Privacidad y protección de datos
HIPAA
HIPAA (Health Insurance Portability and Accountability Act)
HIPAA establece los requisitos de EE. UU. para proteger la información de salud. Le ayudamos a implementar las salvaguardas de la Security Rule y la Privacy Rule y a construir las pruebas que demuestran su cumplimiento.
Qué es HIPAA
HIPAA es una legislación federal de EE. UU. que regula cómo se maneja la información de salud protegida (PHI). Su Privacy Rule controla cómo puede usarse y divulgarse la PHI, mientras que su Security Rule establece salvaguardas administrativas, físicas y técnicas para la PHI electrónica. La Breach Notification Rule determina qué debe ocurrir cuando se expone información protegida.
HIPAA es una regulación aplicada por el Department of Health and Human Services de EE. UU., no una norma frente a la que usted se certifica. No existe un certificado oficial de HIPAA. El cumplimiento se demuestra mediante un análisis de riesgos documentado, salvaguardas implementadas, políticas, formación y Business Associate Agreements con los proveedores que manejan PHI en su nombre.
La estructura de la norma
Privacy Rule
Establece normas nacionales sobre cómo puede usarse y divulgarse la información de salud protegida y otorga a las personas derechos sobre sus registros, incluidos el acceso y la rectificación.
Security Rule
Establece las salvaguardas que protegen la información de salud protegida en formato electrónico y se organiza en grupos de salvaguardas administrativas, físicas y técnicas.
Security Rule · salvaguardas administrativas
Cubren el aspecto de gobernanza, incluido el análisis de riesgos requerido, la formación del personal, la gestión de accesos y la planificación de contingencias.
Security Rule · salvaguardas físicas
Abordan el acceso físico a instalaciones, estaciones de trabajo y dispositivos, junto con los controles de soportes para la eliminación y reutilización del hardware.
Security Rule · salvaguardas técnicas
Abordan el control de acceso, el registro de auditoría, la protección de la integridad y la seguridad de la transmisión para los sistemas que almacenan o mueven PHI electrónica.
Breach Notification Rule
Define qué cuenta como una violación de PHI no protegida y las notificaciones debidas a las personas afectadas, al regulador y, en las violaciones de mayor alcance, a los medios.
Enforcement Rule
Determina cómo el Office for Civil Rights investiga las quejas y los niveles de sanción que se aplican a las infracciones.
HITECH y la Omnibus Rule
Enmiendas posteriores que ampliaron la responsabilidad directa a los socios comerciales y endurecieron las disposiciones sobre violaciones y aplicación.
Quién lo necesita
- Entidades cubiertas (Covered Entities) como proveedores de atención médica, planes de salud y cámaras de compensación
- Socios comerciales (Business Associates), incluidos proveedores de SaaS y de la nube que manejan PHI para una entidad cubierta
- Cualquier empresa que procese datos de salud de EE. UU. a la que se le pida firmar un Business Associate Agreement
Qué obtiene
- Un mapa de datos de PHI y un análisis de riesgos documentado conforme a la Security Rule
- Salvaguardas administrativas, físicas y técnicas con sus políticas de soporte
- Evidencia de pruebas de penetración para los sistemas que manejan PHI electrónica
- Un paquete de evidencias de cumplimiento y soporte en los Business Associate Agreements
Los plazos dependen de su alcance, de los sistemas que tocan la PHI y de sus salvaguardas actuales. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
HIPAA se promulgó en 1996, y la Privacy Rule, la Security Rule y la Breach Notification Rule se añadieron mediante normativa posterior y se reforzaron con el HITECH Act de 2009 y la Omnibus Rule de 2013. La versión vigente hoy sigue apoyándose en esas normas, administradas por el Office for Civil Rights dentro del Department of Health and Human Services de EE. UU. Se está considerando una actualización propuesta de la Security Rule, publicada como notice of proposed rulemaking, que reforzaría y concretaría las expectativas de ciberseguridad para la PHI electrónica; aún no es definitiva y la Security Rule existente sigue siendo la norma frente a la que se le evalúa. Trate la propuesta como una dirección a la que prepararse en lugar de una obligación modificada, y mantenga mientras tanto su análisis de riesgos y sus salvaguardas al día.
Qué cuesta
No hay un certificado de HIPAA que comprar, porque HIPAA es una regulación cuyo cumplimiento usted demuestra en lugar de un esquema frente al que un organismo acreditado le certifica. Sus costes son nuestros honorarios de asesoría e implementación con alcance definido, presupuestados por adelantado una vez que entendemos su tamaño, los sistemas que tocan la PHI y su punto de partida, más cualquier evaluación independiente, auditoría, prueba de penetración o aporte jurídico y de privacidad que decida incorporar, que esas partes presupuestan por separado según sus propias condiciones. tr3labs nunca es el organismo certificador, el auditor ni el regulador; un cliente o un tercero puede realizar una evaluación de HIPAA frente a usted, y el coste de ese trabajo le corresponde a él. Definimos el alcance con usted en lugar de presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Alcance y análisis de riesgos
Identificamos dónde reside y fluye la PHI, realizamos el análisis de riesgos que exige la Security Rule y evaluamos sus salvaguardas actuales frente a la Privacy Rule, la Security Rule y la Breach Notification Rule.
Construir las salvaguardas
Le ayudamos a implementar las salvaguardas administrativas, físicas y técnicas, a redactar las políticas requeridas, a dar soporte a su formación y a poner en orden sus Business Associate Agreements.
Probar y demostrar
Realizamos pruebas de penetración y revisiones de seguridad sobre los sistemas que alojan PHI electrónica, de modo que sus salvaguardas técnicas queden evidenciadas y no solo afirmadas.
Soporte de preparación y acreditación
Reunimos la documentación que evidencia su cumplimiento y le preparamos para responder con confianza a la diligencia debida de un cliente o a una evaluación de HIPAA realizada por un tercero.
HIPAA y SOC 2 comparados
Ambos surgen cuando un comprador comprueba si sus datos están seguros con usted, por lo que las empresas de salud suelen recibir solicitudes de cada uno y los confunden.
| HIPAA | SOC 2 | |
|---|---|---|
| Abarca | Información de salud protegida de EE. UU. | Criterios de seguridad y de confianza relacionados para un servicio |
| Quién lo solicita | Reguladores de salud de EE. UU. y socios que manejan PHI | Compradores empresariales que realizan diligencia debida de proveedores |
| Idea central | Obligación legal de proteger los datos de salud | Informe independiente sobre sus controles |
| Modelo de auditoría | Sin certificado; el cumplimiento se evidencia | Informe emitido por una firma de CPA con licencia |
| A menudo se tiene junto con | Business Associate Agreements | ISO 27001 y revisiones de seguridad de proveedores |
Preguntas frecuentes sobre HIPAA
- ¿Existe un certificado oficial de HIPAA?
- No. HIPAA es una regulación aplicada por el Department of Health and Human Services de EE. UU., no una norma certificable, por lo que no existe un certificado oficial. El cumplimiento se demuestra mediante un análisis de riesgos documentado, salvaguardas implementadas y evidencias. Desconfíe de cualquiera que venda un certificado de HIPAA como prueba.
- ¿Qué es un Business Associate Agreement?
- Es un contrato exigido por HIPAA entre una entidad cubierta y un proveedor que maneja información de salud protegida en su nombre. Establece las responsabilidades de cada parte en la protección de esos datos. Le ayudamos a poner en marcha los acuerdos adecuados con los proveedores dentro del alcance.
- ¿Exige HIPAA pruebas de penetración?
- HIPAA no nombra una prueba específica, pero la Security Rule exige que evalúe los riesgos para la PHI electrónica y aplique salvaguardas técnicas adecuadas. Las pruebas de penetración son un método bien establecido para evidenciar que esas salvaguardas funcionan, y nuestras pruebas respaldan exactamente eso.
Los servicios que te llevan hasta allí
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura