¿Firman un Business Associate Agreement?
Sí. Firmamos un Business Associate Agreement con cada cliente cuyos sistemas contienen información de salud protegida, antes de recibir cualquier acceso. El acuerdo establece cómo protegemos los datos, para qué podemos usarlos y cómo le informamos de un incidente de seguridad.
¿FNLY IT tiene certificación HIPAA?
No, y ningún proveedor de TI puede tenerla. El HHS no avala ni reconoce certificaciones HIPAA privadas, y un certificado no cambiaría sus obligaciones según la Security Rule. Lo que cuenta es un Business Associate Agreement firmado, medidas de protección acordes a su análisis de riesgos y documentación que demuestre lo que se hizo.
¿Qué exige la HIPAA Security Rule a nuestra TI?
Exige medidas de protección administrativas, físicas y técnicas para los datos electrónicos de los pacientes. En la práctica, esto incluye un análisis de riesgos documentado, cuentas de usuario únicas, acceso según la función, registros de auditoría, protección contra malware, un plan de contingencia con copias de seguridad y restauraciones probadas, transmisión segura de datos y Business Associate Agreements con los proveedores. Algunas especificaciones son obligatorias (required) y otras son evaluables (addressable), lo que significa que usted las implementa o documenta por qué una medida equivalente es razonable.
¿Con qué frecuencia necesitamos un análisis de riesgos?
La Security Rule no fija un intervalo. Exige un análisis de riesgos preciso y completo y una revisión continua de sus medidas de protección. Muchos consultorios lo actualizan cada año y cada vez que cambia algo importante, como un nuevo EHR, una nueva sede o el paso a la nube. Nuestro HIPAA Readiness Check para consultorios con hasta 15 empleados en una sede cuesta $3,500 e incluye el análisis de riesgos.
¿Qué pasa con la actualización propuesta de la HIPAA Security Rule?
El HHS publicó una propuesta de actualización en enero de 2025. Entre otras cosas, convertiría en obligatorias la mayoría de las especificaciones evaluables y exigiría autenticación multifactor y cifrado en la mayoría de los casos. A octubre de 2026 la norma no es definitiva, y aplica la Security Rule vigente. Nosotros ya configuramos de forma estándar la autenticación multifactor, el cifrado y las copias de seguridad probadas, así que no tiene que esperar a la norma definitiva.
¿Qué pasa si nuestro EHR falla durante el horario de atención?
Llámenos de inmediato. En los planes Estándar y Completo respondemos en un plazo de 2 horas a una falla que detiene su consultorio. Revisamos la red, la conexión a internet, las estaciones de trabajo y los servidores locales, y trabajamos con el proveedor del EHR si el problema está de su lado. Su plan de contingencia también debe describir cómo atiende a los pacientes mientras el sistema no funciona, y le ayudamos a redactarlo y probarlo.
¿Pueden dar soporte a nuestro portal de pacientes y a la telemedicina?
Sí, en la parte de TI. Nos aseguramos de que el personal pueda iniciar sesión de forma segura, de que las estaciones de trabajo, las cámaras y los navegadores funcionen y de que su red esté lista para las consultas por video. El portal y la plataforma de telemedicina los operan sus proveedores, y nos coordinamos con ellos cuando hay un problema.
¿Un consultorio pequeño es demasiado pequeño para ustedes?
No. La TI administrada continua comienza a partir de 5 usuarios, y el HIPAA Readiness Check está pensado para consultorios con hasta 15 empleados en una sede. Los consultorios más pequeños también pueden contratar proyectos individuales, como cifrar laptops o configurar la autenticación multifactor, a un precio fijo acordado de antemano.
