Ciberseguridad en Salud: Protegiendo Historias Clínicas Electrónicas en Colombia

Ya exploramos por qué el ransomware ataca hospitales con más frecuencia que a casi cualquier otro sector y qué exige en seguridad la Resolución 1644 de 2026 para la telemedicina. Esta guía se centra en el componente central de esa protección: la historia clínica electrónica, el activo más sensible y más atacado dentro de cualquier operador de salud colombiano.

A diferencia de un número de tarjeta de crédito, que puede cancelarse y reemplazarse en minutos, una historia clínica no se puede "cambiar" una vez expuesta. Contiene diagnósticos, tratamientos, información genética en algunos casos, e historial psiquiátrico — datos permanentes sobre la persona que, en manos equivocadas, tienen valor de extorsión directa contra el paciente además del valor de reventa en mercados clandestinos de datos médicos, que suelen pagar más por historias clínicas completas que por datos financieros equivalentes.

Ransomware dirigido a la infraestructura completa del operador, cifrando no solo los sistemas administrativos sino los sistemas clínicos mismos, generando la presión operativa que describimos en nuestra guía sobre ransomware en hospitales.

Accesos indebidos internos, donde personal con credenciales legítimas consulta historias clínicas fuera de su necesidad de atención directa al paciente — un riesgo que la Ley 1581 trata con especial severidad dado que la información de salud es un dato sensible.

Vulnerabilidades en sistemas de terceros integrados, como plataformas de telemedicina, laboratorios externos, o sistemas de facturación conectados al sistema principal de historia clínica, que amplían la superficie de ataque más allá del control directo del operador.

Dispositivos médicos conectados sin actualizar, que a menudo comparten red con los sistemas de historia clínica sin la segmentación adecuada, convirtiéndose en un punto de entrada indirecto.

Control de acceso basado en el principio de necesidad de conocer, donde el sistema limita técnicamente qué historias puede ver cada usuario según su rol y relación directa con el paciente, no solo mediante política escrita sino mediante configuración técnica real del sistema.

Registro de auditoría inmutable de cada acceso, capaz de mostrar exactamente quién consultó qué historia y cuándo, lo cual es tanto un requisito de cumplimiento como una herramienta de detección temprana de accesos indebidos.

Cifrado de la información en reposo y en tránsito, para que incluso si un atacante logra acceso a la infraestructura de almacenamiento, la información permanezca ilegible sin las claves correspondientes.

Segmentación estricta entre la red de historia clínica y otros sistemas, incluyendo dispositivos médicos conectados, minimizando el riesgo de que un compromiso en un punto se propague al sistema completo.

Backups verdaderamente aislados de la historia clínica, siguiendo el mismo principio que cubrimos en nuestra guía sobre backups inmutables, dado que la disponibilidad de esta información puede tener consecuencias directas sobre la atención de pacientes.

El personal médico y administrativo de salud, enfocado naturalmente en la atención clínica más que en la ciberseguridad, necesita capacitación específica y recurrente — no genérica — sobre phishing dirigido al sector salud, manejo correcto de credenciales de acceso a sistemas de historia clínica, y reconocimiento de intentos de ingeniería social que exploten la naturaleza de urgencia constante del entorno hospitalario.

Una auditoría de ciberseguridad enfocada específicamente en sistemas de historia clínica electrónica — evaluando control de acceso, segmentación, cifrado y capacidad de continuidad — revela brechas que rara vez son visibles en una revisión puramente documental de cumplimiento normativo.