Cuando hago una revisión de seguridad en una clínica, lo primero que miro después del antivirus es el acceso remoto. Y casi siempre me llevo sorpresas.
Qué me encuentro habitualmente
- AnyDesk instalado en todos los equipos, con el ID anotado en un post-it en el monitor.
- TeamViewer de versiones antiguas sin actualizar desde hace años.
- Cuentas de acceso compartidas entre el técnico anterior, el actual y alguien que ya no trabaja ahí.
- Sin contraseña de desatendido, o con una contraseña de cuatro dígitos.
Nada de esto es culpa del equipo de la clínica. Nadie les explicó que hay que gestionar esto.
Por qué es un riesgo real
Las herramientas de acceso remoto son software legítimo. Pero eso también las hace invisibles para muchos antivirus y cortafuegos, que no las bloquean por defecto.
Un atacante que consigue las credenciales de acceso tiene acceso total al equipo: puede ver ficheros, instalar software, cifrar datos para pedir rescate, o extraer información de pacientes.
En el contexto de clínicas, que manejan datos de salud especialmente protegidos por el RGPD, esto no es un riesgo teórico.
Qué revisar y ordenar
1. Inventario de herramientas instaladas
¿Sabes qué herramientas de acceso remoto tienes instaladas? No solo las que usas, también las que instalaron “por si acaso” hace dos años.
2. Desinstalar lo que no se usa
Si un proveedor instaló una herramienta para una incidencia puntual y ya no la necesitas, hay que desinstalarla. No “dejarla ahí por si acaso”.
3. Credenciales propias y actualizadas
Cada herramienta activa debe tener acceso controlado: contraseñas largas, cuentas nominales (no compartidas), y revocación cuando alguien deja de ser tu técnico.
4. Versiones actualizadas
Las versiones antiguas de AnyDesk o TeamViewer tienen vulnerabilidades conocidas. Mantenerlas actualizadas es básico.
Cuánto tiempo lleva ordenar esto
Una revisión y ordenación de acceso remoto en una clínica pequeña-mediana lleva normalmente entre 1 y 3 horas. No es una obra. Es sentarse, revisar qué hay, desinstalar lo innecesario y documentar lo que queda.
Si quieres hacerlo, puedes empezar con una valoración sin compromiso.