todo el rato y en el transporte de los datos todo el rato. No quiero decirles cómo hacerlo, pero obviamente que tenemos que asegurar el medio, tenemos que asegurar el canal, tenemos que asegurar la transmisión, tenemos que asegurar el acceso, la información independiente de donde esté. No es para cualquiera. Lo decían en la mañana los expositores de que la información no puede verla otro. Hay un contexto de atención, hay un momento de atención. ¿Por qué? No digo un tens, pero ¿por qué un médico de otra especialidad debería ver mi ficha si no me está atendiendo? ¿Por qué no tiene sentido? salvo que tengan un cuadro oncológico, que esté en un caso de estudio, cosas por el estilo, no necesariamente es el la enfermera, es el TE, es que sidó. Hay gente que teniendo privilegios no tiene por qué acceder porque no está el contexto de atención. Eso es super importante, el contexto de atención. ¿Vamos entendiendo? Perfecto. Entonces, la interoperabilidad de las fichas clínicas viene precisamente a hacer esto en cualquier soporte, dice la ley. Y incluso si es papel, el Ministerio de Salud o alguien, el ministerio en este caso tiene que disponer los medios físicos, tecnológicos para que ese información sea tributada al Minsal. es super importante, pero garantizando, obviamente la confidencialidad, la conservación y el acceso oportuno. Imagínense usted ahí consultando la interoperabilidad y esperando, esperando, esperando, no, no tiene mucho sentido. El acceso debe ser acotado solamente a quienes correspondan, desde el prestador, la ley establece la superintendencia y el Minal. El reglamento en trámite habló hoy día en la mañana la Lorena que el documento estamos esperando, se entregó el año pasado ese reglamento a Hacienda y se está esperando la respuesta de esa tramitación. Pero cuando salga nos va a obligar, nos va a obligar. Yo no le puedo, no quiero hacer spoiler, ya no estoy en el minsal, así que no quiero hacer spoiler, pero nos [resoplido] va a obligar. ¿Y qué nos dice el reglamento? Todo lo que le estaba comentando yo en este rato. Tenemos que transmitir la información, tenemos que buscar una lógica de enviar esa información. Al prestador privado le exige que lo haga y al prestador público le dice, "Hazlo." Ah, es muy distinto y lo tiene que hacer. Y por eso el Ministerio de Salud durante la administración anterior y esta está avanzando fuertemente en lo que es interoperabilidad en un procesos clínicos, en el viaje de este paciente en uno de los flujos. Hay mucho que hacer, pero se está avanzando en ello. Y la responsabilidad del prestador, cada prestador debe adoptar las medidas técnicas para interoperar y dar acceso oportuno. ¿Se fijan que sale de la lógica de lo que hemos venido hablando en la mañana? Sino que tiene que ver con responsabilidad y confianza. Entonces, ¿cómo hacemos esto? tecnológicamente hablando des el punto de vista de arquitectura hoy día, perdón, hoy día hablamos de HL7 Fire, que no es algo que el ministerio o que nosotros digamos que Jorge Rega dijo, ¿no? Cuando hablamos del FER hablamos de algo que precisamente la OPS estableció en el 2024 como un estándar para poder que los sistemas de información clínico conversaran. El HL7 hace muchos años que viene trabajando en temas de la integración entre sistemas o la mensajería entre ellos. Entonces, pero para hacer esto tenemos que tener un idioma en común. Tenemos que tener identificado el paciente, tenemos que tener un encuentro, tenemos que tener una observación, tenemos que tener la prescripción. En la observación vemos todos los resultados y qué sé yo y todas esas cosas y tenemos que paqueteizarlo. Entonces en Chile hace harto rato, 2023 2024 empezamos a crear guías de implementación precisamente para ayudar al prestador privado y al prestador público que se prepare precisamente avanzando en qué es una guía de interoperabilidad. No es una API y no quiero entrar con hablar de API, es no es una API, es una guía que pueden ser varias o una sola API, que sería lo más terrible, pero lo importante es que ahí está el cómo, qué tipo de lenguaje vamos a usar, qué campos vamos a entender cuando hablamos de MPI, cuando hablamos de identificador, cuando hablamos de paciente, cuando hablamos de prestador, cuando hablamos de diagnóstico, cuando hablamos del encuentro, etcétera, etcétera, etcétera. Y eso se paquetiza y lo pueden encontrar, perdón, en el ministerio, lo pueden encontrar en la guía file, en la página web del ministerio triple winsal.cl. Vayan a la página de interoperabilidad y van a encontrar la guía. Lo importante de esto es que esto establece un MPI o un maestro de paciente o un índice de maestro de paciente. Habla sobre cómo estamos interpelando el sistema de receta electrónica y también lo que se está avanzando fuertemente es sobre el tema del IPS, que vendría siendo el resumen del paciente, que con el viaje que mencionábamos anteriormente, si no tenemos un resumen del paciente, un resumen de paciente, un resumen de la atención médica de ese paciente, no viaja todas las fichas. Si hay alguien aquí que piensa que vamos a viajar teras y terabytes para una atención médica, no. Lo que va a viajar es información resumida, acordada. Hay un conjunto de datos definidos precisamente para que esto pueda interoperar. Y e la arquitectura que se está utilizando es una arquitura mucho más abierta. Yo les recomiendo que la lean, arquitectura Openhy y que lo que hace esta arquitectura es precisamente ordenar la forma, ordenar en cómo vamos a empezar a transmitir estos datos y ordenar ciertos roles que nos que nos convocan. Cuando hablamos del MPI, hablamos que hoy día identificamos una persona en Chile con él rout o run. Run, ¿cierto? Run. Yo lo digo porque pasé una vergüenza con el director del del de del Registro Civil. Dije, "No, necesitamos los ROT." me dijo, "No, usted necesita los run." Ups. Ups. Es Sí, los run. Sí, tiene toda la razón. Y de hecho me rostró que en el carnet dice rol único nacional. Ah, listo. Entoncesamos los run. Pero en Chile hay extranjeros como del resto del mundo y aquí a los extranjeros se les coloca un NIP que es parecido a un run, ¿cierto? Y por lo tanto tenemos que identificar un NIP. cada vez más los eh los prestadores privados atienden a más pacientes del sector público y por lo tanto cuando le tengamos que derivar un paciente o se derive un paciente desde el sector público al privado, va un NIP en la identificación y eso hay que entenderlo al otro lado. Y también entendemos un pasaporte y para eso el Departamento de Estadística defino y nunca me la aprendí eh que identifica el que señala cómo es la identificación de una persona. Entonces, vamos a hablar de room, de NIP, de pasaporte, de número propio, etcétera, etcétera, etcétera. Pero lo importante es que tiene que generar. Y ahora la gracia de esto es que esto crea un número único y eso es lo que lo hace interesante, que no es un número para identificarlo en la calle, es un número único para la identificación en la transaccionalidad y en la y en el registro. Los prestadores, obviamente la superintendencia, todo lo que tiene que ver con los prestadores, los prestadores institucionales, privados y eh personas, digamos, los servicios terminológicos tenemos que ordenar, disculpe que sea latero aquí, pero tenemos que ordenar esto, o sea, si vamos a interoperar, entendamos todos que eh abdomen algo es eso y no existe el dolor de guata, ¿cierto? Estamos claros en eso, ¿cierto? No existe dolor medio, hay una hay una hay un estándar asociado como tenemos que decirlo, y lo mismo para laboratorio, lo mismo para imágenes, lo mismo para distintos procedimientos y obviamente tenemos que tener un repositorio porque, ¿dónde vamos a guardar la data? Tenemos que guardar esta data que va por un lado y esa data tiene que estar segura, disponible, íntegra, no manipulable. No puede ser que al otro lado esté, tenemos que controlar quién accede a ella, cuándo y cómo. Y para eso la capa de interoperabilidad lo que nos permite es poder asegurar esto. Alguien el otro día me dijo eh en otra charla me dijeron, "Pero es que ya no se usan los buses." Bueno, da lo mismo tecnológicamente hablando, si es un bus o no un bus o si va a ser un un puntero, da exactamente lo mismo. Lo importante es que la información que se se transporta desde los registros clínicos, desde los laboratorios, desde imágenes, desde farmacia, desde cualquier centro, desde diálisis, desde centros de endoscopía, bla bla bla, de lo que sea, todo tiene que ir por un camino y ese camino tiene que ser conocido, la ruta tiene que estar clara y tenemos que saber quién con quién. Por eso es importante, eh, si hay que haya gente del mundo público. Preguntábamos en la en la integración de la interoperabilidad de la consulta, ¿quién era el médico prestador? Tenemos que tener claro quién lo deriva para un lado para otro y en el privado exactamente lo mismo. Tenemos que tener claro de dónde se deriva de un lado para otro, hay que identificarlo y para eso tenemos que estar claramente interoperando con la superintendencia. Se entiende, se entiende la lógica, ¿cierto? Entonces en ese mundo, la arquitectura Open Hy, una arquitectura abierta, nos permite mover. No es una no es una arquitectura tan propietaria, sino que es mucho más abierta. Entonces, ¿qué es lo que gana el paciente y quién lo atiende? El paciente gana primero es que hay una continuidad real de su modelo de atención. Entonces, la historia viaja con él, no queda en el en el último prestador, no queda en la memoria del paciente, sino que al contrario la información se transporta. No hay menos exámenes repetidos. Sabemos todos, sobre todo en el mundo público, que se repiten exámenes y en el mundo privado también, porque me ha tocado llevar a mi hijo al médico y yo le digo, "Mire, aquí el examen se lo hice la semana pasada, no lo vamos a hacer de nuevo porque y uno hace caso, tiene la más remota y le hacemos de nuevo los exámenes. ¿Serán válido o no válido, ético o no ético, no quiero juzgarlo, solo que se duplican exámenes, vas a la urgencia y después mueves a otra urgencia, te vuelven a hacer los mismos exámenes. Entonces, la información tiene que ser con menos exámenes repetidos, menos carga en cada consulta, ya no tiene que reconstruir la historia, el médico o que lo atiende cada vez o el equipo, no hay que reconstruir. Entonces, el paciente gana mucho con esto y el equipo clínico bien decisiones más seguras, con información más informada, menos tiempo administrativo, los que son clínicos saben de este tiempo y mejor manejo de pacientes crónicos y ahí a mí me queda todavía la rama pública todavía que el cómo atendemos a los pacientes crónicos y hacemos un seguimiento más longitudinal de su atención. El paciente crónico es un paciente que transita en las redes públicas y también en la privada y es uno de los pacientes que más se mueve para todos lados, digamos. Entonces, super importante que tengamos eh visto cómo lo podemos eficentar eso. Entonces, si hacemos estas alianzas públicoprivadas y vemos cómo trabajamos público privado, hay un uso más eficiente en la red. O sea, un paciente puede resolverse con un prestador más adecuado. Si tengo información, puedo derivar a un paciente más adecuado, a un prestador más adecuado. Eh, no solo el que pueda atender su ficha clínica, sino no solo el que pueda estar más cercano, sino que también podría optimizar la red asistencial, tanto público como privado. Puedo mejorar la gestión de lista de espera, algo que todos los gobiernos anteriores y este eh tienen su misión de resolver por el problema que tenemos con lista espera. No vamos a engañarnos con eso. Entonces, los datos tienen que ser mucho más consolidados. Se habilitan derivaciones y priorizaciones con mayor eficiencia, menor gasto en la duplicación, nuevamente eso ya está absolutamente sabido. Y la trazabilidad, esto es super importante, la información agregada es comparable y por lo tanto podemos hacer mejores vigilancia epidemiológica, mejores decisiones sanitarias, mejores segmentación de la población, no para segmentarlos, sino que para atenderlos mejor, mejor para caracterizar mi comuna, mejor para caracterizar mi atención al público objetivo en el cual si estoy en el privado quiero llegar. Si es que soy un Elean, por ejemplo, ¿cómo segmento eso? si soy un servicio de menores, si tengo eh personas privadas de libertad, o sea, puedo empezar a gestionar mejor la información en cómo atenderlos. ¿Se entiende? Entonces, la lógica de la interoperabilidad te lleva a eso. Ahora, ¿hay responsabilidades? Sí, las hay. Y por eso para interpelar no es solo técnico y los desafíos son el reglamento que está en trámite, el sistema heredado. Tenemos muchos sistemas al igual que usted, al igual que en el mundo público, en el mundo privado, hay una cantidad de sistemas enormes y que alguien dice, "¿Para qué los voy a cambiar si ya funcionan? Una muy buena decisión, pero tenemos que ver cómo vamos a hacer si vamos a asegurar esa información. Calidad de gobierno de datos. tenemos que trabajar fuertemente en eso. El Departamento de Estadística, Información en Salud del Ministerio quedó trabajando con una fuerte labor en la calidad del dato, en la gestión del dato, la identificación única del paciente. Hay una implementación ya eh no quiero no no tengo bien el dato, pero está gran parte ya mapeado Chile con el acceso MPI en las en los en las transmisiones eh del sector público, por lo menos. Y ahora tenemos que ver cómo el sector privado consume ese NPI. la cultura organización organizacional. Esto es un tema muy importante. Esto es al privado le pega de uno porque yo he tenido varias conversas con el sector privado que me dicen, "Pero, ¿por qué yo tengo que disponibilizarle mi información al a mi competidor?" ¿Cierto? Es superentendible en su modelo de negocio. Pero la pregunta es otra. La pregunta es que no tienes que tú disponibilizarlo, es que tu paciente es el que se mueve y tu paciente no va a estar 100% y uno no se va a quedar en un solo lugar donde lo puedan atender todo el rato y siempre, porque uno se mueve. Yo tengo una emergencia en la quinta región y me atiendo acá en Santiago y todos mis datos están en Santiago. A mí me gustaría que mis datos estuvieran disponibles para que tenga un mejor servicio de atención. Entonces, competitivamente ya no es el que lo tiene cautivo, sino el que lo disponibiliza de forma segura. Es el que lo disponibiliza y genera confianza de la información que está almacenada y que está disponible, el que lo hace bajo el estándar, el que distribuye la información y interopera bajo una guía práctica, no algo que se puso de acuerdo uno con el otro. Entonces, super importante el hecho de usar los estándares, el hecho de poder usar la información. Y cuando usamos la información, y no me quiero quedar pegado con la mañana, tenemos que tener todas esas condiciones que vimos. Yo no quiero ser repetitivo en la lógica, pero la ciberseguridad, tanto la ley vigente como la que entra en diciembre, nos exigen no exigen que la información que transportamos, que almacenamos, que guardamos, que operamos cumpla con las condiciones legislativas. Entonces, ya, bueno, ahí estaba cumpliendo con la 21,668, que es la interoperabilidad, la 663 de seguridad y la protección de datos. Entonces, no me no se queden pegado en esto porque, perdón, no se queden pegado en esto porque esto ya está dicho por todo el rato. ¿Por qué se importa para interoperabilidad de la seguridad? Porque al abrir más puntos de acceso a la ficha clínica, cada prestador se vuelve un eslabón que puede exponer al resto de la red. Esa es la pregunta. Esa es la pregunta. ¿Cómo yo dispongo información segura al resto? Ya. ¿Cómo yo la dispongo y cómo lo voy andando? Y cuando hablamos de la siguiente protección de datos, ¿por qué importa para interar compartir las fichas clínicas entre más prestadores? Exige más consentimiento, más trazabilidad, más evidencia y del cumplimiento, no menos, sino que al contrario más. solo quedarme en esto de que yo debo diseñar y esto para los emprendedores, ya cerrando, yo debo diseñar desde este concepto, desde este mismo proyecto con las tres leyes. Hablábamos de que ya lo lo que es es los sistemas que ya están ya están, no hay nada que hacer. Pero si yo estoy diseñando, soy un emprendedor y quiero armar cosas, eh Michel en la mañana hablaba de los nueve básicos. Entonces, bueno, construyamos soluciones integradas desde el diseño y es ahí somos realmente competitivos como eh como startups. Eh, voy a pasar rápido esto eh también y me quiero quedar con esto. La pregunta ya no es si interoperamos, quiero dejarlo s super enfático, es si lo hacemos protegiendo a quien confía en nosotros y la seguridad con la interoperabilidad van absolutamente de la mano. No podemos pensar que vamos a interoperar sin seguridad. Cuando defendimos esta ley en el parlamento, una de las cosas que más nos preguntaron los senadores fue, "¿Y qué pasa con la seguridad?" Y esto considera esta componente. Sin seguridad no hay interoperabilidad. Podrá asistir integración, podrá asistir otras cosas, pero interoperabilidad debe ser con formato seguro porque es datos son los que transportamos. Eso. Muchas gracias. [aplausos] No, ahí sí. Muchas gracias, Jorge, por la presentación. Continuamos con el programa con una presentación de 20 minutos para la cual recibiremos al doctor José Fernández, CEO de Rayén Salud, quien nos dará su charla titulada Detrás de cada dato, una persona. ¿Cómo hacemos clínica? La seguridad y la interoperabilidad en salud. El Dr. Fernández es médico cirujano de la Universidad de Santiago de Chile, especialista en salud pública. Bienvenido, doctor Fernández. Lo recibimos con con palmas. [aplausos] [ovación] Estamos. Bueno, muy buenas tardes. Muchas gracias, Jorge, porque me diste justos 30 minutos después del coffee. Empieza a subir la glucosa y ahora todos tienen atención para escucharme. Muchas gracias. Eso, además, muy buena. Bueno, eh primero un honor, muchas gracias por invitarme, eh muchas gracias a esta universidad eh que es donde se siembran, cierto, las nuevas ideas, aunque parezca que todo esto ya llegó. Entonces, como que estuviésemos hablando de un escenario en donde nos estamos preparando para algo que va a ocurrir. O sea, faltan dos días para fiestas patrias, ¿cierto? y un día más para que entre la la ley de protección de atro. Yo soy médico, también soy tecnólogo, pero soy médico y los quiero llevar a una escena que ocurrió hace muchos años atrás, cuando yo tenía 21 años, menos kilos, menos canas y entraba a ver por primera vez a un mi primer paciente. Sí, por efecto de protección de datos no voy a dar el nombre del paciente, les vamos a poner la señora Carmen porque me gusta ese nombre. Pero lo primero y lo más llamativo fue que me dijeron, "Usted es alumno, tiene que hacer su primera entrevista clínica. Si hay clínicos en la sala, me imagino que se acordarán de eso. Primera vez que uno se pone una bata, se cuelga un fonendo que en ese momento va a servir porque lo habíamos comprado dos años atrás y no lo habíamos ocupado nunca, ¿cierto? Y me dicen, "Vaya a la cama 12." ¿Cuántos clínicos hay en la sala? Levanten la mano. Bien, hartos, hartos más de lo que han habido en otras jornadas de ciberseguridad. Sí, vaya a la cama 12. Ese es su paciente, es la señora Carmen. Fíjense que cuando yo tuve ese encuentro con la señora Carmen, que fue muy agradable porque además durante toda la semana había estado siendo entrevistada por múltiples alumnos, porque siempre eligen a las pacientes que tienen mayor mayor como confianza, ¿cierto?, que se mueven más y que quieren que las examinen más. Y me di cuenta que lo que se veía en la ficha era imposible de leer. La letra de médico, ¿no? Entonces, primero perdía mucho tiempo tratando de entender eso, después haciéndole las preguntas que tenía que hacer como buen alumno de medicina, ¿cómo se llama? ¿Dónde vive? qué edad tiene, etcétera, con quién vive, cómo cómo partió esto, etcétera, etcétera. Ahora, hoy en día cuando ocurre esto, por suerte a ustedes, los alumnos, si es que hay alumnos de carrera de la salud, ya se enfrentan casi toda una ficha clínica, si es que ya no tienen tanto problema para leer. Tienen un problema legal porque según la ley 20,584 de derecho a los pacientes se definió de que el acceso a la ficha clínica solamente es para quienes tienen directo relación con la atención y ahí el mundo académico quedó un poquito temblando. Sí. ¿De quién es la ficha clínica? [carraspeo] Eh, con fuerza del paciente, de las personas. Y fíjese que eso se definió hace recién 14 años. Antes era un debate terrible, es de la clínica, es del médico, es de la consulta, etc., pero empezó a ser del paciente y por lo tanto la señora Carmen no tiene idea de HL7, fire, eh, firewall, ¿cierto? Eso ella lo único que necesita es que alguien la atienda que tenga sus datos, ojalá porque ya se cansó de escuchar a muchos eh alumnos preguntándole, ¿cierto? Y que le resuelvan su problema. Ahora la ciudad Carver estaba en el hospital, pero había sido atendida en su sexa hipertensa, diabética y estaba tomando cuatro remedios que era la pastillita azul, la pastelita morada, la pastillita naranja y un inhalador. Eh, el fecema en ese tiempo era azul. Sí. O sea, fíjense la información que empieza a entregar ella. Y tenía una neumonia. ¿Por qué fue la neumonia? y me dice a mí que yo justo fue un día viernes, así es que habían pasado el lunes, el martes, el miércoles, el jueves, el viernes y parece que yo le caí bien a la señora porque además yo iba tan nervioso que le llevé hasta un juguito y me dice, "Marido, una noche estaba curado, me pegó y me hizo dormir en el patio y yo quedé con ustedes. Y claro, cuando uno empieza a decir, "No, tiene neumonia porque tiene una radiografía que dice que tiene neumonia y porque tiene tos y porque tiene crépitos y todos los signos y y síntomas relacionados con eso, ella logró contarme algo que no le había contado a nadie, el por qué tuvo." Y ¿por qué me quiero detener en esto? Porque hemos hablado de leyes, hemos hablado de tecnología, eh, pero cuando hablamos desde las personas y cuando ese acto de confianza íntima entre un médico y un paciente que te cuenta algo que quizás no le había contado a nadie, me hace sentir que las leyes no bastan, que es super injusto que estemos Hemos urgido ahora dos meses antes de la ley de protección de datos que es super injusto que ahora recién de después de que ocurrió Guanacay el 2017 que se interrumpió todo un sistema nacional de salud, eh estemos hablando de tecnología, de mejores prácticas, porque la señora Carmen sigue estando en la cama 12. Sí. Y desde ahí quiero hablarle. ¿Por qué? Porque hoy tenemos super buena noticia. Eh, bueno, Jorge un poco lo decía, pero lo quiero reforzar. Hoy en día, por lo menos gracias a la estrategia de informatización de la red asistencial en el país que partió el 2010, por lo menos más de 15 millones de personas en Chile tienen una ficha clínica única. que lo sigue Arica Puntarenas. Sí. Y por tanto esa ficha clínica si pasas por diferentes fans, si vas a vacacionar a a Arica y después te vas a Punta Arena y te atienden el SESAM Damianovic, que es un SESFAM de Punta Arena, tu ficha te sigue. Y justo el 2017 cuando ocurre esto de Gana Cryay, nuestra empresa que se llama Rayén, dijimos, "Esto es serio. En ese tiempo ya no sé, manejábamos 8 millones de historias clínicas. Ya no me acuerdo. Tenemos que hacer algo y decidimos certificarnos la ISO 27001. Era la decisión menos rentable de una empresa. Nadie lo exigía, nadie lo pedía, ¿cierto? Es la es una de las ISO más complejas que hay, ¿cierto? Y este año cumplimos 10 años de eso, pero tiene que ver con nuevamente la cama 12, pues la señora Carmen. ¿Cómo cuidamos los espacios y los eventos que constituyen la biografía de las personas? Cuando uno se enferma es un momento de vulnerabilidad, es un momento de alta sensibilidad. Y y yo que recuerdo, quizás yo fui extraño en mi tiempo de adolescente, para mis momentos de vulnerabilidad y de alta sensibilidad escribía. Algunos escribían diarios de vida, otros escribían poesía, yo escribía, pero era mío y lo guardaba con recelo, porque era parte de un evento de de mi biografía, pero también los eventos felices cuando nació nacieron mis hijos. era el papá más orgulloso con el certificado de nacimiento para ir a inscribir a mis hijos en el registro civil, porque soy viejito, entonces había que ir a una oficina de registro. Por lo tanto, todos estos espacios, fíjense que no viven en un solo lugar. Ya les mencioné el Sesfan, el hospital registro civil, ¿cierto? cuando tengo que ir a reclamar por una licencia médica eh a esta oficina que todos amamos, a la compin, etcétera. Entonces yo parto de una premisa. Yo amo y respeto profundamente a mis amigos informáticos, ingenieros. Yo yo no vivo sin ellos y sin ellas. Sí, pero yo creo que la seguridad y la entrilidad no son proyectos de tecnología en salud, son proyectos clínicos. Y esto yo lo vengo diciendo hace 20 años atrás. Los proyectos de informatización en salud son proyectos clínicos con un apoyo informático. No podemos vivir sin ellos, pero tienen que ser clínicos. ¿De quién es responsabilidad la calidad asistencial del clínico? ¿De quién es responsabilidad la seguridad de los pacientes del clínico? Entonces, fíjense que lo que decía Jorge, yo voy a referenciar a todos en la mañana porque la verdad es que me siento muy honrado de terminar justo esta hora. Siempre se dice, "No, esta es la peor hora porque la gente tiene hambre, pero el café estuvo espectacular, los sandwichitos muy bueno." Es porque tenemos un problema gigante de fragmentación, ¿cierto? y la fragmentación daña. La gente en general cuando está en un momento de vulnerabilidad y de sensibilidad no se acuerda de sus alergia, no se acuerda de sus remedios, se acuerda de los colores. Sí. Y eso puede matar lo que decía Jorge con su vay a tener que cambiar de médico porque si te hacen repetir a cada rato los exámenes, cambia médico. Mejor mejor cambiar el médico que cambiar los exámenes, repetirlos, ¿cierto? que se repiten. Fíjese que Chile tiene la la segunda tasa más alta de gasto de bolsillo del mundo. Del mundo. En eso somos campeones. Y obviamente cuando te dan de alta y te entregan un documento cototo que se llama Epicrisis y que ahora se hace con Iá y es muy bonito, no lo entiende el paciente. No lo entiende el paciente. Seguimos con problemas. Y la historia clínica de quién es? Del paciente. Sí. Bueno, ya se ha dicho mucho a esta sensación de urgimiento, de miedo. Sí, nos van a atacar. Acostumbrémonos a eso. Nos van a atacar y nos van a pegar fuerte si no estamos preparados. Entonces, hace 10 años atrás la hizo 27001 para una ficha clínica electrónica, nadie la pedía, pero hoy cuando yo hablo en estos eventos no hablo desde el urgimiento. Déjenme usar una palabra de mi de mi hijo adolescente. No ando urgido, duermo super tranquilo porque tengo 10 años de preparación. Aquí deben haber algunos hackers. De seguro no hay una invitación a atacar a nada, pero lo que quiero decir es lo que quiero decir es que hoy en día la mejor defensa es la preparación porque hay que cuidar a la señora Carmen. Compartir o proteger. Y esta es una pelea que tuve, he tenido con todos los ministerios de salud, incluido con Jorge, porque fíjense que la ley no quedó tan clara y la promoción de la ley fue peor, porque empezamos a decir, "No, viva la interoperabilidad, interoperar, interoperar." Pero nadie, yo salía detrás con seguridad, con seguridad, pero muy chiquitito. Ahora estamos diciendo con seguridad porque viene la protección de ATO y porque la ANCI nos va a caer a multa. Pero el año pasado no hablábamos de eso, hablamos de interoperar. El discurso. Podríamos hacer un un estudio de los reels del ministerio era celebrar la interropilidad. Eso no es culpa Jorge, porque con Jorge siempre estuvimos de acuerdo de interpelar con seguridad. Sí, pero fíjense que la promoción fue mala porque se me empezaron a acercar a mí empresas que querían interoperar porque era la ley y tenía que interoperar, pero sin seguridad. Voy a ocupar una cosa que dice mi hija Trini. La tapa se escuchó de Arica Puntaner. Me gusta este tema de que empezamos a hablar de diferentes leyes. Me pasó en el HIMS, lo voy a decir, que como que nos centramos solo, porque estaba mal la directora la ANI, solo en ciberseguridad, solo en ciberseguridad. Eh, y más escucharon cosas extrañas en en un debate como no me importa la protección de datos, a mí no me importa los derechos de los pacientes, a mí me importa esto, ¿cierto? Ahí hay alguien que un testigo fiel de ese espacio. Bueno, y yo tuve que salir a decir, "¿Saben qué? Salud es un contexto, tenemos escudos. El escudo de la ciberseguridad del hospital debería ser su sistema de gestión de ciberseguridad. Se tienen que certificar ISO 27001. Ojalá. Si pueden, ojalá, y si no pueden certificarse que solo colgar un diploma y que un auditor externo y un auditor interno cada año te diga si usted cumple, pero por último, si no quieres tener un sistema que tenga la base de esto. Y nuevamente el certificado de la ISO no dice que te van a atacar, tampoco una política de seguridad que todos tienen en alguna carpeta, en un OneDrive. que no es corporativo, eso es lo peor. Entonces, tenemos ese escudo, pero tenemos un escudo que no hemos mencionado, que es la ley de y derecho a los pacientes, que sobrepasa para mí a la de protección de datos, porque desde ahí definimos la propiedad de los datos, por lo tanto es un activo de las personas como el dinero. Si me roban plata, lo reclamo, denuncio porque es un robo. Y aquí quizás siento que hemos sido un poco delicados y no hablamos de delincuentes, los hackers, sí, el ciberataque es ciberdelincuencia. Sí, hay hacker éticos, hay que certificarse. Yo me certifiqué. Sí, pero los que ocupan medios tecnológicos para robar son ciberdelincuentes, digámoslo con fuerza, porque se roban parte de la biografía de las personas. Por lo tanto, hoy las leyes pareciera que están llegando al lugar más íntimo del contacto terapéutico. Sí. ¿Ustedes creen que yo soy José Fernández? Porque solo lo dice la jornada él. ¿Cómo saben que yo soy José Ferná? ¿Cómo sé yo como médico que el que entró a mi box es la señora Carmen? Fue en salida. Peor aún, cuando estoy atendiendo por telemedicina, ¿cómo sé que esa persona es quien dice ser y quien pagó el bono? Y aquí no tiene que ver con la tecnología, ni con el medio ni con el canal, es porque el sistema de salud se basa en la confianza. Qué palabra más bonita y más profunda. Miren, en seguridad de la información, antes de el año pasado cuando uno estaba certificado 27001 que es ciberseguridad, seguridad, información y protección de datos es del 2022, el 2025 la ISO dijo, "No, vamos a hacer algo más difícil" y separó los controles de la 27,001 del 2022 y dijo, "Vamos a hacer una nueva ISO, la 27,701 de privacidad." Quédense con estos conceptos. El SID como el SID campeador. Alguien lo leyó. Por favor, dígame. Ve ayúdame. [risas] El S campeador, ¿cierto? Disponibilidad, o sea, confidencialidad, integridad, disponibilidad. Vamos a partir con la disponibilidad, qué es lo que tienen que cuidar, cuidar estos sistemas, ¿cierto? Que esté disponible el sistema. Listo. Disponibilidad. ¿Qué es lo que dijo Jorge? Por continuidad, cuidado. Me mató esta esta diapositiva que es maravillosa. Me la me la copió. Ahora ya hemos estado en tantos seminarios que ya nos escuchamos todos. Sí. Eh, pero quiero que lo traduzcan al lenguaje clínico porque nuevamente yo estoy hablando aquí no como informático médico, estoy hablando como médico. Sí. Por lo tanto, fíjese que cuando se interrumpe la continuidad del cuidado porque no tengo acceso a la información, no pasa nada. Qué feo que lo diga. Se lo voy a decir por qué. Si estamos frente a una un ataque, estamos en una clínica, ustedes son el comité de crisis, estamos siendo atacado en este momento. ¿Qué cuidan, la disponibilidad o la integridad de los datos? Integridad, dicen por ahí alguien distinto. La disponibilidad dicen por allá. Sí, ya les voy a explicar el SIT, confidencialidad, integridad. ¿cierto? Y disponibilidad. La integridad es que el dato se mantenga tal como fue escrito en la primera ocasión. Esta persona tiene una alergia a la penicilina. Entonces, después viene un ciberdelincuente y quiere cambiar eso a que no es alérgico a la penicilina. Sí. Si yo al ciberdelincuente lo corto para que no llegue a comprometer los datos, es lo que debo hacer. Cortar, segmentar, aislar, aislar. Sí. ¿Por qué digo esto? Porque al final gran parte de las discusiones que estamos teniendo estos últimos dos años que estamos bajo un ciberataque por ciberdelincuentes permanente es lo que tenemos que cuidar. Nuevamente la cama 12, la señora Carmen. Me me carga lo de la cama 12. Ya, pero así es, así se hablaba en ese tiempo y yo creo que todavía la señora Carmen y ahora se agrega el ámbito de la privacidad, ¿cierto? Que al final tiene que ver con que cómo las personas dicen, "Esta ficha es mía, yo no quiero que me la roben, corten el acceso. Esta ficha es tan mía que yo quiero que borre esa vez que yo dije derechos Arsop o ARCO." Sí, Arsop en la legislación chilena. Yo quiero que borre eso que le dije al alumno de que fue porque mi marido me pegó y me tiró al patio. Ese derecho como a olvidar o a cambiar cosas y ahí empiezan otras cosas. Tendrá derecho un médico de decir, "No, llegó con dolor de guatita, yo soy pediatra, así que sí existe ese diagnóstico. Dolor de guatita, eh, y no tenía el signo de de apendicitis. Y la verdad es que yo no lo examiné, pero lo hice después. ¿Se fijan? Cuando se habla del marco legal es la base. Es la base nada más. No es el tope, el tope es lo ético. El tope es lo ético. Estamos todos urgidos por la base. Bueno, hay seguridades que estorban. Sí. Antes efectivamente había que tener el código que iba al correo, el código que llegaba al SMS y también el Multipass o como se llamen en el banco que ustedes tienen. Y en esto quiero detenerme un solo detalle. este año que seguimos en ciberataque, sobre todo a historias clínicas electrónicas que no tienen ninguna certificación, bien, que nadie se la exigió, se empezó a exigir el MFA, ¿cierto? el doble factor y se armó una batabola gremial porque no con fíjense que apareció, no lo tengo acá, lo tiene mi lo tiene Liana con mi teléfono, ¿no? Porque me van a monitorear, porque me van a saber dónde estoy. Nadie les explicó que cuando uno instala cualquier aplicación de verdad conocida, ¿cierto?, de de MFA. Esa aplicación vive en el teléfono, no requiere ni siquiera plan de datos, solamente para bajarla. Pongan modo avión y sigue funcionando. No, es que va a ser muy lento ahora. O sea, a ver, root, password, MFA, ese es el gesto, ¿no? MFA book, abro seis números, igual que el Multipas. Entonces yo preguntaba en el gims y voy a volver a preguntar hoy en día, ¿ustedes se atenderían con un médico, una enfermera, una matrona que no se lave las manos? Sí, se van a tener igual porque no quizás no van a cachar, pero [risas] pero ahora que saben, ahora que saben, ahora que saben, gracias por la risa. Eh, lo que va a pasar es que chuta, les va a dar cositas. Eso es seguridad del paciente. Eso es seguridad del paciente. Lo mismo con el MFA y lo y la gente que está reclamando con mi teléfono, ¿no? Porque esto es más lento y eso lo estamos cuidando a ustedes, usuarios y eso no lo ven. Esto no es para cuidar a la ficha clínica ni el establecimiento, no. Es porque si alguien les roba las credenciales, se van a hacer pasar por ustedes y ustedes después van a tener que venir y pagar la UTM. Entonces después dicen, "No, más barato es con que me llegue un aviso al correo." En Chile este año Info Steeler robó millones de credenciales. No era, no era Infostil, Rotify con un Infosil que Miro Gabriel y me asusto. Sí. Eh, eso quiere decir y la gente cree que solo le robaron las credenciales de la historia clínica de Euroconía. No, pues si hay un Ifosel en un computador, ¿cierto, Gabriel? Le robaron las del banco, le robaron todo. MFA, por favor, no se nieguen en eso. Y si alguien escuchan decir con mi teléfono, no, que me van a saber, oye, ya ponle en modo avión y ver si funciona. Sí. Ahora, ya han hablado mucho interabilidad segura por diseño. Insisto en esto, sobre todo los que están partiendo con startup, no se tienen que certificar en la ISO. Cierto, pero cuando empiecen a avanzar y si se quieren meter una ficha clínica electrónica, lo tienen que hacer. Lo siento, es el máximo lugar donde hay que poner máximos escudos porque es salud, pues se el negocio equivocado para no querer hacer las cosas con seguridad. Ahora, la tecnología que falló en la clínica Dávila. A mí no me da miedo esto porque todos sabemos que era la clínica de Ávila. Entonces, listo, fue la clínica de Dávila. Yo me atendía en la clínica Dávila. Listo. Eh, falló el BPN. Claro, porque todos le echamos la culpa. No, es que tenía admin. Listo. Todos echamos le echamos esa culpa, pues. Cierto. Pero, ¿fó eso o fallamos las personas? Las personas. Si la tecnología está ahí. Ahora, obviamente, si no tenían EDR, si no tenían DLP, todas estas tecnologías salen tan caras y que tenemos que comprar los que sí estamos certificados en ciberseguridad. Ah, eh, listo. Hay un problema de presupuesto, también lo dijeron, ah, cortito, pero es un problema de presupuesto, pero en general fallamos las personas. se se va a ganar un iPhone 20 si hace clic aquí y me entrega sus credenciales. Sí. Eh, y además de una manera que lo hace imposible, pues no, si existe el iPhone 20, creo que vamos en el 17 a eh va a existir esto. Todos hemos caído en eso. Entonces, ¿cómo somos capaces nosotros de entender de que esta cultura con escudo, cierto? ciberseguridad, protección de datos, deber y derechos de los pacientes, ya ley de intervenilidad, telemedicina, todo es lo mismo, es clínico por defecto. Ahora si no comprometen a los clínicos en salud porque estamos en c en la jornada de salud fuera a la banca digo a los banqueros, a los clínicos esto va a fallar porque yo estoy seguro que todos los técnicos están todos de acuerdos conmigo. Sí, necesito más plata. Sí, necesito un EDR, un XDR, un DLP, ¿cierto? Involucren a los que toman las definiciones del mundo en que están trabajando. Esos son clínicos y si los clínicos no están en esa mesa, esa mesa va a fallar porque no hay nada más sectario que un médico. Y lo dice un médico. Eso ocupen a los informáticos médicos. Aquí tenemos dos grandes ejemplos, la Beatriz y el doctor ahí. Para eso ocúplos, porque nadie convence mejor que un se me va a morir un paciente si usted no hace esto. Listo, ya bueno, vamos, gastemos plata en un DLP. Bueno, ahora cada uno tiene su responsabilidad, cada uno tiene su desafío, cada uno tiene la oportunidad de decir esto está bien, lo podemos hacer mejor. No inventen la rueda. No inventen la rueda porque esto está escrito. Muchas personas estamos enseñando sobre esto. Y fíjese que llevamos en la tercera jornada de ciberseguridad gracias a la Alianza Chilena de la Ciberseguridad. la tercera y ojalá sean más cada uno desde nuestro espacio. Ahora, lo más choro de esto es que yo me volví a encontrar con la señora Carmen. Me me trajo su nieta de casualidad para atenderla y se acordó de mí. ¿Ustedes creen que en ese momento cuando yo vi a la señora Carmen y a su nieta me acordé de que no había entendido la letra de los médicos? Ella, ¿ustedes creen que ella pensaba de que su ficha clínica ya estaba porque es parte de una red que atiende mi empresa? Rayén. ¿Sabía que nosotros habíamos tenido los primeros certificados en HL7? No, lo único que sabía es que la persona con la cual había hablado, y yo le pedí permiso para poder contar esta historia, había guardado su secreto por 30 años. Por 30 años. Me y me y como supo en qué estaba, me dijo, "Cuenta esta historia." Porque al final no tenía idea de que la ficha clínica era de ella. Así que dijo que le iba a pedir para ver mi letra porque me dijo esa vez cuando yo era alumno, acuérdese de escribir bonito para que lo entienda. Bueno, ahora escribimos Ariel 12. Muchas gracias. [aplausos] Agradecemos a Ray en Salud y al doctor José Fernández. Cerramos este tercer bloque con la Lightning Talk de 10 minutos sobre el aprendizaje federado en salud presentada por Miguel Uribeverría [resoplido] de Sharpa EAE. Miguel Urbe es consultor estratégico responsable comercial de Sharpa Europe SEO en Chile. Le damos un aplauso para recibirlo. [aplausos] ¿Cómo? Sí. ¿Cómo ya? [carraspeo] Muy buenas tardes, muchas gracias por el espacio. Soy Miguel Uriada Avilaza y vengo a contarles hoy cómo Cherpa desbloquea el poder de la colaboración a partir de los datos. El 2017, Eric Smith, ex CO de Google, vaticinada que la innovación en medicina iba a ser afectada por el tema de de la protección de datos. Hoy la Agencia de Protección de Datos en Europa, personal en Europa, eh verifica, valida a CHERPA como tecnología que resuelve de forma estructural el riesgo regulatorio de protección de datos. Cherpa nace el 2013 basado en tecnología open source, que es el aprendizaje federado y adiciona otras tecnologías sin privacidad que permiten crear, operar y escalar modelos de inteligencia artificial sin compartir el dato. Bueno, ¿cómo funciona esto? Los métodos tradicionales software, algoritmos, consulta despliegan sus eh tecnologías sobre los distintos servidores. Para poder hacer eh los entrenamientos necesitan datos y estos datos vienen de entornos resguardados, ¿no es cierto? Y cada vez que necesitamos entrenar un modelo, copiamos datos y los trasladamos con por la red. Esto genera para entrenar al modelo, este genera el problema que hoy día nos convoca, la protección de datos y la ciberseguridad. Eh, ¿qué proponemos nosotros? Bueno, nosotros proponemos algo similar, pero al revés, es que desplegamos nuestro algoritmo en un servidor, en una nube, eh en un entorno, digamos, privado, pero desplegamos en estos espacios seguros un nodo, un docker, una imagen. Es como un filtro que se monta sobre los datos, abajo del negocio y al costado de la infraestructura. ¿Y qué hacemos con esto? Llevamos el algoritmo donde están los datos. De esta manera, nosotros qué obtenemos, que movemos por la red es el aprendizaje. El aprendizaje básicamente el resultado de una ecuación, un elemento numérico cifrado y así entrenamos el modelo. De esta manera apuntamos lo que es la computación distribuida, los datos distribuidos, los cálculos distribuidos y no la centralización. ¿Qué caráamos con eso? reducimos la el área de cobertura, el área de ataque superficial, bajamos la latencia en en la comunicación por la red y apuntamos a un beneficio energético que el recurso limitante hoy día de la inteligencia artificial, no he dicho por mí, sino que he dicho por los señores próceres. Eh, ¿cómo desplegamos [resoplido] esta información? Bueno, nosotros trabajamos con con todo tipo de datos, eh, API, streaming, batch, rack, federado en cualquier tipo de de programación computacional sobre cualquier tipo de software. Eh, y sobre los famosos LLMs. Nosotros hacemos fight tuning de LM. Con la aprendizaje federado. Tú puedes llevar a que el lenguaje, el modelo por lenguaje vaya sobre los datos tuyos propios, no vaya a hacer las consultas que generan estos temas de alucinación. eh que consulta de mall, con todo respeto, eh Wikipedia, Instagram, sino que va sobre efectivamente sobre los datos. Además, eh aportamos con tecnologías en privacidad como privacidad diferencial, anonimización, que son básicamente las que se propone en el mercado, encriptación homomórfica y otras pruebas de seguridad para trasladar este tipo de aprendizaje. Estamos bajo la ISO 27001 y recientemente hicimos un lanzamiento de 18 millones de para desplegar esta plataforma. si no es dentro de sus ambientes privados, podemos proponer nuestra plataforma porque entendemos que las organizaciones son todas distintas unas de otras, tienen su propio ADN, entonces los modelos son distintos y las arquitecturas son también distintas. [resoplido] Siamos un poquito más fino, eh, ¿cómo qué es realmente la inteligencia artificial? Bueno, la inteligencia artificial eh se compone por hardware energía. Nosotros eh ofrecemos un ahorro energético en esa capa. Sobre la arquitectura, nosotros nos podemos desplegar en cualquier tipo de arquitectura, llámese nube, llámese servidor premis, llámese dispositivos. Corremos con 8 RAM de gig. sobre la analítica los datos que el oro en verde ofrecemos distintas eh herramientas eh automáticas, semautomáticas y manuales para los distintos tipos de datos estructurados, semiestructurados y no estructurado, porque ahí viene lo importante que es la construcción de los modelos de aprendizaje. Sobre los modelos de aprendizaje, la la federación permite operar otros modelos de aprendizaje o eh nosotros también como empresa construimos estos modelos de aprendizaje, el despliegue la Generativa, hacemos este fine tuning del modelo y creamos y operamos agentes de inteligencia artificial para que tomen acciones concretas y medibles. Eh, ¿quién está detrás de de Cherpa? Bueno, hay un equipo bastante interesante, Chavi, el SEO de la compañía que se fue el 2013 a Silicon Valley, se asoció con Tom Gruber, quien es el fundador y creador de City de Apple. reclutaron a Enrique Sasúa, uno de los matemáticos más prestigiosos a nivel mundial en matemática aplicada, que es el jefe de algoritmo. Y se incorpora al equipo Tomás Calil, ex director de ciencia y tecnología de la Casa Blanca, quien aporta todas estas herramientas en privacidad y otros próeres de de distintas casas tecnológicas. Eh, y así hemos venido atendiendo y trabajando con importantes empresas consultoras ah y tecnológicas a nivel mundial en distintos sectores de actividad en donde existe el riesgo regulatorio y la información está tremendamente fragmentada como lo es Banco Salud gobierno y día la errupción de la Generativa ya amplía las estrategias de federación a todo tipo de industria. Y respecto a los casos de éxito, eh quiero detenerme un segundito y leer a que salga perfecto. Eh nosotros en enfermedades raras e tenemos un tenemos una colaboración entre dos continentes entre el Instituto Nacional de Salud de Estados Unidos, que colabora con la Universidad de Londres en la predicción de enfermedades raras de colágeneno tipo 6. Entonces, enfermedades raras, muchas veces el problema no es la falta total del conocimiento, sino que ese conocimiento está repartido entre pocos centros en el mundo. Eso ocurre con las distrofias relacionadas con colágeneno 6. Su diagnóstico requiere combinar clínica, genética e imágenes de inmunofluorescencia, donde los patrones son sutiles y difíciles de clasificar de manera consistente. El NH y la USL enfrentan justamente esa barrera. Ambos tienen datos valiosos, pero no pueden simplemente centralizarlos por privacidad, regulación, soberanía al dato, diferencia entre protocolo. Cherpa resuelve ese problema llevando el aprendizaje hacia cada institución. Los datos permanecen localmente, cada centro entrena su propio entorno y solo se comparten actualizaciones del modelo. [resoplido] La metodología es concreta 331 imágenes de 90 pacientes clasificados en cuatro grupos: control, exon skipping, glicin substitution y pseudoxen insertion usando el modelo de aprendizaje eficient net b0 como extractor visual y aprendizaje federado federat ache. El resultado es que el modelo federado, el entrenamiento entre ambos, entrega un score de 082 y una precisión de 0825, que supera los modelos como si fuesen entrenados de manera indistinta. [resoplido] Chpa permite que la medicina de precisión aprenda de datos distribuidos sin moverlo. Esto abre una vía real para colaborar internacionalmente y nacionalmente en enfermedades raras. Apoyar la interpretación de variantes inciertas, priorizar estudios genéticos, avanzar hacia modelos clínicos más robustos, trazables y respetuosos de la privacidad, entre otras cosas. Otros casos de éxito y fue donde nos hicimos famosos fue para el COVID. El COVID se inició en el norte de Italia y eh existió un mapa de colores respecto de cómo se fue gestionando la pandemia. Nosotros replicamos ese modelo y lo llevamos al País Vasco, a Bilbao, en España, en donde eh donde nace Cherpa y replicamos, digamos, ese modelo de contagio y generamos un modelo predictivo que nos permitía estimar con 10 días de anticipación la saturación del sistema. Interesante. Se lo pasamos a la autoridad efectivamente y pudo gestionar clínicamente respecto de todas las de todas las causas. Y salimos las noticias. Tenemos otra red de cáncer eh a nivel mundial, colaboración entre distintos centros clínicos. y también una red de neumonia pediátrica, entre otras casos de salud. Bueno, todo esto se va hacia un entregable. No tengo el tiempo suficiente abrir, digamos, eh el el el la plataforma, pero lo que proponemos es una plataforma que permite conectar distintas fuentes de datos, por ejemplo, sistema hospitalario, base de datos, API, archivos, imágenes, documentos, sensores o datalec y usar inteligencia artificial sobre esa información sin obligar a mover todos los datos a un solo lugar. Su funcionamiento se basa en tres ideas simples. Primero, conecta y ordena los datos dónde están. Segundo, permite entrenar o usar modelos de IA de forma local centralizada o federada, es decir, llevando el modelo hacia los datos y compartiendo solo el aprendizaje, no la información sensible. Y tercero, transforma esos modelos en agentes especializados que pueden ejecutar tareas concretas como revisar información, detectar riesgo, priorizar casos, generar informe, responder preguntas o activar alertas. En simple, esta plataforma funciona como una capa inteligente sobre los sistemas exigentes, no reemplaza la infraestructura. del cliente, sino que la conecta, la organiza, la agrega modelos, agentes, copilotos, els y paneles para tomar mejores decisiones en salud u otra industria, manteniendo privacidad, tracebilidad y control sobre los datos. Bueno, muchas gracias. mis datos de contacto. [aplausos] Muchas gracias, Miguel. A continuación proyectaremos videos de nuestros auspiciadores. [música] [música] [música] [música] [música] Si tuvieras el poder de ver más allá, de ampliar tus horizontes, la capacidad de comprender más, ¿qué explorarías? ¿Qué conexiones harías? ¿Para [campana] qué podría servir? Hace 125 años, Equifax se fundó entendiendo que todos deberían tener acceso a servicios financieros asequibles y convencionales. [música] Nuestro propósito, ayudar a las personas a vivir lo mejor posible desde el punto de vista financiero guía todo lo que hacemos. [música] Una década de exploración sobre la inteligencia artificial nos ha permitido promover este propósito, emplear nuestros conocimientos de una manera que ayude a las personas a darle forma a su futuro financiero. Nuestro enfoque patentado de IA explicable demuestra el énfasis [música] que ponemos en el uso responsable de la inteligencia artificial para ayudar a más personas a acceder a oportunidades [música] financieras. Este trabajo es posible gracias a The Equifax Cloud, una infraestructura de tecnología y seguridad global diseñada a medida para gestionar grandes volúmenes de diversos conjuntos de datos. Un elemento central de Equifax Cloud, es nuestra estructura de datos patentada, una estructura adaptable que unifica más de [música] 100 fuentes de datos aisladas y al mismo tiempo nos permite administrar esos datos de acuerdo con los requisitos normativos. [música] Más datos y conocimientos más profundos impulsan mejores decisiones. Estamos incorporando IA soluciones que resuelven problemas complejos, ayudando a las organizaciones globales a identificar nuevas oportunidades, tomar decisiones más [música] seguras, eliminar la fricción, acelerar la entrega de meses a días, mejorar las experiencias de los [música] clientes y detener el fraude en seco. Los científicos de datos de Ekifax de todo el mundo están impulsando [música] la innovación en IA para darle una nueva dimensión a los datos, colocando las necesidades de las [música] personas en el centro. Nuestros avances en IA están diseñados específicamente para ver más allá, crear nuevas concar a nuestros clientes a comprender más. Y nunca dejaremos de explorar [música] porque existimos para ayudar a las personas a vivir su mejor momento financiero. Y ese propósito [música] nos impulsa hacia delante, hacia la próxima frontera y más allá. Ryan Salud está presente en más del 76% de los centros de atención primaria, además de hospitales de mediana y alta complejidad. Conecta al país a través de soluciones de registro clínico electrónico, integraciones y un repositorio nacional que fortalecen la salud pública con un sello social reconocido. Sobre esta base nace Emilia, la inteligencia artificial que transforma la atención, reduce [carraspeo] inasistencias, anticipa diagnósticos y libera tiempo médico, generando [música] un impacto real en prevención, oportunidad de atención y continuidad del cuidado. familia, inteligencia artificial para la salud de nuestra gente. Para cerrar las ponencias de la mañana, queremos invitar ahora al escenario Narciso Basic, Business Information Security Office para Chile, Perú y Ecuador en Equifax, quien presentará sus charlas desafíos en el ecosistema de ciberseguridad en salud. ¿De qué nos debemos preocupar? ¿Se escucha? Aprieto ese. Ahí sí, ahí sí, sí, ahí sí. [resoplido] Oye, una alegría me produjo ver el video, así que me ahorré todo el el que yo contara qué esifax, bla bla bla bla bla. Así que gracias Pía por lanzar el video antes y tampoco contarles lo que esfax, así que quedaron s super claro. Vamos a empezar a derribar algunos mitos. Ojo con ese con el punto. Eh, primero la ciberseguridad, que es el término de moda, o la seguridad, la información, que en realidad lo que nosotros deberíamos estar preocupados, eh, es de responsabilidad de todo, no es de tecnología, no es del tipo de encargado de seguridad, es transversar dentro de las organizaciones. Un modelo el cual gestione bien los riesgos en temas de ciberseguridad tiene que ser transversal a la compañía, no puede ser encasillado en una sola área. Otro mito es que no es que a nosotros nos van a atacar. Todos los que estamos acá, la institución a la cual nosotros pertenecemos están siendo atacadas. Ya. ¿Qué es diferente cuando uno tiene un incidente de seguridad? Yo lo sé ya. Porque ese se concreta en este caso, el ciberatacante o el grupo ciberatacante en algunos casos concreta el incidente, o sea, eso ya. Pero todos los días existen millones de intentos de hackeo en todas las organizaciones. Otro mito. Tengo un firewall, otro mito, no sirve de nada ahora casi. Es una tecnología obsoleta de hace 25 años atrás. Ahora existen otras niveles de protección, otro tipo de tecnología. Vamos a ir de alguna manera derribando mitos que yo creo desde la humildad. Ah. Eh, 20, 24, 25. Estuve buscando ahí internet muchos casos. En todas las regiones hemos tenido incidente de seguridad. Ya estamos y toda la mañana hemos hablado lo que estamos acá que nosotros somos foco. La información y los servicios que manejan en este caso los servicios de salud y servicios sanitarios son focos. O sea, que tengan presente eso. Eh, tuvimos el incidente en Estados Unidos de pago de recetas paralizado, Ransonw. O sea, ¿qué nosotros podemos hacer para evitar un ransw dentro de una organización? Conversemos un poquito más allá. Ojo, es supercún el ranson world. Ransonw de alguna manera es un código melicioso el cual ingresa tu sistema y secuestra este caso tu sistema. Les pone cifra la base, cifra el laptop. Entonces, vamos a conversar un poquito bien rápido porque yo voy a tratar de que sean 15 minutos para que podamos ir a almorzar. Ojo con eso. Así que se muy rápido y hablo rápido lo que dije anteriormente, ustedes los que están acá están dentro de este ecosistema, hospitales eh 196, hay 28 en proceso de construcción, tenemos los prestadores que según el gobierno actual quiere llegar a 1000 este año 2026. Tenemos los laboratorios, tenemos prestadores de tecnología. Me imagino que hay muchos prestadores de tecnología acá en este momento. Eh, tenemos compañía de seguro, ojo, y todos tenemos diferentes dolores. Por ejemplo, yo conversaba con alguien de una aseguradora y yo le decía, "Oye, ¿sabes qué? Tengo que ir a hablar al seminario de salud. ¿Cuáles son tus dolores como empresa aseguradora, como una aseguradora?" Y dijo, "Mi dolor es la información y la continuidad." Ya, ¿ya? Y todos estos actores tienen diferentes dolores. Ya, ojo con eso, importante, pero todos somos parte de este de este ecosistema. Con respecto a lo mismo, es increíble. Nosotros tenemos, o sea, en mi caso me ha permitido este caso en el tema profesional trabajar en diferentes industrias. Los dolores son los mismos. Si yo mu la industria de telecomunicaciones son los mismos dolores. Si yo mu la industria de salud son los mismos dolores que están acá. ¿Cómo puedo eh dolores como sistema heredad? Sistema heredado. Lo que hablamos con respecto a todo lo que tiene un IP puede ser un sistema, puede ser un un equipo de comunicación, puede ser un FW, puede ser un NPS, puede ser un WAF, puede ser cualquier coso, puede ser un PC. Entonces, ¿cuál es la problemática que tenemos todos los actores? es mantener la plataforma actualizada, ese riesgo porque, por ejemplo, un ransw se propaga dentro de las redes. ¿Por qué se propaga dentro de las redes? Porque los sistemas están desactualizados y el patrón o el vector de ataque específicamente lo que hace es que se empieza a replicar. Pero si nosotros tuviéramos los PC común y corriente mantenerlo actualizado de forma automatizada, si nosotros tenemos las capas, hay diferentes ámbitos, pues están los servidores y nosotros tenemos, pero ese es un gran problema que tenemos todos y es superdfícil resolverlo. Mi recomendación, que yo sé que es complicado, es estandarizar. Tú no puedes tener, por ejemplo, diferentes motores de base de datos. Sí, pues si tú tienes Oracle, tienes SQL, tienes Sides y así de hay una cantidad de motores de base dato, imagínate que todos los días aparecen vulnerabilidades nuevas. Imagínate el costo a nivel de tiempo y económico de mantener actualizados los motores de base de datos si tiene cinco motores de base. Entonces, ¿cuál es la recomendación con respecto a específicamente ese punto que más adelante lo lo voy a retomar? es que tienes que mantener la plataforma actualizada con todas las dificultades. A mí me ha pasado que a veces he instalado algo y en el pasado y he generado algunos problemas. El tema de dispositivos sin proyección en el ámbito médico. Eh, hay empresas que certifican ciertos dispositivos los cuales se utilizan en medicina, pero de repente hay ciertas organizaciones los cuales utilizan y no piden esas certificaciones. Incorporan equipos dentro de este sistema que tienen ciertas vulnerabilidades. Ya. Importante también me he encontrado reunificado. Reunificado en el concepto de que ellos tienen una sola red de, no sé, hospital, por ejemplo, de una sola red y no tienen una un plan de contingencia, no tiene no tienen redundancia. ¿Qué pasa? Se mete un ransom famoso y se quedan sin servicios y no pueden atender en el hospital. El tema de tercero y proveedores, ojo, cada punto de esto se puede desarrollar de múltiples tomas. Por ejemplo, el tema proveedores y el tema de terceros. Hay muchas organizaciones que no se encargan del tercero o del cuarto. Ojo, hay terceros que es tu contraparte la cual te vinda servicios y a veces hay un cuarto, o sea, hay una persona que está detrás, otra empresa que está detrás. Pero, por ejemplo, ¿cuántos de acá las instituciones tienen cláusulas de seguridad dentro de los contratos? Bien poco. Me atreverí que un 20%. Ya. ¿Y cuántas personas que están acá tienen un proceso de evaluación de terceros de seguridad? Menos todavía estamos mirando como un 10%. Y otra pregunta sobre eso, ¿y cuántas personas que están acá revisan de forma periódica a ese tercero y ese cuarto? Mucho menos. Se imagínense, es colocar cláusula en el contrato, es colocar, ojo, no tiene que ser como un, en este caso una revisión como super específica, super trabajosa, cosas básicas, cosas básicas, sino hay que empezar de una base, ojo, cada vez menos, eso es más preocupante todavía. Eh, factor humano. ¿Cuáles de las instituciones tienen programas que se desarrollan en el ámbito de sensibilización de temas de seguridad que es constante en la empresa que ojo, 0,1% más preocupante. ¿Qué quiere decir eso? de que no es que sea un curso que te carguen cuando tú entras a la compañía, de que sean programas que se van desarrollando y se van modificando de acuerdo a las necesidades y tú lo vas cambiando, o sea, y nosotros somos la primera línea de defensa. Ojo con eso. Eh, ¿qué está en juego lo que hemos conversado anteriormente? Sabemos que si pasa algo en el ecosistema de salud, no es específicamente nada, sabemos que hay una inhabilitación de los servicios, tiene un impacto con respecto a los servicios. Eso genera también demoras. Ya no vamos a poder atender a los pacientes, no vamos a poder entregar una receta, no vamos a poder atender, por ejemplo, la farmacia, eso y los resultados que a veces es más complicado que te dejan fuera de servicio y eso tiene impacto en las personas. Nosotros lo que sabe ya no los voy a marear con respecto a normativa. Me puse a investigar un poco y hay múltiples normativas que hablan con respecto a temas de seguridad en el en el ámbito del ecosistema de salud. existen múltiples. Lo que lo que quiero plantear acá específicamente, yo recomiendo dos, que es la NIS CSF y la ISO 27001. Empecemos con la 27001, que son son como estándares básicos que cualquier organización eh debería tener. Y como lo dijeron anteriormente, empecemos de a poco, tú no puedes implementar una ISO o certificarte una ISO en poco tiempo. Es un plan de trabajo a largo plazo. Ojo con eso. Pero lo que uno tiene que hacer en base a esta normativa, identificarle cosas que son prioritarias, empezar a construir de a poco, de a poco. Ya. No voy a hablar con respecto a las otras estándares, pero mi foco que para que quede en virtud del tiempo que hay que ir a comer algo, es que se queden con la NIS y la ISO. Eso es lo básico de lo básico. Y estos tipos de normativas que sigo con el tema de normativa, lo importante es que este tipo de estándares te van a ayudar a cumplir ciertas normas o leyes o leyes normas, porque está la ley y está la norma lo que te baja. ¿A qué voy yo? de que si tú te acoges a este tipo de normativa, ese tipo de normativa te va a pedir, te va de alguna manera ayudar a cumplir, por ejemplo, la ley de de la ley marco de ciberseguridad, que por ejemplo en el caso de nosotros cuando llegó la ley marco, los nueve los nueve básicos, claro, nosotros en el caso de Ufac somos certificados hace 20 años, tenemos diferentes tipos de certificaciones. ISO 271 es una de ellas PCI, SOC 1, SOC 2 y así. Pero cuando, por ejemplo, en los países que nos toca ser actores, vienen este tipo de leyes y uno mira los requerimientos por parte de la ley dice, "Oye, pero yo no estoy tan mal." Y lo que hace uno adapta un poquito, ¿ya? Y eso va en todos los sentidos. Por ejemplo, la ley de protección de datos, lo mismo leyendo la ley, todavía no está la bajada, no está la norma específicamente el que te dice cómo lo debería de ser entre comillas. Eh, pero viendo lo que nosotros tenemos como estándar, la ley de protección de datos nosotros la vamos a cumplir y vamos a tener que modificar algunas cosas. De hecho, estamos trabajando, acá veo la DPO por ahí que estamos trabajando para para poder cumplirlo. Entonces, de alguna manera tiene una base, es una base de gestionar los temas de los riesgos, los temas de seguridad. Y después va a venir la ley de inteligencia artificial, que está en la en la comisión futuro, está en el segundo trámite y va a pasar lo mismo. Si tú tienes una base a nivel de madurez en temas de seguridad, lo más probable que no te cueste tanto eh cumplir este tipo de de leyes. Entonces, eso lo medular, si tiene una baseú si tienes un sistema de gestión de seguridad la información o relacionado a este tipo, te va a ayudar mucho, ¿ya? Porque hay mucha preocupación actualmente. Hoy viene laec la ley de protección de datos, hoy v la ley de inteligencia artificial, pero si tú de vuelta tú tienes una base te va a ser eh fácil un poco cumplir. Y el impacto vuelvo al tema, la disponibilidad los sistemas con confiscalidad clínica, trazabilidad de accesos, resiliencia operativa. Tenía anotado acá que quería también mencionarlo más adelante. Hay un punto que siempre yo escucho que es, de hecho lo escuchamos ahora, que es super costoso montar cualquier sistema de gestión de segura la información o cualquier sistema de gestión de riesgos. Eh, yo digo que no tanto. Depende mucho también de las personas y o dicen, "¿Sabes que es mucho muy caro eh comprar tecnología la cual me ayude a proteger la información?" Vale, yo digo que sí, pero no, porque a veces eh uno puede cumplir un control de la ISO 27001, a lo mejor no gastando mucho dinero y cumpliendo. Ejemplo, la navegación web. Oy, no es que yo no puedo comprar un appliance, una máquina que que específicamente es para eso, un we application forward para Pero si puedes con tener un PC, bajar alguna librería, algún software open source, el cual cumple la función, ¿cuánto te cuesta un tarro? Yo lo he hecho, de hecho, bajáis un software Squid, por ejemplo, para decir cualquier cosa. Instalo y puedo programarlo un rato, dedico unas cuantas horas y puedo dejar dentro de una organización que es pequeña, puedo dejar en este caso el filtro web o DLP o la o software para evitar la foca de información. Entonces sí hay herramientas que son supercas, o sea, no les va a gustar a los de tecnología, pero se pueden hacer cosas sin gastar mucho. Eh, con respecto y y vuelve un poco el tema de qué estándar yo debería implementar. La pregunta, ¿cuál es me sirve y cuál es mejor? Vuelvo a los dos para que lo tengan. Yo creo que son los más comunes, los más globales y se puede se puede empezar a implementar de a poco, no es necesario eh y lo importante acá también es que hay que ser consciente porque hay muchas organizaciones las cuales trabajan para esto, pero trabajan para esto para solamente tener el timbre de que son certificados de algo. Los queos trabajamos en estos ámbitos tenemos que ocuparnos que la cosa sea real. Si nosotros decimos que el control se cumple, no tratemos que se cumpla. No tratemos de que cuando venga el auditor mostrarle que se cumpla, pero cuando tengamos un incidente el problema lo vamos a tener. Ojo con eso. Eso, eso es importantísimo. Un dato no menor que yo creo que está más adelante, estos son como los desafíos que yo veo, independiente de la ley, la norma, lo que fuese, ya está la ley este de las fichas clínicas, está la ley de protección de datos, está la ley marco ciderseguridad, en futuro cercano va a estar la ley de inteligencia artificial. Estas son como las cosas básicas que nosotros deberíamos tener dentro de esta de empezar a implementar ciertos controles o ciertas dinámicas para poder proteger las instituciones. El tema de clasificación de información, tienen que clasificar la información. Si si tú no tienes que clasificar la información, no tien no sabes cómo proteger la información, porque no es lo mismo tener un dato sensible y clínico y protegerlo que tener publicidad que yo comparto en la calle de laboratorio tanto de la clínica tanto. Son totalmente diferentes. Si es una información sensible, sí, yo tengo que tener controles de acceso, revisión de acceso, cifrado de la base de datos y eh cifrado el canal de comunicación y ese tipo de cosas. Eh, lo otro importante de que dentro de los procesos que tienen ustedes, este caso en la institución, es importante tratar de automatizar o tratar de que las personas intervengan lo menor posible de forma man los procesos. También es importante eso de que los procesos sean lo más automatizados posible para evitar la falla humana o el erro humano. La resiliencia también es importante de que dentro de su organizaciones tengan la capacidad de generar planes de continuidad, planes de recuperación anti desastre para que cuando pase algo puedan de alguna manera restaurar de forma rápida los servicios que fueron impactados. Bien, con respecto a los responsables, también es importante definir como responsables dentro de las organizaciones. Alguien encargado de seguridad, alguien encargado de riesgo, importantísimo. Otros desafíos que esto desde siempre, mantener la plataforma actualizada. No sacamos nada de tener herramientas de seguridad y cosas así, procesos si no mantenemos la plataforma actualizada. Eso es lo más difícil que existe. Ya. Eh, como lo mencionó también la directora sugante de la ANI, que es básico un multifactor authentication. Utilicen un factor de autenticación para poder acceder a los sistemas. Eso es básico de lo básico. Y lo otro que queremos tener acá, eh, o sea, todos los que estamos acá somos sujetos a ataques de forma diaria, constante. Eh, nosotros podemos trabajar en las diferentes variables de seguridad, o sea, en tecnologías de seguridad, en procesos de seguridad, en monitoreo de seguridad, en especialista en seguridad. Podemos trabajar todo, pero nunca riesgo cero. O sea, los que estamos acá o ya les pasó o les está pasando y no se han dado cuenta o en el futuro se les podría pasar, pero nadie puede garantizar de que no les va a pasar nunca. Eso es importante. Pero, ¿cuál es la cuál es la siguiente derivada que nosotros deberíamos estar mirando ahora de que y si nos pasa? ¿Estamos preparados para eso? No han pensado, si me pasa, ¿qué voy a hacer? Yo tenemos los planes de gestión de manejo de crisis de ciberseguridad actualizado o algún plan, ojo, un plan, no no no tan sofisticado. Hemos trabajado de de hacer eh de que si pasa tenga el impacto lo más cercano a cero. ¿Qué quiere decir eso? han revisado esos ambientes que tienen servicios que no deberían estar, tienen información clínica que no deberían guardar, eh, que que que tengan eh separación, segmentación de redes de que si están en la red A no tenga la posibilidad del atacante, el Narciso, de ir a la red B y saltar a la red C y a las hasta la Z. Entonces, aquí voy yo, que hay algunas organizaciones las cuales estamos estamos con la estrategia de que qué pasa si me pasa, qué medidas preventivas yo puedo tomar para que si me pasa el impacto sea lo más cercano a cero. Es así complicado, pero los dejo ahí en la mesa que piensen en eso. ¿Por qué? Porque ninguno de nosotros los que estamos acá podemos asegurar 100% que nunca vamos a ser hackeados, porque sí podemos ser hackeados de forma en cualquier momento. Y el otro punto importante es que todos los que estamos acá somos responsables de la seguridad, somos la primera capa. Uno puede generar un incidente, uno puede detener un incidente. Entonces, ¿qué es importante de que la gente que trabaja en las instituciones sepa de ciberseguridad, entienda ciberseguridad? No, no, no estoy pidiendo que sea un arquitecto de ciberseguridad, pero por lo menos tenga conceptos básicos para poder identificar una amenaza. Caso me llegó un correo, el cual no se parece que no no no lo escribió muy bien la persona o me llegó un correo el cual se hace pasar por alguien que yo supuestamente eh conozco. Eh, y ese programa de Cura, que lo mencioné anteriormente, tiene que ser constante, constante. Uno tiene que ir adecuando, uno tiene que ir especializando. De repente, si nosotros sabemos que en el área de ficha clínica hay personas que trabajan que tienen acceso a información sers sensible, narciso, capaz que yo tengo que focalizar este plan, este plan de sensibilización de ciber seguridad a esa área en particular. Y al otro le coloco un curso cada cierto tiempo que sea genérico, que le vaya mostrando los tipos de amenazadas en qué cosas deberían de este caso preocuparse y no preocuparse. Yo siempre digo ocuparse porque preocuparse no saca nada de estar preocupado todo el día. Podéis estar todos los días preocupados, pero si uno no se ocupa de estas cosas, puedes tener algún tipo de inconveniente. Aquí puse este slide porque quería tener quería como conversar un poco, pero dado el tiempo no voy a conversar. Pero el punto de acá, yo creo que si nosotros podemos tener una red interoperabilida, o sea, una que pueda operar, pero yo sí creo que a lo mejor podemos tener una iniciativa público privada el cual podríamos crear un estándar básico para los que quieran ser partícipe de esto de alguna manera tengamos un nivel de riesgo adecuado, manejado. Entonces, iba a generar una conversión, pero en virtud del tiempo, pero era eso más que nada. Y este como el término y creo que me demoré menos de 15 minutos tenía acá. Eh, quiero terminar con esta frase que entreía entre lo experiencia la generé. O sea, proteger las organizaciones requiere un enfoque holístico que integre de forma conjunta tecnología, los procesos y la capacitación constante a los colaboradores o al personal o a las personas. Solo construyendo una cultura de ciberseguridad en todos los niveles podremos mitigar activamente las amenazas y sostener la confianza que se harto que los pacientes depositan en todo lo que estamos acá. Muchas gracias. [aplausos] Muchas gracias a Narciso. Ahora ha llegado el momento de hacer una pausa en nuestro programa para el almuerzo y espacio de networking. Los invitamos a dirigirse al hall de biblioteca, a recoger su snack y conectar con nuestras conferencistas y patrocinadores. Les pedimos retornar a sus lugares al aula magna también breve luego de ello. teléfonos celulares. [música] Ante el eventual caso de una emergencia. Le invitamos a seguir las recomendaciones de seguridad que a continuación se expresan. [música] Ante todo, recuerde mantener la calma. Esto es siempre lo más importante. [música] No obstruya los pasillos. Atienda las señales de evacuación. No actúe por iniciativa propia. Siga las instrucciones de los guías presentes en el lugar. En caso de evacuación, tome sus pertenencias, camine con precaución hacia las salidas de emergencia, diríjase a las zonas de seguridad. No regrese a su asiento hasta que no reciba instrucciones expresas del personal encargado. La Dirección de Operaciones de la Universidad de los Andes le desea a cada uno de ustedes una grata y segura permanencia. [música] invitamos ahí sí les invitamos a tomar asiento. Muy buenas tardes a todos. Repetimos eh las consideraciones que en el caso eventual de una evacuación, este salón encuenta con una salida de emergencia debidamente identificada ubicada al costado derecho del escenario, así como dos puertas principales de acceso al aula magna. Y lo mismo, esta sala cuenta con Wi-Fi y con también clave, como lo hemos dicho anteriormente. Les damos la más cordial bienvenida al quinto bloque de esta tercera jornada chilena de ciberseguridad en salud organizada por la Facultad de Ingeniería y Ciencias Aplicadas de la Universidad de los Andes en conjunto con la Alianza Chilena de Ciberseguridad, la Universidad del Desarrollo, la Universidad Andrés Bello de la Clínica Alemana. El título de esta sección es inteligencia artificial y ciberseguridad. Queremos agradecer también a nuestros auspiciadores y patrocinadores, el Ministerio de Salud, el Ministerio de Ciencia, Tecnología, Conocimiento e Innovación, la Agencia Nacional de Ciberseguridad, DIM, Real en Salud, Equifax, Centro Nacional en Sistemas de Información en Salud, Colegio Médico de Chile, 8.8 Computer Security Conference y Trendic. A continuación proyectaremos videos de nuestros auspiciadores. Si tuvieras el poder de ver más allá, de ampliar tus horizontes, la capacidad de comprender más, ¿qué explorarías? ¿Qué conexiones harías? ¿Para qué podría servir? Hace 125 años, Equifax se fundó entendiendo que todos deberían tener acceso a servicios financieros asequibles y convencionales. Nuestro propósito, ayudar a las personas a vivir lo mejor posible desde el punto de vista financiero, guía todo lo que hacemos. Una década de exploración sobre la inteligencia artificial nos ha permitido promover este propósito, emplear nuestros conocimientos de una manera que ayude a las personas [música] a darle forma a su futuro financiero. Nuestro enfoque patentado de IA explicable demuestra el énfasis que ponemos en el uso responsable de la inteligencia artificial para ayudar a más personas a acceder a [música] oportunidades financieras. Este trabajo es posible gracias a The Equifax Cloud, una infraestructura de tecnología y seguridad global diseñada a medida para gestionar grandes volúmenes de diversos conjuntos de datos. Un elemento central, Equifax Cloud, es nuestra estructura de datos patentada, una estructura adaptable que unifica más [música] de 100 fuentes de datos aisladas y al mismo tiempo nos permite administrar esos datos de acuerdo con los requisitos [música] normativos. Más datos y conocimientos más profundos impulsan mejores decisiones. Estamos incorporando IA a soluciones que resuelven problemas complejos, ayudando a las organizaciones globales a [música] identificar nuevas oportunidades, tomar decisiones más seguras, eliminar [música] la fricción, acelerar la entrega de meses a días, mejorar las experiencias de los clientes y detener el fraude en seco. Los científicos de datos de Ekifax de todo el mundo están impulsando la innovación en IA para darle una nueva dimensión a los datos, [música] colocando las necesidades de las personas en el centro. Nuestros avances en IA están diseñados [música] específicamente para ver más allá, crear nuevas colecciones y ayudar a nuestros clientes a comprender [música] más. Y nunca dejaremos de explorar porque existimos para ayudar a las personas a vivir su mejor momento financiero. Y ese propósito [música] nos impulsa hacia delante, hacia la próxima frontera y más allá. Ryan Salud está presente en más del 76% de los centros de atención primaria, además de hospitales de mediana y alta complejidad. Conecta al país a través de soluciones de registro clínico electrónico, integraciones y un repositorio nacional que fortalecen la salud pública con un sello social reconocido. Sobre esta base nace Emilia, la inteligencia artificial que transforma la atención, reduce inasistencias, anticipa diagnósticos y libera tiempo médico, generando un impacto real en prevención, oportunidad de atención y continuidad del cuidado. familia, inteligencia artificial para la salud de nuestra gente. Para partir la sesión de la tarde, presentaremos la Lightning Talk de la doctora Constanza Anda sobre la iniciativa Conception y la aplicación de aprendizaje federado respetando la privacidad en el seguimiento de medicamentos en embarazo y lactancia. Conception nace en el 2019. Buenas tardes a todos. Mi nombre es Constanzaú Navarro. Soy profesora asistente en el Departamento de Ciencia de Datos y Bioestadística del Centro Médico Universitario de Utrecht en los Países Bajos. Hoy les voy a hablar de Conception, un proyecto europeo de colaboración pública privada para la creación de un ecosistema para la generación de evidencia en seguridad de medicamentos durante el embarazo y la lactancia, utilizando datos de salud en mundo real. Lideré el paquete número siete sobre information and data governance, ethics, technology, data catalog and quality support. Quiero agradecer de antemano la invitación a participar de la jornada de ciberseguridad en salud 2026. Lamento no poder estar presencialmente compartiendo con ustedes, pero espero puedan conocer más del rol del investigador. Antes de empezar, una nota breve. Esta presentación refleja mi visión personal, no necesariamente la posición oficial del Consortium Conception. El objetivo es compartir hallajos y lecciones aprendidas. El proyecto ha recibido financiamiento del Innovative Mercence Initiative 2 de la Unión Europea y FPIA. Partamos por el problema que buscamos resolver. Existe una brecha de conocimiento enorme sobre la seguridad de los medicamentos durante el embarazo y la lactancia. El 90% de las mujeres está expuestas a un medicamento con receta durante el embarazo. 71% de esos medicamentos no tiene información clara sobre su uso en esta población. Y esto se debe a la falta de inclusión de mujeres embarazadas en los ensayos clínicos. Y una de cada tres mujeres discontinúa sus tratamientos por su cuenta, exponiéndose a riesgos de salud potencialmente graves. Se trata pacientes embarazadas todos los días y tenemos el deber como comunidad científica de aprender de esa experiencia usando datos del mundo real, en lugar de dejar ese vacío lleno de información fragmentada, contradictoria o derecha errónea. Conception nace en el 2019 justamente para cerrar esa brecha. La idea central es reutilizar datos que ya se recolectan de forma rutinaria para la atención clínica. historias clínicas electrónicas o ficha clínica, registros, datos de reembolso, lo que conocemos como datos del mundo real y construir con ellos una infraestructura de investigación federada a escala europea. El objetivo central de Conception es habilitar la generación rápida y confiable de evidencia mediante el uso secundario de datos de salud del mundo real. El punto que quiero que les quede grabado es este, sin centralizar los registros a nivel de paciente. Aquí no hay data sharing. Ese es el elemento diferenciador de conception frente a otros enfoques. La protección de datos y la privacidad no son un parche que se agrega al final, está en el diseño desde el primer día. Es privacidad por diseño. ¿Cómo se logra esto en la práctica? Veamos la metodología. Todo parte con datos que viven en distintas fuentes en cada sitio. Bases de datos de historia clínica electrónica, de reembolsos, de registros. Estos datos son eterogéneos por naturaleza, distintos países, distintos sistemas de salud, distintas enfermedades en el caso de los registros. El primer paso es la armonización en base a un protocolo único apoyada en tres herramientas que hemos desarrollado. El Conception Common Data Moral, nuestro modelo de datos común. El Conception Pregnancy Algorithm es un algoritmo [resoplido] para identificar episodios de embarazo en datos del mundo real. Insight, una herramienta de control de calidad de datos luego de la armonización. El resultado es una base de datos estandarizada lista para análisis en cada sitio. Y aquí está el corazón del modelo federado. Quiero detenerme un poco más en esta diapositiva porque es la que genera más preguntas. Una vez que cada sitio tiene su base de datos estandarizada, sitio A, sitio B, sitio C, no movemos los datos a un servidor central. Hacemos lo contrario. El script analítico centralizado que fue desarrollado por el investigador basándose en el modelo de datos en común viaja hacia los datos. Se hace disponible en los sitios a través de, por ejemplo, plataformas como GitHub. Se ejecuta dentro de entornos seguros de investigación en cada sitio utilizando la infraestructura local. Cada sitio produce resultados agregados, nunca datos a nivel del paciente y son esos resultados agregados los que finalmente se combinan en un metaanálisis. Los datos individuales nunca salen de su lugar de origen. Eso es lo que hace posible generar evidencia a escala europea sin comprometer la privacidad de nadie. Este modelo funciona porque la gobernanza también está distribuida, no centralizada. Minimización de datos. Solo se comparte lo estrictamente necesario, ya agregado y de identificado en base al protocolo único. Aquí no hay variables de más. Antes de que cualquier resultado salga del sitio ya está agregado y identificado. Esa es nuestra primera capa de protección. Pero la clave de Conception es que no dependemos solo de eso. Los datos identificables nunca salen del servidor. Hay una revisión local de privacidad. Cada sitio evalúa y protege sus propios datos según su propia normativa. Hay pipelines estandarizadas. Transformamos registros clínicos heterogéneos en activos de investigación reutilizables de forma uniforme, incluyendo umbrales de supresión en los script analíticos. Conocimiento experto local. Son los socios locales quienes ejecutan los análisis y validan los resultados en su propio contexto. Nadie mejor que ellos conocen los datos. Al final validan y aprueban antes de compartir. No todo sencillo, quiero ser honesta sobre los desafíos que hemos enfrentado. El marco legal diverso, la interpretación de las normativas y la protección de datos varían entre países y eso ralentiza la coordinación entre sitios. Algunos son más estrictos en la minimización de datos o riesgo de reidentificación. El mantenimiento técnico. Actualizar las herramientas y el script analítico en decenas de sitios, cada una con una infraestructura distinta es un trabajo constante. Los servidores se caen. La heterogeneidad de los datos, la estructura, calidad, granularidad de las bases de datos participantes es muy distinta entre sí. Y algo que quiero destacar especialmente es que la es investigación a ciegas. Los investigadores no nos conectamos directamente a los servidores de datos. No podemos hacer queries sobre los datos en vivo y en directo. Trabajamos solo con las especificaciones técnicas, metadatos y los resultados agregados que cada sitio nos comparte y así programamos. Eso da seguridad, pero también significa que detectar, depurar problemas de datos toma más tiempo del que quisiéramos. Conception concluyó formalmente en el 2024, pero su legado sigue vigente. El conjunto de herramientas de código abierto de Conception ha sido adoptado por otras redes federadas en Europa, Backforu, EUPB, entre otras, que están extendiendo ese mismo modelo de uso secundario que preserva la privacidad y se apoya en el conocimiento experto local. Todas las herramientas y publicaciones están disponibles públicamente en el wiki de imi conception conception tools wiki para quien quiera explorarlo. Con esto cierro esta presentación. Si les quedó alguna pregunta o quieren profundizar en algún punto, mi correo está en la pantalla. Muchas gracias por su tiempo. A continuación invitamos a subir al escenario a Romina Torres quien nos dará una charla técnica IA como nueva superficie de ataque en salud. Desafíos de ciberseguridad, regulación y protección de datos del paciente. Romina es doctora en ingeniería informática por la Universidad Técnica Federico Santa María, profesora asociada de la Facultad de Ingeniería y Ciencias de la Universidad Adolfo Ibáñez. es también investigadora del Centro Nacional de Inteligencia Artificial CIA, del Centro de Investigación Tecnológica en Sistemas Ciberfísicos y Data Observatory. Su investigación se centra en la intersección entre inteligencia artificial, ciberseguridad, con especiales interés en ciberseguridad para sistemas de IA, aplicación de IA para fortalecer los sistemas y ciencia de datos. Le damos un aplauso a Romina. [risas] Aló, aló, aló. ¿Se escucha sú? Bueno, muchas gracias por la presentación, muchas gracias por la invitación. No sé si estará por ahí el es eh bueno, en particular hoy día venía a comentarles cierto acerca de un trabajo que nosotros venimos desarrollando harto tiempo, sobre todo también acá en el CENIA, ¿cierto?, que es el Centro Nacional de IA, eh, y que como saben, cierto, hace poquito también lanzó ahí un modelo y en mi caso particular, yo he estado trabajando en el lado del AI safety, ¿no? Eh, ¿por qué? Porque justamente eh los modelos, cierto, de AA tienen vulnerabilidades y esas vulnerabilidades son las que finalmente hacen que crezca la superficie de ataque y por lo tanto las mismas herramientas que estamos utilizando o que están algunos utilizando, ¿cierto? no son eh completamente suficientes para este tipo de sistemas porque finalmente es más software, más sistemas que incluye también componentes IA, ¿cierto? Entonces vemos ahí, bueno, esa imagen igual tiene un tiempo, por lo menos un año, ¿cierto? donde vemos que en Chile, cierto, acorde a distintos estudios, eh hay muchas eh compañías, principalmente en la banca y en servicio que está eh incorporando IA en su eh digamos en su pipeline de producción, ¿no? Eh, principalmente e banca y servicios, ¿cierto? Como dije actualmente, eh y hay una diferencia también en el nivel de madurez donde algunos todavía están explorando y otros ya lo han adoptado. Ya, pero de esas empresas que incluyen justamente en su sistema componentes IA, en base a este estudio, ¿cierto?, solamente el 12% en ese momento estaba cubriendo temas de vulnerabilidades propias de la IA en sí y del tipo de IA en particular que se esté usando, porque no solamente existe la IA Generativa, por supuesto, sino que también existe lo clásico también de la IA, machine learning, deep learning, ¿cierto?, etcétera, ¿no? Eh, entonces la IA obviamente es algo como el hilo negro, muy viejo, años 50, hemos pasado por muchísimos inviernos. Ahora realmente tenemos fe de que esto ya no va a parar y no va a venir un nuevo invierno que nos va a parar. Eh, y en particular, si es que miran, ¿cierto? acá en el GOPL, eh que es uno de los eh laboratorios, el laboratorio de gobierno de la UAI. Eh ahí tiene justamente un catálogo donde muestra solamente eh todas las iniciativas que tienen IA actualmente y hace bastante tiempo en Chile, ¿ya? Entonces es algo que obviamente ya viene hace un tiempo. Ahí vemos, por ejemplo, el proyecto Dart, que seguramente muchos de acá lo conocen, ¿no? Entonces vamos a eh mirar algunas eh vulnerabilidades, ¿cierto? Obviamente por el tiempo eh va a ser acotado. E pero por lo menos les voy a dejar los enlaces en caso de que no lo conozcan y ojalá, bueno, si lo conocen, bueno, será volver a repetirse el plato, ¿no? Entonces vamos a imaginar de que tenemos un hospital, ¿cierto?, que quiere hacer justamente un sistema oncológico para poder detectar eh básicamente tumores sobre eh imágenes, imágenes que finalmente no sé eh yo voy a tomarme un un examen, me caí, ¿cierto? e o o de lo que sea, en este caso sería cáncer. Y finalmente esa imagen, ¿cierto?, está básicamente en un e esto aquí en una máquina de esta gigante, ¿cierto? Que cuando uno está todo quebrado tiene que poner así la mano y todo el tema y ahí las imágenes quedan ahí. Después viene un cierto radiólogo en otro sistema, se mete quizás por un browser, ¿cierto?, una web y básicamente esta cosilla va y busca justamente esas imágenes y después el radiólogo, ¿cierto?, las revisa y si tiene una herramienta con Iía, probablemente la herramienta con IAIDA le va a marcar justamente las partes en que eh se cree que podría haber una célula cancerígena. Eh, y en particular, cierto, eh un estudio y esto en realidad ya está ocurriendo, ¿cierto? Uno podría decir cuáles son las intenciones de hacer un ataque, por ejemplo, a un hospital y, por ejemplo, decir eh hacer que finalmente la gente salga de ahí y todos los que salgan ese día, por ejemplo, eh tenían cáncer. ¿Ya? Entonces, uno diría, ¿por qué podría alguien hacer un ataque así? Yo creo que todos más o menos saben, ¿no? ¿Por qué podría ser un ataque de qué? ¿Por qué uno podría hacer un ataque así? Un agente malicioso por reputación, ¿no? Para afectar la reputación justamente del de ese hospital. Bueno, ese estudio el que está ahí básicamente es por un tema lo hizo la Universidad de Pittsburg y eh yo un poco traté aquí de reflejarlo un poco en esta cosa, ¿no? Donde básicamente se ve cierto de que llega aquí la radióloga, digamos que soy yo y que tengo que ver, me toca revisar el examen de tal persona y por lo tanto esta cosa va a buscar justamente las imágenes porque yo tomé ese esa ficha, ¿cierto? Va, recupera esas imágenes y pasa por la red, ¿cierto? Hasta que llegue al otro lado, ¿cierto? Y ahí está, digamos. esa imagen, quizás una mamografía o alguna cosa así. No sé si esta cosa ya se me subió por no sé dónde, como que un poquito me está enganchando. Lo tomo así porque no me no me tomó. Eh, y finalmente, cierto, ahí al tomar esa imagen y eh viajar, bueno, podría haber un man in un human in the middle, ¿cierto? no manible necesariamente y toma esa imagen y básicamente le afecta unos pequeños píxeles. Entonces uno diría, bueno, probablemente el humano, cierto, que está ahí va a ver que la imagen quizás está alterada, podría darse cuenta o también podría haber protección también en la red. Un montón de cosas que no todo el tiempo pasan y asumamos que básicamente es modificada y por lo tanto cuando pasa al modelo, ¿cierto?, y a la componente de que eh ve si es que existe o tiene cáncer o no o que es eh básicamente esa sale como positivo, ¿no? En realidad sería un falso positivo, ¿no? Y eh y en particular uno dice, "Pero bueno, ¿cómo la gente no va a notar que básicamente hay modificaciones, no?" Eh, todo lo que son imágenes que ya más el mundo de deep learning, eh se hacen representaciones matemáticas, etcétera. Uno puede tener una representación ahí matricial, hay ciertas cosillas que cambian y que cuando uno mira la imagen muchas veces no se da cuenta. Y eso también se puede ver, por ejemplo, en este trabajo e en que se ve justamente donde tenemos ahí un panda, ¿cierto? Y al otro lado también tenemos el mismo panda, pero la IA, ¿cierto? dice que en la segunda imagen no hay un panda, sino que en realidad está el mono que está ahí abajo, ¿ya? Y eso es porque se le agrega justamente un pequeño ruido, ¿cierto? Un ruido básicamente adversarial a esa imagen porque por detrás no está la imagen, la recibe de manera distinta, ¿no? Y se le aplica ese ruido, unilon muy chiquitito que hace que en la primera pasada, ¿cierto?, cuando es la imagen sin ningún tipo de modificación, eh, lo reconoce como un panda con un incluso con baja confianza, ¿cierto? Un 57% versus después que reconoce como el mono que está allá, el Gibomón que está allá, ¿cierto? hasta con un 99,3% de confianza. Y por lo tanto, si nosotros dejamos que la IA funcione así solita, automática, claramente la IA produce la IA también tiene errores, por supuesto, y es obviamente sensible a este tipo de ataques donde un entre comillas Human in the middle va podría tomar esa imagen, ¿cierto? O un pedacito exacto. Y cambiar algunos píxeles que quizás al ojo humano no van a ser visibles, ¿ya? Y por eso a veces cuando uno escucha, no, no importa porque tengo un humano, también porque no necesariamente es eh infalible, ¿no? Entonces esto obviamente tiene que ver con el tema de IA responsable, ¿no? Que por ahí también lo vi en los auspiciadores y donde la IA responsable, por lo menos acorde a la OCDE, ¿cierto? Son varios principios, varios pilares en que uno tiene que cumplir. Uno de los que me gustan más y por supuesto son los que tienen que ver con valores centrados en el ser humano, pero por supuesto también todo lo que tiene que ver con robustez, seguridad y el otro seguridad que es el safety que básicamente es la seguridad física, ¿no? De que no exploten las cosas o que no se me meta, por ejemplo, como el caso de Stuckdet, una eh un gusano o lo que sea, ¿cierto? Que finalmente afectó justamente las distintas centrífugas. Y después, ¿qué pasó? Bueno, esa planta nuclear tuvo una pequeña explosión, siento que afectó a mucha gente, ¿no? Entonces, no son cosas menores. Y ahí, bueno, en ese caso pasa de ciber también a safety, que es la seguridad física. E entonces en el caso eh super importante, obviamente si estamos tratando con pacientes, con personas, con mi mamá, con mi hermano, cierto, de que todos los sistemas de salud, ojalá, cierto, utilicen responsable e y que por otro lado, cierto, sepamos que el hecho de que agreguemos IA, bueno, nuestra superficie de ataque básicamente está aumentando porque la IA es otro componente más que se integra al resto de los sistemas y por lo tanto es una pieza más y eh no solamente va a ser entre comillas el modelo, sino que también van a ser los datos con los cuales lo estamos reentrenando. Esto también van a ser los distintos algoritmos de aprendizaje, el hecho de que usted sea transparente y diga, por ejemplo, cuánto es la confianza con la que se da, se toma una decisión, todas aquellas cosas, toda esa información, ¿cierto? Incluso la explicabilidad también podría ser tomada para poder eh realizar ataques. Ya hay, obviamente, taxonomía. Yo recomiendo obviamente todo lo que tiene que ver con obviamente las viejas de siempre. que esa es la parte web, hay un montón otras más, eh todo lo que tiene que ver con machine learning o deep learning y obviamente todo lo que tiene también que ver con el tema de los eh modelos grandes de lenguaje y también eh y ahora está la segunda versión que es la parte de agéntica y por supuesto Mitre, ¿cierto? E Mitre también tiene su propia eh también taxonomía solamente para aquellas vulnerabilidades que son propias de la IA. ¿Y por qué se ven tan poquitas, cierto? Porque la matriz de Mitro es supergre para las otras eh dimensiones, es porque esas son solamente las que están comprobadas. Pero si uno se pone a ver cuáles otras potencialmente podrían existir, pero como que no existe un ejemplo que se muestre que sí es sí se puede explotar esa vulnerabilidad. Entonces, por eso se ven tan poquitas, ¿no? Pero todo eso está [risas] bueno. Entonces, ahora pensemos, ¿cierto? Hoy vimos un caso recién, pero ahora pensemos este mismo hospital dice, "Chuta, este es el tema de la transformación digital. Quiero justamente poder eh realizar este tema de de poder tener IA dentro de mi organización, eh, etcétera, y por lo tanto contrato una empresa externa extranjera, ¿cierto?" Y le pasa ahí, no sé, 500,000 eh fichas médicas, superclejo, ¿no? En el área de la salud. Eh, y eh y bueno, todos esos millones de registros quizás médicos, toda esa información va a ser procesada, cruzada, abstraída, etcétera. Y por lo tanto, ahí vienen como varios otros temas, no solamente de temas de ataque, sino que, por supuesto, incluso lo que mencionaba la colega anteriormente, eh que tienen que ver con eh buenas prácticas también y con estar en cumplimiento también con el tema de la Ley de Protección de los Datos, eh, que entra en vigencia, ¿cierto? Como bien saben ustedes, el primero de diciembre y varias cosas de ellas, ¿cierto? eh son importantes, por ejemplo, el principio de finalidad, por supuesto, ¿cierto? donde yo no puedo tomar datos que no fueron dados para ese fin como para poder crear quizá un nuevo sistema de IA, ¿no? Y ahí eh viene justamente este tema de la paradoja de la equidad, ¿no? Este consentimiento. Entonces uno dice, "Chuta, tengo tantos tantos datos y con esto podría ser un tremendo sistema que realmente cierto vaya con el fin como general, o sea, un fin en que finalmente a todos nos va a ayudar y no solamente algunos. Entonces, pero no lo puedo usar porque en realidad necesito tener ese consentimiento explícito para esa finalidad. Eh, y ahí, bueno, viene justamente este esta discusión, ¿cierto?, que todavía está eh digamos todavía hay una discusión alrededor de eso, porque finalmente uno dice, "Chuta, si realmente empiezo a pedirle a todo el mundo el consentimiento, probablemente no voy a tener, ¿cuánto iría a tener? El 10% realmente de los datos que tengo, porque lamentablemente en el área de salud hubo gente que murió, hubo gente que se mudó, que nunca más los pillé. Hubo gente que no le interesa, hubo gente que no entiende esa jerga técnica y no quiere porque cree que algo le puede pasar si entrega sus datos, etcétera. Por lo tanto, te quedas solamente con una minoría de datos. Y al final, ¿qué obtienes con esa minoría de datos? obtienes finalmente sistemas que no son equitativos para toda tu población y por lo tanto aunque no esté bajo ataque, yo tengo una solución dentro de mi hospital que en realidad discrimina a la gente y por lo tanto no se comporta de igual manera igual de bien para todos y eso también puede producir eventualmente un problema. Y bueno, y ahí está la típica, cierto, eh, tesis de la ponderación, donde se dice, "Ojalá, cierto, prioricemos y usualmente se hace así un poco acá en Chile la pandemia se hizo un poco así desde mi ignorancia, por supuesto, yo no soy del área de la salud e donde se privilegia, obviamente el derecho colectivo frente al derecho particular de privacidad de datos, ¿no? ¿Por qué? Porque en realidad la los datos en sí no son básicamente como el fin, como un derecho, sino que son para resguardar otros derechos, derecho a la libertad, por ejemplo, derecho a la no discriminación y por lo tanto el derecho a la vida, en ese caso, dado que hay una emergencia, le gana. Ya me voy a salir de ahí para venir en la parte ética, pero ojo que obviamente ese tema también es importante porque como siempre digo, yo tengo un curso de ética responsable. Eh, digo, bueno, si hacemos un sistema de salud, ¿cierto?, para poder ayudar a la gente a detectar cáncer de mama, ¿cierto? Yo siempre le pregunto, bueno, a los hombres, los hombres pueden tener cáncer de mama. Varios de ellos me dicen que no. Varios de ellos me dicen que no. Y sí, cierto. Y lo más probable es que cuando yo construya ese sistema voy a tener muy muy poquitos datos de hombres versus la gran cantidad de datos de mujer. Y cuando yo entré en ese modelo, el modelo del trabajo basado en optimización y en reducir errores. Entonces, se va a enfocar en el grupo grande, en tratar de achicar ese error y los otros le va a dar un poco lo mismo, entre comillas, si es que uno no le pone mecanismos especiales y además si es que no lo mide y lo audita. Bueno, extra eso, cierto, este sistema que teníamos, ¿cierto? Que era para poder ver justamente el tema. Pensemos de la mamografía, además tenemos otros tipos de eh digamos de vulnerabilidades, la típica, bueno, cadena de suministro, por supuesto que sí, pero ahí vemos un LLM, ¿cierto? y probablemente ahí con capacidades de tipo agente que puede tomar ciertas acciones, quizás te da una devolución para que tú le puedas aprobar y después ejecutas ciertas cosas, pero además está esta vulnerabilidad de la agencia excesiva, reconocido por supuesto por OASP. Eh, y por lo tanto agencia excesiva básicamente significa de que tú le des los permisos para que se pueda integrar con tu base de datos y una o con tu correo o con lo que sea. Y finalmente eso también es una vulnerabilidad porque en realidad es un arma, ¿cierto? Es igual como si uno tuviera un arma en casa y tiene que tener cuidado con los niños o tiene que tener cuidado quizás que te ataquen, que entre a alguien, ¿cierto? Y con el con la misma arma finalmente entre comillas te dispares, ¿no? Eh, la misma cosa, si tú tienes guía también pasa eso. Si tú tienes una guía totalmente conectada a un montón de sistemas que son críticos, obviamente se produce, o sea, ¿cuál va a ser el target? obviamente tomar ese sistema porque ese sistema ya está conectado, hizo, le hizo la mitad del trabajo al atacante, ¿no? Eso y obviamente, cierto, también el envenenamiento de datos que acá aquí desde la ignorancia usualmente nos pasa tanto porque nosotros siempre deberíamos estar cada cierto tiempo midiendo qué tan eh ya obsoleto está el modelo. Y entonces en ese caso, ¿cierto?, se vuelve a reentrenar justamente esos modelos. Entonces, finalmente, obviamente para todo ello hay mitigación. Si ustedes van también a atraites, eh, o sea, mitle mitre atrás, perdón, también pueden tener eh distintas alternativas de mitigación para ello eh por cada una de esas distintos tipos de vulnerabilidades, ¿no? Por otro lado, cierto, el sistema Laura, no sé si lo conocen, que es de Brasil, está instalado en 80 hospitales de Brasil, tanto en la parte quizás más menos acomodada como la más acomodada. Eh, y ahí en particular es un sistema bastante, digamos, utilizado, ¿no? 8,6 millones de visitas procesadas. Se supone que redujo de 30 y tantos minutos a 25 minutos para poder saber si es que esta persona necesitaba urgentemente pasarla a la UI. Así, esa es mi traducción, digamos, ¿no?, de salud. Y eh y ahí se produjeron un montón de problemas. Primero, también mucho falso positivo, por lo tanto las enfermeras al final eh claro, tenían que o enfermeros, ¿cierto? Tenían que revisar y al final, ¿qué pasaba? daban aceptar, aceptar, aceptar. ¿Por qué? Porque no lo entendían, porque no tenía explicabilidad, ¿no? Por un lado, eh, y entre otras muchas otras cosas que donde le invito a leer, obviamente, la auditoría algorítmica que hizo el Banco Internacional de Desarrollo y que tiene toda la pauta como para que ustedes lo puedan aplicar también en sus eh en sus sistemas que tienen actualmente. Y este sistema en particular, cierto, tenía varias cosas. Por ejemplo, uno de los temas que no veía, ¿cierto? Era justamente tenía una invisibilidad. Había un grupo de mujeres, cierto, de un rango de edad que no las que las pasaba era a las mismas condiciones que estuviera de urgencia con menos probabilidad las pasaba a la UI, por decir de alguna forma. Y eso también es obviamente una discriminación y aunque no fuera un ataque, ¿cierto? el daño que produce quizás es peor que el ataque, ¿no? Mujeres que mueren de cierta edad y eh y etcétera, ¿no? Como para ir avanzando. Entonces, muchos dicen el salvaguarda, obviamente el human in the loop y por eso, cierto, uno puede aplicar una serie de decisiones de que hay una persona ahí que estáce revisando sobre todo para aquellas decisiones que son complejas, pero no siempre es factible. Muchas veces se le se le da solamente como para acusar qué persona fue la que dio el permiso, porque es tanta tanta a veces la alarma o los falsos positivos que se generan que es difícil de eh poder atraparlo, ¿no? Entonces, eh ese es otro de los temas, ¿cierto? El colapso actual de una de las técnicas o mecanismos de mitigación que estábamos tranquilos, pero que en realidad ya se ha demostrado que no lo es tanto, ¿no? E y ahí en ese sentido, ¿cierto? Bueno, eh dado también el tema de la ley, está todo este tema de poder, de que ya tenemos que ser transparentes. Al ser transparente hay una serie de otras técnicas que se pueden utilizar, pero también la transparencia produce eh peligros también de ataque, independiente, cierto, de que tiene que ser bien aplicada. ¿Por qué? Porque por un lado, cierto, decimos los ataques en cierta forma sí producen problemas, o sea, si es soy muy transparente, pueden usar esa data para poder atacarme por un lado, pero también si es que no lo soy, finalmente un humano que va a tener que aceptar ciertas decisiones o decir, "Bueno, esto parece que está bien, si en realidad ya no lo voy a pasar a la UI, no puede hacerse las preguntas porque es una caja negra." Entonces, muy importante, ¿cierto? Hay muchas guías para poder aplicar justamente el derecho a la explicabilidad. Estamos Bueno, entonces voy a cerrar solamente con este, ¿cierto?, que es otro de los eh otro caso, ¿cierto? Donde se ve justamente también de salud, pero ahí es distinto, ¿no? Es que se está midiendo básicamente la glucosa, si es que lo dije bien, y en base a eso se descarga una cierta cantidad. Bueno, eso también obviamente podría eh ser hackeable y también existen una serie de otros aspectos y por ejemplo en este caso en particular uno de los temas que no era menor era de que eh dependía era más personalizado para poder justamente eh aplicar cierto el tema de e de poder eh un segundillo sí para poder aplicar e si es que una persona se le tenía que aplicar o ¿no? Y además de eso había mucha gente que dejaba el tratamiento, que se lo sacaba, etcétera, y habían foros, etcétera. Entonces, hubieron muchas malas prácticas también en esta área tratando de ayudar justamente a estas personas a que tomaran justamente el tratamiento. mucho tema así como de paternalismo, o sea, como tratar de guiarlos, etcétera, que finalmente fueron mal entendidas o mal tomadas porque en realidad se empezaban a tomar como decisiones, se le invadía de notificaciones a las personas y eso afectaba a otros derechos, etcétera. Bueno, eso eso les quería comentar, ¿cierto? De que en general en el caso de la IA, la IA abre nuevas vulnerabilidades con las mismas taxonomías de OAS. Ustedes pueden ver muchísimas eh tipos de ataques que se pueden realizar, pero ojo también de que finalmente el hecho de tomar sistema, ¿cierto? más con los temas de las leyes que en realidad ahora nos eh a la parte del directorio también tiene responsabilidad legal justamente con las soluciones y los software que adquiera. Eh, tenemos que tener cuidado también qué tipo de software estamos adquiriendo y que ese software, cierto, no produzca algún tipo de discriminación o daño finalmente, que es lo que buscamos mitigar, que no haya daño hacia las personas. Muchas, muchas gracias, Romina. A continuación, el doctor Jaime de los Soollos presentará su charla IA en salud, nuevas oportunidades, nuevos riesgos clínicos y cómo controlarlos. El doctor de los Hoyos es médico en informático en [resoplido] con una destacada trayectoria en el liderazgo, implementación de sistemas de información para la salud. Actualmente también se desempeña como jefe del departamento de informática biomédica de la clínica alemana de Santiago. Damos un fuerte aplauso para recibir al Dr. Jaime. [aplausos] [ovación] Hola. Hola. ¿Se escucha para pasar? para adelante. Bien, pues muy buenas tardes, muchas gracias eh por la invitación a la universidad, al comité organizador y yo les vengo a contar algo que de haber sabido, digamos, eh la presentación que iba a hacer Romina, ¿verdad? que fue excelente. Me hubiese encantado poder precoordinar algunas cosas de mi presentación con lo que ella habló, porque vamos a ver ahora con un sustrato de en qué se está usando hoy la IA en clínica. Eh, vamos a ver cómo esto aplica y cómo podemos mitigarlo, porque aquí la gracia no se trata de no usar las herramientas que tenemos a disposición, sino que de conocer los riesgos para poder controlarlas. Bien. Eh, el temario. Vamos a ver básicamente una una primera introducción de cómo se está usando hoy ya la IA en clínica, ¿verdad? Para entender qué amenazas y riesgos eh pueden derivar de ahí. No todo es maravilla. ¿Y qué hacemos entonces? Quiere decir que podemos usarla, no podemos usarla o cómo podemos usarla ya de manera responsable y segura. ¿Verdad? El ecosistema clínico está cambiando gracias a la innovación tecnológica constante, ¿verdad? La tecnología es algo es algo que siempre ha estado en partnership con el entorno de salud. Piensen ustedes, todo el equipamiento de imágenes, laboratorio clínico automatizado, etcétera, sistemas de información cada vez más sofisticados y complejos y cada vez más, ¿verdad? Y la IA es el último engranaje que vemos que viene a engancharse a esta maquinaria para ser un aliado del trabajo clínico. Está la como hemos visto, no es ajena a nada hoy. Sí está introducida en todos los ámbitos del que ser humano. Está introducida en la vida de, yo me atrevo a decir, de todos los que estamos acá. Es decir, si todos usan WhatsApp, bueno, tienen ahí una herramienta que tiene ya incorporada. Bien, usamos todas las diferentes herramientas. nos están ayudando a diferentes cosas, responder preguntas, estudiar, hasta entretenernos. Sí. Y bueno, la salud no es la excepción. Ah, hemos visto una serie de modelos predictivos o de clasificación, ¿verdad?, para diferentes propósitos a escala individual, poblacional, algoritmos de apoyo diagnóstico en la imaginología, por ejemplo, esto es una es ya parte de la realidad cotidiana, el uso de algoritmos que apoyan el trabajo imaginológico. Anatomía patológica, misma situación. algoritmos de soporte la toma de decisiones, como por ejemplo eh sistemas que ayuden con la integración y discriminación de prescripciones de fármacos, sugerencias de indicaciones según su pertinencia, ¿verdad? Conceptos asociados a lo que llamamos salud basada en valor y por supuesto la inteligencia generativa también es parte. Chatbots, agentes están viendo cada vez más su entrada a los sistemas de información clínicos. Y en salud estamos viendo las ventas. Acá se palpa el cómo esto puede ser algo efectivamente transformador. Esto no parece ser la IA aplicada salud, no parece ser un BW, una cosa que como fueron otras tecnologías, etcétera. ¿Se acuerdan cuando de lo único que hablamos era cómo de blockchain iba a cambiar todo? Bueno, ya no parece ser la misma situación, sino que está teniendo aplicaciones muy concretas y con casos de uso bien específicos y bien valiosos en el ámbito de salud, ¿verdad? Y esto a qué se debe? a que en salud la básicamente a mí me gusta siempre decir que los clínicos somos gestores de información para la toma de decisiones. ¿En qué consiste el flujo de trabajo clínico? En realizar diagnósticos, ¿verdad?, basados en la información, lo que sabemos del paciente para tomar decisiones terapéuticas con estos pacientes y mejorar de esa manera su salud. El tema es que la cantidad de información es cada vez mayor y mayor y mayor. No solamente tenemos más fuentes, más documentación clínica, sino que tenemos más fuentes de información que son parte del que hacer médico. No solamente está la ficha clínica electrónica, sí eh están los sistemas de información de laboratorio, l sistemas de información radiológico, los RIS asociados a un repositorio de imágenes que es el PAX Rax, ¿sí? sistemas departamentales, es decir, los sistemas propios de ciertas unidades como neurología, cardiología, etcétera. Sistemas documentales que están disponibles en todas las instituciones de salud, la ficha clínica misma que es el centralizador un poco de todas estas piezas de información, bases de evidencia clínica, medicina basa en la evidencia, etcétera. ¿Sí? Y la Entonces, ¿qué hace? Nos provee la capacidad de entender, sistematizar y procesar estos volúmenes de información cada vez más grandes para poder tomar decisiones oportunas y correctas. Sí, a esto se suma, me salté un punto, que los pacientes que estamos viendo son cada vez más complejos. Las mejoras en la longevidad de la población, ¿verdad?, van asociadas inevitablemente, de momento, al menos, a mayor prevalencia en un momento determinado de patologías crónicas, es decir, más comorbilidades, más datos que estamos viendo de cada paciente. ¿Sí? Por lo tanto, la IA tiene acá una capacidad de transformarse en un aliado potenciador, no sustitutivo, potenciador del trabajo clínico, ¿verdad? El 2009, uno, una eminencia dentro de la informática biomedical, el profesor Charles Friedman sí eh postuló el que se conoce hasta ahora, el teorema fundamental de Fritman que dice que como se muestra en en el mono, ¿sí? que la mente humana más los sistemas de información van a ser siempre mejores que la mente humana por sí sola, ¿verdad? Porque más información, más capacidad, etcétera. Ah, y esto con la solamente refuerza su vigencia y de mejor mucha mejor manera que antes de la las sistemas aplicables y útiles de ella en en salud, ¿verdad? Eh, por lo tanto, aquí puede ser que la se transforme en elemento que nos permite pasar de una promesa incumplida de las tecnologías de información en salud, algo que sea una realidad, aliviar la carga de trabajo de los clínicos para que se puedan centrar en lo que realmente importa, es la tensión, los procesos asistenciales con los pacientes, su diagnóstico y su tratamiento. que no sea algo que pasa hoy, que la interacción con los sistemas, el sentarse a digitar, a escribir las evoluciones, a consultar la información, sea una tarea o o a realizar tareas directamente administrativas, sea algo que resta de esas tareas que son las que decimos que son las importantes. Bien, entonces para entender qué estamos haciendo hoy con IA en salud, en algunos contextos, como yo les dije, es eh ya es un es un hecho, la causa el uso de la IA y uno de ellos es la imagenología, ¿verdad? La imaginología ha permitido implementar diferentes tipos de algoritmos. Llamamos para asistir al clínico, al radiólogo, ¿verdad?, en tareas específicas. Detección de fracturas difíciles, es decir, una fractura grande, hasta yo la voy a ver en una radiografía, pero una fractura de esas muy delgadas que están en un plano oblicuo, etcétera, en una cierta proyección a aún para radiólogos experimentados pueden ser difíciles de ver y hay algoritmos que las detectan porque el dejarlas sin tratamiento tiene consecuencia. Bien, prorrogación de la ventana terapéutica para trombolis en ataque cerebroascular. Esto lo voy a mostrar a continuación porque es una de las aplicaciones más bonitas y que más vidas salva. Basadoonía. Sí. Identificación de lesiones sospechosas en eh ahí me comí algo, parece. Sí. Identificación de lesiones sospechosas en diferentes eh tipos de imágenes, resonancias eh resonancias magnéticas, prostáticas, por ejemplo, imágenes mamarias, mamografías, etcétera. Sí. caracterización anatómica o planificación quirúrgica de diferentes tipos de lesiones gracias al análisis por de series de imágenes. Sí, métricas óseas para traumatología. Voy voy a mostrarlo ahora a continuación. Bien, entonces imaginología, esto está incorporado y está ya en nuestra en la clínica en que yo trabajo, clínica alemana, esto es una realidad, ¿verdad? y en muchas otras clínicas, etcétera, está pasando a ser parte de lo cotidiano. Anatomía patológica también está empezando a mostrar mucho valor en el análisis y procesamiento de imágenes de biopsia, ¿verdad?, que hoy se manejan de manera digital en muchas instrucciones, ¿verdad? Esto solamente para mostrarles una aplicación importante de la que no es una que va a probablemente salvar vidas, pero sí permite orientar y hacer más eficiente el trabajo del radiólogo. Es aplicaciones y algoritmos basados en que son capaces de hacer métricas, de medir cosas que son parte de lo que uno debe hacer cuando está haciendo análisis traumatológico, ciertos tipos de imágenes. Hay que medir longitudes, ángulos, etcétera, de diferentes partes anatómicas. Bueno, y esto es un trabajo que tradicionalmente se hacía de manera bastante manual. Sí, el las herramientas informáticas del Rispax daba herramientas para medir, etcétera, pero era marcar aquí, marcar aquí, era un trabajo bastante manual. La es capaz de automatizarlo con un nivel de precisión extraordinariamente alto este trabajo de medicina. Sí. Algoritmos, por ejemplo, ahí menciono uno, este es un producto comercial, ¿verdad? Pero hay otros algoritmos similares. Un algoritmo que se llama MD Prostate permite comparar automáticamente estudios de resonancia magnética prostática. a que permite no solamente caracterizar anatómicamente la imagen que está viendo, detectar patrones compatibles con tumores malignos, ¿sí? Si se identifican estos tumores, caracterizarlos anatómicamente para poder hacer la planificación quirúrgica con una precisión que no era posible hasta hasta ahora, digamos, sin entrar y abrir al paciente. Sí, incluso comparar estudios entre diferentes fechas. Esto es lo que yo les decía, el ataque cerebrocular. Hay algoritmos que son capaces de indicar si es posible realizar una intervención que se llama trombolisis, ¿sí?, para accidentes cerebrovasculares, ataques cerebrovasculares isquémicos, ¿sí? Que es cuando deja de llegar sangre a alguna parte del cerebro. Para ese esa patología hay lo que se llama una ventana de tiempo que históricamente se ha definido como alrededor de 3,5 horas desde que se produjo el ataque cerebovascular hasta que tú puedas administrar de manera segura ese tratamiento. Si te pasas en el tiempo hay riesgo de hemorragia. Sí. Y por lo tanto se decía antes, mira, no, pasaron 3,5 horas, no hagamos trombolis. Resulta que eso es un análisis estadístico basado en estudio de largas series de pacientes. ¿Qué tal si hay pacientes que tal como funciona la estadística todavía son reperfundibles, verdad? es decir, intervenibles pasado ese espacio de tiempo. Eso para un radiólogo es extraordinariamente difícil, sino imposible de ver en una imagen. Los algoritmos de IA pueden procesar estas imágenes y decirte, "Todavía este paciente está disponible, digamos, por aspectos que no son visibles para el ser humano, pero para la máquina." Así. Es decir, todavía te la puedes jugar por fundirlo sin consecuencias y eso al final salva cerebros y las personas que llevan dicho cerebro. anatomía patológica, un poco lo que les comenté, la caracterización, ¿verdad?, de células, un trabajo bien de microscopio, de ir mirando la imagen, etcétera, ha sido facilitada por la verdad. Voy a ir avanzando un poquito. Y llegamos a la generativa, que ya también es una realidad en clínica. Sí. Ah, si tenemos, si dijimos que uno de los grandes problemas es el análisis, procesamiento y entendimiento de grandes volúmenes de información, la generativa tiene un rol que jugar muchas veces que es el problema que uno tiene, ¿verdad? que tienes que entender quién es el paciente que tienes al frente, que no lo has visto antes con un tiempo limitado y a veces es un paciente crónico que tiene 500 páginas de scroll, digamos, de de información. La IA ahí tiene un rol para decir exactamente qué es lo que necesito saber para tratar bien este paciente. Sí. Así que esa es una aplicación que cae como bien de cajón. Otro aspecto del uso de la IA generativa que está muy muy ya en uso en Estados Unidos es un hecho. Sí. Ah, y acá en Chile lo estamos empezando a usar. Son escribas clínicos, no simples transcriptores de lo que se habla, sino que sistemas que sean capaces de eh estructurar la información desde el diálogo entre el clínico y el paciente para generar una nota de documentación clínica completa que incluso me puede alertar terminado el diálogo, decir, "Oye, mira, faltó documentar estos aspectos." Ah, que deberían estar. Ah, perfecto. Sí, nosotros aquí pongo los nombres, digamos, de estas tecnologías según las hemos implementado nosotros en Clínica Alemana, Alemana Boys. Sí. hasta agentes, sistemas agénticos y eso va muy en relación con lo que decía Romina. Sí, quiero después detenerme en eso. Sistemas con acceso a las fuentes de información de la ficha que me permitan actuar como una especie de colega experto que conoce la perfección el paciente y me permite ir recuperando la información qué necesito, cuándo la necesito, de manera efectiva. Alemana y le llamamos nosotros. Ya ven que lo lo nuestro no lo fuerte nuestro no es ponerle nombre a las cosas. Sí. Hasta sistemas de análisis masivo de información no estructurada. Ah, antiguamente cuando queríamos sacar conclusiones de la información de la ficha en texto, digamos, ya, bueno, esto es imposible. O consigo un ejército de internos, ¿verdad?, que me haga esto gratis, ¿sí? O esta tabulación, extracción hasta poder tener sistemas que de manera eficiente y costo efectiva, ¿verdad?, sean capaces de identificar elementos que yo necesito en los textos de la ficha y extraerlos para superar, ¿verdad? Aquí no sé si me va a resultar porque tenía un video, no sé si los amigos de la proyección pueden darle un play. Ah, esto este es un video. Eso. Ya, mientras hablo. Esta es una imagen de nuestra ficha, obviamente paciente ficticio, etcétera, con un sistema agéntico que está incorporado. Sí, esto que nosotros hemos implementado lo están implementando naturalmente todos los fabricantes grandes también, ¿verdad? Eh, sistemas agénticos que actúan como este experto en la ficha que yo le puedo hablar, hacerle preguntas, ¿verdad? Dime las últimas cinco creatinas de este paciente, ¿por qué se hospitalizó la última vez? ¿Quién es el el médico que más veces lo ha visto? ¿Verdad? ¿Qué exámenes de laboratorio están fuera de rango e interactúan con este medicamento que pretendo dejarle al paciente? Sí, todo eso es lo que los sistemas agénticos nos permiten hacer y que antes me significaran una revisión de la ficha extraordinariamente extensa y dificultosa, ¿verdad? Si estos sistemas van acompañados de ciertos conceptos de explicabilidad, es la capacidad de decir, perfecto, y le puedo creer esto, esto es inteligencia generativa, ¿verdad? Esos links que ustedes ven en la ventanita ahí de alemana ya nos llevan a la herramienta o el skill que fue usado por el agente para extraer la información de los sistemas de origen, ¿verdad? Y yo puedo constatar, ¿verdad? Y ver cómo cómo era la información. Ahí lo vemos de origen tal como estaba escrita, no procesada por ida. Bien, entonces estos sistemas son algo que de verdad creemos que es transformador en salud. Ah, y que van a cambiar, están cambiando ya la forma en que entendemos a nuestros pacientes para poder tomar decisiones con dicho eso y para poder ir avanzando, esto no está exento de ciertos riesgos, ¿verdad? Esto no es magia. Ah, y muchas veces es importante entender que cuando uno habla de IA, ¿verdad?, hay que entender que no es inteligente. Sí. no es inteligente en el sentido real de lo que entendemos por inteligencia. Sí, la IA son una, primero no es una única cosa, es un conjunto de técnicas, eh, métodos matemáticos, estadísticos, etcétera, que se ajustan a casos de uso particular y que tienen la la particularidad de imitar ciertos procesos asociados a la inteligencia humana, pero no son inteligentes, ¿verdad? Hay fenómenos conocidos, por ejemplo, en la idea generativa sabemos del fenómeno de las alucinaciones, ¿verdad? eh, por ejemplo, que es crear o rellenar con información que valora más la la verosimilitud que la corrección, ¿sí? Eh, omisiones de información y esto afecta naturalmente introduce un riesgo en la toma de decisiones si es que nos vamos a tomar vamos a basar nuestras decisiones en eso, en en esos datos que podrían estar sujetos a estos problemas, sesgos de entrenamiento, ¿verdad? Eh, underfeitting de un modelo o sobre todo overfeitting, es decir, que que el modelo se ajuste mucho al la data de entrenamiento y no generalicen a la realidad. Ah, puede haber incluso ataques maliciosos a sistemas basados en machine learning deep learning, que Romí lo mencionaba muy bien, a el envenenamiento de modelos, ¿verdad? Es una mala performance inducida, ¿verdad?, por acciones particulares de terceros, los datos que se usan para entrenar los mismos y también de los usuarios. Es decir, es concuerdo totalmente lo del human in the loop, ¿verdad? Es necesario, pero no suficiente, porque existe siempre el riesgo de lo que llamamos el sesgo de automatización, de que la gente le crea tanto a los sistemas a que decimos que no vienen a reemplazar a los clínicos, pero que dicen, y esto pasa a todo nivel, ¿verdad? que terminen creyéndole sin revisar realmente y sin validar la información que los sistemas están dando. Sistemas que están pensados para apoyarnos y ayudarnos, podrían pasar a a automatizarse porque el usuario clínico no tiene en cuenta que debe validar y contrastar y que al final la decisión y la responsabilidad es del usuario clínico, ¿verdad? Hay otros asociados escenarios también asociados a arquitectura, infraestructura basada relacionada con la IA, ¿verdad? La capacidad de exfiltración involuntaria de datos, ¿verdad? uso un discriminado, por ejemplo, de modelos en las nubes públicas puede llevar a mal uso de datos que son sensibles, como los datos de paciente. Esto es mucho más frecuente. Ah, en salud hay mucha gente que es muy inteligente más allá de su campo dentro de la salud, ¿verdad? y que ven estos avances, ven estas cosas y arman sistemas con sus propios medios, con sus propias herramientas y resulta que usan nubes, sistemas basados en ya en nubes públicas que no tienen, por ejemplo, con contratos a nivel de persona eh particular tien, por ejemplo, política de Zero data retention policy, es decir, los datos van a ser persistidos por el el por el proveedor de IA, etcétera. Sí, la capacidad de reidentificar datos sensibles eventualmente. Y con los agentes sistemas conversacionales está la agencia excesiva. Efectivamente, si a mi gente lo doto de demasiadas capacidades ejecutivas, esto podría terminar mal si es que no hay una validación correcta por parte del usuario. Ah, temas como prompt injection, jailbreakes, es decir, que yo sobrepase, si tengo acceso a la gente, sobrepase los límites que le impuesto para, por ejemplo, aprovecharme de las herramientas que tiene esa gente para ir a buscar y recuperar información para la que no debería normalmente tener privilegios. Sí, este riesgo aumenta mientras más capacidades tenga la gente. Sí. Y hemos visto casos de us casos de sistemas agénticos, ¿verdad? Que se han transformado en pequeñas historias de terror. ¿Se acuerdan ustedes con Open OpenClow, verdad? Historias de que gente igual les daba acceso a todo. Sí. A su open club que tenían corriendo en un Mac Mini en en su casa, ¿verdad? Y que les empezaba a borrar el correo y que después decía, "Sí, en verdad no te hice caso." Ah, la gente. Bueno, imaginen eso mismo en un entorno de salud. Sí. Otro ejemplo, digamos, de un agente con amplias capacidades que se salió se salió de madre, ¿verdad? Para qué decir lo que los altos modelos de frontera están haciendo. Ah, el ataque, digamos, ataque del modelo de Open AI a Huginface hace pocos días. Es impresionante. Bueno, pensemos lo que eso puede tener de implicancias para el entorno de salud. Sí. Entonces, ¿qué hacemos? Es seguro usar, usamosla ya, la dejamos de lado porque los riesgos, ¿no? A ver, h podemos y debemos usar ya, sí, con las precauciones de vidas, ¿verdad? Hay ciertas cosas que son mínimas. El humano, en el en el bucle, ¿verdad? Es un hecho y que tenemos que reforzar con nuestros usuarios. Lo otro es que las instituciones de salud tienen el deber de tener modelos de gobernanza en el uso de ella, ¿verdad? grupos de trabajo conjuntos, técnicos, clínicos que decían desde los aspectos de arquitectura, de la gobernanza de datos, cómo vamos a hacer compliance con los cuerpos y normativas legales que existen. Sí. la evaluación descuidadosa de la en todo su ciclo de vida, desde la selección, tener claro qué problema vengo a enfrentar, lo resuelve de una manera eficiente, introduce riesgos, cuáles van a ser las métricas según las cual voy a evaluar su performance para recién elegir si es que vamos o no a implementar un modelo y si se implementa ir reevaluando constantemente porque los modelos están sujetos a ir perdiendo efectividad en el tiempo porque ya no se ajustan al caso de uso original por cambio de condiciones. Y si me preguntan a mí a nivel clínico, sobre todo educación, educación, educación a nuestros usuarios, es fundamental que sepan qué es la IA clínica y qué no es, ¿verdad? Que es su seguro y que no lo es. Por ejemplo, no es seguro subir datos sensibles a una IA, digamos, pública con mi cuenta personal, ¿sí? Y saber elegir las herramientas correctas para los casos de uso correcto. Human de loop, ya lo dije, ¿verdad? No viene a reemplazar en ningún caso la clínica. el futuro previsible, no sé qué va a pasar de aquí a 5 años, 10 años, digamos, el futuro previsible creo que las profesionales de salud siguen teniendo trabajo porque la no viene a reemplazar. Sí, por varias razones. Y una de ellas es que la es la responsabilidad clínica. Una ella no es imputable, digamos, por decisiones mal tomadas, el profesional clínico y finalmente saber que las tecnologías tienen sentido si están al servicio de una mejor salud para nuestros pacientes. Si no es ese el propósito y no se logra con una implementación, simplemente no la hagamos. Y me gusta siempre terminar las presentaciones acerca de este tema con una frase que me encanta de Jessie Erenfeld, expresidente de la Asociación Americana de Medicina, que no podemos dejar de conseguir. La IA ya está aquí, es parte del paisaje, se está usando y nuestros usuarios clínicos la van a usar, lo queramos o no, con nosotros o sin nosotros. Entonces es altamente preferible que sea con nosotros y bajo condiciones que nos permitan garantizar en la mejor medida posible el correcto uso, ¿verdad? Y Jess Erenfeld decía, "La IA nunca" decía, va a reemplazar a los médicos. Ah, pero los médicos que usan IA, y a mí me gusta aquí agregar de manera segura y efectiva, van a terminar reemplazando a los que no lo hagan. Muchas gracias. [aplausos] Muchas gracias por su presentación, doctor de los continuos presentará su charla titulada Construyendo confianza institucional con un modelo de la gobernanza en ciberseguridad e inteligencia artificial en salud. Juan Alberto es abogado y director del observatorio de bioética y derecho y del observatorio de gobernanza de datos e inteligencia artificial en salud de la Universidad del Desarrollo, además de encargado de la gobernanza de datos de Precision AI. Su trayectoria académica investigativa se concentra en bioética, bioderecho, bio medioambiental y gobernanza responsable de los datos e inteligencia artificial. Damos un aplauso para recibir. [aplausos] Bueno, eh muy buenas tardes. E la idea es presentarles un un proyecto eh de un programa tecnológico Corfo que se llama Precision EI. Eh, este es un programa tecnológico que fue recientemente adjudicado e y eh cuyo propósito es precisamente impulsar el uso de inteligencia artificial en sector productivo salud. Eh, no les voy a hablar en total de cuál es el el desarrollo de este de este proyecto, sino centrarme principalmente en el foco de esta de esta jornada, ¿no es cierto?, dedicada a la ciberseguridad en salud. eh planteándoles cuál es el desafío que tenemos para desarrollar este proyecto de tener una eh componente habilitante, tanto tecnológica como legal, que permita ir construyendo la confianza institucional con todos aquellos proveedores eh de datos que eh van a ser necesarios para el desarrollo de los algoritmos en el ámbito local. Em, lo primero que habría que decir es que este es un conjunto, un consorcio de instituciones. Eh, este es un proyecto que fue adjudicado a la Universidad del Desarrollo junto a la Universidad de Chile, la Universidad del Desarrollo como beneficiaria e y es coejecutado por la eh Universidad de Chile, pero que cuentan, como ustedes pueden ver, de un conjunto de instituciones coejecutoras eh tanto del ámbito clínico como de startup. y un conjunto también de empresas asociadas y organizaciones que eh permiten robustecer el desarrollo de eh el objetivo esencial de este proyecto, que es abordar un desafío país como es el cáncer, ¿no? Todos bien sabemos, ¿no es cierto?, que el cáncer constituye una de las principales causas de muerte a partir de 2019 el plan nacional eh del cáncer ha enfatizado la importancia que que tiene el la detección, ¿no es cierto?, temprana. del cáncer como el tratamiento oportuno, como eh también eh detectar la importancia del uso de las tecnología eh como la inteligencia artificial para el desarrollo de algoritmos que mejoren la calidad de eh la atención de los pacientes en Chile. Entonces, con ese objetivo es importante hacer como un zoom a cuál es la visión y el objetivo general que tiene este proyecto, que es centrado en inteligencia artificial asumer un desafío país del punto de vista de incidencia, ¿no es cierto?, de mortalidad tan alta y el uso de una herramienta que va a permitir en todas las fases, ¿no es cierto?, eh hacer medicina u oncología de precisión, ¿no? Eh, pero en esta exposición yo quisiera detenerme en algo que es relevante para el impulso de capacidades tecnológicas en nuestro país, en el ámbito de salud, que es tener el entorno o las condiciones habilitantes que lo permiten. Y por eso quiero destacar dentro de este objetivo general el de las capacidades tanto regulatorias como capacidades tecnológicas habilitantes que van a permitir que todo el conjunto del portafolio que nosotros estamos desarrollando pueda desarrollarse. Por eso nosotros hemos llamado a esta a esta componente un elemento de eh proyecto transversal o subproyecto que acompaña todo el desarrollo, ¿no es cierto?, de esta de este programa tecnológico. Si nos fijamos bien en los objetivos específicos que nosotros estamos planteando, impulsar el desarrollo de condiciones habilitante no solo se agota des el punto de vista de las condiciones éticas, normativas, legales, técnicas, sino también en todo el entorno de impulso y desarrollo de estas tecnologías, el escalamiento de estas tecnologías y la transferencia efectiva al al ámbito nacional y también internacional. Por lo tanto, junto con las condiciones habilitantes, la idea es escalar soluciones tecnológicas en oncología de precisión con el uso de inteligencia artificial y fortalecer también, ¿no es cierto?, la colaboración a nivel de red nacional e internacional y hacer transferencia de estas tecnologías al sector público y privado. De tal modo que eh uno de los desafíos más importantes que hemos tenido como como eh programa tecnológico es poner el primer pilar que consiste en reducir la brecha entre el uso del dato clínico para fines de algoritmos en oncología de precisión. y ir reduciendo las dificultades que tenemos en el acceso a ese dato, ¿no?, que hoy en día bien sabemos, como se han dicho en exposiciones anteriores, un dato que uno encuentra muy fragmentado, muy en silo, ¿no? Eh, que requiere, por lo tanto, hacer un trabajo de eh de unificación para poder acceder a él y ese es el modelo que nosotros vamos a ahora a plantearle. Junto a ello, falta también un estándar adecuado, ¿no es cierto?, de calidad del dato, que requiere todo una apoyo tecnológico de estandarización y eh lo que corresponde al área más regulatoria es desarrollar un sistema de gobernanza adecuada que permite implementar todo el marco regulatorio que hoy en día nos rige y que es un marco regulatorio bien complejo y bien intenso en su intensivo en su aplicación. ¿Por qué? Como se dijo en las charlas de la mañana, se requieren muchas normas de correlación para poder aplicar una ley marco de ciberseguridad junto una ley de protección de datos, junta una ley de dispositivos, ¿no es cierto?, del uso de los software, digamos, como dispositivos, ¿no es cierto?, médicos. Eh, todo lo que es la regulación de delitos económicos e la delitos, ¿no es cierto?, relacionados, ¿no es cierto?, delitos tecnológicos. En fin, hay un conjunto de normativas que exige unas normas de correlación y eso es lo que permite una gobernanza adecuada. El portafolio que nosotros tenemos va desde la prevención del cáncer hasta la terapia, ¿no? Con un conjunto de eh portafolios bastante ya avanzados en su TRL. Y la idea es poder eh desarrollar, ¿no es cierto?, eh con los proveedores, ¿no es cierto?, de datos del de nuestro sistema. Eh, estos algoritmos desde la eh fase de la prevención, ¿no es cierto?, hasta la terapia como como les comentaba. Y eh también hay toda una desarrollo de algoritmos vinculados a la ruta del paciente. El equipo que compone Precision está dirigido por el Dr. Ricardo Armisen de la Universidad del Desarrollo del Instituto de Ciencias, Innovación y Medicina y el director alterno es el Dr. Arnaldo Marín de la Universidad de Chile y está integrado por investigadores tanto de la Universidad de Chile, la Universidad del Desarrollo, pero de otras empresas, ¿no es cierto? eh coejecutoras y otras eh eh organizaciones asociadas como son e Oncovida, AIDA, eh Oncoer, como los mencioné al inicio, desde el punto de vista de la gobernanza de la protección de datos y la ciberseguridad, eh lo central, digamos, en en nuestra propuesta es generar desde prácticas de buenas prácticas desde un punto de vista ético como legal, hacia ir a un sistema más robusto de gobernanza, ¿no es cierto?, de datos y de ciberseguridad que permita eh poder, ¿no es cierto?, trabajar los aspectos de infraestructura tecnológica de una manera adecuada, ¿no es cierto?, con calidad e interoperabilidad de los datos, manteniendo, ¿no es cierto?, la ciberseguridad por diseño, privacidad por diseño, eh gobernanzas específicas en los modelos de inteligencia artificial. Aquí hay que hacer todo un trabajo de implementación, ¿no es cierto?, de nuestra norma legal relacionada a reciente incorporación por el ISP de lo que son los software de e software, digamos, como dispositivos médicos que eh se han incorporado en el listado desde el 2026 los eh algoritmos relacionados a oncológicos y que requieren también acompañarse de la dimensión de la ciberseguridad. Y a continuación yo les voy a a plantear cuál ha sido el primer avance que hemos hecho como como proyecto Precision. Por un lado, la estrategia de gobernanza de datos y ciberseguridad y por otro lado, todas la estrategia en infraestructura tecnológica que van de la mano con la estrategia de gobernanza y ciberseguridad. Des punto de vista más regulatorio, eh lo que nosotros de alguna manera eh nos planteamos desde un inicio es cómo eh de un punto de vista jurídico, cuando la responsabilidad recae en un solo beneficiario que es la Universidad del Desarrollo, podemos establecer un sistema que permita establecer responsabilidades, corresponsabilidades y asegurar también que la relación que mantenemos con los proveedores de datos sea adecuada, ¿no? Por eso tenemos una estructura de gobernanza que va a estar liderada por una una orgánica de un consejo gobernanza de datos como pilar fundamental. Eh, también tenemos una eh un marco normativo de alguna manera que nos va a exigir hacer todo este trabajo de correlación de normas, principalmente la ley de ciberseguridad, la ley marco junto a la ley a la nueva ley de protección de datos y hacernos cargo, por lo tanto, de un conjunto de riesgos de multinivel que requiere toda una infraestructura, ¿no es cierto?, documental, que es la que estamos desarrollando este primer año y y sin duda, yo creo que lo más importante de un punto de vista jurídico es entender que este avance va a ser bastante gradual, eh ir más bien avanzando por el desafío sectorial. Eh, aquí queda mucha discusión abierta de cuál va a ser el modelo eh regulatorio adecuado de la inteligencia artificial en Chile. Quizás sea, digamos, prudente establecer una discusión de eh regulación más sectorial que una regulación única. cuando uno ve que los usos de la inteligencia artificial son tan variados entre un sector y otro. Des punto de vista de la orgánica que hemos desarrollado nosotros para poder echar a andar esta gobernanza tiene que ver con tener un consejo estratégico que visualiza, digamos, toda la estrategia de largo alcance eh precision, pero también tener un consejo gobernanza de datos como eh el corazón que va a permitir el cumplimiento de la ley de protección de datos y la ley de eh ciberseguridad. eh el cual va a aprobar todos los eh evaluaciones de impacto, ¿no es cierto?, de cada proyecto, de cada portafolio que hace uso de datos, cómo va a supervisarse a lo largo del desarrollo el cumplimiento normativo, cómo vamos a gestionar, ¿no es cierto?, todos los incidentes de ciberseguridad, como mantener al día eh en el proceso, a lo largo del proceso, las políticas de toda la gobernanza de datos y eso está compuesto por un conjunto de miembros de las instancias asociadas como coejecutoras. Junto a eso hay todo un trabajo técnico que lo desarrolla el grupo de la infraestructura tecnológica legal, digamos, el el en los investigadores que estamos a cargo del desarrollo de la gobernanza y de la infraestructura tecnológica, de varias áreas de trabajo técnico que son cinco áreas específicas, una de cumplimiento éticorreulatorio, donde va básicamente desarrollamos toda la documentación relacionada a acuerdos de procesamiento de datos con eh los proveedores de datos, los contratos, ¿no es cierto?, y los convenios específicos con cada uno de ellos. ¿Cómo acompañarlos también en los procesos de cumplimiento normativo de los datos que nosotros, ¿no es cierto?, estamos trabajando con ellos, cómo mantener a su vez también un estándar de calidad de los datos y reducir por lo tanto el riesgo, la brecha semántica, infraestructuras y plataformas, la seguridad, ¿no es cierto?, escalable en esta materia, cómo mantener también los estándares de ciberseguridad y cuáles son las normativas técnicas que nosotros adoptamos y eh todo lo que tiene que ver con responsabilidad, ¿no es cierto?, y confiabilidad en materia de modelos de inteligencia artificial eh para desarrollar, ¿no es cierto?, algoritmos en oncología de precisión. Del punto de vista de la eh evaluación de los riesgos que nosotros abordamos, identificamos, ¿no es cierto?, un conjunto de riesgos de acuerdo a una serie de dominios. Como pueden ver ustedes, áreas ciberseguridad y datos personales son los principales y para ello eh identificamos las herramientas o controles específicos para poder ir reduciendo esos riesgos, ¿no es cierto?, en el a lo largo del programa, ¿no? Primer lugar, designar un delegado de protección de datos, que son obligaciones normativas. Estamos haciendo uso, ¿no es cierto?, de datos personales, datos sensibles que exigen tanto el nombramiento delegado, protección de datos por parte de la beneficiaria, ¿no es cierto?, que tiene responsabilidad legal, como todos los desarrollo de los acuerdos de procesamiento de datos, las evaluaciones de impacto, cómo implementar des vista la ciberseguridad la autentificación multifactor, la necesaria y una cuestión que se ha enfatizado muchísimo en estas charlas ha sido la necesidad del acompañamiento del cumplimiento normativo junto con la capacitación del equipo y es una capacitación que no solo vamos a desarrollar para nuestros miembros, sino también para la propia comunidad y eh también, ¿no es cierto?, lo que tiene que ver más con la transferencia de estas tecnologías con las políticas de propiedad intelectual para las adecuadas transferencias, ¿no? De un punto de vista de la estrategia de infraestructura de datos y ciberseguridad, aquí el desafío es eh, como se dijo desde el inicio en la mañana, el cumplimiento regulatorio de normas tan dispersas eh donde van a operar agencias distintas con tiempos de cumplimiento de reportes, por ejemplo, eh distintos. Eso exige hacer un trabajo de integración o de tanto correlación normativa que le corresponde a la autoridad como también a los obligados, ¿no? Y por lo mismo pretendemos hacer un proceso gradual en el en el desarrollo de nuestra propia infraestructura que esté adecuada a ese cumplimiento normativo y por eso lo tenemos más bien como una un horizonte eh al cual nosotros vamos queremos ir acercándonos, ¿no? Y el reto central, precisamente en ese horizonte, es habilitar un acceso federado seguro de datos de salud heterogéneos y útil para la investigación tanto inteligencia artificial como machile learning, que persigue acercarse a estos modelos, ¿no es cierto?, de eh aprendizaje federado y también, ¿no es cierto?, de de analíticas federadas. Y en ese en ese sentido lo que consideramos digamos que este aspecto es crítico para que eh funcione como un habilitante de todo el portafolio que estamos desarrollando. Es una habilitante tecnológica, por lo tanto transversal. Permite el puente entre los actores diversos, ¿no es cierto?, con los cuales nosotros vamos a establecer convenio y poder trabajar, ¿no es cierto?, con de manera confiable con los prestadores y eh generar también un valor condicionado al acceso, ¿no es cierto?, de los de los datos. Y por último, voy terminando ya con eh el mapa, ¿no es cierto?, de desafíos tecnológicos que tenemos, que tiene que ver con estos seis puntos que destacamos, que tiene que ver con integración y integ semántica, con la calidad y la trazabilidad, con la federación y orquestación como horizontas al cual tenemos que ir desarrollando nuestros trabajos con los distintos portafolios. Evidentemente va a haber eh a veces distintas formas de e establecer convenios con los prestadores y la idea es ir madurando hasta hacia un sistema entonces más federado del uso del secundario del dato con fines de testeo algorítmico en oncología la de precisión y por eso se requiere todo este conjunto de políticas de gobernanza que sean capaces, ¿no es cierto?, de hacer, ¿no es cierto?, un proceso de eh yo creo de trabajo bastante más escalonado que eh de un momento a otro, sin duda, no es algo que se pueda hacer así, digamos, cuando tenemos una regulación tan difícil de cumplir y tan tan diversa, ¿no? Tan fragmentada. Por último, una de las cosas que hemos impulsado del punto de vista e de vinculación con la comunidad es a partir de precision eh generar una unidad de trabajo con la comunidad eh a través de un observatorio de gobernanza de datos e inteligencia artificial cuyo objetivo es es doble. Por un lado, ir generando eh bienes públicos que permitan ir reduciendo la brecha de incertidumbre la implementación de la nueva ley de Protección de Datos, como también eh el cumplimiento conjunto de la Ley Marco de Ciberseguridad, eh generando guías, orientaciones, eh protocolos que vayan especificando eh en la implementación en el ámbito de la salud y va a ser un trabajo que va a acompañar sin duda también eh parte del el rol que tiene la Agencia de Protección de Dato, pero sin duda la Agencia de Protección de Dato tiene obligaciones primarias y probablemente estos sectores tan específicos no va a ser su primera ocupación. Y en ese sentido nosotros queremos avanzar y generar estos bienes públicos a la comunidad junto con un apoyo también a todos aquellos desarradores o empresas startup que muchas veces no pueden, ¿no es cierto?, obtener asesoría específica en el ámbito, ¿no es cierto?, de la eh uso de la inteligencia artificial. en en salud. Por eso se compone estos tres pilares, este observatorio, gobernanza de datos y ciberseguridad, eh vinculado a generar marcos legales de privacidad y confianza que faciliten el uso secundario de los datos, ¿no es cierto?, en salud. Eh, generar también acompañamiento y asesoría en infraestructura habilitante y también acompañamiento en la escalabilidad de los productos de inteligencia artificial en salud, haciendo evaluaciones de mercado y competitividad. Este es un trabajo conjunto que se hace con precision y eh en ese sentido esperamos nosotros ir eh digamos avanzando eh con una implementación regulatoria que genere mayor colaboración entre los distintos actores, aumentando la confianza institucional de los prestadores, ¿no es cierto?, para el acceso a los datos de salud y eh potenciar la innovación en salud en nuestro país. Muchas gracias. [aplausos] Agradecemos a Alberto y continuamos. Seguimos en el bloque CCO. Le invitamos a subir al escenario a Patricio Campos, quien es fundador y CEO de Resility, especialista en ciberseguridad e inteligencia artificial con más de 25 años de experiencia en la industria tecnológica y que actualmente lidera el desarrollo de Centris, plataforma de inteligencia operacional basada en inteligencia artificial, quien nos hablará sobre el cumplimiento asistido por la IA en salud, agentes inteligentes para responder a las exigencias regulatorias. Aquí está el ¿Qué tal? Muchas gracias. puntero. Bien, lo que vamos a ver el día de hoy es contarles un poco lo que hemos estado desarrollando también en base a una investigación empírica con respecto a empresas de todo rubro, también del área de salud, con respecto a cómo podemos nosotros automatizar y trabajar con agentes para poder simplificar, automatizar, mejorar los datos de inteligencia artificial que llegan hacia los sistemas para poder mejorar los las auditorías. ¿Qué es lo que tenemos acá? Las cifras, que es lo más eh lo más importante que es la salud en el sector y uno de los sectores que son los más caros en cuanto a remediación y también en cuanto al daño que se pueden eh generar. Si ustedes se fijan en basado en este informe realizado por IBM, podemos ver que está por sobre la brecha de ciberseguridad por finanzas. Esto quiere decir que a pesar de bancas, instituciones eh bancarias, energía, eh tecnología o farmacéutica, el área de salud es la cual la brecha de ciberseguridad es la que tiene un costo mucho más alto. Por lo tanto, acá también no solamente tenemos problemas de disponibilidad de sistema, sino que también podemos tener eh afectación a vidas humanas, aunque suene un poco fuerte, pero ha ocurrido también en Europa en algunos casos de ciberataque donde se han visto afectadas las personas. Lo que tenemos acá es que el gran problema son la cantidad de alertas. Todos los centros de monitoreo que protegen a las organizaciones eh de a nivel de ciberseguridad, no necesariamente eh con respecto al área de salud, sino en general reciben miles y miles de alertas, las cuales son muy difíciles de procesar y tienen alrededor de un 90% de lo que se denominan falsos positivos. Esto quiere decir que son alertas que parecen ser críticas, pero no lo son. Esto genera situaciones como la fatiga de alerta o también lo que se llama parálisis por análisis, es decir, demasiada data que procesar y nosotros no sabemos cómo actuar. Hay también herramientas sin contexto. Acá, por ejemplo, no se distingue lo que es un pax de lo que es un notebooks. Es decir, para un escáner o para un atacante que está recién entrando dentro de una organización, lo que él está viendo, está viendo redes, está viendo direcciones IP y no puede distinguir la gravedad de lo que puede estar atacando o de lo que se puede estar indisponibilizando. Y cuando hablamos de hospitales regionales o llamémosle centros de salud más pequeños o más específicos ya de localidades mucho más remotas o lejanas, no hay en ninguna organización, tanto pública como privada, un presupuesto necesario como para poder tener un centro de operaciones de ciberseguridad que esté las 24 horas del día, 7 días a la semana, monitoreando la ciberseguridad. Entonces, hemos pasado de auditorías anuales a plazos en horas, es decir, antes de la incorporación de la ley 21663, que era la que definió a la salud como una organismo de importancia vital, no teníamos esta ventana de tiempo de 3 horas de poder entregar a la Agencia Nacional de Ciberseguridad reportes con respecto a cómo poder, ¿qué ha pasado con un incidente, con una brecha de ciberseguridad? Para los que somos más viejos en el tema de la ciberseguridad, nosotros recordamos que muchas veces y muchas organizaciones se terminaban enterando por la prensa de que habían sido vulneradas porque sus datos estaban siendo comercializados en mercado negro, en la DAR web o en la deep web para poder hacer negocio con esta información. Ahora, apenas esto se sabe, las empresas denominadas OIB tienen una brecha de 3 horas, una ventana de 3 horas para poder responder y entregar los primeros reportes y los primeros análisis. viene la ley 21,719, que como estuvimos viendo el día de hoy, a pesar de sus dificultades e eh para poder organizarse como como institución, eh lo que es la Agencia de Protección de Datos Personales, entraría en rigor en diciembre de este año. Por lo tanto, también la salud tiene datos sensibles que son los datos personales, los datos del paciente y luego tenemos las normas internacionales que muchas instituciones cumplen, NIS, ISO, tienen HIPA, etcétera. Entonces, estamos en una carrera contra el tiempo donde muchas instituciones están trabajando contra reloj para poder solventar esto. No avanzar. Aquí está. Entonces, una de las cosas que se puede realizar es un eh sistema agéntico que nos permita a nosotros poder resolver algunos de los problemas, como decía el doctor Fernando, si no me equivoco, que hablaba de el hombre en el medio, el human in the loop o hombre en el loop. Acá nosotros denominamos algo que es un poco más eh específico. hablamos del expert in the loop, es decir, hablamos de ese experto que tiene que estar en medio de estos procesos agénticos donde un grupo de tareas que se pueden decir, donde por ejemplo se percibe lo que está ocurriendo en un en un en un centro médico, en un hospital, se razona con respecto a esa información, se actúa y luego se aprende. Y este loop de ciclo tiene que tener un aprendizaje y tiene que también tener gente que pueda de alguna manera poder realizar este tipo de actividades con los conocimientos necesarios. Cuando hablamos de un hombre en el loop o human in the loop, estamos hablando de una persona, pero cuando hablamos de un experto, estamos hablando de un thread hunter, un etical hacker, un analista de ciberseguridad, un experto en detección de de amenazas, donde se pueden aquí automatizar por lo menos algunas de las etapas más importantes que van a ayudar a estos procesos a que sean más llevables y que sean de forma más eh inmediata y que se pueda responder a los tiempos. que bajo las leyes. Acá tenemos auditores de cumplimiento, descubridores del Shadow IOMT, o sea, del Internet of Medical Ths, emuladores de adversarios, vigías de vulnerabilidades, reportes y también centinelas que pueden trabajar a nivel de SOC. Estos distintos procesos que están corriendo con estos agentes de con inteligencia artificial pueden permitir realizar, medir brechas en base a los a los auditores de cumplimiento para saber qué tan lejos o cuántas infracciones o faltas puedo tener frente a una norma. Descubrir también dispositivos que no están inventariados dentro de una organización. Esto pasa mucho en las organizaciones grandes con gran cantidad de dispositivos, eh donde nosotros de un día para otro se pueden agregar nuevas máquinas, se pueden remover o incluso pasa mucho en áreas también eh eh comerciales o bancarias donde un día aparece una promoción nueva de una tarjeta de crédito con una línea de aérea y el área de marketing contrata un nuevo servicio y sin avisar a nadie de las otras áreas. en las áreas médicas puede ocurrir también. Hay una brecha también importante que tiene que ver con la obsolescencia de los dispositivos. Hoy día eh a las personas que nos visitaron el stand, yo les preguntaba a todos, les hice la misma pregunta, ¿cada cuánto cambias tu computador? Y la mayoría fue 3 4 años. ¿Cada cuánto se cambia, por ejemplo, un sistema de un de resonancia magnética? O sea, son sistemas carísimos que tienen una duración sobre los 10 años o más para poder rentabilizar ese tipo de inversión. Además, son dispositivos que no se pueden tirar a la basura, sino que se tienen que reducir de alguna forma segura, ya que algunos contienen, como su nombre lo dice, eh, radiación. Por lo tanto, no es llegar y descartar alguno de estos dispositivos. Por lo tanto, nos encontramos con sistemas que tienen 10, 15, 20 años de antigüedad conviviendo con otros sistemas mucho más modernos dentro de las organizaciones. Dentro de esto, la emulación de adversario ocupando la inteligencia artificial a nuestro favor y no a favor del adversario, nos va a permitir a nosotros también poder simular estos escenarios. escenarios donde podemos entregar un contrato a un agente para que este emule funciones de o impersone alguna actividad desde un etical hacker hasta un empleado disconforme dentro de una organización, porque también se conoce que quienes más daño pueden causar dentro de una organización son los insider, es decir, son personas que dentro de la organización conocen todos los sistemas, tienen acceso a ello y por alguna razón eh o alguna una motivación tanto política, personal, activismo o lo que sea, pueden sabotear un sistema. Ahora, eh esto dentro del área médica puede, como lo habíamos mencionado anteriormente, tener eh resultados fatales. También ayudar a lo que son los reportes regulatorios y ayudar también a eh la parte accionable dentro de las remediaciones. Es decir, ¿qué hago cuando me enfrento a una alerta de ciberseguridad? O sea, mis sistemas saltaron, me avisaron. Entonces, ¿qué? Si yo ya tengo claro a nivel de playbooks qué tengo que hacer cuando A, entonces B, yo podría definir claramente acciones de mitigación automáticas que van a reducir los tiempos de eh frente a las amenazas. dentro de lo de las cosas que se puede hacer existen eh lo que se denomina también el entrenamiento y aquí es donde es muy importante donde nosotros podamos tener agentes que se limiten bien a funciones específicas y que estén siendo bien entrenados. Acá donde eh alguno de los estudiantes de la universidad se acercaron a a contarnos que hacían experimentos con inteligencia artificial y que se daban cuenta de que las y los modelos públicos tienen ciertas limitaciones. Es decir, si ustedes le piden a Cloud o le piden a Open Ey o a Yemini que genere un un ataque a una determinada página web o que le genere un script o un payload o algún tipo de de script para poder generar daño, le va a decir que tiene ciertas limitaciones y ciertas restricciones. Como pudieron ver, por ejemplo, volviendo haciendo eco de la presentación del doctor, pudimos ver el caso de Open que este sale de este sandbox, de esta caja de arena protegido y va y ataca Hagin Face. Aquí dentro de las cosas que podemos ver es que si leyeron la noticia, si alcanzaron a ver, tuvieron que ocupar modelos chinos para poder analizar la IA. ¿Por qué? Porque las modelos eh americanos o occidentales, como le quieran llamar, tienen estas limitaciones, mientras los modelos chinos claramente son mucho más abiertos y están a disposición. Es decir, los mismos modelos que ustedes contratan están disponibles para poder ser bajados e instalados. Y aquí nosotros vemos cómo funciona el mercado. Mientras por un lado nos venden el sistema y la suscripción, por otro lado nos están vendiendo eh la capacidad de poder operar estos modelos. a un a Oriente le interesa mucho más la venta de los microprocesadores y del hardware necesario para poder operar estos modelos, mientras que al lado occidental le interesa más la suscripción y el uso de estos modelos eh frente a estos casos. Lo que nosotros podemos ver es cómo entrenar estos modelos y siempre va a ser este modelo destilado que se llama, es decir, la utilización de modelos tanto locales o híbridos con fallos que son complementarios que van a permitir entrenar modelos locales a través del uso de la inteligencia de otros modelos que son generales o que son de uso masivo. Y aquí podemos identificar tanto descubrimientos pasivos, también emular atacantes, detectar, medir, corregir, eh buscar también inventarios vivos. Y estos procesos de emulación pasan de la foto tradicional de una auditoría, que auditoría en general de cualquier estilo, para los que saben o han vivido procesos de auditoría desde los desde las dos veredas, el del que audita y el que es auditado, se van a dar cuenta que son procesos largos y que tienen son fotografías que se toman en ciertos periodos de del año o en ciertos momentos de la organización. Por lo tanto, no existe un monitoreo continuo. Esto es como haciendo referencia a lo médico, sin ser nada relacionado con la salud, pu me puedo equivocar, pero es como eh el holster, o sea, lo tenemos permanentemente las 24 horas del día midiéndonos todos nuestros eh signos o nuestra información de interés versus hacerse un examen puntual en un minuto que va a tomar la información de cómo dormí ese día, de lo que he comido esos últimos días, etcétera. Por lo tanto, estos modelos de emulación son mucho más efectivos por lo que pueden generar a lo largo del tiempo. Determinar tendencias, determinar el uso, determinar también cómo nosotros podemos entregar mejoras y detección de priorización. Porque entre un pen testing manual que se realiza un etical hacking donde pruebo la seguridad de mi centro médico y que lo realizan en dos tres semanas y que me llega el informe, yo han pasado tres o cuatro semanas valiosas versus encontrar una brecha y medirla, inmediatamente generar un plan de remediación. La evidencia eh se va produciendo en la medida que estos agentes se van alimentando de la información auditable. Aquí existe un punto muy muy importante que es el punto número tres, que es el curado de los datos. O sea, para los cientistas de datos esto es muy importante, el curado de los datos. ¿Qué significa poder descartar qué es lo que es relevante y qué es lo que es eh no relevante. Y aquí es lo que hablamos, por ejemplo, de lo que se llama el famoso gigo, o sea, garbage in garbage out. Es decir, si yo entro basura a mi sistema, va a salir basura de mi sistema. Por lo tanto, es importante cómo hacer este curado. Y es aquí donde las alucinaciones, los errores, las inyecciones de prom o todos los errores de sesgo que puedan tener las inteligencias artificiales tienen que ser descartados antes porque si no vamos a tener este proceso de gigo de de garbage in garbage out al final del proceso de auditoría. Entonces, podemos tener un resultado muy positivo o muy negativo y pesimista, pero poco real. de respecto a esto, ¿para qué se pueden utilizar este tipo de soluciones? como lo lo leen ahí, puede ayudar a generar los expedientes para los reportes de las ANSI, los expedientes para los registros de brecha en menos de 72 horas para los eh la Agencia de Protección de Datos Personales, alertas del SOC, auditorías internas, etcétera, dependiendo del contexto. Aquí es importante entender que la inteligencia artificial está limitada por lo que se llama la ventana de contexto, es decir, cuánta información puede almacenar en una conversación. Y es lo que se está trabajando. Ustedes están viendo modelos como Quent o o de Alibabá u otros que están cada vez trabajando para poder hacer esta ventana de contexto aún más grande. Por lo tanto, el modelo tiene que conocer y volver a reiniciar la conversación cada vez que tú estás hablando con él o lo estás conversando. Para esto, la indexación o trabajar con RAG que permitan que esta memoria sea permanente va a generar un contexto que es único. Y es aquí donde una de las ventajas que tiene la inteligencia artificial es que no existe una aplicación específica para mi organización. Lo que existe es una adaptación. Es decir, yo contrato SAP, Oracle, Microsoft, la empresa que ustedes gusten y yo tengo que adaptarme a los conceptos, a las nomenclaturas, a los procesos, al tipo de reporte. Hay muy poca flexibilidad eh o había muy poca flexibilidad. Ahora, el by coding permite que una organización pueda crear una aplicación específica a medida, lo cual es muy beneficioso al al modo productivo, pero también abre una brecha de seguridad importante al tener una superficie de exposición mucho más abierta donde cualquier persona puede crear una aplicación para resolver esto. Esto es fantástico si lo quieren ver desde el punto de vista de que un profesional, un médico, un dentista, un oftalmólogo pueda decir, "¿Sabes qué? Yo necesito una aplicación que responda a estos problemas que yo tengo en el día a día y se puede crear, pero bajo qué calidad, bajo quién da el soporte, quién mantiene qué estándares de seguridad. Es importante también saber con quién realizo todos estos cambios dentro de una organización. En la parte del aprendizaje es muy importante porque esto, como les mencionaba anteriormente, tiene mucho valor en la medida de que el aprendizaje sea continuo y en la medida que nosotros logremos que la inteligencia artificial tanto sea local, si es que tenemos esa capacidad limitada por los cómputos del hardware o estamos ocupando algún modelo público eh que podamos utilizar, tenga la capacidad de yo poder eh generar estos memorias o estos estos recuerdos o llamémoslo así o esta historial de contexto que va a hacer que tengamos nosotros que nada se aprenda dos veces, que existe una trazabilidad y que exista un conocimiento que no se va y que no se diluye. Esto es muy importante porque mientras más se trabaja frente a este tipo de modelos, el modelo es más eficiente en el tiempo porque ha aprendido mucho más sobre la organización que está auditando. Para terminar quería darle las gracias por la invitación y invitarlos también a seguir desarrollando sobre la inteligencia artificial y verla, como se dice, como un aliado, como un eh como un copiloto, como un experto, como un asistente, nunca como un reemplazo. Siempre vamos a necesitar al humano, al experto, que nos pueda ayudar a generar estos cumplimientos y que vamos a poder nosotros ir mejorando día a día este tipo de sistemas. Muchas gracias. [aplausos] Muchas gracias por tu presentación. Para terminar este bloque tendremos un workshop práctico en ejercicio interactivo de gestión de incidentes en entorno de salud dirigido por Sebastián Vargas y Gabriel Vergel. Sebastián es CEO es fundador de ETPC, consultora especializada en ciberseguridad industrial y protección de la infraestructura crítica en Latinoamérica. Cuenta con más de 18 años de experiencia en ciberseguridad, gestión de riesgos y resiliencia operacional. Por su parte, Gabriel es CEO de Mantis y presidente de la Fundación de Ciberseguridad 8.8, desde donde impulsa iniciativas para fortalecer la cultura de ciberseguridad y promover una sociedad digital más segura e inclusiva, entre otros. Les damos un aplauso y los invitamos acá. [aplausos] Voy a voy a poner el tuyo. Déjame hacer un cambio. Vamos a poner este y como trajimos regalo. Vamos a poner acá. Claro. El cable acá. Yo me quo acá. Ya tiro. Ah, qué buena. Tomó el tiro. Voy a ocupar este o hablar de acá. Yo voy a ocupar este. ¿Tú te queres mover? No tanto. Estoy un poco cansado con el cerro. [risas] Ya quería cargar mi equipo no más y listo. Ya. Entonces mover tú. Perfecto. Bueno, ahí [carraspeo] no. Sí, ahí sí el tuyo. No, ahora sí. Sí. Ya. Buenas tardes. Eh, ya nos presentaron. Muchas gracias a todos por quedarse. Yo en particular estoy muy contento de lo que hemos logrado a través de la alianza y la plataforma estratégica de ciberseguridad en salud por lograr este esta tercera jornada chilena de ciberseguridad en salud y vamos directo al grano, Sebastián, como dijo el dermatólogo. Perfecto, tenemos algunos minutos, tenemos premios, así que no se vayan. Es verdad, trajimos premios de 8.8 Y de 8.8 también. Sí, también hay algo ahí sorpresa. No le he dicho Gabriel, pero va a tener que hacer que así no más. Listo. Bueno, eh acá estoy un poco reponiéndome después los 4K para llegar, pero muy contento de poder estar acá con ustedes. El día de hoy vamos a hacer un ejercicio que va a ser bastante espedito y que luego va a venir con una parte donde van a tener que participar. Bueno, vamos a quedar en que soy yo. Sigamos. Dale, avanza, avanza. en el mundo digital o no puede ser quien quiere ser la hoja de ruta, básicamente, ¿por qué la salud es el objetivo, cierto? El marco, el reloj regulatorio que tenemos hoy en Chile, el escenario, conformación del comité, la crisis, los inyectos y la toma de decisiones y el análisis que son las lecciones desde la trinchera. O sea, básicamente acá vamos a hacer un workshop en vivo sobre lo que sería un tablet. Ya durante la jornada se ha hablado bastante números, pero mayormente ustedes hoy en esta jornada se dan cuenta lo vital que es proteger la ciberseguridad en salud. Estas mismas conversaciones se tuvieron hace muchos años atrás en el sector de energía, el cual hoy día lidera los temas a través de un estándar super robusto. Entonces, pensemos que en un futuro tengamos una normativa específica y sectorial para justamente trabajar estos temas de una mejor manera, ¿cierto? El costo financiero siempre es el que se ve a nivel bancario, a nivel operacional en el mundo T, pero acá tenemos un costo que muchas veces no se ve, que es el costo de la dignidad de las personas, que justamente es algo que no está dentro de muchas veces dentro de las matrices RAS y dentro de las matrices de récord y dentro de los análisis, ¿cierto? Pero, ¿qué pasa con las personas que sufren sus datos y sus datos son vulnerados y expuestos internet? ¿Cómo sufren esas familias? ¿Cómo sufren esas personas? ¿Cierto? Porque una tarjeta de crédito se bloquea y se reemplaza, ¿cierto? La bloqueamos, acudimos a los seguros, pero ¿qué pasa cuando se nos filtra un diagnóstico de VIH de salud mental? Y son datos sensibles, ¿esa persona se puede recuperar fácilmente? ¿Hay algún seguro que le devuelva la dignidad a la persona que se le filtraron los datos? Probablemente no. Y esa es la gran complejidad que hoy día tenemos. Los datos sensibles que tenemos en salud son absolutamente complejos de manejar y muchas veces los métodos que se ocupan en desde hospitales en adelante son los que justamente los profesionales tienen para poder hacer su trabajo. Convengamos que no siempre en todos lados tienen las mismas facilidades para la tecnología. ¿Cuáles son las reglas y por qué acá se propone por un con un tablet? No todos los equipos tienen la posibilidad de hacer un red team. Me encantaría que todos pudieran, pero tiene un costo muy elevado y tampoco no todos los equipos tienen la posibilidad de hacer un repet porque no tienen los profesionales dentro, pero sí se puede hacer un tablet. El tablet es un ejercicio de decisiones reales, un escenario evolutivo bajo presión y es una conversación multidisciplinaria. Acá no hablamos que solamente es de ciberseguridad ni que la ciberseguridad es derecho y es legal, sino todo. Vemos un 360, una conversación clínica, ti legal. No es un examen técnico de las herramientas, no es una auditoría punitiva que busca culpar al último eslabón de la cadena porque nunca hizo una actualización de un parque y no está buscando probar si el siso sabe o no sabe. Este no es el ejercicio de un taco. ¿Cuál es la trampa? Hoy en día tenemos un reloj operativo regulatorio que no teníamos previamente y esto tiene que estar inserto en todas las políticas de seguridad que tengamos en nuestras organizaciones. Hoy en día tenemos que convivir con este reloj regulatorio porque nos obliga a justamente reportar cuando tengamos un incidente con una exposición eh grave, ¿cierto? Esto lo han conversado durante el día, ¿no? Vamos después vamos a responder el correo a descartar ahí. Ojalá que no vienen otras cosas. Entonces sabemos que el el reloj regulatorio hay vigencia, categoría, notificación y derechos. Todavía no sale la agencia. No sabemos cuándo va a salir, esperamos que salga en algún momento. Todos estamos esperando que eso pase, pero eso no significa que no tengamos que prepararnos para responder, porque la única certeza que tenemos y lo hemos dicho en todos los escenarios, en todas las charlas, que en algún momento nos van a hackear a todos, algunos antes, a otros después. La estructura del comité de crisis. ¿Por qué un comité de crisis sino un comité de TI normal? Porque acá no sirve que solo estén hablando informáticos con otros informáticos. Acá tienen que estar hablando los CEOs, tienen que estar hablando la gente que está en la operación, básicamente la trintera. La dirección decide y asume el riesgo organizacional y responde al directorio. Seguridad contiene, investiga y define. Clínico protege la continuidad y la atención del paciente por sobre todo lo demás. Ya se ha dicho muchas veces en las charlas que ya existen dentro de la historia pacientes que han fallecido por ataques a clínicas. No son tantos, pero ya existe el precedente. Legal traduce las obligaciones regulatorias y gestiona los plazos legales y comunicaciones. ¿Por qué tendrían que estar los periodistas metidos en una mesa cibernética? ¿Se acuerdan cuando el Banco de Estado fue vulnerado? ¿Se acuerdan que fueron cinco discursos diferentes en 5 días? Llegamos un punto, pero a quién le creo. Era era algo superdfícil de llevar. Entonces, hoy en día no nos podemos arriesgar que el paciente tenga cinco versiones diferentes de lo que está pasando como un incidente. Este es un escenario no sencillo, a decir sencillo, pero en realidad no es sencillo. No hay ninguna clínica con cagua acá, ¿cierto? Es fictísimo, por si acaso. Es de Acme, la clínica ACME, la clínica ACME es un prestador privado que funciona con FP ISAPRE, calificado como prestador de servicios esenciales. Tiene una política de seguridad, están cubiertas, un plan de continuidad, pero jamás se ensayó ese plan, o sea, está durmiendo como siempre duermen los procedimientos y todos los otros documentos. Tiene 780,000 pacientes con ficha clínica electrónica, funcionarios en total 2,100 con acceso al HIS. tiene cuatro clínicas con 12 centros ambulatorios y un proor de interoperabilidad HL7 con acceso. Protocolos que se han hablado ampliamente que tenemos que cuidar. Inyecto uno, 6 minutos de reloj, solo decisiones responsables. Aparece un hecho nuevo en la línea del tiempo. Un debate con información incompleta. Prohibido buscar en internet. Lo vemos con TI. Es una decisión válida, pero se contrasta. Toda acción requiere un responsable y un plazo exacto. Entonces, por eso son claves los procedimientos. Momento cero, correo anónimo de un investigador que afirma tener 3.2 GB de fichas clínicas, cosas que no pasan. Claro, nunca ha pasado. [risas] De hecho, hace poco salió algo, pero va a hacer noticias para otro momento. Muestra de 20 registros reales para ver para verificar que esto es correcto. O sea, ahí ya tenemos un problema. nos están diciendo que se nos filtraron los datos, pero generalmente estas noticias no se creen, no debe ser algo que están haciendo un refrito. Eso pasó hace 7 años atrás y no pasó ahora. Estamos haciendo hipótis hipótesis que no han sucedido. El Cem no tiene alerta, pero cómo si están monitoreando 247 247. El C no tiene ninguna alerta. ¿Por qué? Porque esto está por fuera y probablemente no pasó por ahí. Los sistemas operan con normalidad, entonces estamos seguros. Los sistemas están en verde, no está pasando nada. Detalle crítico. La mesa de ayuda reportó lentitud el viernes. El correo de extorsón entró el lunes a las 6:20. ¿Qué pasa cuando entra un correo un día un día viernes? Cuando entra un ticket de un día viernes lo vemos el lunes. Cerramos tapa y nos fuimos. Entonces el problema queda ahí vivo. ¿Cierto? Cuando parte el reloj regulatorio, ¿qué hacemos? Primero activamos el comité reporte inmediato a la ans solamente por tener una pseudonotificación de que fuimos vulnerados, podríamos reportar inmediatamente. Acá falta un paso clave que es el trich. El tri tal cual lo saben los doctores, lo saben la enfermera y el equipo médico. Primero tenemos que clasificar al paciente para ver si realmente un incidente, porque si no podemos estar trabajando un falso positivo y cuando tenemos esa certeza, ahí empieza a correr el reloj, porque antes no sabemos que es puede ser un falso positivo perfectamente. Contener en silencio, lo que hoy día se hace muchas veces cuando las empresas no son reguladas. Llegó, borré, me fui y no no se cuenta más, ¿cierto? [resoplido] El reloj legal no espera ti, la toma de conocimiento es organizacional. Entonces, ¿cuándo realmente tenemos que notificar? Esa es una conversación que tenemos que tener. Generalmente debiese ser cuando la organización declaró esto como una alerta verdadera, ¿cierto? Y no contener a ciegas porque eso podría justamente destruir la evidencia. Pero esto sigue avanzando porque no pescamos, no nos hicieron, no el DTI trató de informar, nadie lo pescó. Impacto. Acceso vía credenciales HL7 del proveedor de interoperabilidad con permisos activos desde el 2022 sin revisión. Eso pasa, es cosa que pongan chodan y van a ver, van a ver cuánto pasa en el mundo. Impacto 412,000 fichas exfiltradas, incluyendo datos sensibles. PH, salud mental. Absolutamente terrible. Extorsión, 48 horas para pagar, 1.2 millones. Acá hay varias voces. Siempre dicen los hacker, "No, paga, paga porque así te van a entregar los datos." Los abogados dicen, "No, porque eso es legal." Entonces, ¿qué hacemos? ¿Cierto? Porque estamos ahí frente a un problema. ¿Pagamos? ¿No pagamos? El el negocio tiene que seguir operando. La gente necesita poder tener una respuesta de lo que está sucediendo. El dilema clínico, corte inmediato total, desconexión absoluta del proveedor, afecta la emisión de recetas, derivaciones y resultados de laboratorio. Esta decisión la puede tomar el CISO, la puede tomar la persona de seguridad. Vamos calentando para después para el juego. ¿La podría tomar el CISO esa decisión o no? probablemente lo desconecten a él porque el SISO no tiene que tomar esa decisión, esa la tiene que tomar el negocio, generalmente el gerente. Corte parcial y monitoreo, revocar credenciones comprometidas, vigilar el flujo clínico bajo supervisión estricta. Ahí sí pudiese el sío ver algunas cosas que no afecten la operación. Mantener y contener, no interrumpir la operación clínica. Estas son las mismas premisas que se tienen en el mundo industrial, en el mundo T. El negocio tiene que seguir operando, pero tenemos que ir aislando y conteniendo la amenaza sin romper las pruebas, porque después necesitamos ser un forense. De todas formas, su tercero es su superficie de ataque. Hace años no hablábamos de esto, solo nos preocupamos de nuestra superficie propia, pero ahora estamos hablando que el tercero se convirtió parte de nuestra extensión. ¿Qué significa esto? Si si nuestro proveedor es vulnerable, se va a traer todas las vulnerabilidades que tiene el proveedor para nosotros. Por eso desde Nice hacia abajo, incluidendo la ISO 271, están enfocándose también en tener política de ciberscuridad para proveedores, lo cual no es una exigencia mayor que tengan lo mínimo. A mí me ha tocado ver en la en la historia proveedores que no tenían ni siquiera un antimalware y la clásica historia es que el linwar creo que eso ya ha pasado una década que que comprueba que no es así. Pérdida del relato, ¿cierto? Un medio nacional tiene una muestra de los datos y los va a publicar un reportajes en la noche. Están todos expectantes para ver qué va a pasar. Pánico interno. La central telefónica de la clínica está saturada de pacientes. Se filtran capturas de WhatsApp del comité de crisis de los propios funcionarios. Empezaron a contar porque todos se empezaron a desesperar porque no había un gobierno del tema. Y Lan se presiona porque tiene que actualizar las 72 horas y todavía no llega. Básicamente el reporte. ¿Cómo estaríamos de los nervios? Estaríamos tomando una hora para que nos reseten alguna cosita, ¿no? Superclejo. Crisis de comunicación. Declarar ahora es incompleto porque no tenemos realmente todo el escenario de lo que sucedió. Responder solo al medio evita la comunicación masiva a los clientes entregando respuestas únicamente a la periodista, pero eso solo contiene la nota, pero la gente queda igual de molesta porque no sabe qué pasó con sus datos. Esperar el alcance definitivo, que también ha pasado muchísimos en los últimos años donde los proveedores se quedan en standby o en mute hasta que ya es obligatoria legalmente salir a declarar. Entonces son distintas formas de comunicación que debiésemos estar abordando. Entonces para hacer esto más entretenido todavía, ¿dónde está acá mi mi asistente ejecutivo? Claudio, [risas] el medio asistente. Ahora, entre paréntesis, respecto a lo que dice Sebastián, eh, la ANS dice que hay que igual reportar, si no estamos seguros de que si es un incidente o no, hay que igual reportarlo, porque sería peor no reportarlo y seguir el ejemplo que decía Sebastián. Entonces, en ese sentido, yo creo que si uno tiene la mínima sospecha de que hay un incidente, se reporta igual y no pasa nada si un falso positivo. Y sobrepagar, nosotros siempre recomendamos que no hay que pagar porque se está financiando el cibercrimen y nadie tiene la garantía que la hanana a devolver la llave. No, pues ahí el asistente, ¿qué pasó? [risas] No, vamos a perder el juego. Todo de nuevo. Todo de nuevo. Fuimos hackeado. Un segundo. Ahí vamos que llamar soporte que hab que ponerle. Explica un poquito la dinámica, Gabriel, mientras sí tienen que va a aparecer un QR y tienen que inscribirse. Solamente participan los que se inscriban. Y va, esto es con tiempo, entonces vamos a hacer ciertas preguntas, ustedes van a tener que responder con alguna de las alternativas que aparecen ahí y esto tiene que ver exclusivamente con tiempo, es decir, van quedando en el ranking los que son más rápidos en responder y la respuesta obviamente es correcta. Algo importante, pónganse sus nombres porque después van a ser incobrables los premios si no sale su nombre, un nombre medio raro ahí. Claro. ¿Cómo vamos a saber que es JPR o incógnito? No podemos buscar ahí con reconocimiento facial por el Avatar. Nos podemos equivocar. Como hablábamos hoy día tienen que venir con MFA. Contamos los premios o no cuente los premios para que se arme la lucha descarnada. Ya. Listo. El primer lugar se va a llevar una beca, un curso de los profesionales del segundo ciclo que tenemos ahora en 8.8 Academy. O sea, uno de los cursos pagados, pero se lo va a llevar totalmente gratis. va a ser becado. El curso lo elige el que gane. El segundo lugar va a tener entrada para la 8.8 full con polera, cerveza, con todo. Con polera, con cerveza, con todo, como tiene que ser. Tercer lugar también se lleva una entrada la 8.8 que es el 1 y 2 de octubre y cuarto, quinto y sexto una polera de 8.8 Academia, que se van todos bien regalados hoy día. Los que claro del primero al sexto lugar se llevan premio y más adelante vamos a hacer un curso fundamento de cibeguridad en salud que van a ser invitados todos los asistentes de esta charla. Eso y gratis. Y gratis. Había medalla, pero no se alcanzó. teníamos el pack completo. Ya, eh, dos minutitos porque nos están presionando acá y nos tenemos que salir. [risas] Inscríbanse los que no están no pueden participar. Si no se inscriben no pueden participar. Ya, don Gabriel, vamos leyendo una y una. Vamos. Ya. Sí, me cansé un poco con la con el trote. Sí, tranquilo. El estado físico. No, estamos mal. Ya, ya vamos. Simulacro de brecha de datos y notificación a la ANSI. ¿Desde qué momento corre el plazo de 3 horas de la alerta temprana a la ANSI? Desde que el equipo de ETI confirma técnicamente la brecha, desde que el informe forense determina el alcance real, desde que se constituye formalmente el comité de crisis, desde que la organización toma conocimiento del hecho, sonido para poner presión. [risas] ¿Cómo? Y con el sonido suena. Ah, ¿verdad? Pues pero no tenemos sonido. Tenéis que enchufarlo. Quizás está conectado. [risas] 53 54 respuesta. Disto. Mucho tiempo, parece. Ya vamos. ¿Están respondiendo? No, ya listo. Estamos listos. Vamos a ver. Bien. Desde que la organización toma conocimiento del hecho. Así es. Definitivamente con cómo si gana IP tiene que llegar con el número IP, ¿no? Pero esos nombres se lo ponen por si se equivocan. Sí, yo los tengo cachado. Me pasa lo mismo en las clases. ¿Qué corresponde hacer primero con el servidor expuesto que aún está en línea? Reinstalarlo desde la última copia de respaldo limpia. Apagarlo de inmediato para detener la fuga de datos, preservar imagen y registros y luego aislarlo de la red, dejarlo operativo y solo aumentar el monitoreo de red. Esta está buena porque acá cuando nos equivocamos se pierde mucho. Ahí van 35 respuestas. ¿Cómo no se puede responder? Están hackeando. Ah, bueno, ahí tenéis que reclamarle a [risas] a cahut.com al dios de internet. Van 45. Recién hubieron 56. Quedan 10 todavía. [risas] Faltan cuatro, no más que respondan. Gabriel, todos los que participen van a ser los primeros invitados a al curso de fundamento. Listo. Los 56 que están participando, entonces van a ser los primeros invitados al curso de fundamentos de ciberseguridad en salud, patrocinado por Tan, tan, tan, tan. Uh, estuvo peleado acá, pero estuvo peleado para mal. Mira, hartas, hartas dijeron apagarlo de inmediato, que también puede ser casi lógico, [risas] ¿no? Si lo apaga, lo apaga, pierde la evidencia. Yo he visto casos donde se ha apagado y a veces mejor que que mantenerlo prendido. También puede sacarle la conexión. Constanza Hidalgo va ganando ahora. Ya usted. Ya. La fuga ocurrió por credenciales de un proveedor. ¿Quién responde ante la ANSI? Ambos por partes iguales según lo pactado en el contrato. La aseguradora que administra el plan del paciente, el proveedor por haber originado la vulnerabelación. El prestador de salud por ser el responsable de los datos. Igual está buena. Esta es una situación que se puede dar hoy y se ha dado, solo que antes no había la obligatoriaridad. De hecho, acá muchas veces se le ha echado la culpa al tercero. Si ponemos a acordar de los grandes incidentes que han pasado. Vamos a ver si realmente tiene la culpa de Vamos a ver de quién es la culpa. [risas] Ahora vamos a ver. 10 segundos y quedan cinco por responder. De acuerdo. Algunos se están arrepintiendo, parece ya de responder. Uh, muy bien. El prestador de salud. Claro. La responsabilidad no se vade ni se terceriza nunca. Nunca menos en la ley. Aunque nos gustaría echarle la culpa al proveedor, pero no funciona así. Sin registros suficientes. ¿Cómo se define el alcance de la brecha? Notificar. No se notifica por el alcance porque no puede acreditarse por el peor escenario razonable declarando la limitación solo por los registros que tiene el atacante que exhibió como prueba o se posterga hasta la notificación, hasta estar cerca del alcance. Vamos a ver las 33. Esta está más difícil. La idea era hacerlo difícil porque si les preguntaba que es un fishing, ya todos saben que es un fishing, ¿cierto? Tenemos que meternos en situaciones que nos compliquen un poco, que son las que nos pasan en el trabajo [resoplido] y cada vez hay menos respuesta. Algo pasa, ¿no? Que ahora ya hay más miedo, [risas] pero lo bueno es que se pusieron alias no tienen problema, ¿no? Mira, mira. Super bien. Muy bien. El extorsionador da 48 horas. ¿Cuál es la conducta correcta del comité de crisis? publicar el mensaje en redes sociales para desacreditarlo. Eso se ha visto. Sí, se ha visto. No responder nunca ni dejar registro del contacto recibido. No pagar, pero mantener un canal abierto para ganar tiempo. Pagar de inmediato para evitar la publicación de los datos. Esta situación se han visto muchas empresas este año. Sí, recuerdo que en Chile siempre hablábamos públicamente sobre pagar o no pagar. Las empresas siempre decían que no pagaban y que nunca habían pagado hasta que salió un informe de Ransomware de Sofos donde se vio que el 50% de las empresas chilenas había pagado. Eh, como dato no los pagan directamente, lo pagan a través de tercero. Hay empresas que se dedican a a la negociación. Mira, IP volvió al IP [carraspeo] de artes marciales. ¿Qué corte de integración corresponde en qué corresponde a un prestador de salud en servicios? Cortar toda la integración, revocar credenciales, cortar solo fuera de horario o no cortar hasta el cortábamos en uno de los slides. Este es muy del ámbito, es muy bueno, en realidad es de todo ámbito, pero probablemente acá tiene más impacto. De hecho, hay industrias que ni siquiera es conversación, no se corta, [risas] ¿no? Pero vamos bien. Sí, está alto el nivel. ¿Cómo vamos? IP punteando. El medio publica en 2 horas y el alcance no está cerrado. ¿Qué se comunica? Lo confirmado a la fecha y lo que sigue en investigación. Nada, hasta contar con cifras definitivas y verificadas. Solo una solicitud al medio para que postergue la nota. Una negativa mientras la investigación siga abierta. Mira, ahora hay más respuestas de nuevo. Subió a 54. Casi llegamos nuestro a nuestro P. Claro, solo lo confirmado. Y acá es la importancia del comité de crisis, lo que decía Sebastián también de hacer este tipo de ejercicio, porque si no cualquiera da una nota a cualquier medio y lo importante es que no salga el informático a hablar con la prensa, lo guardan. ¿Qué plazo fija la ley 21719 para notificar una una vulneración a la agencia? 30 días corridos desde el cierre del incidente, sin dilaciones indebidas y por los medios más expeditos. 3 horas desde que se toma conocimiento del hecho, 72 horas desde que se detecta la vulneralación. Acá lo más exigente es la CMF, que es 30 minutos, ¿no? 30 minutos desde que se clasifica como incidente. Entonces, el banco se puede tomar ahí unas 6 horitas y en el sector eléctrico la hay dos oportunidades, una de 60 minutos y una de 24 horas dependiendo del tipo de operador. 3 horas. Uh, [risas] ya no pasó nada. Sigamos. [risas] No, cualquier cosa le vamos a dejar el correo Gabriel para los reclamos. Ya, don Gabriel, esa pueden ir a reclamarla a la FIFA. Eh, hay diagnóstico entre los datos filtrados, además de la agencia. ¿A quién se avisa? ¿A las aseguradoras que administran los planes de salud? ¿A los titulares afectados por tratarse de datos sensibles? ¿A nadie más? Basta la comunicación a la agencia, a la Superintendencia de Salud como único destinatario. Bu interesantes las preguntas. Ho. Que harto paño que cortar. Ciertamente donde siempre nos olvidamos que son los afectados finalmente las personas. Claro que es lo que hablábamos mucho hoy día de quiénes son los datos en realidad, la ficha clínica de quién es. La última. ¿En qué plazo se entrega a la ansia el informe final del incidente ya gestionado? Final. 7 días corridos de desde que se cierre el incidente. 72 horas contadas desde la alerta temprana. 15 días corridos contados desde la alerta temprana. No corresponde informe final si ya hubo una alerta temprana. Bueno, ojalá que esté bien marcada. [risas] Y recién IP iba en primer lugar, ¿no? Un hackeo. Lo bajamos. Solo falta la música. Ahí están. Nicolás. Nicolás [resoplido] C. ¿Dónde está Nicolás C? Ahí, por favor. Un aplauso para don Nicolás. Acércate después. nosotros para, si quieres, no ahora, pero acuérdate del curso, revisa la página web de 8.8 Academy y ahí busca el curso eh para el cual quieres la beca. Sí, y la vamos a dar. Me la me la pide a mí, Romina. Ah, Romina, lo mismo cuando terminemos cerca a nosotros para regalarte la entrada para 8.8 en real. Isa, Isa, tú también cerca a nosotros acá para entregarte la entrada. ¿Y cómo sabemos el cuarto, quinto y sexto? Vamos a ver acá resumen de la sesión. A esa no. Podio ver informe. No es que el podio sale en los tres. Resumen de la sesión. ver informe completo, ¿no? Tranquilidad. Y acá están todos los datos personales de usted. [risas] Espér un segundito. Bueno, ahí lo vemos. [risas] Acá están. Ahí está el cuatro. Cuatro. Luciano, Luciano Cordero al agua. No está Luciano se fue justo al agua. Entonces, ya sigue IP. IP, ¿quién era IP? Queremos saber quién era IP. Ya. IP. Una polera de 8.8. Un aplauso para don IP. ¿Y quién viene después? Mariano 1. Mariano 1. ¿Dónde está el señor Mariano 1? Al agua. Mariano 1. Mariano 1. Ya está arriba. Olera, venga a buscarla. O si no al agua. Está muy lejos subir la escalera dos veces y no alcanzo a llegar hasta allá. Fui beisbolista, pero ya no. ¿Y quién viene después? Chosito, chosito, chito. Está por acá. Chito. Tampoco está chito. Al agua. Constan Hidalgo. Ahí está Constan Hidalgo. Ah, qué buena. y justo de mujer. Un aplauso, por favor, para Consan Hidalgo. [aplausos] Bueno, con esto estamos finalizando nuestra presentación. Espero que haya sido de interés. Muchas gracias por darnos este momento, escucharnos y nos vemos después en el coffee break para si tienen preguntas. Muchas gracias a todos. Ya. ¿Dónde me saco Chayan? Éxito. Éxito. Les pedimos que por favor no se vayan porque aún queda el cierre, así que por favor vuelvan a tomar sus lugares. [risas] Sí, un micrófono. funciona. Sí, pas. Muchas gracias por la actividad. Ahora, para concluir vamos a vamos a recibir en el escenario al Dr. José Fernández y al profesor Claudio Álvarez, quien es el director del programa de esta jornada. profesor asociado de la Facultad de Ingeniería y Ciencias Aplicadas de la Universidad de los Andes. Es doctor en cierza de la ingeniería ingeniero civil e industrial por la Pontificia Universidad Católica de Chile y su investigación se centra en la ciberseguridad organizacional y la tecnología educativa. Es editor asociado en la IEE Transactions and Onlearning Technologies y miembro de comité de numerosos congresos nacionales e internacionales. Ambos realizarán el cierre estratégico de esta jornada dando a conocer los resultados de la votación sobre las cinco acciones prioritarias decibe seguridad en salud para el 2027. Muy buenas tardes a todos, a todas. Muchas gracias por haberse quedado hasta el final. Espero que lo hayan pasado bien con el programa que les tuvimos hoy acá en la Universidad de los Andes. Eh, realmente muy grato poderlos ver a todos. Eh, tenemos un problema de contraseñas, parece, [risas] de seguridad de la información. tenemos un problema de seguridad en este computador que de repente fue cerrado. Y bueno, eh solucionado eso, la verdad es que la última actividad ahora de cierre consiste en que nosotros eh desde hace unos días, una semana más o menos, habilitamos un canal para que quienes participan hoy enviaran sus ideas eh para poder tener una definición de como prioridades estratégicas, ¿no es cierto? Patólico, sistema de salud en torno a lo que es ciberseguridad y privacidad, protección de datos. Entonces, básicamente nosotros preguntábamos ahí en un formulario, ah, indique sus tres prioridades estratégicas en esta materia y recopilamos información y luego le voy a dar los detalles. Eh, estamos buscando la presentación y acá si la tenemos, ya casi la estamos proyectando. La ponemos en modo y ya está. Ya listo. Estamos, estamos, estamos. Muchas gracias, Maida. ¿Te has pasado? Ya. Bueno, entonces voy voy al grano. Ya. Miren, cuando preparé esto todavía no había llegado mucha información. O sea, ya tuvimos 34 respuestas y eso en comparación a todo el mundo que se inscribió es como, bueno, como menos del 10% ya, es poquito. Ah, y en total esas 34 respuestas tenían 83 prioridades. Entonces hice un análisis temático de todas estas prioridades ingresadas, de lo cual salieron estos seis lineamientos estratégicos. Ya voy a ir muy breve por cada uno, o sea, lo primero es desarrollar una, o sea, ojo, perdón, acá no están jerarquizados ni priorizados, ya esto está en cualquier orden. Entonces, lo primero, desarrollar una cultura de ciberseguridad y fortalecer las capacidades de las personas. Lo segundo sería proteger y gobernar adecuadamente los datos clínicos y personales. Lo tercero sería mejorar la gestión de identidades, accesos y controles esenciales de seguridad. Lo cuarto es fortalecer la gobernanza, el cumplimiento regulatorio y los estándares comunes de ciberseguridad. Lo quinto, fortalecer la resiliencia, la respuesta a incidentes y la continuidad operacional. Y sexto, gestionar los riesgos tecnológicos emergentes, terceros, IOMT, infraestructura, etcétera. Entonces, puros temas que hoy día ya han sido tratados en las distintas charlas, ¿okay? Y que acá no están en un orden en particular. El orden lo van a poner ustedes, ¿ya? Porque justamente lo que queremos es hacer una jerarquización de estas seis eh líneas de acción o ejes estratégicos o como queramos llamarle. Hm. Entonces, vamos a presentar estos seis ejes anteriores como prioridades ranqueables. Cada uno va a poderse unir al sitio de votación con el QR que les muestro en unos segundos más. ¿Ya? Entonces, ¿en qué va a consistir? Van a tener 100 puntos ustedes y esos 100 puntos los tienen que asignar a las seis líneas que acabamos de escribir. Ustedes los ponen los puntos como quieran, ya. Y al final se ranquea esto por suma de punto. Hm. Y mostramos este resultado, lo compartimos, reflexionamos un minuto o dos con el Dr. José Fernández, que él básicamente eh acá colaborativamente iríamos respondiendo la duda. ¿Y qué hacemos ahora, no? ¿Qué hacemos ahora? Teniendo estas prioridades. H entonces el acceso a la votación está ahí. Ah, el esperado y link también. Eh, por favor ingresen acá. Tendría que yo hacerme un poco el cucho y [risas] esperar. Ah, me me hacen una señ, por favor, alguien. Ah, ya. Y si están ingresando las prioridades, fantástico. Entonces, yo les voy a dar un un momento. Ya vamos a tener, ¿cuánto tiempo nos queda? Muy poco. Ya tenemos como ojalá unos 3 4 minutos máximo para que metan los puntitos y sume 100, ¿de acuerdo? Y al cabo de ese de ese tiempo yo voy a mostrar los resultados para todos. va a ser una sorpresa, espero, [risas] o quizás no, quizá quizás hay un un una especie de sentido común acá establecido y sale una una votación bastante bastante decididora al final. Hm. Pero lo interesante es que durante la jornada hemos ido escuchando diferentes posturas, miradas, cierto, de cada uno de estos seis ámbitos. Eh, y quizás lo bonito del cierre de la jornada tiene que ver con qué nos llevamos a la casa y qué nos llevamos a la pega y cómo seremos capaces, ¿cierto?, con la ayuda de de la del ámbito académico, de la alianza chilena, ¿cierto?, de todas las personas que hemos hecho realidad esta jornada eh para seguir avanzando. Exacto. Entonces, los pasos son elegir primero la votación por prioridades estratégicas, después simplemente eh ahí debajo donde está el enunciado ven las distintas prioridades, le van poniendo el puntaje que ustedes eh quieran, digamos. Y finalmente, no olviden presionar el botón abajo para enviar el botón submit. Ya. Y con eso ya están listos y en un par de minutos eh podemos ya presentar eh algunos resultados ir comentando qué es lo que queda primero. No carga en problema de Wi-Fi. Ya. Y la gente que está más atrás puede. Ya. Okay. Lamentablemente los que están más adelante probablemente están más lejos del access point y yo tuve la experiencia también con mi teléfono, con mi computadora ahí sentado. Bastante mala la experiencia con el al menos con el Kaho tuve que estar refrescando. Así que un poco paciencia e a los que están más adelante, pero vamos levantando la mano. ¿Quién quién ya votó, que pudo votar? Así como para tener un escenario de Ya, eso es bien importante, ir teniendo como claridad de cuánto llevamos. Ya vamos como en la mitad. Sí, esperemos un poquito más. Gracias. ¿Qué les pareció la jornada? Buena. Sí. Qué bueno. La vamos a repetir. La vamos a repetir. [risas] Que fue la lo mejor de la jornada. El café, los sándwich. Qué bueno. El doctor Fernández. Sí, gracias. Traigo muy paloen. Muchísimas gracias Salud por apoyar la jornada, porque sin su apoyo los sándwich no aparecen. Los sándwich. [risas] Sí, me levanté temprano a hacer los sándwich, me imagino. Ya. ¿Cómo vamos? Levantemos la mano. ¿Quiénes son los que ya pudieron acceder a la Estamos bastante mejor, yo creo. Ah, a ver. Ya le damos un poquito de espacio a los que todavía están llenando. Poquito más de espacio y ya tenemos que ir a los resultados, si no se nos va a alargar y nos esperan afuera con más comida. Sí, [grito ahogado] unos queques salieron bien buenos. [risas] Ya veamos, veamos cómo vamos. Sí, ya por acá pasamos los resultados. ¿Qué dice el público? Vamos. Vamos. Ya vamos los resultados. Entonces, ya. Cambio contexto. Aquí conx switch. Vamos al panel donde están los resultados. Vamos a tener que recargarlo porque parece que estuvo dormido esto. [resoplido] [suspiro] Quedó dormido. 48 respuestas. Ya no. ¿Cómo tampoco? ¿Y qué pasó? Una abstensión. Resultado 48 respuesta. Ahí está. Listo. Había que apretar el botoncito no más. Yo yo me estaba preocupando. Ya. Entonces, ponemos en eh bueno, pantalla completa ya y hacemos una lectura de esto. Eh José, ¿qué te parece la primera opción? Desarrollar una cultura de ciberseguridad y fortalecer la capacidad de las personas, yo creo que es el éxito de la jornada. Ah, entender que al final este es un tema cultural, no solo tecnológico, no solamente de procesos. Eh, yo ya con eso puedo irnos no más. Sí, [risas] sigamos, sigamos. Bueno, y lo segundo, proteger y gobernar adecuadamente los datos clínicos y personales. Bueno, ahí ya estamos pasando de lo cultural a lo técnico. Ah, y necesitamos estar preparados, necesitamos entender eh lo que es el dato, lo que es el dato clínico, cómo gobernarlo, cómo tratarlo. H así de ahí yo creo que sale algo accionable. Probablemente no hay que empezar a a entender qué es lo que significa implementar eh todos los controles de privacidad, protección de datos necesarios para dar cumplimiento lo que sería la ley y las normativas. que van a aparecer y que ya aparecen en realidad, que tiene que aplicar el sector salud. Después, mejorar la gestión de identidades, acceso y controles esenciales. Eso es para todo el mundo. El sector salud evidentemente no, pero es algo global, transversal y tiene la tercera prioridad. Después seguiría fortalecer la ciberreilencia, la respuesta incidente y la continuidad operacional. Está superinesante eso porque en general no siempre salen los primeros eventos y yo me da la impresión que tiene mucho que ver con el taller también y con el workshop super bueno, ¿cierto? Que se acaba de dar. Así es que muy bien. Ah, y muy pegaditos también, no hay mucha distribución, así que Claro. Sí. Eh, bueno, me llama un poco la atención la resiliencia que todavía está un poquito abajo, quizás el concepto todavía no está como en el en el tope de la mente de la gente, eh, está cambiando va cambiando porque siguen votando, parece [risas] es medio dinámico, pero la resiliencia incluso bajó un poco. Ah, sí. Eh, así que de eso quizás nos vamos a estar preocupando más. O sea, bueno, ahora es lo que la gente piensa para 2026 2027. La s de resiliencia está un poquito postergada y la cultura y el gobierno es lo que está como más más priorizado. Bueno, y subió la la gobernanza, fortalecer la gobernanza quedó en el cuarto lugar al final. Sí, al final y claro y es la pega que le queda, fíjate esto, no tener una un una agencia nacional de protección de datos todavía genera incertidumbre. lo que necesitamos es tener una directora, cierta así como la directora la ANI que nos venga a decir, "Tranquilos, queremos apoyar y no ver eso, ¿cierto?" Eh, en en el sector salud, que donde hay mucha incertidumbre respecto a esto, eh hace mucho sentido con el resultado, justamente. Y bueno, por último, gestionar los riesgos tecnológicos emergentes. Eso está con la menor prioridad y bueno, quizás se entiende por qué pueda estar con la menor prioridad y lo demás más priorizado en realidad. Entonces, si uno quisiera pensar en cinco prioridades, ya la estamos viendo ahí. Ah, y hay un par arriba que que tiene una brecha con la siguiente, digamos. O sea, muy importante la cultura y el gobierno. Eso es como lo primero 20262 2027 para el sector salud. Eh, y y bueno, ¿qué piensas tú, José, respecto de darle ruedas a eso? ¿Cómo ponerlo operativo? Yo creo que este es el tema para la siguiente jornada. Ah, los focos. Sí. Eh, efectivamente, yo creo que hoy tuvimos un día muy lleno de muchos temas, de mucha tecnología, de empresas que desarrollan muy buenos procesos, eh, pero todavía nos falta esta mirada de que a mí me gusta denominar de apropiación, cierto, social de estos conceptos. Ah, y que seamos capaces de hablar de confidencialidad, integridad, disponibilidad, privacidad, etcétera, etcétera, no desde un lenguaje técnico, sino que también desde un lenguaje que le haga sentido al negocio. Sí. Eh, y en el ámbito de salud, el ámbito eh proteger y gobernar son casi verbos eh transversales ah e e en en estos en estos momentos sobre todo que insisto, de incertidumbre, de sentirse atacado, de que en algún momento nos van a atacar. Bueno, muy bien. Entonces, creo que estamos ya nosotros en el tiempo. Ah ya como que vamos a tener que empezarnos a despedir, pero eh a ver si hay algo más por ahí que yo les tenía. Déjenme mirar. Pero em, veamos acá. Bueno, creo que estamos. A ver, perdón. Sí, estamos. No hay no hay más. No hay más que ofrecer. Estamos listos. Bueno, muchas [risas] gracias. Muchas gracias. Un aplauso para ustedes. [aplausos] Antes de terminar, queremos saber su impresión sobre esta jornada que hemos tenido el día de hoy, por lo que les pediremos que por favor puedan responder la encuesta. con ello. Y ahora sí, ahora sí agradecemos a todos los asistentes por participar en esta tercera jornada chilena de ciberseguridad en salud como Universidad de los Andes. Estamos felices de haberlos recibido en nuestra casa el día de hoy y a continuación les invitamos a compartir un cóctel en el hall central de biblioteca. Muchas gracias por acompañarnos hoy y nos vemos el próximo año en un nuevo capítulo de esta iniciativa. Muy buenas tardes, [aplausos] [música]

3ª Jornada Chilena de Ciberseguridad en Salud

Hacer Pregunta

Respuesta:

Historial de Preguntas

Análisis

RESUMEN

IDEAS CLAVE

INSIGHTS RELEVANTES

Panorama de las Ponencias

Cierre y Perspectivas Futuras

Agentes Clave en el Ecosistema de Ciberseguridad en Salud

Sabiduría

RESUMEN

IDEAS

INSIGHTS

CITAS

HÁBITOS

HECHOS

REFERENCIAS

CONCLUSIÓN EN UNA FRASE

RECOMENDACIONES

3ª Jornada Chilena de Ciberseguridad en Salud

Hacer Pregunta

Respuesta:

Historial de Preguntas

Análisis

RESUMEN

IDEAS CLAVE

INSIGHTS RELEVANTES

Panorama de las Ponencias

Cierre y Perspectivas Futuras

Agentes Clave en el Ecosistema de Ciberseguridad en Salud

Sabiduría

RESUMEN

IDEAS

INSIGHTS

CITAS

HÁBITOS

HECHOS

REFERENCIAS

CONCLUSIÓN EN UNA FRASE

RECOMENDACIONES

Transcripción

Otros