Hospitales y clínicas · NOM-024 · NOM-004 · LFPDPPP
La NOM-024 pide un Sistema de Gestión de Seguridad de la Información. ¿Quién lo sostiene en su hospital?
Transformation Trends forma y prepara para la certificación a la persona que va a sostener cada obligación. La certificación es de la persona y se la lleva a donde vaya.
El contexto
Una obligación que se verifica
Todo establecimiento de atención médica que use expediente electrónico está obligado a implementar un Sistema de Gestión de Seguridad de la Información que asegure confidencialidad, integridad, disponibilidad, trazabilidad y no repudio (NOM-024-SSA3-2012, 6.6.1). La norma pide además un grupo de trabajo de seguridad de la información designado por el prestador, autenticación, permisos por rol y cifrado en el intercambio. En la verificación se revisa que el software esté certificado y que el prestador haya establecido su propio sistema de gestión.
La salud es un dato sensible (LFPDPPP, art. 2, fr. VI). Pide consentimiento expreso y por escrito (art. 8), medidas de seguridad (art. 18) y aviso inmediato a los pacientes ante una vulneración que los afecte de forma significativa (art. 19); con datos sensibles, las multas pueden llegar al doble. La NOM-004 obliga a todo el personal, también en consultorios, a guardar la confidencialidad del expediente y a conservarlo al menos cinco años.
El software certificado es una parte de la obligación. La otra es el sistema de gestión del hospital, y lo sostienen personas.
La oferta organizada por obligación
Qué se pide y quién lo puede sostener
Cada bloque es una obligación y la persona a la que le toca. Elija los bloques que aplican a su equipo: no hace falta llevarlos todos.
Para montar y sostener el sistema de gestión que pide la NOM-024
NOM-024-SSA3-2012, 3.23, 6.6.1 y 7.4.3.3 · LFPDPPP art. 18
Qué se pide
Un sistema de gestión de seguridad de la información basado en análisis de riesgos, que asegure confidencialidad, integridad, disponibilidad, trazabilidad y no repudio, y un grupo de trabajo designado que constate su implantación y sus revisiones.
A quién le toca
Integrantes del grupo de trabajo estratégico de seguridad de la información; responsable de TI o de calidad.
Para tratar los datos de salud como datos sensibles
LFPDPPP arts. 8, 15, 20, 29 y 31 · NOM-004-SSA3-2012, 5.5.1
Qué se pide
Consentimiento expreso y por escrito, aviso de privacidad que identifique los datos sensibles, confidencialidad del personal, una persona o un departamento de datos personales que responda las solicitudes en 20 días, y entrega del expediente a terceros solo con solicitud escrita.
A quién le toca
Persona o departamento de datos personales, jurídico, dirección médica y archivo clínico.
Nota: GDPR Certified Data Protection Officer forma el rol de oficial de datos con el reglamento europeo como base. El método se aplica a la ley mexicana; el criterio legal lo da el abogado del hospital.
Para responder a una vulneración y avisar a los pacientes
LFPDPPP art. 19 · Consejo de Salubridad General, Manual para Hospitales 2026
Qué se pide
Informar de forma inmediata a los pacientes cuando una vulneración los afecte de forma significativa, y contar con mecanismos de respuesta ante incidentes de seguridad de la información, que el modelo de certificación del Consejo de Salubridad General incluye entre sus estándares.
A quién le toca
Responsable de incidentes o del centro de monitoreo, propio o contratado, y TI.
Para proteger el expediente electrónico: accesos, roles, cifrado y trazabilidad
NOM-024-SSA3-2012, 5.8, 6.6.3 a 6.6.5 · Ley General de Salud art. 71 Septies
Qué se pide
Autenticación de usuarios, organizaciones y dispositivos; permisos por rol; cifrado y firma electrónica avanzada en el intercambio; trazabilidad de los registros. Los servicios de telesalud deben usar sistemas seguros y confiables.
A quién le toca
Administradores de red y sistemas; analistas de monitoreo.
Para mantener el expediente disponible e íntegro durante años
NOM-024-SSA3-2012, 5.6 · NOM-004-SSA3-2012, 5.4
Qué se pide
Mantener los sistemas operando para conservar la integridad, la confiabilidad y la disponibilidad de la información a través del tiempo, y conservar el expediente clínico al menos cinco años desde el último acto médico.
A quién le toca
Responsable de continuidad, TI e infraestructura.
Para que todo el personal cumpla la confidencialidad en el día a día
NOM-004-SSA3-2012, 5.7 · LFPDPPP art. 20 · Ley General de Salud art. 71 Septies
Qué se pide
La información del expediente se maneja con discreción y confidencialidad por todo el personal del establecimiento; quien interviene en el tratamiento de datos guarda confidencialidad incluso después de terminar la relación; en telesalud, el personal es designado y capacitado.
A quién le toca
Médicos, enfermería, recepción, facturación y archivo.
Nota: ISO/IEC 27001 Foundation tiene examen en español. C|SCU tiene material y examen en inglés; para grupos de al menos seis personas, la clase en vivo se imparte en español.
Lo que se dice y lo que dice el texto
Antes de invertir, cinco aclaraciones
- «Desde 2026 el expediente electrónico es obligatorio para todos»
- La reforma a la Ley General de Salud de enero de 2026 no lo hace obligatorio para el sector privado, y la NOM-004 mantiene lo electrónico como opción. Hay una iniciativa en la Cámara de Diputados que no se ha aprobado.
- «La NOM-024 obliga a certificarse en ISO/IEC 27001»
- Pide un sistema de gestión de seguridad de la información conforme a estándares en la materia, sin nombrar ninguno.
- «Con un software certificado ya cumplo»
- En la verificación se revisa además que el prestador haya establecido su propio sistema de gestión, y el prestador responde solidariamente por su personal.
- «Hay que avisar al INAI en 72 horas»
- El INAI se extinguió. La LFPDPPP pide avisar a los pacientes de forma inmediata, sin fijar horas ni aviso a una autoridad.
- «HIPAA aplica a cualquier hospital que atiende pacientes de Estados Unidos»
- Aplica a quien hace transacciones electrónicas cubiertas, como facturar a un plan de salud de ese país, o a quien lo acepta por contrato.
Cómo se entrega
Las modalidades, explicadas una vez
Autoestudio con examen
Material oficial; el participante avanza a su ritmo y presenta el examen en línea. Disponible para todo el catálogo.
eLearning con video
Video grabado por instructor certificado, en la plataforma oficial de PECB. El video en español está disponible en ISO/IEC 27001 Lead Implementer y Lead Auditor. En el resto del catálogo el video es en inglés, aunque el material y el examen sean en español.
En línea en vivo con instructor
Sesiones por videoconferencia impartidas por Transformation Trends, EC-Council Accredited Training Center (ATC) y PECB Authorized Partner. En EC-Council, la clase en vivo es en español para grupos de al menos seis personas.
Presencial en sus instalaciones
Grupo cerrado en su organización. Es la modalidad natural cuando hay que capacitar a varias áreas al mismo tiempo.
Lo que recibe su organización
Qué entrega Transformation Trends
- ✓Constancia con fecha y nombre del participante
- ✓Lista de asistencia
- ✓Temario oficial
- ✓Resultado de examen
- ✓Credencial del organismo certificador cuando el participante aprueba
Sirven como registro de la capacitación ante auditores, clientes y autoridades.
Límites claros
Lo que una certificación de personas no sustituye
- ·La certificación NOM-024 del software, que otorga la DGIS, y la certificación del establecimiento, que otorga el Consejo de Salubridad General.
- ·La certificación ISO/IEC 27001 de la organización, que otorga un organismo de certificación.
- ·Los consentimientos, el aviso de privacidad y los contratos con proveedores, que son documentos legales del hospital.
- ·La interoperabilidad entre sistemas (HL7) y la firma electrónica avanzada de los profesionales.
- ·Un contrato HIPAA (BAA) o los términos de un convenio con aseguradoras.
Siguiente paso
Formamos a quien va a sostener cada obligación.
Cuéntenos cuántas personas son y qué áreas tiene su equipo. Le decimos qué aplica y cómo se entrega.
EC-Council Accredited Training Center (ATC) · PECB Authorized Partner
¿Prefiere escribir por correo?
contacto@transformationtrends.mx