Por: La mayoría de los equipos de sectores regulados sabe que existen normas. HIPAA. FINRA. SOC 2. La sopa de letras de marcos normativos que rigen cómo se trata la información confidencial.
Los grandes asuntos no son lo que la mayoría de los equipos hace mal. Nadie envía por correo historiales de pacientes sin cifrar a propósito. Los fallos son más discretos. Un enlace compartido sin fecha de caducidad. Un PDF «protegido con contraseña» que cualquier herramienta gratuita puede desbloquear en segundos. Un registro de auditoría que no existe porque a nadie se le ocurrió activarlo.
Y cuando llega el auditor, no comprueba si conoces las normas. Comprueba si las has cumplido. Son cosas distintas.
El error que más dinero cuesta
Este es el patrón que se repite en sanidad, finanzas y servicios jurídicos: los equipos invierten demasiado en bloquear el acceso y demasiado poco en demostrar que lo bloquearon.
¿Cifrado? Probablemente correcto. Usas HTTPS. Tu plataforma cifra los datos en reposo. Listo.
Pero ¿qué ocurre con los registros de auditoría y los registros de acceso? ¿Puedes demostrar que solo las personas autorizadas vieron el documento, cuándo lo hicieron y durante cuánto tiempo? Ahí es donde aparecen las lagunas.
La regla de seguridad de la HIPAA, recogida en el 45 CFR 164.312, establece cinco salvaguardas técnicas: controles de acceso, controles de auditoría, controles de integridad, autenticación de personas o entidades y seguridad de la transmisión. Cuatro de las cinco tratan de seguir y restringir quién accede a los datos. Solo una trata del cifrado.
Sin embargo, la mayoría de las conversaciones sobre cumplimiento empiezan y terminan con el cifrado. Es la casilla más fácil de marcar. Todo lo demás es la parte difícil.
En 2024, la Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos de Estados Unidos informó de 725 grandes filtraciones de datos sanitarios que afectaron a más de 276 millones de registros. Ese año, la OCR cerró 22 investigaciones de ejecución y recaudó 12,8 millones de dólares en sanciones. El mayor acuerdo individual ascendió a 4,75 millones de dólares y afectó al Montefiore Medical Center por infringir la regla de seguridad.
Esas cifras siguen creciendo. Y el denominador común de la mayoría de las medidas sancionadoras no es que las organizaciones carecieran de seguridad, sino que no podían demostrar la que tenían.
Proteger con contraseña no es ofrecer seguridad
Hay que decirlo con claridad porque los equipos de todos los sectores regulados siguen recurriendo a ello.
Proteger un PDF con contraseña no aporta una seguridad significativa. Las contraseñas de permisos de los PDF pueden eliminarse al instante con herramientas gratuitas que aparecen en la primera página de Google. Incluso las contraseñas necesarias para abrir un documento son vulnerables a ataques de fuerza bruta con programas muy accesibles.
Y lo que es peor: en cuanto compartes la contraseña, pierdes su control. El destinatario puede reenviarla, apuntarla en una nota adhesiva o compartirla con todo su equipo. Nunca lo sabrás.
Para una entidad cubierta por la HIPAA, esto importa porque la regla de seguridad exige implementar políticas técnicas que «permitan el acceso únicamente a las personas o programas informáticos a los que se hayan concedido derechos de acceso». Una contraseña compartida para un PDF no alcanza ese umbral. No existe identificación individual de usuarios. No hay registro de accesos. No hay forma de revocar el acceso después.
En los servicios financieros, el problema es parecido, aunque la consecuencia sea distinta. Para las auditorías de cumplimiento, debes demostrar quién accedió a qué y cuándo. Un PDF protegido con contraseña no te proporciona ninguno de esos datos.
Usa contraseñas si quieres poner un pequeño obstáculo. Pero no confundas un obstáculo con un muro.
Qué exige realmente la HIPAA para los documentos compartidos
La mayoría de los artículos sobre la HIPAA y el intercambio de documentos se queda en «proteja los datos de los pacientes». Eso no ayuda. Veamos qué dice realmente la normativa.
Si compartes documentos que contienen PHI (información sanitaria protegida), la regla de seguridad de la HIPAA exige:
Controles de acceso con identificación única de usuarios. Cada persona que accede a PHI debe poder identificarse de forma individual. No vale decir «el equipo utilizó un acceso compartido» ni «les dimos la contraseña». Identificación individual y registrada.
Controles de auditoría. Necesitas «mecanismos de hardware, software o procedimientos que registren y examinen la actividad en sistemas de información que contengan o utilicen información sanitaria electrónica protegida». En otras palabras: necesitas registros que muestren quién accedió a qué y cuándo.
Seguridad de la transmisión. Los datos en tránsito deben estar cifrados. Esta es la parte que la mayoría de las plataformas ya resuelve con HTTPS/TLS.
Controles de integridad. Debes poder demostrar que los documentos no se modificaron después de compartirlos.
Autenticación de personas o entidades. Debes verificar que quien accede al documento es quien afirma ser.
Y después está el acuerdo de socio comercial. Si tu plataforma de documentos tiene contacto con PHI, es un socio comercial. Debe firmar un BAA en el que acepte la responsabilidad compartida. Sin BAA ya estás incumpliendo, por muy bueno que sea su cifrado.
Hay algo que suele confundir a los equipos sanitarios: los materiales generales de educación para pacientes (descripciones de procedimientos, guías de bienestar y folletos de centros) no suelen contener PHI y pueden compartirse libremente. Las normas entran en juego cuando el documento está vinculado a un paciente identificable. Ten clara la diferencia.
La lección de 3500 millones de dólares de Wall Street sobre las comunicaciones «fuera de canal»
El sector financiero tiene su propia versión de este problema, y el coste es abrumador.
Desde 2021, la SEC y la CFTC han recaudado más de 3500 millones de dólares en sanciones de empresas financieras cuyos empleados utilizaron WhatsApp, Signal y mensajes de texto personales para hablar de negocios. Solo en agosto de 2024, 26 empresas pagaron 393 millones de dólares en una única oleada de medidas sancionadoras.
¿Qué norma infringieron? La regla 17a-4 de la SEC y la regla 4511 de FINRA, que obligan a los agentes de bolsa a conservar todas las comunicaciones relacionadas con el negocio durante al menos tres años en un sistema que mantenga un registro de auditoría completo, con marcas de tiempo y todas las modificaciones y eliminaciones.
Gurbir Grewal, director de la División de Cumplimiento de la SEC, fue tajante al anunciar cargos contra 16 empresas de Wall Street: «Los requisitos de conservación de registros son sagrados. Si se alega que ha habido una infracción o conducta indebida, debemos poder examinar los libros y registros de una empresa para determinar qué ocurrió».
No se trata del contenido de los mensajes. Como comentó un usuario de Hacker News, «probablemente el 99,9 % eran recordatorios de reuniones, mensajes sobre asistencia y cobertura, o mensajes a un miembro del equipo que había cambiado de zona horaria y podía estar ausente cuando necesitabas una respuesta, etc.».
Da igual. Lo que se exige es el registro, no el contenido. Si un informe de cliente, una actualización de cartera o una recomendación de inversión se comparte por un canal que no permite conservarla y archivarla, la empresa queda expuesta.
En el caso concreto de los documentos, esto significa que los equipos de servicios financieros necesitan plataformas que registren cada acceso, mantengan registros inmutables y se integren con sus requisitos de archivo. Si un auditor pregunta «¿quién vio este informe de cliente y cuándo?», la respuesta no puede ser «no lo sabemos».
Qué buscan realmente los auditores
Los auditores de todos los sectores regulados suelen comprobar lo mismo, tanto si se trata de una auditoría HIPAA como de un examen FINRA o una evaluación SOC 2. En el intercambio de documentos, esto es lo que importa:
¿Puedes mostrar quién accedió a qué? Identificación individual de usuarios. Ni direcciones IP ni acceso por equipos. El auditor quiere ver un registro que diga: «[email protected] vio las páginas 1-14 a las 14:47 del 3 de marzo».
¿Puedes mostrar quién no accedió? Puede parecer contradictorio, pero importa. Si un documento estaba restringido a determinados dominios o usuarios, ¿puedes demostrar que los usuarios no autorizados quedaron bloqueados?
¿Se aplican de verdad los controles de acceso? Tener una política de restricción por dominios escrita en un manual no cuenta. El auditor quiere verla configurada y operativa en la plataforma.
¿Durante cuánto tiempo conservas los registros de acceso? La HIPAA exige seis años. FINRA exige de tres a seis años, según el tipo de registro. Si tu plataforma elimina los registros después de 90 días, tienes un problema.
¿Puedes revocar el acceso? Si un documento ya no debe estar disponible (por la marcha de un empleado, el fin de la relación con un cliente o el levantamiento de una retención por litigio), ¿puedes desactivar el enlace de inmediato? ¿Y puedes demostrar cuándo lo hiciste?
Como señaló un comentarista de Hacker News sobre las expectativas actuales en materia de cumplimiento sanitario: «La HIPAA es ahora el listón más bajo en sanidad. La mayoría de los sistemas sanitarios con varios hospitales ni siquiera te tienen en cuenta sin SOC2/HiTrust, además de auditorías de seguridad y pruebas de penetración frecuentes».
El listón sigue subiendo. Lo que superó una auditoría hace tres años puede no superarla hoy.
El problema silencioso del sector jurídico
Los bufetes trabajan bajo un marco diferente, pero igual de estricto: la regla modelo 1.6(c) de la ABA exige que los abogados «hagan esfuerzos razonables para evitar la divulgación accidental o no autorizada de información relacionada con la representación de un cliente, o el acceso no autorizado a ella».
El comentario 8 de la regla modelo 1.1 añade un requisito de competencia tecnológica: los abogados deben «mantenerse al día sobre las ventajas y los riesgos asociados a la tecnología pertinente».
Según la encuesta de tecnología jurídica de la ABA de 2023, el 29 % de los bufetes informó de un incidente de seguridad ese año, frente al 27 % del año anterior.
Los bufetes afrontan un reto particular. El secreto profesional entre abogado y cliente no es solo una buena práctica. Es la base de toda la profesión. Cuando se filtran documentos protegidos, las consecuencias van más allá de las multas. Los clientes pierden la confianza. Los casos pueden verse comprometidos. Después llegan las demandas por negligencia profesional.
Sin embargo, muchos bufetes siguen compartiendo documentos confidenciales de casos como archivos adjuntos por correo, sin seguimiento de accesos, confirmaciones de lectura ni posibilidad de revocar el acceso a posteriori. El correo sale de la bandeja de salida y el bufete pierde toda visibilidad sobre lo que sucede después.
Los documentos de exhibición de pruebas añaden otra capa. Las órdenes judiciales suelen especificar exactamente cómo deben tratarse, compartirse y, al final, destruirse los documentos. Si tu plataforma no permite un acceso controlado con eliminación verificable, estás creando riesgos cada vez que distribuyes materiales de un caso.
Cómo compartir documentos de forma segura de verdad (y no solo en teoría)
La distancia entre «tenemos funciones de seguridad» y «podemos demostrar que las utilizamos bien» es donde se producen la mayoría de los incumplimientos. Esto es lo que importa en la práctica:
Restricciones por dominio en lugar de contraseñas. Restringe el acceso al documento a dominios de correo concretos (@clientcompany.com, @lawfirm.com). Esto obliga a identificar a cada persona mediante la verificación de su correo. Obtienes un registro de auditoría de quién accedió a qué. Las contraseñas no ofrecen nada de eso.
Enlaces con caducidad. Define periodos de acceso. Un informe trimestral para un cliente no tiene que estar disponible para siempre. Un documento de exhibición de pruebas compartido para que lo revise la parte contraria debe caducar cuando termine el plazo de revisión.
Analítica por página como prueba de auditoría. Saber que alguien abrió un documento está bien. Saber que vio las páginas 1-12, pasó cuatro minutos en la página 7 (la de información financiera) y no accedió a las páginas 13-20 (que contienen datos que no debía ver) es una prueba apta para una auditoría.
Revocación inmediata. Cuando el acceso deba terminar, debe hacerlo en ese mismo instante. No después de la siguiente actualización de la caché. No cuando el enlace caduque el mes que viene. Ahora.
Registros de acceso exportables. Probablemente tu auditor no quiera iniciar sesión en tu plataforma de documentos. Querrá un CSV o PDF con los registros de acceso que pueda revisar sin conexión y adjuntar a su informe.
Dónde encaja Flipbooker
Flipbooker no se creó específicamente para sectores regulados, pero sus funciones de seguridad son pertinentes en este contexto.
Las restricciones por dominio permiten limitar el acceso a dominios de correo concretos. Los visitantes verifican su correo antes de entrar, y cada acceso se registra con identidad, marca de tiempo, páginas vistas y tiempo dedicado. Ese registro es tu pista de auditoría.
La protección con contraseña está disponible como capa adicional para documentos muy confidenciales. La caducidad de los enlaces controla durante cuánto tiempo permanece accesible un documento. Y como los flipbooks se consultan en el navegador en lugar de descargarse, mantienes el control incluso después de compartirlos. Revocas el enlace y termina el acceso.
Los equipos que necesiten compartir documentos con terceros y mantener registros de cumplimiento deberían evaluar si estos controles satisfacen sus requisitos normativos concretos. Ninguna plataforma garantiza por sí sola el cumplimiento. Este depende de tus políticas, de tu formación y de la constancia con la que utilices los controles disponibles.
El verdadero riesgo no son los actores maliciosos
Merece la pena señalar algo más. En los sectores regulados, la mayoría de los incumplimientos no son obra de piratas informáticos ni de personas malintencionadas. Son fruto de la comodidad.
Alguien comparte un enlace sin fijar una fecha de caducidad porque tiene prisa. Alguien usa su teléfono personal para enviar a un cliente un enlace a un documento porque el canal autorizado es lento. Alguien protege un PDF con contraseña y considera que es suficiente.
La comisaria de la CFTC Christy Goldsmith Romero resumió esta dinámica al afirmar que la CFTC «no permitirá que Wall Street socave el cumplimiento de la ley ocultando o eliminando comunicaciones relacionadas con operaciones bursátiles». Pero los empleados de esas empresas no intentaban socavar nada. Intentaban sacar adelante su trabajo.
La solución no son más normas. Es hacer que la vía conforme a la normativa sea la más fácil. Si tu plataforma segura para compartir documentos es más difícil de usar que enviar un PDF por correo, la gente enviará el PDF. Siempre.
Esa es la verdadera prueba de cualquier sistema de seguridad documental en un sector regulado. No si cumplir es posible, sino si es práctico.
FAQs
¿Proteger un PDF con contraseña hace que cumpla la HIPAA?
No. La protección por contraseña de un PDF puede eliminarse en cuestión de minutos con herramientas gratuitas. La HIPAA exige controles de acceso, registros de auditoría, cifrado en tránsito y en reposo, y un acuerdo de socio comercial con el proveedor de la plataforma. Una contraseña por sí sola no cumple ninguno de estos requisitos.
¿Necesito un acuerdo de socio comercial para compartir flipbooks con datos de pacientes?
Si el flipbook contiene cualquier PHI (información sanitaria protegida), sí. El proveedor de la plataforma debe firmar un BAA en el que acepte la responsabilidad compartida de proteger esos datos. Para materiales generales de educación de pacientes sin PHI, normalmente no se necesita un BAA.
¿Pueden los asesores financieros usar flipbooks para los informes de clientes?
Sí, con los controles de acceso adecuados. Los informes de clientes contienen datos financieros personales sujetos a las normas de la SEC y FINRA, por lo que necesitas restricciones por dominio, registros de auditoría y una plataforma que conserve los registros de acceso. El contenido general de marketing, como los flipbooks sobre perspectivas de mercado, puede compartirse con mayor libertad.
¿Qué diferencia hay entre el cumplimiento SOC 2 y el cumplimiento HIPAA en las plataformas de documentos?
La HIPAA es una ley federal con requisitos específicos para los datos sanitarios. SOC 2 es un marco voluntario de auditoría que abarca seguridad, disponibilidad y confidencialidad. Muchos sistemas sanitarios exigen ahora ambos. Coinciden en el cifrado y los controles de acceso, pero sus procesos de auditoría son distintos.
¿Durante cuánto tiempo debo conservar los registros de auditoría del acceso a documentos?
Depende del sector. La HIPAA exige seis años para los registros relacionados con la seguridad. FINRA exige entre tres y seis años para las comunicaciones empresariales. La conservación de documentos jurídicos varía según el caso y la jurisdicción. Ante la duda, conserva los registros más tiempo del que creas necesario.