La Oficina de Derechos Civiles (OCR) del HHS reportó 725 violaciones de datos de salud en 2024 que afectan a 275 millones de registros de pacientes — el número más alto jamás registrado en un solo año. El costo promedio de una violación en el sector salud alcanzó los $10.22 millones en 2025 (Informe de Costo de una Violación de Datos de IBM), impulsado por las sanciones monetarias civiles de HIPAA, costos legales, notificación a pacientes, monitoreo de crédito y daño reputacional.
Para las entidades cubiertas y asociados comerciales de salud en EE. UU., 2025 representa un año de cumplimiento crucial: la propuesta de actualización de la Regla de Seguridad de HIPAA (marzo de 2025) crearía los requisitos técnicos de HIPAA más significativos desde que se finalizó la Regla de Seguridad original en 2003.
725 Violaciones: ¿Qué Salió Mal en 2024?
Los datos del portal de violaciones de OCR revelan las categorías de fallas que impulsan el volumen récord de violaciones en 2024:
Incidentes de hacking/TI: 74% de las violaciones reportadas — la categoría dominante. Los compromisos de servidores de red, ransomware y compromisos de correo electrónico empresarial representan la mayoría. El cambio es estructural: los atacantes han pasado de apuntar a estaciones de trabajo individuales a ataques a nivel de red que comprometen sistemas EHR completos, extrayendo millones de registros simultáneamente.
Acceso/divulgación no autorizados: 18% de las violaciones. Incluye amenazas internas, controles de acceso mal configurados que exponen datos de pacientes a personal no autorizado, y divulgación accidental a destinatarios incorrectos.
Incidentes de terceros/asociados comerciales: Cada vez más significativos — 35% de las violaciones de 2024 se originaron en asociados comerciales en lugar de entidades cubiertas. Change Healthcare (subsidiaria de UnitedHealth Group) afectó a más de 190 millones de pacientes — la mayor violación de datos de salud en EE. UU. en la historia.
Robo/pérdida de medios portátiles: 8% de las violaciones. Laptops, unidades USB y registros en papel robados o perdidos sin protección de cifrado.
Los 18 Identificadores de PHI: Estándar de Puerto Seguro de HIPAA
El método de desidentificación de Puerto Seguro de HIPAA (45 CFR §164.514(b)) requiere la eliminación de todos los 18 identificadores de PHI especificados. La mayoría de las entidades cubiertas y asociados comerciales están familiarizados con la lista conceptualmente, pero el desafío de detección es técnico:
- Nombres: Todos los nombres de pacientes, familiares, empleadores
- Datos geográficos: Todas las subdivisiones más pequeñas que el estado (dirección, ciudad, condado, distrito, primeros 3 dígitos del código postal si <20,000 población)
- Fechas: Todas las fechas directamente relacionadas con el paciente (nacimiento, admisión, alta, muerte) excepto el año
- Números de teléfono: Todos los números de teléfono
- Números de fax: Todos los números de fax
- Direcciones de correo electrónico: Todas las direcciones de correo electrónico
- Números de seguro social: Todos los SSNs
- Números de registro médico: Todos los formatos de MRN (varían según el sistema EHR)
- Números de beneficiarios de planes de salud: Todos los ID de miembros de seguros
- Números de cuenta: Todos los números de cuentas financieras
- Números de certificados/licencias: Licencia médica, registro DEA, números de licencias estatales
- Identificadores de vehículos: VINs, números de matrícula
- Identificadores de dispositivos: Números de serie, identificadores únicos de dispositivos
- URLs web: Todas las direcciones web
- Direcciones IP: Todas las direcciones IP
- Identificadores biométricos: Huellas dactilares y de voz
- Fotografías de rostro completo e imágenes comparables
- Cualquier otro número, código o característica identificativa única
El 18º identificador — "cualquier otro número identificativo único" — es el requisito de detección más desafiante. Significa que cualquier identificador específico de la base de datos que pueda vincular registros a un paciente específico debe ser detectado y eliminado, incluso si no coincide con un patrón predefinido.
Propuesta de Actualización de la Regla de Seguridad de HIPAA: ¿Qué Cambios en 2025-2026?
La propuesta de actualización de la Regla de Seguridad de HIPAA publicada en marzo de 2025 requeriría:
Auditorías anuales de cifrado: Las entidades cubiertas deben realizar auditorías técnicas anuales verificando que toda la PHI en reposo esté cifrada con AES-256 o equivalente, y que la gestión de claves de cifrado cumpla con estándares documentados.
Procedimientos de desidentificación documentados: Para cualquier PHI utilizada en investigación, mejora de calidad, entrenamiento de IA o análisis, las entidades cubiertas deben mantener procedimientos documentados que demuestren cómo se logra la desidentificación — no solo una declaración de política, sino documentación técnica con evidencia de validación.
Requisitos de seguridad para asociados comerciales: Los asociados comerciales ahora deben cumplir con requisitos específicos de seguridad técnica (anteriormente delegados a acuerdos de asociados comerciales sin especificación técnica). Las evaluaciones técnicas de BA se vuelven obligatorias antes de la incorporación.
Autenticación multifactor: Todos los miembros del personal con acceso electrónico a PHI deben usar MFA. No hay excepciones para "sistemas heredados" — la regla propuesta requiere MFA independientemente de la antigüedad del sistema.
Pruebas de respuesta a incidentes: Ejercicios anuales de mesa y pruebas técnicas de procedimientos de respuesta a incidentes. Se debe conservar evidencia de las pruebas.
La Lección de Change Healthcare
La violación de Change Healthcare (febrero de 2024) — que afectó a más de 190 millones de estadounidenses — ilustró el riesgo sistémico de la infraestructura interconectada de la salud. Change Healthcare procesó 15 mil millones de transacciones de salud anualmente como un intermediario entre proveedores, pagadores y farmacias.
La violación comenzó con una credencial de acceso remoto de Citrix sin protección de MFA. Una vez dentro, los atacantes se movieron lateralmente a través de la red de Change Healthcare durante 9 días antes de desplegar ransomware.
La lección sistémica: cualquier asociado comercial con acceso a datos de transacciones de salud representa un riesgo sistémico para todo el ecosistema de salud al que se conecta. El marco de asociados comerciales de HIPAA no fue diseñado para proveedores de infraestructura sistémica con acceso a un tercio de todas las transacciones de salud en EE. UU.
Para entidades cubiertas y asociados comerciales: la violación de Change Healthcare informó directamente los requisitos propuestos de la Regla de Seguridad de HIPAA para segmentación de red, MFA y evaluaciones técnicas de asociados comerciales.
Fuentes: