En pocas palabras
ciframos la información en tránsito, controlamos quién accede y a qué, registramos cada acceso a la historia clínica, hacemos copias de respaldo y respondemos a incidentes con un procedimiento definido. Tomamos como referencia buenas prácticas reconocidas, como la norma ISO/IEC 27001.
1. Infraestructura
- La Plataforma opera en centros de datos en Colombia y en servicios en la nube de Google Cloud y Microsoft Azure, cuyos proveedores tienen certificaciones internacionales de seguridad (como ISO/IEC 27001 y SOC 2).
- Los archivos adjuntos de la historia clínica se almacenan en Google Drive (Google Workspace).
- La información de cada Cliente está separada de la de los demás Clientes.
2. Cifrado
- En tránsito: todas las comunicaciones con la Plataforma usan HTTPS con TLS.
- En reposo: los archivos alojados en los servicios de Google se almacenan cifrados por el proveedor.
- Las contraseñas de los usuarios no se almacenan en texto plano.
3. Control de acceso
- Cada Usuario tiene credenciales personales. Los permisos se asignan por roles (por ejemplo, profesional, recepción, facturación, administrador) según el principio de mínimo privilegio.
- Las sesiones se cierran por inactividad.
- El personal de iSalud solo accede a los Datos del Cliente cuando lo requiere el soporte solicitado o la operación del servicio.
4. Trazabilidad y auditoría
La Resolución 1995 de 1999 (artículo 18) exige identificar a quien hace cada registro de la historia clínica, con fecha y hora, y proteger su integridad. En iSalud:
- Cada nota clínica queda asociada al usuario que la registró, con fecha y hora.
- La edición de una nota solo es posible durante un tiempo limitado después de registrarla, que configura cada institución.
- Los documentos compartidos con pacientes por enlace (por ejemplo, consentimientos) registran cada acceso, con fecha, hora y dirección IP.
5. Copias de respaldo y continuidad
- Se hacen copias de respaldo automáticas y periódicas, que se almacenan en ubicaciones separadas de la infraestructura principal.
- Los procedimientos de restauración se prueban de forma periódica.
- Contamos con un plan de continuidad para restablecer el servicio ante fallas graves. Los compromisos de disponibilidad están en el Acuerdo de Nivel de Servicio.
6. Desarrollo seguro y gestión de vulnerabilidades
- Mantenemos actualizados los componentes, las librerías y los sistemas, y aplicamos parches de seguridad con prioridad.
- Monitoreamos la Plataforma para detectar comportamientos anómalos.
7. Personas
Todo el personal y los contratistas con acceso a información firman compromisos de confidencialidad y reciben orientación sobre protección de datos y reserva de la historia clínica. Cuando una persona se retira, sus accesos se revocan de inmediato.
8. Gestión de incidentes
Tenemos un procedimiento para detectar, contener, investigar y corregir incidentes de seguridad. Si un incidente afecta datos de un Cliente, se lo notificamos en máximo setenta y dos (72) horas desde su confirmación y lo apoyamos en el reporte a la Superintendencia de Industria y Comercio. Consulta el Acuerdo de Encargo.
9. Responsabilidad compartida: lo que debe hacer el Cliente
- No compartir usuarios ni contraseñas, y usar contraseñas robustas.
- Retirar el acceso del personal que ya no trabaja con el Cliente.
- Mantener actualizados y protegidos con antivirus los equipos desde los que se accede.
- No descargar historias clínicas a equipos o medios no protegidos.
- Reportar de inmediato cualquier actividad sospechosa.
10. Reporte responsable de vulnerabilidades
Si encuentras una posible vulnerabilidad en iSalud, escríbenos a info@isalud.co con el asunto “Seguridad” y los detalles para reproducirla. Te pedimos no acceder a datos de terceros, no afectar la disponibilidad del servicio y darnos un plazo razonable para corregirla antes de divulgarla. Agradecemos los reportes de buena fe.