Seguridad de la información en el sector salud en Colombia: lo que toda IPS debe saber

La historia clínica es uno de los datos más valiosos que existen, y también uno de los más atacados. Contiene identidad, diagnósticos, tratamientos, datos de afiliación y, muchas veces, información financiera. A diferencia de una tarjeta bancaria, un diagnóstico no se puede “cambiar” después de una filtración.

En Colombia, clínicas, IPS y consultorios de todos los tamaños digitalizaron su operación en pocos años: agenda en línea, historia clínica electrónica, facturación electrónica y reportes al Ministerio de Salud. Esa transformación trajo eficiencia, pero también amplió la superficie de ataque.

Los atacantes buscan dónde el impacto es mayor y la presión para pagar es más alta. El sector salud reúne varias condiciones que lo hacen especialmente vulnerable:

• La operación no puede detenerse: sin agenda ni historia clínica, la atención de pacientes se interrumpe.
• Los datos clínicos son datos sensibles y tienen alto valor en mercados ilegales.
• Muchas instituciones conviven con equipos y software antiguos, difíciles de actualizar.
• El personal clínico rota con frecuencia y comparte equipos y contraseñas.
• La cadena de proveedores es amplia: laboratorios, aseguradoras, software, nube y conectividad.

Colombia ya ha vivido incidentes de alto impacto. A finales de 2022, un ataque de ransomware afectó a uno de los grupos de salud más grandes del país y dejó sin servicio sistemas de citas y atención durante días. En 2023, el ataque a un proveedor de servicios en la nube afectó a cientos de entidades públicas y privadas, incluidas algunas del sector salud. Dicho de otro modo: aunque tu IPS esté bien protegida, un proveedor descuidado puede dejarte sin servicio.

Además de ser buena práctica, proteger la historia clínica es una obligación legal. Las normas que más pesan:

• Ley 1581 de 2012 y Decreto 1377 de 2013: los datos de salud son datos sensibles; su tratamiento exige autorización expresa, finalidad clara y medidas de seguridad adecuadas.
• Resolución 1995 de 1999: define la historia clínica como un documento privado y reservado, con reglas de custodia, acceso y conservación.
• Ley 2015 de 2020: crea la historia clínica electrónica interoperable, que obliga a intercambiar información entre prestadores de forma segura.
• Reportes al Ministerio de Salud como RIPS e IHCE/RDA, que exigen calidad, integridad y trazabilidad de los datos.

La Superintendencia de Industria y Comercio (SIC) vigila el cumplimiento del régimen de protección de datos y puede imponer sanciones económicas importantes. Además, los incidentes que comprometen bases de datos personales deben reportarse ante esa entidad.

• Usuarios genéricos o contraseñas compartidas en recepción y consultorios.
• Historias clínicas en hojas de cálculo, carpetas compartidas o mensajes de WhatsApp.
• Copias de seguridad que nunca se han probado o que se guardan en el mismo servidor.
• Correos fraudulentos que suplantan a EPS, proveedores o entidades del Estado.
• Software sin actualizar y accesos remotos sin doble factor de autenticación.
• Falta de registro sobre quién consultó o modificó cada historia clínica.

No se necesita un gran presupuesto para dar los primeros pasos. Lo importante es empezar por lo que más reduce el riesgo:

• Usuarios individuales, contraseñas robustas y doble factor de autenticación.
• Roles y permisos: cada persona ve solo la información que necesita para su trabajo.
• Cifrado de la información clínica en tránsito y en reposo.
• Auditoría de accesos: saber quién, cuándo y qué consultó o modificó.
• Copias de seguridad automáticas, fuera del sistema principal y probadas periódicamente.
• Capacitación del personal para reconocer correos y mensajes fraudulentos.
• Un plan de respuesta a incidentes que defina qué hacer, a quién llamar y cómo seguir atendiendo pacientes.

Muchas instituciones intentan proteger un sistema que nunca fue diseñado para manejar datos sensibles. Por eso en WolfGIS creamos WolfMEDIC, un software médico y odontológico en la nube donde la seguridad es el punto de partida: cifrado de la información clínica, roles y permisos por usuario, auditoría de accesos a la historia clínica, copias de seguridad automáticas y cumplimiento de RIPS e IHCE/RDA.

Conoce WolfMEDIC

Un incidente de seguridad en salud se siente en la sala de espera: se cae la agenda, se atrasa la atención y alguien tiene que explicar qué pasó a los pacientes y a la SIC. Prepararse antes suele salir más barato. Si quieres saber qué tan protegida está la información de tu IPS o consultorio, en WolfGIS podemos revisarlo contigo.