Para consultorios, clínicas y sus proveedores
La HIPAA Security Rule exige que toda entidad cubierta y todo socio comercial (business associate) protejan la información electrónica de los pacientes con salvaguardas administrativas, físicas y técnicas. Implementamos esas salvaguardas en su TI diaria, las documentamos sobre la marcha y firmamos con usted un acuerdo de socio comercial (Business Associate Agreement).
La Security Rule se aplica a las entidades cubiertas (covered entities): planes de salud, cámaras de compensación de servicios de salud y proveedores de atención médica que transmiten información de salud por vía electrónica, por ejemplo al facturar a las aseguradoras. Un consultorio médico o dental que presenta reclamaciones electrónicamente es una entidad cubierta, sin importar su tamaño.
También se aplica a los socios comerciales. Son proveedores que crean, reciben, mantienen o transmiten información de salud protegida en nombre de una entidad cubierta, como servicios de facturación, proveedores de TI, servicios de alojamiento en la nube y servicios de transcripción. Los socios comerciales son directamente responsables de cumplir con la Security Rule, por lo que un proveedor no puede dejar la seguridad en manos del consultorio.
Un análisis de riesgos y un plan de gestión de riesgos, un responsable de seguridad designado, capacitación del personal, gestión de accesos, una política de sanciones, planes de contingencia con respaldo de datos y recuperación ante desastres, y una evaluación periódica del programa.
Acceso controlado a salas de servidores y oficinas, reglas para las estaciones de trabajo en las salas de examen y en la recepción, y manejo, reutilización y eliminación seguros de dispositivos y medios de almacenamiento.
Identificadores de usuario únicos, cierre automático de sesión, registros de auditoría que muestran quién abrió cada expediente, protección contra cambios indebidos en los datos, verificación de quién inicia sesión y protección de los datos en tránsito.
Toda entidad cubierta y todo socio comercial debe realizar un análisis preciso y exhaustivo de los riesgos para la información de salud protegida electrónica que conserva. Es lo primero que pregunta el Departamento de Salud y Servicios Humanos (HHS) después de una brecha, y un análisis de riesgos inexistente o desactualizado es uno de los hallazgos más frecuentes en los casos de sanción. Otras especificaciones se denominan "abordables" (addressable). Eso significa que usted puede elegir una alternativa razonable y documentar el motivo, no que pueda omitir el punto.
Estos son los puntos que implementamos y documentamos en un consultorio típico:
Si se produce una brecha de información de salud protegida no asegurada, la Breach Notification Rule establece estos plazos:
| Personas afectadas | Sin demora injustificada, a más tardar 60 días después del descubrimiento |
| HHS, 500 personas o más | Dentro de los mismos 60 días, a través del portal de brechas del HHS |
| HHS, menos de 500 personas | Registro anual, dentro de los 60 días posteriores al cierre del año calendario |
| Medios, más de 500 residentes de un estado | Aviso a medios de comunicación de amplia difusión dentro de 60 días |
| Socios comerciales | Notificar a la entidad cubierta a más tardar 60 días después del descubrimiento |
Los datos cifrados conforme a las directrices del HHS no se consideran no asegurados, por lo que su pérdida por lo general no es una brecha que deba notificarse. Muchos estados tienen sus propios plazos, a veces más cortos. Su abogado decide si un incidente es una brecha que debe notificarse.
El 6 de enero de 2025, el HHS publicó una propuesta de norma para actualizar la Security Rule. Entre otras cosas, exigiría autenticación multifactor, cifrado de los datos de pacientes en reposo y en tránsito, un inventario escrito de activos tecnológicos y la capacidad de restaurar los sistemas críticos en un plazo de 72 horas. Además, eliminaría casi por completo la distinción entre especificaciones obligatorias y abordables.
A octubre de 2026, la propuesta no es definitiva y la Security Rule actual sigue vigente. La mayoría de las medidas propuestas son buenas prácticas de todos modos, por eso planificamos las nuevas implementaciones para cumplirlas cuando el esfuerzo es razonable.
Para consultorios de hasta 15 personas en una sola ubicación, revisamos su TI frente a la Security Rule por un precio fijo de $3,500. Las organizaciones más grandes comienzan con una evaluación de seguridad desde $7,900, que acreditamos al proyecto posterior.
Usted recibe un análisis de riesgos por escrito y una lista de medidas ordenadas por riesgo y esfuerzo, en un formato que puede presentar al HHS o a una aseguradora.
Configuramos cuentas, MFA, cifrado, registros y copias de respaldo, y trabajamos con el proveedor de su EHR cuando su sistema está involucrado.
Mantenemos las salvaguardas en funcionamiento, actualizamos la documentación cuando algo cambia y firmamos con usted un Business Associate Agreement.
Actualizado:
FAQ
Sí. Un proveedor de atención médica que transmite información de salud por vía electrónica, por ejemplo para facturar a las aseguradoras, es una entidad cubierta sin importar su tamaño. La Security Rule le permite adaptar las salvaguardas a su tamaño y a su riesgo, pero no exime a los consultorios pequeños.
Es una revisión documentada de dónde se almacena y se transmite la información electrónica de sus pacientes, qué amenazas y debilidades existen, qué tan probables son y qué daño causarían. La Security Rule lo exige, y conviene actualizarlo cuando cambian sus sistemas o su consultorio.
Sí. Cuando administramos sistemas que contienen o transmiten información de salud protegida, firmamos con usted un Business Associate Agreement antes de comenzar. En él se establece cómo protegemos los datos y cómo le informamos de un incidente de seguridad.
No. El HHS no certifica organizaciones ni productos como conformes con HIPAA. Lo que cuenta es que usted haya implementado las salvaguardas exigidas y pueda demostrarlo con su análisis de riesgos, sus políticas y sus registros. Nosotros implementamos los controles técnicos y preparamos la evidencia. Su abogado decide las cuestiones de interpretación.
Para consultorios de hasta 15 personas en una sola ubicación, la evaluación de preparación tiene un precio fijo de $3,500. Las organizaciones más grandes o con varias ubicaciones comienzan con una evaluación de seguridad desde $7,900, que acreditamos al proyecto posterior.
No todo incidente es una brecha que deba notificarse. Si se adquirió, consultó, usó o divulgó información de salud protegida no asegurada de una forma que la Privacy Rule no permite, usted debe notificar a las personas afectadas dentro de los 60 días posteriores al descubrimiento e informar al HHS. Por lo general, los datos cifrados no se consideran no asegurados. La decisión final corresponde a su abogado.
No. El HHS publicó una propuesta de actualización en enero de 2025, pero a octubre de 2026 no es definitiva. Se aplica la Security Rule actual. Planificamos las nuevas implementaciones para que también cumplan la mayoría de los requisitos propuestos, como MFA y cifrado.
HIPAA
Díganos cuántas personas trabajan en su consultorio y qué sistemas usan. Le explicaremos qué cubre una evaluación de preparación y dónde se encuentra probablemente hoy.
