Protegemos la ficha clínica, mantenemos funcionando los sistemas de atención y te ayudamos a cumplir las exigencias que pesan sobre los prestadores de salud.
Una clínica, un centro médico o un laboratorio dependen hoy de una cadena de sistemas que nadie ve hasta que falla: la ficha clínica electrónica, la agenda y la confirmación de horas, el sistema de imágenes y su visor, la facturación a Fonasa e isapres, la emisión de licencias médicas electrónicas y las recetas. Si cualquiera de esos eslabones se corta, la sala de espera se llena y el equipo clínico vuelve al papel en el peor momento.
Además, la información que se maneja es de la más delicada que existe. Diagnósticos, exámenes, antecedentes de salud mental o tratamientos son datos sensibles, y la Ley 20.584 obliga al prestador a resguardar la reserva de la ficha clínica y a conservarla por largo tiempo. Eso convierte a cualquier centro de salud, grande o pequeño, en un blanco atractivo para el ransomware y la extorsión: el atacante sabe que la atención no puede esperar y que la filtración daña la confianza de los pacientes.
El desafío práctico es que muchos centros crecieron sumando soluciones: un software de ficha por aquí, un servidor de imágenes en una sala sin climatización por allá, notebooks compartidos en los boxes y claves anotadas en un post-it. Ordenar esa tecnología no requiere cambiarlo todo de golpe; requiere saber dónde están los datos, quién accede a ellos y qué pasaría si mañana un equipo amanece cifrado. Sobre eso trabajamos.
Un ataque que cifra el servidor de ficha o el sistema de imágenes deja al equipo clínico sin antecedentes de los pacientes y sin poder agendar ni facturar. La recuperación depende de tener respaldos que el atacante no haya alcanzado y de un plan de contingencia que el personal conozca de antemano.
La ley restringe el acceso a la ficha clínica a quienes participan en la atención del paciente. En la práctica abundan las cuentas compartidas entre profesionales, los usuarios de personas que ya no trabajan en el centro y los perfiles con más permisos de los necesarios. Sin registros de acceso, es imposible saber quién vio qué.
Ecógrafos, equipos de rayos, analizadores de laboratorio y estaciones de visualización se conectan a la red y muchas veces corren sistemas operativos que el proveedor no permite actualizar. Si comparten red con el WiFi de pacientes o con los computadores administrativos, se convierten en un punto débil difícil de cerrar.
Muchos centros médicos y consultas no tienen personal de TI propio: el soporte lo hace un conocido o el mismo administrador. Los respaldos se hacen cuando alguien se acuerda, las licencias vencen sin aviso y nadie revisa si el antivirus está activo. Funciona hasta el día en que no funciona.
Revisamos cómo está protegida tu red, tus equipos y tus sistemas clínicos. Separamos la red de pacientes, la administrativa y la de equipos médicos, activamos doble factor en correo y accesos remotos, ordenamos perfiles y cuentas en la ficha clínica y dejamos un plan de respuesta ante incidentes, incluido qué reportar y a quién.
CiberseguridadImplementamos respaldos automáticos de la base de datos de la ficha, del sistema de imágenes y de los documentos administrativos, con copias fuera del centro y copias inmutables. Probamos la restauración de forma periódica para que, ante un incidente, sepas cuánto tardarías en volver a atender con la información completa.
Respaldo y DRPDamos soporte a usuarios, computadores, impresoras de recetas y etiquetas, lectores de huella y cédula, y a la conectividad del centro. Mantenemos inventario, actualizaciones y antivirus al día y atendemos los problemas del día a día para que médicos y recepción se dediquen a los pacientes, no al computador.
Soporte TISi tu software clínico corre en servidores propios, evaluamos llevarlo a una nube con cifrado, redes privadas, control de accesos y registros de auditoría. Si ya usas un sistema en la nube, revisamos su configuración, los permisos de tus usuarios y cómo se integra con el resto de tus herramientas.
Nube gestionadaConectamos un asistente de WhatsApp a tu agenda para que los pacientes pidan, confirmen o anulen horas sin llamar, reciban recordatorios e indicaciones de preparación para exámenes. El asistente no maneja diagnósticos ni datos clínicos: se limita a lo administrativo y deriva a una persona cuando la consulta lo requiere.
Chatbot WhatsAppComenzaríamos con un diagnóstico de dos frentes: dónde vive la información clínica (servidores, nube, equipos de imágenes, carpetas compartidas) y quién tiene acceso a ella, incluyendo cuentas de ex trabajadores y proveedores.
Con ese diagnóstico priorizaríamos lo urgente: respaldo inmutable de la ficha y de las imágenes, doble factor en correo y accesos remotos, y separación entre la red de pacientes, la administrativa y la de equipos médicos.
Después ordenaríamos los perfiles de acceso al sistema clínico junto a la dirección médica, activando registros de quién consulta cada ficha, y dejaríamos un procedimiento de alta y baja de usuarios ligado a recursos humanos.
Finalmente haríamos un simulacro de caída del sistema con recepción y el equipo clínico, para validar el plan de contingencia en papel, la restauración de respaldos y la comunicación con los pacientes.
Define la ficha clínica, que puede ser electrónica siempre que se asegure su acceso oportuno, conservación, confidencialidad y autenticidad. Obliga al prestador a conservarla al menos quince años y restringe el acceso a terceros no vinculados a la atención, incluido personal del propio centro.
Considera servicios esenciales a los prestadores institucionales de salud. Estas instituciones deben reportar a la Agencia Nacional de Ciberseguridad los incidentes de efecto significativo dentro de un plazo máximo de tres horas desde que toman conocimiento, obligación vigente desde marzo de 2025.
Los datos de salud son datos sensibles y exigen un estándar reforzado de protección. La ley, publicada en diciembre de 2024 y con entrada en vigencia fijada para el 1 de diciembre de 2026, obliga además a comunicar a los afectados ciertas vulneraciones de seguridad que involucren datos sensibles.
Orientación técnica general; el análisis legal de cada caso corresponde a un abogado.
No necesariamente. En la mayoría de los casos el problema no es el software, sino cómo se usa: cuentas compartidas, permisos excesivos, respaldos que nadie prueba y equipos sin actualizar. Partimos ordenando eso. Si después de evaluar vemos que el sistema actual no permite registrar accesos o cifrar la información, te lo diremos con argumentos.
La ley califica como servicio esencial a los prestadores institucionales de salud, y la Agencia Nacional de Ciberseguridad ha ido precisando su alcance mediante instrucciones. Te recomendamos revisar tu caso con tu asesor legal. Independiente de eso, la Ley 20.584 y la protección de datos personales sí te exigen resguardar la ficha clínica.
Lo primero es contener: aislar los equipos afectados para que el ataque no se expanda. Luego activar la contingencia para seguir atendiendo, evaluar qué información se comprometió y restaurar desde respaldos limpios. Si tienes un plan y respaldos probados, ese proceso se vuelve ordenado. Te ayudamos a dejar todo eso preparado antes de que ocurra.
Sí. Coordinamos con los servicios técnicos de los equipos para segmentar la red sin afectar su funcionamiento ni su garantía, definir cómo acceden de forma remota cuando necesitan dar soporte y documentar qué puertos y conexiones requieren. Respetamos sus condiciones y cuidamos la seguridad del resto de la red.
Lo diseñamos para que solo gestione temas administrativos: agendar, confirmar, recordar y dar indicaciones generales. No pide ni entrega diagnósticos, resultados o datos de la ficha. La información que recibe se limita a lo necesario para la cita y se maneja con controles de acceso y en servicios con las garantías de seguridad adecuadas.
Cuéntanos qué sistemas usan hoy y te proponemos el primer paso.