Medidas de seguridad técnicas de HIPAA para la WiFi del personal hospitalario: qué exige realmente la regla de seguridad

Cinco estándares de salvaguardas técnicas de la norma de seguridad HIPAA bajo 45 CFR 164.312 se aplican al WiFi del personal hospitalario. Son el control de acceso, los controles de auditoría, la integridad, la autenticación de personas o entidades y la seguridad en la transmisión. Se cumplen mediante 802.1X e identidad EAP-TLS basada en certificados, RADIUS Accounting como registro de auditoría y cifrado WPA3-Enterprise en cada SSID del personal.

¿Qué exigen las salvaguardas técnicas de HIPAA al WiFi del personal?

El WiFi del personal es la base inalámbrica de una red sanitaria conforme con HIPAA. Los profesionales médicos abren la historia clínica electrónica en estaciones de trabajo móviles. Escanean códigos de barras de medicamentos en dispositivos portátiles y atienden llamadas en credenciales de comunicación clínica. La mayor parte de ese tráfico cruza un SSID del personal. La solución Staff WiFi de Purple trata ese SSID como una capa de identidad en lugar de una contraseña, y la norma de seguridad le orienta en esa misma dirección.

La norma de seguridad protege la información de salud protegida electrónica (ePHI) que usted crea, recibe, mantiene o transmite (45 CFR 164.306(a)). Divide los requisitos en salvaguardas administrativas, físicas y técnicas. Las salvaguardas técnicas contienen cinco estándares. Su WLAN del personal transmite ePHI, por lo que los cinco alcanzan la capa inalámbrica.

Dos términos son fundamentales antes de continuar. Una especificación de implementación "requerida" debe implementarse tal como está escrita. Una especificación "abordable" debe implementarse si es razonable y adecuada. Si no lo es, se documenta el motivo y se adopta una medida equivalente (45 CFR 164.306(d)). Abordable no significa opcional, y en un enlace de radio abierto rara vez existe un argumento creíble en contra del cifrado.

En enero de 2025, el HHS publicó una notificación de reglamentación propuesta que eliminaría la categoría abordable. Haría obligatorio el cifrado de la ePHI en tránsito y la autenticación multifactor. Compruebe su estado cuando defina el alcance de su próximo análisis de riesgos. Diseñar con arreglo al texto más estricto desde ahora evita una segunda migración más adelante.

¿Por qué una frase de paso WiFi compartida no cumple con la norma de seguridad?

Una red WPA2-PSK (clave precompartida) autentica la frase de paso, no a la persona. Cada enfermero, celador, médico de sustitución temporal y contratista que la conoce parece idéntico ante la red. La "identificación única de usuario" en 164.312(a)(2)(i) es una especificación requerida. Exige asignar un nombre o número único a cada persona, de modo que pueda identificarla y seguir su actividad. Una frase de paso compartida no puede hacer eso, y ninguna documentación cambia esta realidad.

El fallo se extiende a los demás estándares:

• Controles de auditoría. El registro guarda una dirección MAC y una concesión IP, no a un miembro del personal identificado por su nombre. Las versiones actuales de iOS y Android aleatorizan las direcciones MAC de forma predeterminada, lo que debilita incluso ese dato.
• Autenticación de personas o entidades. Conocer una frase de paso no prueba nada sobre la identidad. Las frases de paso se filtran a través de notas adhesivas, turnos de trabajo y mensajes de grupo.
• Seguridad en la transmisión. Cualquiera que posea la contraseña y capture el saludo de cuatro vías (four-way handshake) de un dispositivo puede obtener sus claves de sesión. A continuación, puede descifrar el tráfico de ese dispositivo. Un exempleado con la contraseña antigua permanece dentro del límite de cifrado.
• Finalización. La norma 164.308(a)(3)(ii)(C) prevé que el acceso finalice cuando termine la relación laboral. Con una clave compartida, eliminar a una persona implica cambiar la clave para todo el mundo.

Este último punto convierte la rotación de PSK en mero teatro. La rotación interrumpe el servicio en todos los dispositivos, por lo que casi nunca se realiza. Todos los empleados que se marchan entre rotación y rotación conservan el acceso.

¿Cómo se asignan las cinco normas a los controles inalámbricos?

Control de acceso - 164.312(a)(1)

La norma limita el acceso a la ePHI a personas y software a los que se hayan concedido derechos de acceso. En la capa inalámbrica, IEEE 802.1X es la implementación adecuada. Es un estándar de control de acceso basado en puertos que mantiene a cada dispositivo fuera de la red hasta que demuestra su identidad. Un servidor RADIUS (Remote Authentication Dial-In User Service) comprueba dicha identidad.

Con EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), la identidad es un certificado X.509 emitido a nombre de una persona concreta o de un dispositivo gestionado. RADIUS devuelve entonces una directiva: VLAN, rol y lista de acceso. Una enfermera de planta accede a la VLAN clínica. Un contratista de mantenimiento accede a un segmento que solo llega a la gestión del edificio.

Otras dos especificaciones atañen a la red WiFi. El cierre de sesión automático (abordable) se asigna a los tiempos de espera de sesión e intervalos de reautenticación. El acceso de emergencia (obligatorio) implica un plan documentado sobre qué ocurre si el servicio RADIUS deja de estar accesible.

Lo que busca el auditor: su directiva de control de acceso, una lista de cada SSID con su método de autenticación y cómo una persona obtiene y pierde el acceso. Espere tener que demostrar que ningún SSID que transporte ePHI utiliza una clave compartida.

Controles de auditoría - 164.312(b)

La norma exige mecanismos que registren y examinen la actividad en los sistemas que contengan o utilicen ePHI. No tiene especificaciones de implementación, por lo que el método depende de usted. Para redes inalámbricas, RADIUS Accounting (RFC 2866) es el registro de auditoría.

Cada sesión produce registros de inicio (Start), actualización intermedia (Interim-Update) y parada (Stop). Los atributos responden directamente a las preguntas del auditor:

• Quién: User-Name, la identidad del certificado o del directorio.
• Qué dispositivo: Calling-Station-Id, la dirección MAC del cliente.
• Dónde: Called-Station-Id, el punto de acceso y el SSID.
• Cuándo y durante cuánto tiempo: Event-Timestamp y Acct-Session-Time.
• Por qué finalizó: Acct-Terminate-Cause.

Registrar es solo la mitad de la norma. Examinar es la otra mitad, y la norma 164.308(a)(1)(ii)(D) exige la revisión periódica de la actividad del sistema de información. Envíe los registros de contabilidad a su plataforma SIEM (gestión de eventos e información de seguridad). A continuación, programe y documente la revisión.

Lo que busca el auditor: una exportación para un rango de fechas de muestra y pruebas de que alguien la revisa. La norma 164.316(b)(2)(i) exige la conservación durante seis años de la documentación requerida. Muchas organizaciones aplican el mismo plazo a las pruebas de registros.

Integridad - 164.312(c)(1)

La norma protege la ePHI frente a alteraciones o destrucciones indebidas. En el enlace de radio, AES-CCMP añade una comprobación de integridad del mensaje a cada trama. WPA3-Enterprise también exige el uso obligatorio de Protected Management Frames (IEEE 802.11w). Estas bloquean las tramas de desautenticación falsificadas, una forma común de desconectar dispositivos clínicos de la red. El modo WPA3-Enterprise de 192 bits pasa a utilizar AES-GCMP-256.

TKIP, el cifrado WPA heredado, depende de una comprobación de integridad débil. El IEEE dejó de recomendar TKIP en 802.11-2012.

Lo que busca el auditor: la configuración del cifrado en el controlador que muestre únicamente AES, con TKIP desactivado y la protección de tramas de gestión activada.

Autenticación de personas o entidades - 164.312(d)

La norma exige verificar que la persona o entidad que solicita el acceso es quien dice ser. Este es el argumento principal a favor de EAP-TLS frente a PEAP-MSCHAPv2.

PEAP (Protected EAP) envuelve un intercambio de usuario y contraseña dentro de un túnel TLS. Si un cliente omite la validación del certificado del servidor, un punto de acceso malicioso puede suplantar su red. Esto le permite capturar el intercambio MS-CHAPv2, que se puede descifrar sin conexión. El aviso de seguridad de Microsoft 2743314 documenta este problema y recomienda validar el certificado del servidor o migrar a una autenticación basada en certificados. Microsoft también documenta que Windows Defender Credential Guard bloquea el inicio de sesión único para MS-CHAPv2 con credenciales guardadas.

EAP-TLS realiza una autenticación mutua por certificado. El dispositivo demuestra que posee una clave privada y el servidor demuestra su propia identidad. No hay ninguna contraseña susceptible de phishing. La clave privada se puede almacenar, de forma no exportable, en el TPM (Trusted Platform Module) o en el enclave seguro del dispositivo. Los dispositivos médicos también se consideran entidades, y los equipos con capacidad suficiente pueden llevar sus propios certificados.

Lo que busca el auditor: cómo verifica la identidad en cada ruta de acceso. "El personal conoce la contraseña del WiFi" no es una respuesta válida. Muestre el procedimiento de emisión de certificados, vinculado al registro de incorporación de RR. HH., y el paso de revocación para las bajas de personal.

Seguridad en la transmisión - 164.312(e)(1)

La norma protege contra el acceso no autorizado a la ePHI en tránsito. Sus dos especificaciones, controles de integridad y cifrado, son abordables. WPA2-Enterprise con TKIP no cumple las exigencias, ya que el cifrado está obsoleto. El estándar IEEE 802.11n también excluye TKIP de las velocidades de alto rendimiento. WPA2-Enterprise con AES-CCMP es defendible hoy en día. WPA3-Enterprise es la configuración que debe desplegarse ahora.

La guía de brechas de seguridad del HHS considera que la ePHI en tránsito está asegurada cuando el cifrado cumple con NIST SP 800-52, 800-77 u 800-113. Dichas publicaciones abarcan TLS, IPsec y VPN SSL. WPA3 en el enlace de radio no sitúa por sí solo el tráfico en ese puerto seguro. El uso de TLS en la capa de aplicación sigue siendo fundamental.

Lo que busca el auditor: la configuración de cifrado en cada SSID del personal y un registro de la retirada de SSID heredados.

¿Qué configuraciones inalámbricas se sostienen?

iPSK (identity pre-shared key) proporciona a cada dispositivo o grupo de dispositivos su propia clave de acceso en un único SSID.

Configuración	Identificación única	Pista de auditoría	Autenticación	Cifrado en tránsito	Posición de auditoría
WPA2-PSK compartida, TKIP	Ninguna - un secreto compartido	Solo MAC e IP	Conocimiento de la frase de paso	Cifrado obsoleto	Falla
WPA2-PSK compartida, AES	Ninguna - un secreto compartido	Solo MAC e IP	Conocimiento de la frase de paso	AES; cualquier poseedor de la clave puede descifrar sesiones capturadas	Falla para el acceso del personal a ePHI
iPSK por dispositivo	Por dispositivo, no por persona	Clave de dispositivo con nombre	Posesión de la clave del dispositivo	AES-CCMP	Aceptable para dispositivos clínicos sin interfaz humana con controles compensatorios documentados
WPA2-Enterprise, PEAP-MSCHAPv2	Por persona	Nombre de usuario por sesión	Contraseña; expuesto si la validación del certificado está desactivada	AES-CCMP	Defendible con validación obligatoria y un plan de migración
WPA2-Enterprise, EAP-TLS	Por persona o dispositivo	Identidad del certificado por sesión	Certificado mutuo	AES-CCMP	Sólida
WPA3-Enterprise, EAP-TLS	Por persona o dispositivo	Identidad del certificado por sesión	Certificado mutuo	AES-CCMP más PMF obligatorio	Configuración objetivo
WPA3-Enterprise de 192 bits, EAP-TLS	Por persona o dispositivo	Identidad del certificado por sesión	Certificado mutuo, ECC de 384 bits	AES-GCMP-256 más PMF	Máxima garantía; confirmar primero la compatibilidad del dispositivo

¿Qué evalúa un auditor de la OCR en la red inalámbrica de un hospital?

La Oficina de Derechos Civiles (OCR) del HHS aplica la HIPAA. Sus revisiones se basan principalmente en documentación. Los auditores no recorren las salas con un analizador de espectro. Solicitan políticas, configuraciones y registros, y luego comprueban si los registros coinciden con la política.

Comience con el análisis de riesgos. El Informe del sector sobre auditorías HIPAA de la OCR 2016-2017, publicado en diciembre de 2020, reveló que la mayoría de las entidades cubiertas auditadas no aplicaron el análisis ni la gestión de riesgos de forma eficaz. Un análisis de riesgos que omita la WLAN es un hallazgo garantizado.

Requisito	Lo que la OCR solicita ver	Evidencia inalámbrica que responde al requisito
Análisis de riesgos, 164.308(a)(1)(ii)(A)	Inventario de sistemas que manejan ePHI y sus amenazas	Cada SSID, su método de autenticación, VLAN y clases de dispositivos
Control de acceso, 164.312(a)(1)	Prueba de que cada persona tiene un identificador único	Configuración de 802.1X y EAP-TLS; cero SSID de clave compartida que transporten ePHI
Controles de auditoría, 164.312(b)	Registros y evidencias de revisión	Exportación de contabilidad RADIUS para un intervalo de fechas de muestra; registros de revisión del SIEM
Integridad, 164.312(c)(1)	Cómo se protege la ePHI frente a alteraciones	Ajustes de cifrado del controlador: solo AES, PMF obligatorio
Autenticación, 164.312(d)	Cómo se verifica la identidad en cada ruta	Procedimiento de emisión y revocación de certificados vinculado a los registros de RR. HH.
Seguridad en la transmisión, 164.312(e)(1)	Decisión de cifrado, con justificación si no se ha implementado	Configuración de WPA3-Enterprise y registro de retirada de SSID heredados
Finalización del acceso, 164.308(a)(3)(ii)(C)	Prueba de que los empleados salientes pierden el acceso	Marcas de tiempo de revocación cotejadas con las fechas de baja de RR. HH.

Espere también preguntas sobre la red de pacientes y visitantes. Los auditores querrán comprobar que no puede acceder a la ePHI.

¿Dónde se ubican los dispositivos médicos y la WiFi para pacientes junto a la WiFi del personal?

¿Están dentro del alcance las bombas de infusión y los equipos de diagnóstico por imagen?

Esta es la pregunta sobre delimitación del alcance que hace tropezar a muchos equipos de TI sanitarios. La prueba consiste en determinar si el dispositivo crea, recibe, mantiene o transmite ePHI. Las bombas de infusión inteligentes que intercambian órdenes vinculadas a pacientes con el EHR están dentro del alcance. También lo están las modalidades de imagen que envían estudios DICOM al PACS y los monitores de telemetría que transmiten a una estación central. Un registrador de temperatura de un congelador de vacunas no contiene datos de pacientes y queda fuera del alcance de la ePHI.

La dificultad reside en que muchos dispositivos incluidos en el alcance no pueden ejecutar 802.1X, EAP-TLS o WPA3. La guía de ciberseguridad previa a la comercialización de la FDA de 2023 se aplica a las solicitudes de nuevos dispositivos. Su parque instalado se mantiene tal como está.

Cómo la segmentación por VLAN contiene el riesgo

Una VLAN (LAN virtual) es un segmento de red lógicamente independiente sobre hardware compartido. Coloque la IoT clínica en SSIDs dedicados o grupos iPSK, asignados a una VLAN por clase de dispositivo. Las reglas del firewall permitirán entonces que cada clase acceda únicamente a sus servidores designados, como el servidor de bombas o el PACS. Los dispositivos del personal no pueden acceder directamente a las bombas, y las bombas no pueden acceder a la VLAN del personal.

La publicación Health Industry Cybersecurity Practices de HHS 405(d) recomienda segmentar los dispositivos médicos de las redes generales. Registre la segmentación en su análisis de riesgos como el control compensatorio para dispositivos que no pueden autenticarse mediante certificado. Guarde también los registros de RADIUS para los dispositivos autenticados por MAC e iPSK, de modo que cada clase de dispositivo aparezca en el registro de auditoría.

La red para pacientes y visitantes

Su red para pacientes y visitantes no transporta ePHI, pero recopila datos personales en el Captive Portal. Un Captive Portal es la página web que ve un visitante antes de conectarse a Internet. Los auditores preguntarán cómo se aísla esa red de los segmentos clínicos. SecurePass, el complemento de seguridad para Purple Guest WiFi, aporta el mismo enfoque basado en la identidad para pacientes y visitantes.

Dos escenarios prácticos

Un hospital comarcal retira su frase de paso compartida para el personal

Situación. Considere un hospital comarcal de 350 camas. Su SSID para el personal ejecutaba WPA2-PSK, y la frase de paso se había compartido con personal de enfermería de agencias durante años. Las bombas de infusión estaban en la misma red. El análisis de riesgos anual señaló la identificación única como no cumplida.

Qué se hizo. Las estaciones de trabajo gestionadas y los dispositivos portátiles se migraron a EAP-TLS, con certificados emitidos a través de la plataforma MDM para identidades de Microsoft Entra ID. La directiva RADIUS asignó las VLAN por grupo de Entra ID. Los registros de contabilidad se transmitieron al SIEM, con una revisión semanal documentada. Las bombas se migraron a iPSK en una VLAN aislada, con permiso para acceder únicamente al servidor de bombas. Los teléfonos personales del personal se migraron a un SSID exclusivo para Internet.

Resultado. Los secretos compartidos en redes que manejan ePHI pasaron de dos a cero. "¿Quién estaba en el punto de acceso de la sala de medicación a las 02:00?" se convirtió en una sola consulta SIEM. Antes implicaba correlacionar manualmente las concesiones DHCP con los registros de las tarjetas de identificación. Ahora, los empleados que dejan la empresa pierden el acceso cuando se revoca su certificado y se elimina su pertenencia al grupo de Microsoft Entra ID. Ningún otro dispositivo se ve afectado.

Una cadena de farmacias unifica el acceso del personal en 60 tiendas

Situación. Consideremos una cadena de farmacias regional con 60 tiendas, cada una con un dispensario y una sala de consulta. Las farmacias son entidades cubiertas por la HIPAA. Los pagos con tarjeta también hacen que PCI-DSS entre en el alcance. Cada tienda utilizaba una frase de paso compartida para las terminales del dispensario, las tabletas y los teléfonos del personal. Las tiendas más nuevas contaban con Cisco Meraki y las más antiguas con Ubiquiti UniFi.

Lo que se hizo. Cada tienda obtuvo un SSID para el personal 802.1X con EAP-TLS, autenticado contra un único servicio RADIUS en la nube. No se sustituyó ningún punto de acceso. Los registros de contabilidad se centralizaron en un único registro. Los compradores del sector Retail se mantuvieron en una red de invitados independiente.

Resultado. Las frases de paso compartidas a nivel de tienda pasaron de 60 a cero, al igual que las visitas para la rotación de frases de paso. Un solo conjunto de controles responde ahora a la identificación única de HIPAA y al Requisito 8.2.1 de PCI-DSS v4.0, que exige un ID único para cada persona.

¿Cuáles son los límites de los controles inalámbricos en un análisis de riesgos de HIPAA?

Los controles de WiFi protegen un solo salto. Los controles de acceso a EHR, el cifrado TLS en la capa de aplicación y el cifrado de endpoints asumen el resto de la carga. La HIPAA es tecnológicamente neutra y no nombra ningún protocolo inalámbrico, por lo que su análisis de riesgos debe justificar cada elección.

Los dispositivos heredados marcan el límite mínimo. El modo de transición WPA3-Enterprise mantiene conectados a los clientes WPA2, pero también mantiene las debilidades de WPA2 en ese SSID. Utilice un SSID exclusivo para WPA3 para los dispositivos compatibles y retire el SSID de transición de forma planificada.

Los certificados necesitan un ciclo de vida. Un certificado de servidor RADIUS caducado desconecta a todos los clientes a la vez. Automatice la renovación y controle las fechas de caducidad.

La itinerancia necesita ajustes. Un intercambio 802.1X completo en cada punto de acceso añade un retraso que los identificadores de voz perciben de inmediato. La transición rápida BSS (802.11r) lo acorta. Consulte 802.11r and 802.11k on Android: fast roaming deployment on Cisco Meraki, HPE Aruba and Ubiquiti UniFi. En entornos Meraki, consulte Cisco Meraki 802.11r adaptive vs enabled: fixing roaming on MR access points.

Por último, la Ley Pública 116-321 indica al HHS que considere las prácticas de seguridad reconocidas que haya tenido implementadas durante los 12 meses anteriores al fijar las sanciones. Mapear sus controles inalámbricos con las prácticas 405(d) le ayudará en este proceso.

¿Qué debe hacer antes de su próximo análisis de riesgos?

1. Inventariar cada SSID, su método de autenticación, cifrado y VLAN.
2. Clasificar los dispositivos como personal gestionado, personal propio, IoT clínico o invitado.
3. Migrar los dispositivos gestionados a EAP-TLS, con políticas impulsadas por grupos de directorio.
4. Desactivar TKIP, exigir PMF y programar WPA3-Enterprise.
5. Envíe la contabilidad RADIUS a su SIEM, documente la revisión y establezca la retención.
6. Segmente el IoT clínico por clase de dispositivo y documente los controles compensatorios.
7. Vuelva a validar la cobertura después de realizar cambios en el cifrado y el SSID. El método se detalla en Estudios de cobertura WiFi: Guía práctica de planificación.
8. Registre cada decisión en el análisis de riesgos, adjuntando las pruebas correspondientes.

El WiFi para empleados de Purple ofrece 802.1X con EAP-TLS, directivas de VLAN por persona y contabilidad RADIUS centralizada en la nube. Se integra sobre hardware de Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Microsoft Entra ID, Okta y Google Workspace gestionan las altas, cambios y bajas de usuarios. Purple cuenta con la certificación ISO 27001 y opera en más de 80.000 sedes activas, con 440 millones de inicios de sesión en 2024 (datos de Purple). Obtenga más información en nuestra página de Sanidad y en Por qué su próxima actualización de WiFi no requiere nuevo hardware.

Consulte también la visión general del WiFi para empleados de Purple, SecurePass para la red de pacientes y visitantes, y nuestras guías de cumplimiento de WiFi para empleados ISO 27001 y SOC 2 si gestiona varios marcos normativos a la vez.

Preguntas frecuentes

¿Exige la norma HIPAA el uso de WPA3-Enterprise o se acepta WPA2-Enterprise?

No, la norma HIPAA no menciona WPA3-Enterprise ni ningún otro protocolo. WPA2-Enterprise con AES-CCMP y EAP-TLS sigue siendo defendible hoy en día en un análisis de riesgos. WPA2 con TKIP no lo es, ya que el IEEE desaconsejó ese cifrado en 802.11-2012. Implemente WPA3-Enterprise en los nuevos SSID para empleados cuyos dispositivos lo admitan y documente un plan con fecha para el resto. La actualización propuesta por el HHS para la Regla de Seguridad haría obligatorio el cifrado en tránsito, por lo que se recomienda diseñar conforme a ese estándar desde ahora.

¿Podemos mantener una frase de paso compartida para los empleados si la documentamos en el análisis de riesgos?

No, no para el acceso del personal a ePHI. La identificación única de usuario descrita en 164.312(a)(2)(i) es una especificación obligatoria, por lo que la documentación no puede sustituirla. Una frase de paso compartida no identifica a nadie, y cada persona que abandona la empresa mantiene el acceso hasta la siguiente rotación. Las claves compartidas o por dispositivo siguen siendo aceptables únicamente para dispositivos clínicos sin interfaz gráfica. Esos dispositivos también requieren segmentación VLAN y los controles compensatorios reflejados en su análisis de riesgos.

¿Necesitamos nuevos puntos de acceso para migrar a 802.1X y EAP-TLS?

No, 802.1X y EAP-TLS funcionan en los puntos de acceso empresariales de los que ya disponen la mayoría de los hospitales. El RADIUS en la nube de Purple funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. El trabajo se centra en la emisión de certificados, la integración de directorios y las directivas RADIUS, no en el hardware. Planifique una comprobación de cobertura radioeléctrica solo si también va a migrar a WPA3, ya que los puntos de acceso más antiguos pueden necesitar actualizaciones de firmware.

¿Durante cuánto tiempo debemos conservar los registros de acceso inalámbrico para HIPAA?

Consérvelos durante seis años si desea una opción por defecto defendible. La regla de documentación de HIPAA en 164.316(b)(2)(i) exige una retención de seis años de la documentación requerida. Muchas organizaciones aplican el mismo periodo a las evidencias del registro de auditoría subyacentes. Confirme el periodo con su responsable de cumplimiento, ya que la legislación estatal puede exigir un plazo mayor. Almacene los registros de RADIUS Accounting en un sistema en el que pueda realizar consultas por persona, dispositivo y intervalo de fechas.

¿Los dispositivos médicos conectados por WiFi están dentro del alcance de las salvaguardas técnicas?

Sí, si el dispositivo crea, recibe, mantiene o transmite ePHI. Las bombas de infusión inteligentes vinculadas al EHR, las modalidades de imagen que envían estudios al PACS y los monitores de telemetría cumplen los requisitos. Los dispositivos que no puedan ejecutar EAP-TLS deben ubicarse en VLANs dedicadas, utilizando iPSK cuando sea posible. Las reglas del firewall deben limitar cada clase de dispositivo a sus servidores designados. Registre la segmentación como el control compensatorio en su análisis de riesgos.

¿Un auditor de la OCR preguntará sobre nuestra WiFi para pacientes y visitantes?

Sí, espere preguntas sobre la red de pacientes y visitantes junto con la WiFi del personal. Los auditores querrán pruebas de que no puede acceder a los segmentos clínicos que transportan ePHI. También pueden preguntar cómo gestiona el Captive Portal los datos personales. Muestre el diseño de la red, las reglas del firewall y los datos recopilados durante el inicio de sesión. SecurePass, el complemento de seguridad para Purple Guest WiFi, amplía el acceso basado en la identidad a pacientes y visitantes.

¿Se integra Purple con Microsoft Entra ID, Okta y Google Workspace?

Sí, la Staff WiFi de Purple se integra con Microsoft Entra ID, Okta y Google Workspace. Los grupos de directorio impulsan la directiva RADIUS, por lo que el rol de una persona decide a qué VLAN accede. Las nuevas incorporaciones obtienen acceso al agregarse al grupo correcto. Los empleados que cambian de puesto cambian de VLAN cuando cambia su grupo. Las bajas pierden el acceso cuando usted revoca su certificado y elimina su pertenencia al grupo, quedando cada paso registrado para la traza de auditoría.