LISTA DE VERIFICACIÓN DE SEGURIDAD DE TI PARA EL SECTOR SANITARIO: PROTECCIÓN DE DATOS Y CONTROL DE ACCESO. Created by ChecklistGuro (https://checklistguro.com) --- CIFRADO Y ALMACENAMIENTO DE DATOS --- [ ] Método de cifrado utilizado (datos en reposo) (AES-256, Triple DES, Otro (especificar)) [ ] Método de cifrado utilizado (datos en tránsito) (TLS 1.2 o versión superior., SSL 3.0, Otro (especifique)) [ ] Frecuencia de rotación de la clave de cifrado (días) [ ] Descripción de la(s) ubicación(es) de almacenamiento de datos. [ ] ¿Se ha implementado el enmascaramiento de datos? (Sí., No., Parcial) [ ] Documento de la política de gestión de claves de cifrado --- CONTROL DE ACCESO Y AUTENTICACIÓN --- [ ] ¿Está habilitada la autenticación multifactor? (Sí., No., Implementación parcial) [ ] ¿Se han aplicado los requisitos de complejidad de la contraseña? (Sí., No., Se requiere revisión.) [ ] Edad máxima de la contraseña (en días) [ ] Frecuencia de las revisiones de los permisos de acceso. (Mensual, Trimestral, Anualmente, Según necesidad.) [ ] Control de acceso basado en roles (RBAC) implementado para: (Historia clínica electrónica/registro médico electrónico, Sistemas financieros, Sistemas de información de laboratorio, Sistemas de gestión de imágenes, Otro (especificar)) [ ] Fecha de la última auditoría de control de acceso. [ ] Notas sobre los procesos de control de acceso --- SEGURIDAD DE LA RED --- [ ] Estado del firewall (Activo, Inactivo, Modo de mantenimiento) [ ] Número de reglas del firewall [ ] Estado del sistema de detección de intrusiones (IDS) (Activo, Inactivo, Alertas pendientes de revisión) [ ] Resumen de los registros de actividad de la red más recientes. [ ] Estado de la VPN (Activado., Desactivado., Conexiones activas: 0) [ ] Última fecha de análisis de seguridad de la red. [ ] ¿Se ha implementado la segmentación de la red? (VLAN, Microsegmentación, Reglas del firewall, Ninguno) --- SEGURIDAD DE LOS DISPOSITIVOS FINALES --- [ ] ¿Está instalado el software de protección para dispositivos finales? (Sí., No., No aplica.) [ ] Estado de finalización de la última exploración completa (0 = Fallido, 1 = Exitoso) [ ] Fecha de aplicación de la última actualización de seguridad. [ ] ¿Se ha implementado la gestión de dispositivos móviles (MDM)? (Sí., No., No aplica.) [ ] ¿Cuáles de los siguientes controles de seguridad de los puntos finales están implementados? (Software antivirus, Cortafuegos, Prevención de pérdida de datos (DLP), Cifrado de disco, Función de borrado remoto.) [ ] Describa cualquier comportamiento inusual que haya observado recientemente en los dispositivos finales. --- GESTIÓN DE VULNERABILIDADES --- [ ] Fecha de la última exploración de vulnerabilidades. [ ] Frecuencia de escaneo (días) [ ] Resumen de los resultados de los análisis más recientes. [ ] ¿Se han encontrado vulnerabilidades críticas o de alta gravedad? (Sí., No, Análisis pendiente) [ ] Descripción de los pasos de corrección para las vulnerabilidades de alta gravedad. [ ] Fecha prevista para la finalización de la corrección. [ ] Herramienta de análisis de vulnerabilidades utilizada. (Nessus, Qualys, Rapid7, Otros) [ ] Adjuntar informe del análisis (opcional) --- RESPUESTA Y RECUPERACIÓN ANTE INCIDENTES --- [ ] Fecha y hora de inicio del incidente [ ] Breve descripción del incidente. [ ] Gravedad del incidente (baja, media, alta, crítica) (Bajo, Mediano, Alto, Crítico) [ ] Número estimado de registros afectados. [ ] Sistemas afectados (marque todas las opciones que correspondan) (Historia clínica electrónica, Sistema de facturación, Portal del paciente, Infraestructura de red) [ ] Medidas de contención adoptadas. [ ] Medidas adoptadas para la eliminación. [ ] Fecha de confirmación de la recuperación --- COPIA DE SEGURIDAD Y RECUPERACIÓN ANTE DESASTRES --- [ ] Frecuencia de las copias de seguridad (por ejemplo, diaria, semanal) [ ] Fecha de la última copia de seguridad completa satisfactoria. [ ] Período de conservación de las copias de seguridad (en días) [ ] Ubicación del almacenamiento externo para copias de seguridad [ ] Método de verificación de la copia de seguridad (por ejemplo, prueba de restauración) (Probar restauración, Verificación de la integridad del archivo, Verificación automatizada) [ ] Fecha del último simulacro de recuperación ante desastres. [ ] Descripción detallada del plan de recuperación ante desastres. --- FORMACIÓN SOBRE CONCIENCIACIÓN EN SEGURIDAD --- [ ] Fecha de finalización de la última capacitación. (En los últimos 3 meses., Hace 3 a 6 meses., Hace 6 a 12 meses., Hace más de 12 meses.) [ ] Temas que se tratarán en la capacitación (Detección de intentos de phishing, Seguridad de las contraseñas, Cumplimiento de la normativa HIPAA, Prevención de malware, Notificación de incidentes de seguridad y filtración de datos, Seguridad física) [ ] Describe brevemente cómo entiendes los fraudes de phishing. [ ] ¿Cuál es el procedimiento habitual que sigue para informar sobre correos electrónicos sospechosos de ser intentos de phishing? (A: Departamento de Seguridad Informática, A: Supervisor, Eliminar e ignorar) [ ] ¿Cuántas veces ha revisado las políticas de seguridad de la organización este año? --- REQUISITOS DE CUMPLIMIENTO NORMATIVO Y REGLAMENTARIO --- [ ] ¿Se ha completado la evaluación de la norma de seguridad de la HIPAA? (Sí., No., En progreso.) [ ] Última fecha de evaluación de riesgos de HIPAA. [ ] ¿Cumplimiento de la legislación estatal sobre protección de datos? (Aplicable: sí., Aplicable: no., Desconocido) [ ] Resumen de las leyes estatales sobre privacidad pertinentes que se aplican. [ ] ¿Cumplimiento de la Ley HITECH? (Sí, No., No aplica.) [ ] Plazo límite para informar sobre la violación de seguridad (en días) [ ] Documentación de respaldo (por ejemplo, políticas, acuerdos) --- GESTIÓN DE RIESGOS DE TERCEROS. --- [ ] Nivel de riesgo del proveedor (alto, medio, bajo) (Alto, Mediano, Bajo) [ ] Fecha de inicio del contrato con el proveedor [ ] Fecha de finalización de la última evaluación de riesgos. [ ] Cantidad de datos de pacientes procesados por el proveedor. [ ] Resumen de las prácticas de seguridad del proveedor. [ ] Servicios proporcionados por el proveedor (seleccione todas las opciones que correspondan) (Almacenamiento de datos, Procesamiento de datos, Desarrollo de software, Soporte técnico, Otros) [ ] Informe de evaluación de la seguridad del proveedor. [ ] Estado de cumplimiento del proveedor (Cumple, no cumple, en proceso) (Cumple con las normativas., No cumple con los requisitos., En curso.) --- END OF TEMPLATE --- Transform this text into a digital, automated, and trackable mobile app! Visit: https://checklistguro.com/templates/healthcare/healthcare-it-security-checklist-data-protection-access-control (Click "Install Template" to launch your digital inspection tool immediately)