La consulta se detiene
Si un ransomware cifra el sistema de citas o el expediente electrónico, no hay agenda, ni historial, ni recetas a la mano.
SECTORES · CLÍNICAS Y CONSULTORIOS
Ciberseguridad para clínicas
y consultorios en México.
En una clínica, un ataque no solo cifra archivos: detiene la agenda, la consulta y el acceso al expediente de tus pacientes. Además, para la ley la información de salud es un dato sensible. Protegemos tus equipos, tus sistemas y tus respaldos para que sigas atendiendo y cumplas lo que piden las normas.
Los riesgos de tu giro.
Datos de salud expuestos
Si se expone información de tus pacientes, la ley te pide avisarles de inmediato cuando sus derechos se vean afectados de forma significativa.
Contraseñas compartidas
Cuando recepción, médicos y enfermería usan la misma cuenta, si alguien la roba nadie sabe quién entró ni qué consultó.
Equipos sin actualizar
Computadoras de recepción, equipos de laboratorio o el servidor del expediente con versiones viejas: cada una es una puerta abierta.
El sitio web también es una puerta
El portal de citas, de resultados o de registro guarda datos personales, aunque no sea el sistema clínico.
Proveedores con acceso remoto
El proveedor del sistema de expediente o del equipo médico entra a distancia. Si nadie controla ese acceso, es otra entrada.
Casos, alertas
y datos.
Casos confirmados por las propias empresas, alertas de autoridades y estudios con metodología publicada. Cada uno con su fuente.
- En junio de 2025, el Hospital Civil de Guadalajara, institución pública, informó el hackeo de un apartado del sitio web de su Subdirección General de Enseñanza. Presentó denuncia, notificó a las personas afectadas y precisó que el incidente no tuvo impacto en su red, sus servidores, sus sistemas clínicos ni los expedientes de pacientes. (Hospital Civil de Guadalajara)
- En enero de 2024, el Instituto Nacional del Cáncer de Brasil sufrió un ataque cibernético en la madrugada del 27 de enero; días después informó que su atención había vuelto a la normalidad. (Instituto Nacional de Câncer (INCA), Brasil)
- AutoridadEn septiembre de 2023, la policía de Brasil detuvo a sospechosos de infectar con ransomware la red de un hospital del Distrito Federal brasileño, cifrar sus datos y exigir dinero. (Policía Civil de Paraná, Brasil)
- EstudioEn una encuesta de Sophos a 292 prestadores de salud afectados por ransomware en 17 países, la causa técnica más común fue una vulnerabilidad sin corregir (33 % de los casos) y el 36 % pagó el rescate. (Sophos)
- EstudioSegún IBM, el sector salud registró por decimocuarto año consecutivo el costo promedio más alto por brecha de datos: 7.42 millones de dólares. (IBM)
Lo que piden
las normas.
Resumen en lenguaje sencillo, con enlace al texto oficial. No sustituye la asesoría legal.
- La NOM-004 obliga a conservar el expediente clínico al menos cinco años, contados desde el último acto médico, y a manejar su información con discreción y confidencialidad por todo el personal. (NOM-004-SSA3-2012, Diario Oficial de la Federación)
- La NOM-024 regula los sistemas electrónicos de registro de salud, también en el sector privado. Entre sus definiciones establece que el acceso debe limitarse con mecanismos de seguridad como la autenticación, y entiende la seguridad como preservar la confidencialidad, la integridad y la disponibilidad de la información. (NOM-024-SSA3-2012, Diario Oficial de la Federación)
- La ley de protección de datos personales de 2025 considera sensible la información de salud, pide medidas de seguridad administrativas, técnicas y físicas (artículo 18), avisar de inmediato a los titulares de las vulneraciones que afecten significativamente sus derechos (artículo 19) y guardar confidencialidad (artículo 20). La autoridad es la Secretaría Anticorrupción y Buen Gobierno. (Diario Oficial de la Federación)
Cómo te protegemos.
Recepción, consultorio y laboratorio
Protección EDR y actualizaciones en cada computadora con Windows 10 u 11, sin detener la consulta.
ComputadorasEl expediente, respaldado
El servidor del expediente electrónico con respaldo diario, copia en la nube bloqueada contra borrado y una restauración de prueba cada trimestre.
ServidoresRedes separadas
Los equipos de la clínica en una red, el Wi-Fi de pacientes en otra y los equipos médicos aparte, con reglas que deciden quién llega a qué.
Red y firewallUn equipo infectado no contagia a los demás
Si una computadora se infecta, la plataforma la aísla de forma automática y nos avisa, para que el resto de la clínica siga atendiendo.
Protección contra ransomwareAccesos revisados
En el diagnóstico sin costo revisamos quién entra a distancia, incluidos los proveedores, y qué cuentas tienen privilegios de administrador.
Pedir diagnósticoSi ya pasó algo
Llamada inicial sin costo para contener el incidente y entender qué información se expuso, como base para decidir los avisos a pacientes.
¿Te atacaron?Cumplir las normas es responsabilidad de la clínica. Te ayudamos con las medidas técnicas: respaldos, accesos, actualizaciones y registros de lo que pasa en tus equipos. No sustituimos la asesoría legal y no certificamos el cumplimiento.
Lo que gana
tu negocio.
La seguridad no es solo un gasto: es lo que te permite seguir operando, crecer y responder cuando un cliente, un banco o una autoridad te pregunta cómo cuidas la información.
La consulta sigue
Agenda y expediente disponibles aunque falle un equipo: tus pacientes no esperan por un problema técnico.
Cumplir con evidencia
Respaldos probados y accesos revisados que puedes mostrar si una autoridad o una aseguradora te los pide.
Pacientes que confían
Cuidar su información también es parte de atenderlos bien.
Tu equipo dedicado a los pacientes
Nos encargamos de los equipos y de la seguridad para que el personal no tenga que hacerlo.
Reglas que puedes
aplicar hoy.
No requieren tecnología, y frenan buena parte de los ataques de tu giro.
- Una cuenta por persona: recepción, médicos y enfermería no deben compartir contraseñas.
- Respalda el expediente electrónico todos los días y comprueba que se pueda restaurar.
- El Wi-Fi de pacientes, siempre separado de los equipos de la clínica.
- Revisa qué proveedores entran a distancia a tus sistemas y desactiva los accesos que ya no se usan.
Fuentes.
Fuentes consultadas el 4 de octubre de 2026. Preferimos fuentes primarias: autoridades, las propias empresas y los estándares.
- NOM-004-SSA3-2012, Diario Oficial de la Federación. NORMA Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico. 15 de octubre de 2012. (Autoridad) https://dof.gob.mx/nota_detalle_popup.php?codigo=5272787
- NOM-024-SSA3-2012, Diario Oficial de la Federación. NORMA Oficial Mexicana NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. 30 de noviembre de 2012. (Autoridad) https://dof.gob.mx/nota_detalle_popup.php?codigo=5280847
- Diario Oficial de la Federación. Ley Federal de Protección de Datos Personales en Posesión de los Particulares. 20 de marzo de 2025. (Autoridad) https://www.dof.gob.mx/nota_detalle.php?codigo=5752569&fecha=20/03/2025
- Hospital Civil de Guadalajara. Procede HCG con acciones legales ante hackeo de un apartado del sitio web de la Subdirección de Enseñanza. 25 de junio de 2025. (Institución pública) https://portal.hcg.gob.mx/hcg/boletin/3009
- Instituto Nacional de Câncer (INCA), Brasil. Atendimentos no INCA voltam à normalidade após ataque cibernético. 6 de febrero de 2024. (Institución pública) https://www.gov.br/inca/pt-br/assuntos/noticias/2024/atendimentos-no-inca-voltam-a-normalidade-apos-ataque-cibernetico
- Policía Civil de Paraná, Brasil. PCPR e PCDF prendem suspeitos de hackear rede de hospital no Distrito Federal. 29 de septiembre de 2023. (Autoridad) https://www.seguranca.pr.gov.br/Noticia/PCPR-e-PCDF-prendem-suspeitos-de-hackear-rede-de-hospital-no-Distrito-Federal
- Sophos. The State of Ransomware in Healthcare 2025. 8 de octubre de 2025. (Estudio con metodología publicada) https://www.sophos.com/en-us/blog/the-state-of-ransomware-in-healthcare-2025
- IBM. Cost of a Data Breach Report 2025. 30 de julio de 2025. (Estudio con metodología publicada) https://www.ibm.com/downloads/documents/us-en/131cf87b20b31c91
Preguntas frecuentes.
Respuestas claras.
¿Qué piden las normas mexicanas sobre el expediente clínico?
La NOM-004 pide conservarlo al menos cinco años desde el último acto médico y manejarlo con confidencialidad. La NOM-024 regula los sistemas electrónicos de salud y pide limitar el acceso con mecanismos como la autenticación. Y la ley de datos personales pide medidas de seguridad administrativas, técnicas y físicas.
¿Qué hago si se exponen datos de mis pacientes?
Primero contener el incidente y entender qué información se expuso. La ley pide avisar de inmediato a los pacientes cuando la vulneración afecta de forma significativa sus derechos. Te ayudamos con la parte técnica; la decisión sobre los avisos tómala con tu abogado.
¿Pueden proteger el sistema de expediente electrónico que ya uso?
Protegemos el servidor o las computadoras donde corre, sus respaldos y quién entra a ellos. El programa sigue siendo de tu proveedor; nos coordinamos con él cuando hace falta.
¿Dónde se guardan los respaldos?
En la nube, en Estados Unidos, con una copia bloqueada contra borrado. Si necesitas que tus datos se queden en México, lo cotizamos.
¿Cuánto cuesta para una clínica?
La protección de computadoras y servidores tiene precios publicados, iguales en todo México. La red se cotiza después de analizarla.
EMPECEMOS POR LO IMPORTANTE
Empieza por saber
cómo estás hoy.
En 30 minutos revisamos lo esencial de tu empresa y te entregamos el reporte el mismo día.
Pedir diagnóstico sin costo
Lunes a viernes, 9:00–18:00.
Incidentes de seguridad: a cualquier hora.
