Plan de acción de respuesta a incidentes de seguridad según HIPAA

Nombre del consultorio:	Oficial de Seguridad HIPAA (HIPAA Security Officer):
Fecha de entrada en vigor:	Fecha de la próxima revisión:

Acción inmediata ante una sospecha de violación de seguridad (breach)

Si sospecha una infección de ransomware, un acceso no autorizado a una cuenta o la exposición de información de pacientes: NO apague la computadora. Desconecte el cable de red o apague el Wi-Fi y luego llame a Comodo de inmediato: (916) 740-1407. Si no logra comunicarse con nadie, avise a su gerente de oficina y envíe un correo a hipaa@comodotechnology.com. Apagar el equipo destruye la evidencia forense necesaria para determinar si realmente se accedió a los datos de los pacientes.

1 · Clasificación de la gravedad del incidente y triaje

Gravedad	Ejemplos	Acción de Comodo	Escalamiento según HIPAA
SEV-1 Crítica	Ransomware, violación activa del sistema de gestión del consultorio o del expediente médico electrónico (EHR), pérdida o robo de una computadora portátil o memoria sin cifrar que contiene datos de pacientes, phishing (suplantación de identidad) generalizado.	Aislar la red, revocar las sesiones de Microsoft 365, preservar la memoria y los registros, iniciar la captura forense.	Activar la Evaluación de Riesgos de 4 Factores. Notificar a la dirección del consultorio y al asesor legal dentro de un plazo de 2 horas.
SEV-2 Alta	Robo dirigido de credenciales (contraseña ingresada en una página de phishing), pérdida de una laptop o tableta cifrada, un fax o correo electrónico con varios expedientes enviado al destinatario equivocado.	Restablecer credenciales, borrar el dispositivo de forma remota, realizar una revisión exhaustiva de los registros de auditoría.	Documentar la contención y evaluar si realmente se accedió a los datos de los pacientes o si estos fueron vistos.
SEV-3 Moderada	El expediente de un paciente enviado por fax o correo al paciente o proveedor equivocado; un clic de phishing sin ingresar credenciales; malware bloqueado antes de ejecutarse.	Realizar un análisis del equipo, volver a verificar la configuración de autenticación multifactor del usuario, revisar la telemetría del equipo.	Anotarlo en el registro de incidentes. Si se envió mal un expediente, obtener confirmación por escrito de que se destruyó y documentar la evaluación de 4 factores.

2 · El proceso de respuesta a incidentes en 6 fases

Identificación y recepción. El personal nota algo anormal —archivos bloqueados, una solicitud inesperada de inicio de sesión, un expediente enviado por error— y alerta al Oficial de Seguridad HIPAA y a Comodo dentro de un plazo de 15 minutos.
Contención. Desconectar de la red las estaciones de trabajo afectadas para detener la propagación del ransomware; revocar las sesiones activas de Microsoft 365 y restablecer las contraseñas afectadas; suspender al usuario comprometido dentro del sistema de gestión del consultorio o del EHR.
Erradicación y registro forense. Los ingenieros de Comodo extraen los registros de auditoría de los equipos y de Microsoft 365, eliminan los rastros de malware y verifican la integridad de las copias de seguridad antes de restaurar cualquier cosa.
Recuperación. Restaurar a partir de una copia de seguridad limpia y verificada. Validar los flujos de trabajo clínicos, las imágenes diagnósticas y las recetas electrónicas antes de que cualquier dispositivo vuelva a utilizarse en la atención a pacientes.
Evaluación de Riesgos de la Violación de Seguridad de 4 Factores. La dirección y el asesor legal evalúan: (1) la naturaleza y el alcance de la información involucrada; (2) quién fue la persona no autorizada; (3) si la información fue realmente adquirida o vista; y (4) la medida en que se ha mitigado el riesgo.
Notificación y documentación. Si la evaluación concluye que ocurrió una violación de seguridad que debe notificarse, siga la Sección 3 a continuación y, luego, archive el registro completo del incidente durante el período de conservación requerido.

Factores de evaluación de riesgos de violaciones de seguridad conforme a 45 CFR § 164.402. Procedimientos de respuesta a incidentes requeridos conforme a 45 CFR § 164.308(a)(6).

3 · Requisitos de notificación de violaciones de seguridad

Situación	Lo que debe ocurrir
Personas afectadas	Aviso por escrito a cada persona afectada sin demora injustificada y a más tardar 60 días calendario después del descubrimiento de la violación de seguridad.
500 personas o más	Notificar a la Oficina de Derechos Civiles (OCR) del HHS (Departamento de Salud y Servicios Humanos de EE. UU.) al mismo tiempo que se notifica a las personas. También se requiere notificar a medios de comunicación de amplia difusión si se ven afectados más de 500 residentes de un mismo estado o jurisdicción.
Menos de 500 personas	Registrar en el registro interno de incidentes del consultorio y presentar a la OCR del HHS dentro de los 60 días posteriores al final del año calendario en que se descubrió la violación de seguridad.
Consultorios de California	La Ley de Confidencialidad de la Información Médica de California (Confidentiality of Medical Information Act) impone sus propias obligaciones de notificación, que pueden ser más estrictas y tener plazos más cortos que las normas federales de HIPAA. Confirme las obligaciones estatales con su asesor legal junto con el plazo federal.

Plazos federales de notificación de violaciones de seguridad conforme a 45 CFR §§ 164.404–164.408. Las obligaciones estatales varían; este documento no constituye asesoría legal.

4 · Matriz de contactos de emergencia

Función	Nombre del contacto	Teléfono	Correo electrónico
Comodo Technology SOPORTE Y EMERGENCIAS DE SEGURIDAD	Llame primero ante cualquier sospecha de violación de seguridad · 8 a. m.–6 p. m., lun.–vie.	(916) 740-1407	hipaa@comodotechnology.com
Comodo Technology Correo electrónico y chat	Fuera del horario de atención — correo; respondemos de lunes a viernes. Los sistemas de los clientes de TI se monitorean 24/7.	—	hipaa@comodotechnology.com
Oficial de Seguridad HIPAA del consultorio
Propietario del consultorio / Doctor director
Asesor legal en HIPAA / violaciones de seguridad
Aseguradora de ciberseguros	N.º de póliza:

5 · Lista de verificación de mantenimiento anual

Revise este plan y actualice su fecha al menos una vez al año.
Confirme que todos los contactos anteriores estén actualizados, especialmente después de cambios de personal.
Verifique que todo el personal haya completado la capacitación en concientización sobre seguridad este año.

Confirme que las copias de seguridad se hayan restaurado a modo de prueba, y no solo que se hayan reportado como exitosas.
Vuelva a confirmar los límites de su póliza de ciberseguro y los plazos de notificación.
Conserve este plan y todos los registros de incidentes durante 6 años.

Requisito de conservación: HIPAA exige que la documentación de la Regla de Seguridad (Security Rule) —incluidos este plan, los registros de incidentes y los registros de capacitación completada del personal— se conserve durante seis años a partir de la fecha de su creación o de la fecha en que estuvo vigente por última vez, lo que ocurra más tarde. 45 CFR §164.316(b)(2)(i) y §164.530(j).

Soporte de TI de Comodo · lun.–vie., 8 a. m.–6 p. m. hora del Pacífico

(916) 740-1407

Línea de capacitación HIPAA · (916) 770-4050

hipaa@comodotechnology.com