Seguridad

Seguridad y gobierno en cada acción.

Para la dirección y el área de sistemas. Opera trabaja con información sensible de pacientes y financiadores. Cada puesto tiene permisos acotados, cada decisión importante pasa por una persona y cada acción queda registrada, dentro de un sistema de gestión certificado ISO/IEC 27001.

Ver los controles Solicitar documentación

ISO/IEC
27001

Centro de confianzaCertificación activa · Controles implementados

Gobierno de los puestos6/6
Trazabilidad4/4
Accesos y credenciales5/5
Protección de datos4/4
Operación y continuidad4/4
Organización4/4

27 controles en 6 áreas · Revisados en el sistema de gestión ISO/IEC 27001

ISO/IEC 27001Certificación activa

Aprobación humanaEn cada excepción

Registro completoDe cada acción de cada puesto

7 paísesMarco de datos personales de cada uno

Así se gobierna cada acción.

Ningún puesto actúa por fuera de este circuito. La autonomía de cada uno se amplía solo cuando su historial lo justifica.

El puesto propone
Prepara la acción con el dato de origen.
Las reglas verifican
Convenio, permisos y límites del puesto.
Una persona decide
Si cambia un valor o no hay regla clara.
Se ejecuta
En el sistema o el portal, con el acceso autorizado.
Queda registrado
Quién, qué, cuándo y con qué dato.

Todo queda registrado.

El registro muestra qué hizo cada puesto, con qué dato, cuándo y quién aprobó. La dirección lo consulta en el panel del gerente.

RegistroHoy

Todas las acciones de todos los puestos

HoraPuestoAcciónResponsable

10:42Actualización de arancelesPropuso +4,5 % en un convenio, 212 prácticas desde el 1/11Espera aprobación

10:38Auditoría de internacionesAvisó a Admisión que falta autorizar una orden del paciente HC 27.611Puesto

10:31Carga en portalesCargó 212 prácticas en el portal de PAMI y comprobó el lotePuesto

10:12CobranzasEnvió el reclamo de la factura de septiembre de Obra social AAprobó Dirección administrativa

09:58Liquidación de honorariosDescontó un débito de $ 18.400 de la liquidación de una profesionalAprobó Dirección administrativa

Controles de seguridad.

Los controles que aplica Opera, agrupados por área. Todos se gestionan y auditan dentro del sistema de gestión ISO/IEC 27001.

Gobierno de los puestos

Qué puede hacer cada puesto y quién decide.

Implementado

Lectura primero
Muchos puestos solo leen el sistema y avisan; lo corrige el equipo y el puesto comprueba.
Permisos por puesto
Cada puesto accede solo a los sistemas, portales y datos que su tarea necesita.
Aprobación humana de excepciones
Lo que no tiene una regla clara llega a una persona con la decisión preparada.
Autonomía por etapas
Los puestos empiezan avisando o proponiendo, y resuelven por su cuenta los casos claros cuando su historial lo justifica.
Acciones irreversibles con aprobación
Ningún puesto da de baja pacientes ni cambia valores sin la aprobación de una persona.
Sin atajos
Los puestos respetan los controles de cada portal, como lo haría tu equipo.

Trazabilidad

Qué pasó, cuándo, con qué dato y quién lo aprobó.

Implementado

Registro de cada acción
Cada acción de cada puesto queda registrada con fecha, hora, dato de origen y resultado.
Registro de aprobaciones
Cada decisión humana queda asociada a la persona que la tomó.
Panel del gerente
La dirección ve en un solo lugar el trabajo de todos los puestos y lo que espera aprobación.
Tiempo de espera medido
El gerente mide cuánto espera cada tarea por una persona.

Accesos y credenciales

La clínica controla con qué accesos trabaja Opera.

Implementado

Sobre el sistema de la clínica
Opera trabaja sobre el sistema de gestión que ya usa la clínica, sin reemplazarlo.
Credenciales que autoriza la clínica
Los puestos usan solo los accesos que la clínica habilita.
Revocación inmediata
La clínica puede cortar el acceso de un puesto en cualquier momento.
Mínimo privilegio
Cada acceso se limita a lo necesario para el proceso que cubre el puesto.
Revisión periódica de accesos
Los accesos se revisan dentro del sistema de gestión de seguridad.

Protección de datos

Cómo se trata la información de pacientes y financiadores.

Implementado

Cifrado en tránsito y en reposo
La información viaja y se almacena cifrada.
Separación por institución
Los datos de cada clínica se mantienen separados de los de las demás.
Datos sensibles de salud
Se procesan solo para la tarea administrativa asignada y según el contrato con la institución.
Sin uso para entrenar modelos
La información de pacientes de la clínica no se usa para entrenar modelos de inteligencia artificial.

Operación y continuidad

Cómo se sostiene el servicio y se responde a incidentes.

Implementado

Gestión de incidentes
Procedimiento definido para detectar, contener, comunicar y resolver incidentes.
Respaldos
Copias de seguridad periódicas de la configuración y los registros.
Monitoreo continuo
El gerente detecta cuando un portal o sistema deja de responder y deriva el trabajo afectado.
Continuidad
Si un puesto se detiene, el trabajo vuelve a una persona sin perderse.

Organización

Las prácticas del equipo que construye Opera.

Implementado

Certificación ISO/IEC 27001
Sistema de gestión de seguridad de la información certificado y auditado.
Gestión de riesgos
Evaluación periódica de riesgos de seguridad de la información.
Confidencialidad
Acuerdos de confidencialidad con todo el equipo y los proveedores.
Gestión de proveedores
Los proveedores que tratan información se evalúan dentro del sistema de gestión.

Regulación

Datos personales, según cada país.

El tratamiento de datos sigue la normativa de protección de datos personales de cada país donde trabajan las clínicas que usan el sistema de nuestro equipo.

ArgentinaLey 25.326 de Protección de los Datos Personales
ChileLey 19.628 sobre Protección de la Vida Privada
ColombiaLey 1581 de Protección de Datos Personales
MéxicoLFPDPPP y NOM-004-SSA3-2012
PerúLey 29.733 de Protección de Datos Personales
República DominicanaLey 172-13 de Protección de Datos
EspañaRGPD y Ley Orgánica 3/2018

Documentación.

Para tu área de sistemas, legal o auditoría. La política de seguridad es pública; el resto lo enviamos a pedido, bajo acuerdo de confidencialidad.

Política de seguridad de la informaciónPrincipios y controles del sistema de gestión.
Ver
Certificado ISO/IEC 27001Alcance y vigencia de la certificación.
Solicitar
Acuerdo de tratamiento de datosCondiciones para el tratamiento de datos de pacientes por cuenta de la clínica.
Solicitar
Plan de respuesta a incidentesCómo se detecta, comunica y resuelve un incidente.
Solicitar

Preguntas de seguridad.

¿Quién puede ver lo que hacen los puestos?

La dirección y las personas que la clínica habilita. El registro de cada acción está disponible en el panel del gerente.

¿Qué pasa si quiero cortar el acceso de un puesto?

La clínica revoca las credenciales y el puesto deja de operar en ese sistema o portal de inmediato.

¿Los puestos pueden borrar información?

Solo con la aprobación de una persona: ningún puesto borra información ni da de baja pacientes por su cuenta.

¿Se usan los datos de mis pacientes para entrenar modelos?

No. La información de la clínica se usa solo para la tarea administrativa que cada puesto tiene asignada.

¿Quién es responsable de los datos?

La institución de salud es la responsable de los datos de sus pacientes. Opera los trata por cuenta de la institución y según el contrato.

¿Pueden auditarnos?

Sí. Compartimos la documentación del sistema de gestión y coordinamos las revisiones que tu institución necesite.

Revisemos la seguridad con tu equipo.

Te mostramos permisos, registros y aprobaciones sobre tu propia operación, y respondemos el cuestionario de seguridad de tu institución.

Solicitar reunión