SecureSlate para el sector sanitario
HIPAA no viene con un certificado. Sus clientes siguen queriendo pruebas.
Por eso los sistemas de salud, las aseguradoras y sus equipos de seguridad piden los documentos que sí existen: un informe SOC 2, una evaluación HITRUST, un cuestionario completado y un BAA que pueda respaldar. SecureSlate construye el programa que los produce todos, con un responsable de cumplimiento dedicado y a precio fijo.
Por qué ahora
Tratar datos de pacientes conlleva obligaciones por las que nadie le entrega una insignia.
Tres realidades que afectan a toda organización que maneja información de salud protegida (PHI), sea cual sea su tamaño.
No existe un certificado HIPAA que pueda enviar
El Departamento de Salud de EE. UU. (HHS) hace cumplir las normas a través de su Oficina de Derechos Civiles y no certifica a nadie. Puede tener un programa que cumple de verdad y aun así no tener nada que adjuntar al correo, así que los clientes cubren ese hueco pidiendo un informe SOC 2, una evaluación HITRUST o un cuestionario de trescientas líneas.
El BAA no termina en usted
Usted firma un Business Associate Agreement con su cliente y después debe condiciones equivalentes a cada subcontratista que toca información de salud protegida: su nube, su sistema de registros, sus herramientas de soporte, su proveedor de modelos. Cada proveedor que alguien añade amplía sin hacer ruido una cadena de la que usted responde.
El plazo de notificación empieza antes de que entienda qué ha pasado
La Regla de Notificación de Brechas le da sesenta días desde el descubrimiento para notificar a las personas afectadas, y una brecha que alcanza a quinientas personas o más en una misma jurisdicción también debe comunicarse al HHS y a los medios dentro de ese plazo. El primer día de un incidente, las evidencias que necesita o ya se estaban recopilando o no.
Qué cuenta como prueba
Cuatro cosas que piden los clientes y lo que cada una le aporta realmente.
Gran parte de la confusión sobre el cumplimiento sanitario viene de tratarlas como intercambiables. No lo son, y saber a cuál se refiere su cliente le ahorra un trimestre.
La obligación
HIPAA
Salvaguardas administrativas, físicas y técnicas, una Regla de Privacidad que limita el uso de la PHI al mínimo necesario y un análisis de riesgos que se espera que mantenga al día, no que archive una vez. Lo implementamos y lo documentamos para que cualquier pregunta de un regulador o de un cliente tenga una respuesta detrás. El entregable es el propio programa.
El documento que aceptan la mayoría de los clientes
SOC 2 Tipo II
Un auditor independiente prueba sus controles durante un periodo y emite una opinión que de verdad puede enviar a un departamento de compras. Su conjunto de controles coincide en gran parte con la Regla de Seguridad de HIPAA, así que un solo programa produce ambos en lugar de mantener dos.
Lo que piden los grandes clientes después
HITRUST
Los sistemas de salud y las aseguradoras suelen pedir HITRUST cuando sube el valor del contrato. El CSF tiene niveles de evaluación, así que lo correcto es ajustar el nivel a lo que el cliente exige de verdad, en lugar de empezar por el más exigente y pagarlo dos veces.
Cuando la PHI llega a sus modelos
ISO 42001
En cuanto una función clínica o administrativa funciona sobre un modelo, los clientes preguntan qué pasa con los datos de pacientes dentro de él: uso para entrenamiento, desidentificación y si el proveedor del modelo es un subcontratista cubierto por su BAA. ISO 42001 responde a eso en un formato que compras reconoce y se apoya en un programa existente en lugar de empezar de cero.
Cómo funciona
Nosotros llevamos el programa. Su personal clínico y sus ingenieros conservan su semana.
Cuatro etapas desde la primera llamada hasta una prueba que un sistema de salud acepta, con una persona responsable con nombre propio en cada una.
Alcance definido según dónde está realmente la PHI
Determinamos si usted es una entidad cubierta o un asociado comercial, seguimos por dónde entra y dónde reside la información de salud protegida en sus sistemas y vemos quién le está pidiendo pruebas. Eso decide su alcance, no una recomendación por defecto.
Análisis de riesgos y un plan de brechas con fechas
El análisis de riesgos de la Regla de Seguridad es el documento al que remite todo lo demás y lo primero que pide un investigador. Su responsable de cumplimiento lo realiza sobre su arquitectura real y le entrega un plan con responsables designados antes de empezar cualquier implementación.
Nosotros implementamos, usted aprueba
Salvaguardas implantadas, políticas redactadas según cómo trabaja realmente su organización, la cadena de BAA conciliada con su lista de proveedores, accesos a la PHI registrados y revisados periódicamente, y evidencias recopiladas de forma continua desde los sistemas que ya utiliza.
Auditoría, y después mantenerlo vivo
Realizamos la revisión de preparación, coordinamos a su auditor y le acompañamos durante el trabajo de campo. Después, el programa sigue funcionando, de modo que la actualización del análisis de riesgos, las revisiones de acceso y la formación del personal se hacen a tiempo y no el mes antes de que alguien pregunte.
Qué incluye
El trabajo que haría un responsable de seguridad HIPAA, hecho por nosotros.
El trabajo experto, la plataforma y el análisis de seguridad llegan juntos por un único precio fijo.
Un responsable de cumplimiento que ya lo ha hecho antes
Un profesional con experiencia que se encarga del programa de principio a fin, trabaja en su Slack, atiende las llamadas de revisión de seguridad que se vuelven técnicas y responde directamente a su auditor. Obtiene una función de seguridad HIPAA sin abrir una vacante.
Un análisis de riesgos que se mantiene al día
La Regla de Seguridad espera que su análisis de riesgos refleje su entorno actual, no el de hace dos años. Los riesgos se puntúan, se siguen hasta su tratamiento y se revisan cuando cambian sus sistemas, para que el documento resista cuando alguien pida verlo.
La cadena de BAA, conciliada
Cada subcontratista que toca PHI necesita un acuerdo, y la lista cambia cada vez que alguien adopta una herramienta nueva. Mantenemos el inventario de proveedores, la diligencia debida y los acuerdos firmados alineados entre sí para que la cadena aguante cuando un cliente la audite.
Acceso a la PHI, revisado y documentado
Quién puede llegar a los datos de pacientes, por qué lo sigue necesitando y el registro que demuestra que alguien lo comprobó. Las revisiones de acceso periódicas y los controles basados en roles funcionan como un proceso con resultados, que es en lo que se convierte el estándar de mínimo necesario en una auditoría.
Automatización de cuestionarios
Las revisiones de seguridad del sector sanitario son largas y repetitivas. Importe el cuestionario que le envió un sistema de salud, obtenga respuestas redactadas a partir de sus propias políticas y evidencias, y después revise, apruebe y exporte en lugar de volver a escribir las mismas respuestas cada trimestre.
Un Trust Center de autoservicio para sus clientes
Publique su postura de seguridad, certificaciones, subencargados del tratamiento y documentos en una página siempre al día que puede enlazar desde su web y sus correos comerciales. Como no hay ningún certificado que adjuntar, esto es lo que envía en su lugar.
Salvaguardas técnicas
Su análisis de riesgos tiene que nombrar sus vulnerabilidades. Estos análisis las encuentran.
El análisis de seguridad forma parte del servicio y no es una suscripción aparte, porque los sistemas por los que pasa la PHI son los primeros por los que preguntará un regulador.
Análisis de seguridad del código
Analiza de forma continua las aplicaciones que tratan datos de pacientes, clasifica los hallazgos por CWE y los ordena por gravedad. Cada uno señala la línea vulnerable e incluye una corrección que sus desarrolladores pueden aplicar.
Detección de secretos
Una credencial filtrada en un repositorio es un acceso directo a un sistema con PHI. Localiza las claves y los tokens expuestos con el archivo y la línea exactos, para que la revocación ocurra en horas y no después de que otra persona los encuentre.
Riesgo de dependencias y licencias
Una SBOM para cada repositorio que señala en lenguaje claro las licencias de código abierto que generan obligaciones reales. Los departamentos de compras de los sistemas de salud piden cada vez más el inventario de componentes, y de aquí sale.
Software obsoleto y al final de su vida útil
Los frameworks y entornos de ejecución sin mantenimiento son el hallazgo que aparece en casi todos los análisis de riesgos del sector sanitario. Cada uno se fecha desde el día en que terminó el soporte, se rastrea hasta el archivo que fija la versión e indica la versión de destino.
Supervisión de la superficie pública
Portales de pacientes, páginas de citas y los subdominios que nadie recuerda haber creado, analizados periódicamente y cada vez que publica cambios. Los hallazgos llegan explicados en lenguaje claro con una corrección recomendada.
Supervisión de la dark web
Las credenciales del personal se comparan con filtraciones conocidas, indicando qué se expuso, cuándo y si está verificado. La reutilización de contraseñas del personal es un primer paso habitual en los incidentes del sector sanitario.
Marcos
Un solo conjunto de controles, vinculado al marco que indique el contrato.
Las salvaguardas de HIPAA coinciden en gran parte con SOC 2 e ISO 27001, y HITRUST se basa en los mismos cimientos. Implante una vez y el segundo marco se convierte en una ampliación en lugar de un segundo programa. Estas páginas explican qué implica cada uno.
Testimonios
Equipos que tenían las mismas obligaciones que demostrar
Lo que dicen los responsables cuando el programa dejó de depender de las prisas. Las citas se muestran en su versión original en inglés.
HIPAA isn’t something you do once. SecureSlate connected our tools, owners, and evidence so we can prove our program without the constant scramble, and we get 50+ hours a week back.
Edward CEO at HealthHaven
We always knew the next step. SecureSlate made GDPR and Cyber Essentials feel manageable for a non-security team, and we reclaimed 200+ hours while getting ready in under seven weeks.
Catherine Director at Quality Early Years
We needed compliance that scaled with us. SecureSlate cut compliance costs while improving audit readiness. The ROI showed up immediately.
Michael CTO at Echonet
Por qué los equipos esperan
Las obligaciones ya se aplican. Solo la prueba es opcional, y solo hasta que alguien la pide.
«Hemos firmado BAA. Estamos cubiertos.»
Un BAA es un contrato, no un control. Le compromete a salvaguardas que la Regla de Seguridad ya exige y no implementa ninguna de ellas. Cuando un cliente o un investigador le pide su análisis de riesgos y sus registros de acceso, el acuerdo que firmó es el motivo de la pregunta, no la respuesta.
«Nadie nos ha pedido SOC 2 todavía.»
Eso cambia la primera vez que vende a un sistema de salud. Como HIPAA no produce ningún certificado, SOC 2 es el documento al que recurre compras, y la solicitud suele llegar con semanas de margen y no con los meses que requiere un primer periodo de auditoría.
«Somos un asociado comercial, así que nuestras obligaciones son menores.»
Los asociados comerciales responden directamente según la Regla de Seguridad y la Regla de Notificación de Brechas desde que entró en vigor la Omnibus Rule. Las obligaciones no son menores. Solo son menos visibles, hasta que un incidente las hace visibles.
«No podemos justificar HITRUST.»
Entonces no empiece por ahí. HITRUST tiene niveles de evaluación precisamente para que el esfuerzo se ajuste al requisito, y la mayoría de las empresas necesitan SOC 2 con HIPAA integrado mucho antes de que alguien les pida r2. Definimos el alcance según el cliente que realmente lo pide, no según el mayor proyecto posible.
Preguntas frecuentes
Lo que preguntan los equipos del sector sanitario antes de empezar.
No. El HHS no certifica a organizaciones según HIPAA, y cualquier proveedor que le venda un certificado HIPAA le está vendiendo su propia opinión. Lo que existe es un programa defendible: un análisis de riesgos actualizado, salvaguardas implantadas, BAA firmados, formación del personal y registros que demuestran que todo ello funciona. Los clientes que quieren un documento independiente piden SOC 2 o HITRUST, por eso solemos trabajarlos en paralelo.
La Regla de Seguridad se le aplica directamente, al igual que las obligaciones de notificación de brechas y las partes de la Regla de Privacidad que su BAA le traslada. Además, debe acuerdos equivalentes a sus propios subcontratistas que tratan PHI. La diferencia práctica es que sus obligaciones le llegan tanto por los contratos con sus clientes como por la regulación, y hay que cumplir ambas.
Tienen fines distintos y el trabajo coincide en gran parte. HIPAA es la obligación legal y no produce ningún documento externo. SOC 2 es una auditoría independiente que produce un informe que puede enviar a un cliente. Como los conjuntos de controles coinciden tanto, construimos un solo programa y lo usamos para cumplir ambos, en lugar de llevar dos proyectos con evidencias separadas.
Normalmente cuando un gran sistema de salud o una aseguradora lo convierte en condición del contrato. Hasta entonces, SOC 2 con HIPAA integrado satisface a la mayoría de los clientes con un coste menor. Cuando HITRUST se vuelve necesario, los niveles de evaluación le permiten cumplir el requisito con la profundidad adecuada, y los controles que ya implementó se trasladan a él.
Primero cambian las preguntas que recibe. Cuente con que los clientes pregunten si la PHI se usa para entrenamiento, cómo se desidentifican los registros y si su proveedor de modelos es un subcontratista cubierto por un BAA. Su documentación de proveedores necesita respuestas reales a eso. ISO 42001 le ofrece una forma reconocida de demostrar la gobernanza sobre ello, y se apoya en un programa de HIPAA y SOC 2 existente en lugar de empezar de cero.
Conciliamos su inventario de proveedores con sus acuerdos firmados, señalamos cada servicio que toca PHI y no tiene uno, y mantenemos la lista al día a medida que su equipo adopta herramientas nuevas. La información sobre sus subencargados sigue publicada en su Trust Center para que los clientes puedan consultarla sin escribir a su equipo.
Nuestros clientes han alcanzado la preparación para la auditoría de ISO 27001 en menos de siete semanas, y la preparación para HIPAA avanza a un ritmo similar porque el análisis de riesgos y las salvaguardas son la mayor parte del trabajo. El precio es fijo y se acuerda antes de empezar, e incluye la plataforma, el trabajo experto y el análisis de seguridad. Los honorarios de auditoría se pagan directamente a su auditor independiente y le indicamos de antemano qué esperar.
Dé a sus clientes algo que puedan abrir
Cuéntenos dónde está la PHI y quién le pide pruebas. Saldrá de la llamada con un alcance, un calendario y un precio fijo, trabaje o no con nosotros.
