El consultorio como objetivo: por qué los expedientes clínicos son un activo de alto riesgo
Los consultorios y clínicas privadas concentran datos que los atacantes valoran más que los registros financieros: diagnósticos, historiales de medicación, imágenes de estudio y, en muchos casos, identificación oficial digitalizada. A diferencia de una tarjeta de crédito que puede cancelarse, un expediente médico comprometido es permanente. Esta condición convierte al profesional de la salud en un objetivo primario de ataques de ransomware (código malicioso que cifra los archivos y exige rescate), phishing (engaño por correo o mensaje para obtener credenciales) y exfiltración de datos (copia no autorizada de información hacia un servidor externo). Comprender el marco de riesgo es el primer paso para construir una defensa proporcional.
Marco normativo: obligaciones legales del médico ante la seguridad de datos
En México, la protección del expediente clínico digital no es opcional; está anclada a varios instrumentos normativos que imponen responsabilidades concretas.
La NOM-004-SSA3-2012 establece los requisitos del expediente clínico —incluyendo el electrónico— y define que su contenido es confidencial y de uso restringido al personal de salud autorizado. En la práctica, esto significa que el médico es responsable de garantizar que solo quienes tienen vínculo terapéutico con el paciente pueden acceder al registro.
La NOM-024-SSA3-2012 regula específicamente los sistemas de información de registro electrónico para la salud (SIRES). Exige mecanismos de autenticación, trazabilidad de accesos, confidencialidad e integridad de la información. Interpretada en términos de ciberseguridad, obliga al consultorio a contar con bitácoras de auditoría, control de acceso por rol y respaldo que garantice la integridad del dato.
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) clasifica los datos de salud como datos sensibles, categoría que exige un nivel de protección superior. Conforme a esta ley, el responsable del tratamiento —el médico o la clínica— debe implementar medidas de seguridad administrativas, físicas y técnicas. Un ciberataque exitoso que derive en divulgación puede constituir una violación de seguridad notificable ante el INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) y exponer al responsable a sanciones.
La Ley General de Salud refuerza el deber de confidencialidad del secreto médico y, en articulación con la normativa sanitaria, extiende esa obligación al soporte digital del expediente.
Evaluación de la superficie de ataque en un consultorio
La superficie de ataque es el conjunto de puntos por los que un adversario puede intentar ingresar al sistema. En un consultorio típico incluye: la computadora o tablet de consulta, el sistema de agendamiento en la nube, el correo electrónico del médico, los dispositivos USB con respaldos y la red Wi-Fi compartida con pacientes. Antes de implementar controles, es indispensable identificar qué equipos procesan o almacenan expedientes y cuál es el flujo real de los datos.
Controles técnicos esenciales
- Cifrado de disco completo: habilitar BitLocker (Windows) o FileVault (macOS) en todos los equipos que contengan expedientes. Si el equipo es robado, los datos permanecen ilegibles sin la clave.
- Autenticación multifactor (MFA): exigir un segundo factor —código temporal, aplicación autenticadora— para acceder al sistema de expedientes y al correo clínico. Neutraliza el 90 % de los ataques de credenciales robadas según reportes de la industria de seguridad.
- Principio de mínimo privilegio: cada usuario o colaborador accede únicamente a los expedientes que necesita para su función. La recepcionista no requiere ver el contenido clínico completo; el médico suplente solo ve los pacientes activos de la cobertura.
- Respaldo 3-2-1: mantener tres copias de los datos, en dos soportes distintos, uno fuera del consultorio (nube cifrada o disco externo en ubicación diferente). La copia externa es la defensa crítica ante ransomware.
- Actualizaciones y parches de seguridad: aplicar actualizaciones del sistema operativo y del software clínico en un plazo máximo de 72 horas tras su publicación. La mayoría de los ataques exitosos explotan vulnerabilidades ya corregidas que no fueron parcheadas.
- Segmentación de red: separar la red de trabajo clínico de la red de pacientes o visitas mediante un VLAN o un router con redes de invitados. Limita la propagación lateral de malware.
- Bitácora de auditoría: activar el registro de eventos de acceso al sistema de expedientes: quién, cuándo, qué expediente. Requerido por la NOM-024 y esencial para detectar accesos anómalos.
- Antivirus/EDR y firewall activo: soluciones de detección y respuesta en endpoint (EDR, Endpoint Detection and Response) superan a los antivirus tradicionales en la identificación de comportamientos maliciosos antes de la ejecución.
Controles administrativos y de proceso
La tecnología sola no es suficiente. El vector humano —el personal del consultorio— sigue siendo el punto de entrada más explotado. Un programa de capacitación mínima semestral debe cubrir reconocimiento de correos de phishing, manejo seguro de contraseñas y procedimiento ante incidentes. Establecer una política escrita de uso aceptable de equipos, aunque sea de dos páginas, es exigible como medida administrativa bajo la LFPDPPP.
Ante un incidente confirmado o sospechado, el protocolo debe contemplar: aislar el equipo afectado de la red (desconectar cable o deshabilitar Wi-Fi), no apagar el equipo abruptamente para preservar evidencia volátil, notificar al responsable de privacidad del consultorio y, si hay evidencia de exfiltración de datos personales sensibles, evaluar la obligación de notificación al INAI conforme a la normativa vigente de la LFPDPPP.
Consideraciones especiales para SIRES y expediente electrónico en la nube
Si el consultorio utiliza un sistema de expediente electrónico alojado en la nube, el contrato con el proveedor debe especificar explícitamente: jurisdicción de almacenamiento de datos, nivel de cifrado en tránsito (TLS 1.2 o superior) y en reposo (AES-256 o equivalente), procedimientos de respaldo y tiempo de recuperación ante desastre (RTO/RPO), y las condiciones de auditoría. El médico no transfiere su responsabilidad legal al firmar con un proveedor; la NOM-024 y la LFPDPPP mantienen al responsable del tratamiento como primer obligado.
Glosario
- Ransomware: tipo de malware que cifra los archivos de la víctima y exige un pago para restaurar el acceso.
- Phishing: técnica de ingeniería social mediante correo electrónico u otros canales que suplanta una entidad confiable para obtener credenciales o instalar malware.
- Cifrado de disco completo: proceso que transforma todos los datos almacenados en un dispositivo en texto ilegible sin la clave de descifrado correcta.
- MFA (autenticación multifactor): método de verificación de identidad que exige dos o más factores independientes, reduciendo el riesgo ante contraseñas comprometidas.
- Principio de mínimo privilegio: política de seguridad que otorga a cada usuario únicamente los permisos imprescindibles para su función, limitando el daño ante un compromiso.
- EDR (Endpoint Detection and Response): solución de seguridad que monitorea continuamente los dispositivos finales en busca de comportamientos anómalos y permite respuesta automatizada o guiada.
- SIRES (Sistema de Información de Registro Electrónico para la Salud): denominación normativa mexicana para los sistemas de expediente clínico electrónico, regulados por la NOM-024-SSA3-2012.
- TLS (Transport Layer Security): protocolo criptográfico que protege la confidencialidad e integridad de los datos transmitidos entre cliente y servidor a través de una red.
Referencias
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación. México.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación. México.
- Cámara de Diputados del H. Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. México.
- Cámara de Diputados del H. Congreso de la Unión. (vigente). Ley General de Salud. Diario Oficial de la Federación. México.
- Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). (s.f.). Recomendaciones de seguridad para el tratamiento de datos personales sensibles. Recuperado de https://www.inai.org.mx
- Centro Nacional de Respuesta a Incidentes Cibernéticos (CERT-MX / CERT-In). (vigente). Guías de buenas prácticas para protección de infraestructura crítica. Secretaría de Seguridad y Protección Ciudadana. México.