Guía para médicos, consultorios, clínicas e instituciones de salud
El almacenamiento en la nube se ha convertido en una herramienta fundamental para médicos, consultorios, clínicas, investigadores y organizaciones sanitarias.
Historias clínicas, informes, imágenes, documentos administrativos, resultados de laboratorio, investigaciones, consentimientos informados y otros archivos pueden necesitar estar disponibles desde diferentes dispositivos y ubicaciones.
Pero cuando hablamos de información sanitaria, elegir un servicio de almacenamiento cloud no debería reducirse a comparar cuánto espacio ofrece cada plataforma o cuál tiene el precio más bajo.
La pregunta realmente importante es:
¿Cómo puedo almacenar información sanitaria en la nube manteniendo un nivel adecuado de seguridad, privacidad, control de acceso y disponibilidad?
En este artículo encontrarás una guía práctica para evaluar servicios de almacenamiento cloud cuando los datos pueden contener información relacionada con pacientes.
¿Qué es el almacenamiento cloud para información sanitaria?
El almacenamiento cloud permite guardar archivos y datos en servidores administrados por un proveedor externo y acceder a ellos mediante Internet.
Algunos ejemplos conocidos son:
- Google Drive.
- Microsoft OneDrive.
- SharePoint.
- Dropbox.
- Box.
- Amazon S3.
- Otros servicios especializados para organizaciones sanitarias.
Sin embargo, no todos estos productos están diseñados para los mismos usos.
Existe una diferencia importante entre:
almacenamiento personal de archivos
y
infraestructura o almacenamiento empresarial destinado a manejar información sanitaria sensible.
La segunda categoría requiere considerar aspectos adicionales de seguridad, administración, cumplimiento y gobernanza.
¿Por qué la información sanitaria requiere especial cuidado?
Los datos relacionados con la salud pueden incluir información altamente sensible.
Por ejemplo:
- Nombre del paciente.
- Documento de identidad.
- Historia clínica.
- Diagnósticos.
- Medicamentos.
- Resultados de laboratorio.
- Imágenes diagnósticas.
- Información genética.
- Información financiera asociada a la atención.
- Datos de contacto.
- Información sobre tratamientos.
En Colombia, la información relacionada con la salud tiene carácter sensible dentro del régimen de protección de datos personales. La Superintendencia de Industria y Comercio ha señalado que el tratamiento de estos datos debe responder a una finalidad específica y que, en condiciones ordinarias, debe existir la autorización correspondiente del titular.
Por eso, subir un archivo con datos identificables de pacientes a cualquier servicio gratuito de almacenamiento no debería considerarse una práctica segura por defecto.
¿Google Drive, OneDrive o Dropbox son seguros para información sanitaria?
La respuesta correcta es:
Depende.
No existe un simple «sí» o «no».
Los grandes proveedores de cloud disponen de soluciones empresariales y controles de seguridad destinados a organizaciones, pero la seguridad y el cumplimiento dependen tanto del proveedor como de la configuración y del uso que haga la organización.
Por ejemplo, Google ofrece determinados servicios de Google Workspace y Cloud Identity que pueden utilizarse para cargas de trabajo sujetas a HIPAA bajo las condiciones correspondientes, incluyendo la aceptación de un Business Associate Amendment (BAA). Google también especifica que los clientes son responsables de determinar si están sujetos a HIPAA y qué servicios utilizan para PHI.
Microsoft también ofrece cobertura contractual HIPAA para servicios dentro del alcance correspondiente, pero señala explícitamente que disponer del acuerdo no garantiza por sí mismo el cumplimiento de la organización. La configuración y los procesos del cliente siguen siendo responsabilidad de este.
AWS, por su parte, mantiene una lista específica de servicios elegibles para cargas de trabajo HIPAA y señala que el cliente debe configurarlos adecuadamente y utilizar los servicios dentro del alcance del acuerdo correspondiente.
La conclusión es importante:
No elijas una plataforma únicamente porque el proveedor diga que ofrece cumplimiento sanitario. Evalúa también el producto concreto, el contrato, la configuración y tus propios controles.
Las 10 características que deberías evaluar
Antes de contratar un servicio de almacenamiento cloud para información sanitaria, recomiendo revisar al menos estos diez aspectos.
1. Cifrado
El cifrado es uno de los componentes fundamentales de la seguridad de los datos.
Debemos diferenciar entre:
Cifrado en tránsito
Protege la información mientras viaja entre el dispositivo y los servidores.
Cifrado en reposo
Protege los datos almacenados en los servidores.
Cifrado controlado por el cliente
En determinadas arquitecturas, la organización puede tener mayor control sobre las claves de cifrado.
Cuanto mayor sea la sensibilidad de la información, más importante resulta entender exactamente qué se cifra, cuándo, cómo y quién controla las claves.
2. Autenticación multifactor
Una contraseña por sí sola ya no debería considerarse una protección suficiente para cuentas que contienen información sensible.
El servicio debería permitir utilizar:
MFA / 2FA
Es decir, un segundo factor de autenticación además de la contraseña.
Por ejemplo:
- Aplicación autenticadora.
- Llave de seguridad.
- Código temporal.
- Passkey.
- Otros mecanismos de autenticación fuerte.
Esto reduce considerablemente el riesgo asociado al robo de contraseñas.
3. Control granular de permisos
No todos los usuarios deberían tener acceso a todos los documentos.
Una buena plataforma debería permitir establecer diferentes niveles de acceso.
Por ejemplo:
| Usuario | Acceso |
|---|---|
| Médico tratante | Pacientes asignados |
| Enfermería | Información necesaria para su función |
| Administración | Documentación administrativa |
| Investigador | Dataset autorizado |
| Estudiante | Información previamente anonimizada |
| Administrador TI | Gestión técnica |
El principio fundamental es:
Cada usuario debería tener solamente el acceso necesario para realizar su función.
4. Registro de actividad y auditoría
Una organización sanitaria debería poder responder preguntas como:
- ¿Quién abrió este archivo?
- ¿Quién lo modificó?
- ¿Cuándo se compartió?
- ¿Quién lo descargó?
- ¿Desde qué cuenta?
- ¿Se eliminó?
- ¿Quién cambió los permisos?
Los registros de auditoría son especialmente importantes cuando existen múltiples usuarios.
Además, permiten investigar incidentes de seguridad.
5. Copias de seguridad y recuperación
Sin una estrategia adecuada de backup, almacenar archivos en la nube no significa necesariamente tener una buena estrategia de recuperación.
Una solución empresarial debería permitir establecer mecanismos para recuperar información ante:
- Eliminación accidental.
- Error humano.
- Corrupción de archivos.
- Ataques de ransomware.
- Compromiso de cuentas.
- Fallos operativos.
HHS señala que los acuerdos y la planificación relacionados con cloud pueden abordar aspectos como disponibilidad, recuperación de datos y retorno de la información cuando finaliza el servicio.
6. Control de enlaces compartidos
Uno de los errores más frecuentes es utilizar enlaces como:
«Cualquiera que tenga el enlace puede acceder.»
Para información sanitaria esto puede representar un riesgo importante.
Es preferible poder configurar:
- Usuarios específicos.
- Fechas de expiración.
- Contraseñas.
- Restricciones de descarga.
- Permisos de edición.
- Revocación de acceso.
- Dominios autorizados.
Google, por ejemplo, recomienda controlar específicamente cómo se comparte la información sanitaria dentro y fuera de la organización y evitar configuraciones excesivamente abiertas.
7. Acuerdos y obligaciones contractuales
Aquí aparece uno de los conceptos más importantes cuando hablamos de HIPAA compliant cloud storage:
BAA — Business Associate Agreement
En Estados Unidos, cuando un proveedor cloud actúa como business associate y crea, recibe, mantiene o transmite PHI en nombre de una entidad cubierta, HIPAA exige un acuerdo de asociado empresarial correspondiente.
HHS señala que un proveedor cloud que almacena ePHI puede ser considerado business associate incluso cuando almacena la información cifrada y no posee la clave para descifrarla.
Por eso:
«Está cifrado» no significa automáticamente «cumple HIPAA».
Y tampoco:
«El proveedor dice que es HIPAA compliant» significa que cualquier plan o configuración del servicio lo sea.
Hay que revisar el producto y el acuerdo específico.
8. Ubicación y jurisdicción de los datos
La ubicación física de los servidores puede tener implicaciones legales y regulatorias.
Hay que conocer:
- Dónde se almacenan los datos.
- Qué regiones pueden utilizarse.
- Qué legislación puede aplicarse.
- Cómo se realizan las transferencias internacionales.
- Qué ocurre cuando se termina el contrato.
En el caso de HIPAA, HHS señala que el almacenamiento fuera de Estados Unidos no está prohibido por sí mismo, pero que la ubicación puede introducir riesgos y consideraciones adicionales que deben incorporarse al análisis de riesgos.
Para organizaciones en Colombia, además, deben analizarse las obligaciones aplicables al tratamiento y transferencia internacional de datos personales.
9. Eliminación segura de información
Otra pregunta que muchas veces se olvida:
¿Qué ocurre con mis datos cuando cancelo el servicio?
Antes de contratar una plataforma, conviene conocer:
- Cómo se exportan los datos.
- En qué formato.
- Cuánto tiempo permanecen disponibles.
- Cómo se eliminan.
- Qué ocurre con las copias de seguridad.
- Qué sucede con los datos después de terminar el contrato.
La portabilidad de la información es especialmente importante para evitar quedar completamente dependiente de un proveedor.
10. Certificaciones y auditorías de seguridad
Las certificaciones pueden aportar información útil sobre la madurez de un proveedor.
Dependiendo del servicio, podemos encontrar referencias a estándares o auditorías como:
- ISO/IEC 27001.
- ISO/IEC 27017.
- ISO/IEC 27018.
- SOC 2.
- HITRUST.
- Otros marcos de seguridad y privacidad.
Pero existe una diferencia importante entre:
tener una certificación
y
cumplir todos los requisitos legales aplicables a tu organización.
Una certificación es una pieza de información dentro de una evaluación más amplia.
Google Workspace vs Microsoft 365 vs Dropbox vs Box
Si necesitas una solución empresarial para almacenar y compartir documentos sanitarios, algunas plataformas conocidas ofrecen programas específicos para organizaciones de salud.
Google Workspace
Google ofrece determinados servicios de Workspace y Cloud Identity dentro de su marco HIPAA, sujeto a la aceptación del BAA y a las configuraciones correspondientes.
Puede resultar especialmente interesante para organizaciones que ya trabajan con:
- Gmail.
- Drive.
- Docs.
- Sheets.
- Meet.
- Calendar.
Microsoft 365
Microsoft ofrece soporte para cargas de trabajo sujetas a HIPAA mediante los servicios dentro del alcance de su BAA.
El ecosistema puede ser particularmente atractivo para organizaciones que utilizan:
- OneDrive.
- SharePoint.
- Teams.
- Outlook.
- Microsoft Entra.
- Microsoft Purview.
Microsoft enfatiza que la existencia del BAA no convierte automáticamente una implementación en compliant: la organización debe implementar sus propios controles y procesos.
Dropbox
Dropbox ofrece BAA para determinados planes empresariales que requieren HIPAA/HITECH y proporciona documentación sobre sus controles de seguridad.
Puede ser atractivo cuando la prioridad es principalmente:
- Almacenamiento.
- Sincronización.
- Compartición de archivos.
- Colaboración documental.
Box
Box ofrece soluciones orientadas al sector sanitario y puede establecer BAAs con organizaciones que requieren manejar PHI, dependiendo del plan y configuración.
Su propuesta está especialmente orientada a:
- Gestión documental.
- Colaboración empresarial.
- Seguridad.
- Control de acceso.
- Gobernanza de información.
¿Cuál elegir?
No existe un ganador universal.
La mejor opción depende de tu entorno.
| Necesidad | Puede tener sentido evaluar |
|---|---|
| Ecosistema Google | Google Workspace |
| Ecosistema Microsoft | Microsoft 365 |
| Compartir archivos de forma sencilla | Dropbox |
| Gestión documental empresarial | Box |
| Infraestructura personalizada | AWS |
| Aplicación clínica propia | Azure / AWS / Google Cloud |
| Alta personalización | Cloud infrastructure |
Esta tabla no significa que una plataforma sea automáticamente adecuada para almacenar PHI. La decisión depende del producto concreto, contrato, configuración, controles y legislación aplicable.
¿Y para un médico independiente?
Este es uno de los escenarios más interesantes.
Si eres un médico independiente y solamente necesitas:
- Guardar documentos personales.
- Organizar artículos.
- Almacenar presentaciones.
- Mantener apuntes.
- Guardar documentos académicos.
Probablemente no necesitas una infraestructura cloud compleja.
Pero si comienzas a almacenar:
nombres + documentos + historias clínicas + resultados + fotografías + información identificable de pacientes
la situación cambia completamente.
En ese momento deberías evaluar el servicio como una solución para información sanitaria, no simplemente como «mi almacenamiento personal».
¿Puedo utilizar Google Drive personal para historias clínicas?
Aquí debemos hacer una distinción importante.
No deberíamos asumir que:
Google Drive = seguro para historias clínicas.
Google tiene soluciones empresariales que pueden soportar determinados escenarios sanitarios, pero sus propias políticas establecen condiciones específicas para utilizar información médica protegida y requieren el acuerdo correspondiente cuando aplica HIPAA.
Por eso, antes de almacenar información identificable de pacientes debes verificar:
- Qué cuenta estás utilizando.
- Qué producto tienes contratado.
- Qué funcionalidades están cubiertas.
- Qué contrato existe con el proveedor.
- Qué legislación aplica.
- Qué controles de seguridad tienes configurados.
¿Qué pasa con las fotos de pacientes?
Este es otro escenario que merece especial atención.
Fotografías clínicas, imágenes de lesiones, fotografías intraoperatorias o cualquier imagen que permita identificar directa o indirectamente a un paciente pueden constituir información personal sensible.
Por eso no deberías asumir que:
«Es solamente una fotografía»
significa que puede almacenarse libremente en cualquier servicio cloud.
Antes de hacerlo, revisa:
- Consentimiento.
- Finalidad.
- Identificación del paciente.
- Políticas institucionales.
- Seguridad del dispositivo.
- Seguridad del almacenamiento.
- Control de acceso.
- Legislación aplicable.
¿Qué ocurre con las herramientas de inteligencia artificial?
Aquí aparece una de las áreas de mayor riesgo actualmente.
Supongamos que tienes una historia clínica en PDF y quieres utilizar una herramienta de IA para resumirla.
El problema no es solamente:
«¿La IA puede resumir el PDF?»
La pregunta correcta es:
¿Estoy autorizado para enviar esa información a ese proveedor y cómo será procesada, almacenada y utilizada?
Antes de cargar información sanitaria en una plataforma de IA, deberías conocer:
- Política de privacidad.
- Retención de datos.
- Uso para entrenamiento.
- Ubicación de procesamiento.
- Controles empresariales.
- Cifrado.
- Acuerdos contractuales.
- Posibilidad de eliminación.
- Gestión de usuarios.
Nunca introduzcas información identificable de pacientes en una herramienta de IA simplemente porque técnicamente permita cargar archivos.
Una matriz sencilla para elegir almacenamiento cloud
Puedes utilizar esta matriz antes de contratar cualquier servicio:
| Criterio | Peso sugerido |
|---|---|
| Seguridad | ⭐⭐⭐⭐⭐ |
| Privacidad | ⭐⭐⭐⭐⭐ |
| Cumplimiento normativo | ⭐⭐⭐⭐⭐ |
| Control de acceso | ⭐⭐⭐⭐⭐ |
| Auditoría | ⭐⭐⭐⭐ |
| Backup | ⭐⭐⭐⭐ |
| Recuperación | ⭐⭐⭐⭐ |
| Integraciones | ⭐⭐⭐ |
| Facilidad de uso | ⭐⭐⭐ |
| Precio | ⭐⭐⭐ |
| Capacidad | ⭐⭐ |
La idea clave
No deberías seleccionar:
«el almacenamiento más barato por terabyte».
Deberías seleccionar:
«la solución que ofrece el nivel de seguridad, control, cumplimiento y funcionalidad que necesita mi organización al costo que puedo asumir».
Checklist antes de subir información de pacientes
Antes de almacenar información sanitaria en la nube, verifica:
Seguridad
☐ ¿Existe cifrado en tránsito?
☐ ¿Existe cifrado en reposo?
☐ ¿Permite MFA?
☐ ¿Tiene controles de acceso?
☐ ¿Permite revocar usuarios?
Privacidad
☐ ¿Dónde se almacenan los datos?
☐ ¿Qué información recopila el proveedor?
☐ ¿Cómo utiliza los datos?
☐ ¿Cuánto tiempo los conserva?
☐ ¿Qué ocurre cuando cancelo la cuenta?
Cumplimiento
☐ ¿Qué legislación aplica?
☐ ¿Existe un contrato específico cuando corresponde?
☐ ¿El servicio concreto está dentro del alcance de ese acuerdo?
☐ ¿La configuración que utilizaré cumple las políticas institucionales?
Operación
☐ ¿Existe backup?
☐ ¿Puedo recuperar archivos eliminados?
☐ ¿Existe auditoría?
☐ ¿Puedo exportar mis datos?
☐ ¿Qué ocurre ante una caída del servicio?
Errores frecuentes que deberías evitar
❌ «Si es una empresa grande, debe ser seguro»
No necesariamente.
Una plataforma puede tener excelentes sistemas de seguridad y aun así ser configurada incorrectamente por el usuario.
❌ «Si está cifrado, estoy protegido»
El cifrado es importante, pero no resuelve todos los problemas.
También importan:
- Autenticación.
- Permisos.
- Configuración.
- Auditoría.
- Backups.
- Gestión de dispositivos.
- Políticas internas.
❌ «HIPAA compliant significa que puedo hacer cualquier cosa»
Incorrecto.
HHS explica que la organización que utiliza un proveedor cloud mantiene responsabilidades propias y debe realizar su análisis de riesgos.
❌ «El plan gratuito es suficiente»
Un plan gratuito puede carecer de:
- Administración empresarial.
- Auditoría.
- Gestión avanzada de usuarios.
- Controles de seguridad.
- Acuerdos contractuales específicos.
- Políticas de retención.
- Administración centralizada.
❌ «Puedo compartir el enlace con cualquiera»
Para información sanitaria, esta puede ser una mala práctica.
Utiliza permisos específicos y evita enlaces públicos cuando exista información sensible.
¿Cuál es el mejor almacenamiento cloud para información sanitaria?
La respuesta depende del contexto.
Para un profesional que trabaja principalmente con documentos académicos, las necesidades serán muy diferentes a las de:
- Un consultorio.
- Una clínica.
- Un hospital.
- Un grupo de investigación.
- Una empresa de tecnología sanitaria.
Entre las plataformas que vale la pena evaluar se encuentran Google Workspace, Microsoft 365, Dropbox, Box y servicios de infraestructura como AWS, pero la selección debe realizarse considerando el producto específico, el plan contratado, los acuerdos aplicables, la configuración de seguridad y la legislación correspondiente.
Conclusión
Elegir almacenamiento cloud para información sanitaria no es simplemente decidir entre Google Drive, OneDrive, Dropbox, Box o un servidor propio.
Es una decisión de:
seguridad + privacidad + cumplimiento + disponibilidad + control + costo.
La pregunta correcta no es:
¿Cuál tiene más almacenamiento?
Sino:
¿Cuál puede proteger adecuadamente la información que necesito almacenar y me permite mantener el control sobre ella?
Y existe una segunda pregunta todavía más importante:
¿Estoy utilizando correctamente la plataforma que elegí?
Porque incluso el proveedor más avanzado puede convertirse en un riesgo si se configura mal.
Para información sanitaria, la seguridad no es una característica que se compra una sola vez.
Es un proceso continuo de gestión del riesgo.
Preguntas frecuentes
¿Cuál es el mejor almacenamiento cloud para médicos?
No existe una única plataforma que sea mejor para todos. Google Workspace, Microsoft 365, Dropbox, Box y servicios de infraestructura cloud pueden ser apropiados para diferentes necesidades. La elección debe considerar seguridad, privacidad, cumplimiento, controles de acceso, auditoría, backup y costo.
¿Google Drive puede utilizarse para información sanitaria?
Depende del tipo de cuenta, servicio, configuración y marco regulatorio aplicable. Google ofrece servicios de Workspace incluidos dentro de su marco HIPAA bajo determinadas condiciones, incluyendo un BAA para clientes sujetos a HIPAA.
¿OneDrive puede utilizarse para información médica?
Microsoft ofrece servicios de Microsoft 365 dentro del alcance de su BAA HIPAA, pero disponer de esta cobertura no garantiza por sí mismo que una implementación concreta cumpla HIPAA. La organización debe configurar y gestionar adecuadamente sus controles.
¿Dropbox es HIPAA compliant?
Dropbox ofrece BAA para determinados planes y clientes que necesitan cumplir HIPAA/HITECH. Sin embargo, la organización sigue siendo responsable de utilizar correctamente el servicio y de cumplir sus propias obligaciones.
¿Qué es un BAA?
Un Business Associate Agreement es un acuerdo contractual requerido bajo HIPAA cuando determinadas entidades cubiertas utilizan a un business associate para crear, recibir, mantener o transmitir PHI en su nombre. Los proveedores cloud que almacenan ePHI pueden entrar en esta categoría.
¿HIPAA aplica en Colombia?
HIPAA es una legislación estadounidense y no es la norma general que regula el tratamiento de datos personales en Colombia. En Colombia deben analizarse las normas nacionales aplicables a la protección de datos personales y, especialmente, las reglas relativas a datos sensibles de salud.
¿Es seguro guardar historias clínicas en la nube?
Puede serlo si se utiliza una solución apropiada, correctamente configurada y dentro del marco legal aplicable. El almacenamiento cloud no es automáticamente seguro ni inseguro: depende de la arquitectura, proveedor, configuración, controles y procesos utilizados.
Información importante
Las características, precios, planes, condiciones contractuales y funcionalidades de los proveedores pueden cambiar. Antes de contratar un servicio o almacenar información identificable de pacientes, verifica directamente la documentación oficial del proveedor y las obligaciones legales aplicables a tu organización.
Este artículo tiene finalidad educativa y no constituye asesoramiento jurídico, de ciberseguridad ni de cumplimiento normativo.
