Los datos de salud son atractivos para los delincuentes digitales y su exposición puede causar daños graves a las personas. Al mismo tiempo, las empresas que los resguardan están obligadas a protegerlos con medidas de seguridad proporcionales a su sensibilidad.
Puntos clave
- La seguridad de la información protege confidencialidad, integridad y disponibilidad.
- Las medidas deben ser técnicas, administrativas y físicas.
- Los proveedores que tratan datos son parte de la cadena de riesgo.
- Se debe contar con un plan de respuesta ante incidentes.
Medidas técnicas esenciales
- Control de acceso por roles: cada persona accede solo a lo que necesita.
- Autenticación robusta: contraseñas únicas y largas, y verificación en dos pasos.
- Cifrado de la información en reposo y en tránsito.
- Respaldos periódicos, almacenados en lugares separados y con pruebas de restauración.
- Actualizaciones de sistemas y aplicaciones, y protección contra software malicioso.
- Bitácoras de acceso y de cambios para conocer quién hizo qué.
- Segmentación de redes y restricción de dispositivos no autorizados.
Medidas administrativas
- Políticas claras de manejo de información de salud.
- Capacitación del personal en riesgos como el correo fraudulento y la ingeniería social.
- Acuerdos de confidencialidad con empleados y proveedores.
- Gestión de altas y bajas de usuarios de forma oportuna.
- Inventario de los datos, sistemas y responsables.
- Revisiones periódicas y auditorías internas.
Medidas físicas
Archivos y servidores en áreas con acceso restringido, equipos con bloqueo automático, destrucción segura de documentos y dispositivos al terminar su vida útil, y protección contra incendios, humedad o pérdida eléctrica.
Proveedores y terceros
Si un proveedor de servicios en la nube, de software o de servicios médicos trata datos de salud, el contrato debe incluir las medidas de seguridad, la confidencialidad, las condiciones de subcontratación, el aviso de incidentes y el destino de la información al finalizar el servicio. La empresa sigue siendo responsable frente a las personas titulares.
Errores frecuentes
- Compartir resultados médicos por mensajería o correo sin protección.
- Usar contraseñas compartidas o simples.
- No respaldar o no probar los respaldos.
- Dejar accesos activos de personas que ya no laboran.
- Almacenar datos en equipos personales sin controles.
Respuesta ante incidentes
Debe existir un procedimiento que defina cómo detectar, contener, evaluar y notificar un incidente, quién decide y a quién se informa. La ley en materia de protección de datos prevé obligaciones de informar a las personas afectadas cuando la vulneración afecte significativamente sus derechos. Los ejercicios de simulación ayudan a reaccionar con orden.
Referencias útiles
Normas y marcos internacionales como ISO/IEC 27001 y ISO/IEC 27701 ofrecen guías para gestionar la seguridad de la información y la privacidad. No son obligatorios por sí mismos, pero sirven como referencia de buenas prácticas.
Perspectiva de GRS Detección
En GRS Detección entendemos que la confianza se construye cuidando la información. Un sistema de salud ocupacional que protege los datos desde el diseño, controla los accesos y registra lo que ocurre fortalece la relación entre las personas y la organización.
Preguntas frecuentes
¿Es suficiente con tener contraseñas?
No. Se recomiendan contraseñas únicas y largas, verificación en dos pasos, control de accesos y bitácoras, además de políticas y capacitación.
¿Qué hacer si se pierde un dispositivo con datos de salud?
Activar el procedimiento de incidentes: bloquear o borrar de forma remota si es posible, evaluar el alcance, notificar internamente y, cuando proceda, informar a las personas afectadas.
Fuentes y referencias
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (Cámara de Diputados)
- Diario Oficial de la Federación (DOF)
- Secretaría de Salud
Contenido informativo. No sustituye la asesoría legal o médica profesional. Las normas pueden actualizarse: confirma la versión vigente en el Diario Oficial de la Federación y en el portal de la STPS.
