Cumplimiento de HIPAA
Evaluación de riesgos de seguridad de HIPAA para consultorios
La evaluación de riesgos de seguridad de HIPAA (en la Regla de Seguridad, el análisis de riesgos) es obligatoria para todo consultorio cubierto por HIPAA y todo socio comercial que maneje su información electrónica de pacientes, y debe ser precisa, completa y por escrito. En 2026 la OCR anunció diez acuerdos por un análisis de riesgos inexistente o no preciso y completo: de $10,000 a $800,000 cada uno, más dos o tres años de supervisión.
La respuesta corta
¿Qué es la evaluación de riesgos de seguridad de HIPAA?
El análisis de riesgos por escrito que la Regla de Seguridad marca como obligatorio (“Required”): cada ubicación, equipo, sistema y suplidor que toca ePHI, sus amenazas y vulnerabilidades, las medidas actuales y el nivel de riesgo de cada una, guardado 6 años. Vuelva a hacerlo después de un incidente de seguridad o un cambio de dueño, y antes de incorporar tecnología nueva para que las operaciones sean más eficientes. The Advixor Group hace evaluaciones de riesgo y le ayuda con planes de acción correctiva.
Fuentes45 CFR 164.30845 CFR 164.316Guía de la OCR sobre el análisis de riesgosProtocolo de auditoría de la OCR
Obligatoria
¿Es obligatoria la evaluación de riesgos de seguridad de HIPAA?
Sí. El 45 CFR 164.308(a)(1)(ii)(A) marca el análisis de riesgos como obligatorio (“Required”); solo las especificaciones “addressable” (a evaluar) permiten una alternativa equivalente y documentada (164.306(d)), y el análisis decide esas opciones, como si cifrar la información y cómo hacerlo (HHS).
En las auditorías de la OCR de 2016–2017 a 166 entidades cubiertas y 41 socios comerciales, solo el 14 % y el 17 % cumplían en lo sustancial con sus obligaciones de análisis de riesgos (90 FR 915).
Alcance
Qué debe cubrir una evaluación de riesgos de TI de HIPAA
Toda la información de salud protegida electrónica (ePHI) que usted crea, recibe, mantiene o transmite, en cualquier medio electrónico, desde una sola computadora hasta redes entre varias ubicaciones (HHS).
- Cada ubicación. La versión 3.7 de la herramienta de evaluación de riesgos de seguridad del HHS (Security Risk Assessment Tool, SRA) agregó una pregunta de alcance para cada una.
- Cada equipo y sistema. El NIST agrega el acceso remoto, el teletrabajo, las laptops, los teléfonos, los medios extraíbles y los equipos médicos; en un consultorio de terapia de un solo terapeuta, eso puede ser una laptop, un teléfono, la plataforma de telesalud y el sistema de expedientes en la nube.
- Un inventario de activos. Según el HHS, con la Regla de Seguridad actual el inventario de activos tecnológicos ya forma parte del estándar de análisis de riesgos. La herramienta SRA registra el tipo de cada activo, su acceso a ePHI, el cifrado, la persona responsable y la ubicación.
- Suplidores. Anote cada uno que maneje ePHI por usted y si lo cubre un acuerdo de socio comercial, además de cualquier herramienta de rastreo que envíe ePHI desde una página del portal de pacientes o de citas a su proveedor: la guía del HHS sobre rastreo las incluye en el análisis de riesgos (cumplimiento en marketing).
Seis pasos
Cómo hacer una evaluación de riesgos de HIPAA: la lista de verificación
El HHS no avala ningún método en particular, pero todo análisis de riesgos debe incluir estos elementos.
| Paso | Qué debe producir | Qué revisa el auditor de la OCR |
|---|---|---|
| Alcance | Cada ubicación, sistema, equipo y suplidor que toca ePHI | Un alcance definido que identifique todos sus sistemas |
| Recopilación de datos | Dónde se crea, recibe, guarda y envía la ePHI, con el inventario de activos | Parte del alcance definido |
| Amenazas y vulnerabilidades | Las amenazas naturales, humanas y ambientales razonablemente previsibles, y las debilidades que podrían aprovechar | El detalle de las amenazas y vulnerabilidades identificadas |
| Medidas actuales | Qué hay implementado, y si está bien configurado y se usa bien | La evaluación de las medidas de seguridad actuales |
| Probabilidad e impacto | Una calificación para cada par de amenaza y vulnerabilidad | El análisis de impacto y probabilidad |
| Nivel de riesgo | Un nivel para cada par (una forma: promediar las dos calificaciones), con una lista de acciones correctivas | La calificación de riesgo |
Fuentes HHS-OCR, Guidance on Risk Analysis (12 de agosto de 2026); OCR Audit Protocol, 164.308(a)(1)(ii)(A).
El auditor también lee su política de análisis de riesgos (propósito, alcance, funciones, participación de la gerencia y frecuencia de revisión) y el análisis anterior al actual, o sus dos últimas actualizaciones, o una explicación de por qué no las hay.
Herramienta SRA
La herramienta de evaluación de riesgos de seguridad de HIPAA del HHS y sus límites
La herramienta SRA, versión 3.7 (actualizada el 18 de septiembre de 2026), es una aplicación para Windows o un libro de Excel. Sus respuestas se quedan en su computadora: el HHS no recoge, ni ve, ni guarda, ni transmite nada de lo que usted ingresa. Está pensada para proveedores medianos y pequeños.
7secciones
Las secciones del cuestionario:
- Conceptos básicos de la SRA
- Políticas y documentación
- Personal
- Datos
- Seguridad física
- Suplidores y acuerdos de socio comercial
- Planes de contingencia
Fuente ASTP/ONC, página de la SRA Tool y guía del usuario v3.7.
El propio texto de la herramienta fija los límites: usarla no es obligatorio ni garantiza el cumplimiento, y los riesgos que el cuestionario no incluye igual hay que identificarlos, evaluarlos y documentarlos. El NIST recomienda acompañar el cuestionario con escaneos de vulnerabilidades.
Manejo de riesgos
Del análisis de riesgos de seguridad de HIPAA al plan de manejo de riesgos
El manejo de riesgos también es obligatorio (“Required”): medidas suficientes para reducir los riesgos y las vulnerabilidades a un nivel razonable y apropiado (164.308(a)(1)(ii)(B)). Es el paso que más falla.
- 94 %de las entidades cubiertas auditadas no habían implementado un manejo de riesgos apropiado.
- 88 %de los socios comerciales auditados, tampoco.
Fuente 90 FR 915 (auditorías de la OCR de 2016–2017).
El auditor lee su política de manejo de riesgos para ver qué nivel de riesgo se considera aceptable con la aprobación de la gerencia y cada cuánto se revisan los riesgos, y luego verifica que las medidas respondan a las amenazas según la calificación de riesgo.
El programa MIPS de Medicare revisa las dos cosas: desde el período de desempeño de 2026, quienes reportan Promoting Interoperability declaran “Yes” (sí) a cada una dentro del año calendario, y para el manejo de riesgos CMS acepta un plan de manejo de riesgos y un esfuerzo de buena fe por llevarlo a cabo. A los consultorios pequeños (15 profesionales o menos) se les asigna peso cero en esa categoría, salvo que envíen sus datos (42 CFR 414.1380(c)(2)(i)(C)).
Actualizar y guardar
Requisitos de la evaluación de riesgos de HIPAA: cada cuánto actualizarla y cuánto tiempo guardarla
Algunas organizaciones, señala el HHS, lo actualizan cada año o según haga falta (sus ejemplos: “bi-annual” o cada 3 años). Vuelva a hacer el análisis después de un incidente de seguridad, un cambio de dueño o la salida de personal clave o de la gerencia, y antes de incorporar tecnología nueva para que las operaciones sean más eficientes (eficiencia operativa), o mientras planifica los sistemas, como al abrir un consultorio. Cuando alguien del personal se va, quítele el acceso: el acuerdo del 17 de septiembre señaló que no había un procedimiento para hacerlo (164.308(a)(3)(ii)(C)), un paso que va en sus políticas de recursos humanos.
Guarde el análisis por escrito (en formato electrónico está bien) durante 6 años desde que se creó o desde la última fecha en que estuvo vigente, lo que sea más tarde, y revíselo periódicamente y después de cambios ambientales u operativos (164.316(b)).
Propuesta, todavía no es ley. La propuesta del HHS del 6 de enero de 2025 (90 FR 898) exigiría un inventario escrito de activos y un mapa de la red, un análisis escrito con ocho contenidos mínimos y una revisión por lo menos una vez cada 12 meses, con 180 días para cumplir desde que entre en vigor la regla final. La agenda federal apunta a julio de 2027.
“La Regla de Seguridad no especifica con qué frecuencia se debe hacer el análisis de riesgos como parte de un proceso integral de manejo de riesgos.”
Acuerdos de 2026
Lo que ordena la OCR cuando falta el análisis de riesgos para cumplir con HIPAA
Un ataque de phishing a la cuenta de correo de un empleado dio origen al caso del programa de consumo de sustancias. El plan de acción correctiva de la red de salud de la mujer fijó esta secuencia:
- En 30 días: el alcance y el método de un nuevo análisis de riesgos, enviados al HHS.
- En 180 días desde la aprobación del HHS: el análisis, que cubra cada local, con un inventario completo de equipos electrónicos, sistemas de datos, almacenamiento fuera del local y aplicaciones, escaneos de vulnerabilidades y pruebas de penetración (60 días por cada revisión).
- En 90 días desde la aprobación final del análisis: un plan de manejo de riesgos, adoptado dentro de los 30 días de su aprobación.
- En 60 días desde la aprobación del plan: las políticas y los procedimientos revisados.
- En 120 días desde la aprobación de las políticas: un informe de implementación con declaraciones firmadas por un dueño o directivo.
- Cada año del plan de 2 años: un nuevo análisis de riesgos.
Fuentes comunicados de HHS-OCR del 19 de febrero al 29 de octubre de 2026 (total: $3,780,250). La OCR tomó en cuenta la situación financiera de la empresa de software.
Nuestro servicio
Cómo trabajamos con usted en la evaluación de riesgos para cumplir con HIPAA
Hacemos el análisis de riesgos de seguridad con su suplidor de informática y armamos el plan para corregir lo que encuentre, con un acuerdo de socio comercial firmado antes de ver sus sistemas. Usted recibe un inventario de activos, un registro de riesgos y un plan de manejo de riesgos, y coordinamos los escaneos de vulnerabilidades con su suplidor de informática.
Las preguntas legales, como si un incidente es una violación de datos que hay que reportar, van a su propio abogado; no damos asesoría legal.
Servicios de evaluación de riesgos de HIPAA
Para su consultorio:
- Hacemos revisiones internas de cumplimiento y evaluaciones de riesgo para identificar deficiencias y lo que requiere acción correctiva
- Le ayudamos con auditorías, investigaciones y planes de acción correctiva
- Desarrollamos y actualizamos sus políticas y procedimientos
- Coordinamos la capacitación en HIPAA
- Seguimos los cambios en las reglas
Qué incluye
Qué incluyen nuestros servicios de evaluación de riesgos de HIPAA
Cumplimiento de HIPAA
El programa de HIPAA alrededor del análisis: políticas, avisos a pacientes, respuesta a violaciones de datos y multas.
Más informaciónAcuerdos BAA de HIPAA
Qué suplidores necesitan un acuerdo de socio comercial antes de tocar la ePHI y qué debe decir.
Más informaciónLista de HIPAA
Una lista de cumplimiento de HIPAA: privacidad, seguridad y notificación de violaciones, con sus plazos.
Más informaciónCapacitación en cumplimiento
Concientización en seguridad: los cuatro temas que nombra la Regla de Seguridad y los registros que debe guardar.
Más informaciónCumplimiento normativo
Cómo la evaluación anual de riesgos de cumplimiento y la auditoría cubren la facturación, la codificación y los referidos.
Más informaciónConsultoría
Cuándo un consultor externo que trabaja con sus expedientes se convierte en su socio comercial.
Más informaciónRespuestas rápidas
Evaluación de riesgos de HIPAA: suplidores, violaciones y costo
Su compañía de informática, la evaluación de violaciones de datos y de privacidad, el riesgo de los suplidores y el costo. Pregunte por sus propios sistemas en una consulta.
¿Puede hacer la evaluación de riesgos de HIPAA nuestra compañía de informática?
¿La evaluación de riesgos de una violación de datos es lo mismo?
¿También hay una evaluación de riesgos de privacidad de HIPAA?
¿Tenemos que evaluar el riesgo de nuestros suplidores?
¿Cuánto cuesta una evaluación de riesgos de HIPAA?
Hable con un asesor
Usted cuida a sus pacientes. ¿Quién cuida su negocio?
Cuéntenos dónde está su consultorio hoy. Le diremos qué haríamos primero.
Fuentes oficiales (en inglés)
Todas consultadas el 20 de octubre de 2026.
- eCFR, vigente al 19 de octubre de 2026: 45 CFR 160.103, 164.306, 164.308, 164.314, 164.316, 164.402 y 164.530; 42 CFR 414.1380
- HHS-OCR: Guidance on Risk Analysis (12 de agosto de 2026); Audit Protocol (julio de 2018); Business Associates (30 de julio de 2026); tecnologías de rastreo en línea (26 de junio de 2024); comunicados del 19 de febrero, del 5 de marzo, del 23 de abril, del 18 de junio, del 29 de julio y del 17 de septiembre y del 29 de octubre de 2026; el plan de acción correctiva de la red de salud de la mujer
- ASTP/ONC, Security Risk Assessment Tool (18 de septiembre de 2026) y su guía del usuario v3.7; NIST, SP 800-66 Rev. 2 (febrero de 2024)
- Federal Register, 90 FR 898 (6 de enero de 2025) y 90 FR 49266 (5 de noviembre de 2025); reginfo.gov, RIN 0945-AA22 (agenda de 2026)