Lista de TI de HIPAA para consultorios médicos y dentales

Si usted dirige un consultorio médico, dental, de terapia o de quiropráctica, HIPAA puede parecer algo escrito para hospitales con departamento de TI y oficial de cumplimiento. No lo es. La Regla de Seguridad de HIPAA aplica a consultorios de cualquier tamaño que manejen información de pacientes de forma electrónica, y hoy en día eso abarca casi todo: el sistema de expedientes o de gestión, el correo, los documentos escaneados, las imágenes, la facturación y las computadoras y teléfonos que se conectan a ellos.

La buena noticia es que la regla no espera que un consultorio de cinco personas funcione como un hospital. Espera que usted entienda sus propios riesgos y tome medidas razonables para reducirlos. Esta lista cubre la parte de TI de ese trabajo en lenguaje sencillo. No es asesoría legal y no sustituye la parte de privacidad y documentación de HIPAA, pero es donde la mayoría de los consultorios pequeños tienen las mayores brechas.

Cómo están las reglas ahora mismo

La Regla de Seguridad vigente no ha cambiado en años. En enero de 2025, el Departamento de Salud y Servicios Humanos de EE. UU. (HHS) propuso una actualización importante que haría más explícitas varias medidas, entre ellas la autenticación multifactor, el cifrado, un inventario actualizado de la tecnología y las pruebas periódicas de las copias de seguridad (Federal Register: propuesta de la Regla de Seguridad de HIPAA, en inglés).

Esa propuesta no es definitiva. En julio de 2026, HHS la pasó a su lista de acciones a largo plazo, con julio de 2027 como fecha objetivo (LeadingAge: no se esperan cambios en la regla de ciberseguridad de HIPAA este año, en inglés). Así que todavía no se exige nada nuevo. Pero esperar no es una buena estrategia: lo que incluye la propuesta son las mismas bases que hoy protegen a un consultorio contra el ransomware y el fraude por correo, y es lo que los investigadores ya revisan después de una filtración.

Por qué el análisis de riesgos va primero

La Oficina de Derechos Civiles (OCR), la parte de HHS que hace cumplir HIPAA, ha llevado a cabo una iniciativa centrada en una pregunta: ¿la organización hizo un análisis de riesgos preciso y completo? En un acuerdo con un pequeño consultorio de neurología que sufrió un ataque de ransomware, la OCR señaló que el consultorio no lo había hecho (comunicado de HHS: acuerdo con Comprehensive Neurology, en inglés).

Un análisis de riesgos es simplemente una revisión por escrito de dónde está la información electrónica de sus pacientes, qué podría salir mal, qué protecciones ya tiene y qué piensa corregir. HHS explica lo que debe incluir en su guía sobre el análisis de riesgos (en inglés) y ofrece gratis la herramienta Security Risk Assessment (en inglés), diseñada para proveedores pequeños y medianos. Todo lo demás en esta lista debe partir de ese análisis.

Lista de TI de HIPAA para consultorios pequeños

1. Haga el análisis de riesgos y déjelo por escrito

Incluya cada lugar donde haya datos de pacientes, califique cada riesgo y anote qué hará al respecto y para cuándo. Guarde el documento y revíselo cada vez que algo cambie: un nuevo sistema de expedientes, una nueva oficina, rotación de personal o un incidente de seguridad.

2. Sepa dónde están los datos de pacientes

Haga un inventario sencillo de cada sistema y equipo que guarda o toca información de pacientes: el sistema de expedientes y de gestión, el correo, las carpetas compartidas, el software de imágenes y radiografías, los escáneres y copiadoras que guardan imágenes, las computadoras portátiles, las tabletas, los teléfonos del personal que reciben correo de trabajo y cualquier aplicación en la nube para formularios, citas o pagos. No se puede proteger lo que no se sabe que existe.

3. Firme acuerdos de socio comercial

Cada proveedor que crea, recibe, guarda o envía información de pacientes por usted necesita un acuerdo de socio comercial (BAA, por sus siglas en inglés): su proveedor de expedientes electrónicos, la empresa de facturación, el proveedor de correo en la nube, el servicio de copias de seguridad y su proveedor de TI. Confirme que el servicio de correo y de archivos que usa realmente ofrece un BAA en el plan que paga. Las cuentas de correo personales gratuitas no son lugar para información de pacientes.

4. Dé a cada persona su propio usuario, protegido con MFA

Los usuarios compartidos en recepción hacen imposible saber quién consultó un expediente y se prestan a abusos. Dé a cada persona su propia cuenta, con acceso solo a lo que su trabajo requiere, y active la autenticación multifactor para el correo, el sistema de expedientes y el acceso remoto. Nuestra guía sobre cómo implementar la MFA sin frustrar a su personal explica cómo hacerlo.

5. Cifre computadoras portátiles, teléfonos y correo

Una computadora portátil perdida o robada con el disco cifrado es un problema mucho menor que una sin cifrar. Active el cifrado completo del disco (BitLocker en Windows, FileVault en Mac), exija código de acceso y borrado remoto en los teléfonos que reciben correo de trabajo, y use correo cifrado siempre que la información de pacientes salga del consultorio.

6. Mantenga los sistemas actualizados y retire lo que ya no tiene soporte

Configure computadoras, servidores, firewalls y equipos de Wi-Fi para recibir actualizaciones de seguridad, y verifique que realmente se instalen. Los sistemas que ya no reciben actualizaciones, como las PC que siguen con Windows 10 sin Actualizaciones de Seguridad Extendidas, son una puerta abierta. Vea ¿Todavía usa Windows 10? para conocer sus opciones.

7. Use protección moderna para equipos y correo

Un antivirus básico ya no basta por sí solo. La detección y respuesta en equipos (EDR) vigila comportamientos típicos del ransomware y puede aislar una computadora antes de que el daño se extienda. El filtrado de correo, junto con SPF, DKIM y DMARC en su dominio, reduce el phishing y los correos que imitan a remitentes reales. Explicamos esos tres en SPF, DKIM y DMARC explicados.

8. Tenga copias de seguridad que haya probado de verdad

HIPAA espera un plan de contingencia, que incluye copias de seguridad de los datos y una forma de recuperarlos. Mantenga al menos una copia que el ransomware no pueda alcanzar ni modificar, proteja los datos en la nube como Microsoft 365 además de los servidores locales, y pruebe una restauración real de forma periódica. Nuestro artículo sobre copias de seguridad de Microsoft 365 explica por qué la nube no se respalda sola como la mayoría supone.

9. Revise los accesos y retírelos rápido

Cuando alguien se va, desactive sus cuentas el mismo día, recoja sus equipos y cambie cualquier código compartido que conociera. Cada pocos meses, revise quién tiene acceso a qué, y asegúrese de que los registros de auditoría de su sistema de expedientes y de su correo estén activados y se conserven.

10. Capacite a su personal, en sesiones cortas y frecuentes

La mayoría de los incidentes empiezan con una persona: un correo de phishing convincente, una factura falsa o una llamada que se hace pasar por soporte técnico. La capacitación corta y regular funciona mejor que una sesión larga al año. Asegúrese de que todos sepan detectar correos de facturas falsas y cambios de datos de pago, y a quién llamar cuando algo no parezca correcto.

11. Ponga por escrito sus políticas y su plan ante incidentes

HIPAA espera políticas y procedimientos de seguridad por escrito. Manténgalos breves y fieles a cómo funciona su consultorio. Incluya un plan de una página para incidentes: a quién llamar, cómo desconectar una computadora afectada, quién decide si hay que reportar una filtración y cómo contactar fuera de horario a su proveedor de TI, su aseguradora y su abogado.

12. No olvide la parte física

Cierre con llave el cuarto o armario donde están los servidores y el equipo de red, coloque las pantallas de modo que los pacientes no puedan leerlas, configure las computadoras para que se bloqueen solas cuando nadie las usa, y mantenga el Wi-Fi para visitantes de la sala de espera totalmente separado de la red que usan sus sistemas clínicos.

Cómo puede ayudarle CyberArm

Ayudamos a consultorios pequeños en Lake Mary, Orlando y todo el centro de Florida con la parte de TI de HIPAA: el análisis de riesgos, las medidas técnicas incluidas en nuestros paquetes de ciberseguridad (MFA, EDR, protección del correo y monitoreo) y el trabajo de preparación para HIPAA, que deja listos su entorno, sus políticas y su evidencia. Las copias de seguridad son un servicio adicional aparte que configuramos, supervisamos y probamos por usted. Es trabajo de preparación, no una auditoría formal, y colaboramos con su asesor de cumplimiento o abogado en la parte legal.

En resumen

Los requisitos de TI de HIPAA se reducen a conocer sus riesgos y hacer bien lo básico: un análisis de riesgos documentado, acuerdos de socio comercial, usuarios individuales con MFA, cifrado, actualizaciones, copias de seguridad probadas y personal capacitado. La actualización propuesta no es definitiva, pero los consultorios que cubran estas bases desde ahora estarán listos para ella. Si quiere saber en qué situación está su consultorio, nuestra evaluación gratuita de TI y seguridad revisa sus sistemas y le entrega un Resumen Ejecutivo por escrito con las correcciones más importantes.