Salvaguardas técnicas de HIPAA para el WiFi del personal hospitalario: Lo que la Regla de Seguridad realmente exige

Cinco estándares de salvaguardas técnicas de la Norma de Seguridad HIPAA en 45 CFR 164.312 aplican al WiFi del personal hospitalario. Son control de acceso, controles de auditoría, integridad, autenticación de persona o entidad y seguridad de transmisión. Los cumple con 802.1X e identidad EAP-TLS basada en certificados, RADIUS Accounting como registro de auditoría y cifrado WPA3-Enterprise en cada SSID del personal.

¿Qué exigen las salvaguardas técnicas de HIPAA al WiFi del personal?

El WiFi del personal es la base inalámbrica de una red de atención médica conforme con HIPAA. Los médicos abren el expediente clínico electrónico en estaciones de trabajo móviles. Escanean códigos de barras de medicamentos en dispositivos portátiles y atienden llamadas en insignias de comunicación clínica. La mayor parte de ese tráfico cruza un SSID de personal. El Staff WiFi de Purple trata ese SSID como una capa de identidad en lugar de una contraseña, y la Norma de Seguridad lo empuja en la misma dirección.

La Norma de Seguridad protege la información de salud protegida electrónica (ePHI) que usted crea, recibe, mantiene o transmite (45 CFR 164.306(a)). Divide los requisitos en salvaguardas administrativas, físicas y técnicas. Las salvaguardas técnicas contienen cinco estándares. Su WLAN de personal transmite ePHI, por lo que los cinco alcanzan la capa inalámbrica.

Dos términos son importantes antes de seguir leyendo. Una especificación de implementación "requerida" debe implementarse tal como está escrita. Una especificación "abordable" debe implementarse si es razonable y apropiada. Si no lo es, usted documenta el motivo y adopta una medida equivalente (45 CFR 164.306(d)). Abordable no significa opcional, y en un enlace de radio abierto rara vez existe un argumento creíble en contra del cifrado.

En enero de 2025, el HHS publicó un aviso de propuesta de reglamentación que eliminaría la categoría de abordable. Haría obligatorio el cifrado de ePHI en tránsito y la autenticación de doble factor. Verifique su estado cuando determine el alcance de su próximo análisis de riesgos. Diseñar con el texto más estricto ahora evita una segunda migración más adelante.

¿Por qué una frase de contraseña de WiFi compartida no cumple con la Norma de Seguridad?

Una red WPA2-PSK (clave precompartida) autentica la frase de contraseña, no a la persona. Cada enfermero, camillero, médico suplente de agencia y contratista que la conoce se ve idéntico para la red. La "identificación única de usuario" en 164.312(a)(2)(i) es una especificación requerida. Le pide que asigne un nombre o número único a cada persona, para que pueda identificarla y seguir su actividad. Una frase de contraseña compartida no puede hacer eso, y ninguna documentación cambia ese hecho.

La falla se extiende a los demás estándares:

• Controles de auditoría. El registro guarda una dirección MAC y una asignación de IP, no a un miembro del personal identificado por su nombre. Las versiones actuales de iOS y Android aleatorizan las direcciones MAC de forma predeterminada, lo que debilita incluso eso.
• Autenticación de persona o entidad. Conocer una frase de contraseña no prueba nada sobre la identidad. Las frases de contraseña se filtran a través de notas adhesivas, turnos de trabajo y mensajes grupales.
• Seguridad de transmisión. Cualquier persona que tenga la frase de paso y capture el saludo de cuatro vías de un dispositivo puede derivar sus claves de sesión. Después puede descifrar el tráfico de ese dispositivo. Un excolaborador con la frase de paso antigua permanece dentro del límite de cifrado.
• Terminación. La sección 164.308(a)(3)(ii)(C) espera que el acceso termine cuando finaliza la relación laboral. Con una clave compartida, eliminar a una persona significa cambiar la clave para todos.

Ese último punto convierte la rotación de PSK en pura simulación. La rotación interrumpe cada dispositivo, por lo que ocurre raras veces. Cada persona que sale entre rotaciones conserva el acceso.

¿Cómo se alinean los cinco estándares con los controles inalámbricos?

Control de acceso - 164.312(a)(1)

El estándar limita el acceso a la ePHI a personas y software a los que se les han otorgado derechos de acceso. En la capa inalámbrica, la implementación es IEEE 802.1X. Es un estándar de control de acceso basado en puertos que mantiene a cada dispositivo fuera de la red hasta que demuestre su identidad. Un servidor RADIUS (Remote Authentication Dial-In User Service) verifica esa identidad.

Con EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), la identidad es un certificado X.509 emitido a una persona designada o dispositivo administrado. RADIUS luego devuelve una política: VLAN, rol y lista de acceso. Una enfermera de pabellón ingresa a la VLAN clínica. Un contratista de instalaciones ingresa a un segmento que solo alcanza la gestión del edificio.

Dos especificaciones adicionales se relacionan con el WiFi. El cierre de sesión automático (direccionable) se alinea con los tiempos de espera de sesión y los intervalos de reautenticación. El acceso de emergencia (requerido) significa un plan documentado sobre qué sucede si el servicio RADIUS no se encuentra disponible.

Lo que busca el auditor: su política de control de acceso, una lista de cada SSID con su método de autenticación y cómo una persona obtiene y pierde el acceso. Espere demostrar que ningún SSID que transporte ePHI utiliza una clave compartida.

Controles de auditoría - 164.312(b)

El estándar requiere mecanismos que registren y examinen la actividad en los sistemas que contienen o utilizan ePHI. No tiene especificaciones de implementación, por lo que el método depende de usted. Para redes inalámbricas, RADIUS Accounting (RFC 2866) es el registro de auditoría.

Cada sesión produce registros de Start, Interim-Update y Stop. Los atributos responden directamente a las preguntas del auditor:

• Quién: User-Name, el certificado o la identidad de directorio.
• Qué dispositivo: Calling-Station-Id, la dirección MAC del cliente.
• Dónde: Called-Station-Id, el punto de acceso y SSID.
• Cuándo y por cuánto tiempo: Event-Timestamp y Acct-Session-Time.
• Por qué terminó: Acct-Terminate-Cause.

El registro es la mitad del estándar. Examinarlo es la otra mitad, y la sección 164.308(a)(1)(ii)(D) requiere una revisión regular de la actividad del sistema de información. Envíe los registros de contabilidad a su plataforma SIEM (gestión de eventos e información de seguridad). Luego programe y documente la revisión.

Lo que busca el auditor: una exportación para un rango de fechas de muestra y evidencia de que alguien la revisa. La sección 164.316(b)(2)(i) requiere una retención de seis años de la documentación requerida. Muchas organizaciones aplican el mismo plazo para la evidencia de registros.

Integridad - 164.312(c)(1)

El estándar protege la ePHI contra alteraciones o destrucciones no autorizadas. En el enlace de radio, AES-CCMP añade una comprobación de integridad de mensajes a cada trama. WPA3-Enterprise también hace obligatorias las Tramas de Gestión Protegidas (IEEE 802.11w). Estas bloquean las tramas de desautenticación falsificadas, una forma común de desconectar dispositivos clínicos de la red. El modo WPA3-Enterprise de 192 bits migra a AES-GCMP-256.

TKIP, el cifrado WPA heredado, se basa en una comprobación de integridad débil. El IEEE dejó de recomendar el uso de TKIP en 802.11-2012.

Lo que busca el auditor: la configuración de cifrado del controlador que muestre únicamente AES, TKIP deshabilitado y la protección de tramas de gestión activada.

Autenticación de personas o entidades - 164.312(d)

El estándar exige verificar que la persona o entidad que solicita el acceso sea quien dice ser. Este es el argumento principal a favor de EAP-TLS sobre PEAP-MSCHAPv2.

PEAP (Protected EAP) envuelve un intercambio de usuario y contraseña dentro de un túnel TLS. Si un cliente omite la validación del certificado del servidor, un punto de acceso no autorizado puede suplantar la identidad de su red. De este modo, captura el intercambio MS-CHAPv2, el cual puede descifrarse fuera de línea. El aviso de seguridad de Microsoft 2743314 documenta este problema y recomienda la validación del certificado del servidor o la migración a una autenticación basada en certificados. Microsoft también documenta que Windows Defender Credential Guard bloquea el inicio de sesión único para MS-CHAPv2 con credenciales guardadas.

EAP-TLS realiza una autenticación mutua mediante certificados. El dispositivo demuestra que posee una clave privada y el servidor demuestra su propia identidad. No hay contraseña que se pueda obtener mediante phishing. La clave privada puede residir, de forma no exportable, en el TPM (Trusted Platform Module) o enclave seguro del dispositivo. Los dispositivos médicos también cuentan como entidades, y los dispositivos capaces pueden llevar sus propios certificados.

Lo que busca el auditor: cómo se verifica la identidad en cada ruta de acceso. "El personal conoce la contraseña del WiFi" no es una respuesta válida. Muestre el procedimiento de emisión de certificados, vinculado al registro de ingreso de RR. HH., y el paso de revocación para las bajas de personal.

Seguridad en la transmisión - 164.312(e)(1)

El estándar protege contra el acceso no autorizado a la ePHI en tránsito. Sus dos especificaciones, controles de integridad y cifrado, son direccionables. WPA2-Enterprise con TKIP no cumple, ya que el cifrado está en desuso. IEEE 802.11n también excluye TKIP de las tasas de alto rendimiento. WPA2-Enterprise con AES-CCMP es defendible en la actualidad. WPA3-Enterprise es la configuración que se debe implementar ahora.

La guía de infracciones del HHS considera que la ePHI en tránsito está protegida cuando el cifrado sigue las publicaciones NIST SP 800-52, 800-77 u 800-113. Dichas publicaciones abarcan TLS, IPsec y VPN SSL. WPA3 en la radio no sitúa por sí solo el tráfico en ese puerto seguro. El uso de TLS en la capa de aplicación sigue siendo fundamental.

Lo que busca el auditor: configuración de cifrado en cada SSID del personal y un registro del retiro de SSID heredados.

¿Qué configuraciones inalámbricas se sostienen?

iPSK (clave precompartida basada en identidad) asigna a cada dispositivo o grupo de dispositivos su propia frase de contraseña en un solo SSID.

Configuración	Identificación única	Registro de auditoría	Autenticación	Cifrado en tránsito	Postura de auditoría
WPA2-PSK compartida, TKIP	Ninguna - un secreto compartido	Solo MAC e IP	Conocimiento de la frase de paso	Cifrado en desuso	Reprueba
WPA2-PSK compartida, AES	Ninguna - un secreto compartido	Solo MAC e IP	Conocimiento de la frase de paso	AES; cualquier poseedor de la clave puede descifrar sesiones capturadas	Reprueba para el acceso del personal a ePHI
iPSK por dispositivo	Por dispositivo, no por persona	Clave de dispositivo asignada	Posesión de la clave del dispositivo	AES-CCMP	Aceptable para dispositivos clínicos sin interfaz con controles compensatorios documentados
WPA2-Enterprise, PEAP-MSCHAPv2	Por persona	Nombre de usuario por sesión	Contraseña; expuesto si la validación de certificados está desactivada	AES-CCMP	Defendible con validación obligatoria y un plan de migración
WPA2-Enterprise, EAP-TLS	Por persona o dispositivo	Identidad de certificado por sesión	Certificado mutuo	AES-CCMP	Sólida
WPA3-Enterprise, EAP-TLS	Por persona o dispositivo	Identidad de certificado por sesión	Certificado mutuo	AES-CCMP más PMF obligatorio	Configuración objetivo
WPA3-Enterprise de 192 bits, EAP-TLS	Por persona o dispositivo	Identidad de certificado por sesión	Certificado mutuo, ECC de 384 bits	AES-GCMP-256 más PMF	Máxima garantía; confirme primero la compatibilidad con los dispositivos

¿Qué revisa un auditor de la OCR en la red inalámbrica de un hospital?

La Oficina de Derechos Civiles (OCR) del HHS aplica la HIPAA. Sus revisiones son principalmente documentales. Los auditores no caminan por las salas con un analizador de espectro. Solicitan políticas, configuraciones y registros, y luego verifican si los registros coinciden con la política.

Comience con el análisis de riesgos. El Informe de la Industria sobre las Auditorías HIPAA 2016-2017 de la OCR, publicado en diciembre de 2020, reveló que la mayoría de las entidades cubiertas auditadas no implementaron el análisis y la gestión de riesgos de manera efectiva. Un análisis de riesgos que omite la WLAN es un hallazgo seguro.

Requisito	Lo que la OCR solicita ver	Evidencia inalámbrica que responde al requisito
Análisis de riesgos, 164.308(a)(1)(ii)(A)	Inventario de sistemas que manejan ePHI y las amenazas para cada uno	Cada SSID, su método de autenticación, VLAN y clases de dispositivos
Control de acceso, 164.312(a)(1)	Prueba de que cada persona tiene un identificador único	Configuración de 802.1X y EAP-TLS; cero SSIDs con clave compartida que transmitan ePHI
Controles de auditoría, 164.312(b)	Registros y evidencia de revisión	Exportación de contabilidad RADIUS para un rango de fechas de muestra; registros de revisión del SIEM
Integridad, 164.312(c)(1)	Cómo se protege la ePHI contra alteraciones	Ajustes de cifrado del controlador: solo AES, se requiere PMF
Autenticación, 164.312(d)	Cómo se verifica la identidad en cada ruta	Procedimiento de emisión y revocación de certificados vinculado a los registros de RR. HH.
Seguridad en la transmisión, 164.312(e)(1)	Decisión de cifrado, con justificación si no se implementa	Configuración de WPA3-Enterprise y registro de retiro de SSIDs heredados
Bajas de personal, 164.308(a)(3)(ii)(C)	Prueba de que las personas que dejan la empresa pierden el acceso	Marcas de tiempo de revocación cotejadas con las fechas de baja de RR. HH.

Espere preguntas también sobre la red de pacientes y visitantes. Los auditores querrán comprobar que esta no puede acceder a ePHI.

¿Dónde se ubican los dispositivos médicos y el WiFi de pacientes en relación con el WiFi del personal?

¿Las bombas de infusión y los equipos de imagenología están dentro del alcance?

Esta es la pregunta de alcance que hace tropezar a muchos equipos de TI en el sector salud. La prueba consiste en determinar si el dispositivo crea, recibe, mantiene o transmite ePHI. Las bombas de infusión inteligentes que intercambian órdenes vinculadas a pacientes con el EHR están dentro del alcance. También lo están las modalidades de imagenología que envían estudios DICOM a PACS y los monitores de telemetría que transmiten a una estación central. Un registrador de temperatura para un refrigerador de vacunas no transporta datos de pacientes y queda fuera del alcance de ePHI.

La dificultad radica en que muchos dispositivos dentro del alcance no pueden ejecutar 802.1X, EAP-TLS o WPA3. La guía de ciberseguridad previa al mercado de 2023 de la FDA se aplica a las solicitudes de nuevos dispositivos. Su base instalada permanece tal como está.

Cómo la segmentación de VLAN limita el riesgo

Una VLAN (LAN virtual) es un segmento de red lógicamente separado dentro de un hardware compartido. Coloque la IoT clínica en SSIDs dedicados o grupos iPSK, mapeados a una VLAN por clase de dispositivo. Las reglas de firewall permitirán entonces que cada clase acceda únicamente a sus servidores designados, como el servidor de bombas o PACS. Los dispositivos del personal no pueden acceder directamente a las bombas, y las bombas no pueden acceder a la VLAN del personal.

La publicación de Prácticas de Ciberseguridad para la Industria de la Salud HHS 405(d) recomienda segmentar los dispositivos médicos de las redes generales. Registre la segmentación en su análisis de riesgos como el control compensatorio para los dispositivos que no pueden autenticarse mediante certificado. Guarde también los registros de RADIUS para los dispositivos autenticados por iPSK y MAC, de modo que cada clase de dispositivo aparezca en el registro de auditoría.

La red de pacientes y visitantes

Su red de pacientes y visitantes no transporta ePHI, pero recopila datos personales en el Captive Portal. Un Captive Portal es la página web que ve un visitante antes de conectarse a internet. Los auditores preguntarán cómo se aísla esa red de los segmentos clínicos. SecurePass, el complemento de seguridad para Purple Guest WiFi, aporta el mismo enfoque basado en identidad para pacientes y visitantes.

Dos escenarios prácticos

Un hospital del condado retira su frase de contraseña compartida para el personal

Situación. Considere un hospital administrado por el condado con 350 camas. Su SSID para el personal ejecutaba WPA2-PSK, y la frase de contraseña se había compartido con enfermeros de agencias durante años. Las bombas de infusión estaban en la misma red. El análisis de riesgo anual señaló que la identificación única no se estaba cumpliendo.

Lo que se hizo. Las estaciones de trabajo administradas y los dispositivos portátiles se migraron a EAP-TLS, con certificados emitidos a través de la plataforma MDM para identidades de Microsoft Entra ID. La política de RADIUS asignó VLANs por grupo de Entra ID. Los registros de contabilidad se transmitieron al SIEM, con una revisión documentada semanalmente. Las bombas se migraron a iPSK en una VLAN aislada, con permiso para acceder únicamente al servidor de bombas. Los teléfonos personales del personal se migraron a un SSID exclusivo para internet.

Resultado. Los secretos compartidos en las redes que transportan ePHI disminuyeron de dos a cero. "¿Quién estaba en el punto de acceso de la sala de medicamentos a las 02:00?" se convirtió en una simple consulta SIEM. Anteriormente, implicaba correlacionar manualmente las concesiones de DHCP con los registros de las tarjetas de acceso. Las personas que dejan la empresa ahora pierden el acceso cuando se revoca su certificado y se elimina su membresía del grupo de Microsoft Entra ID. Ningún otro dispositivo se ve afectado.

Una cadena de farmacias unifica el acceso del personal en 60 tiendas

Situación. Considere una cadena de farmacias regional con 60 tiendas, cada una con un dispensario y una sala clínica. Las farmacias son entidades cubiertas por HIPAA. Los pagos con tarjeta también incluyen a PCI-DSS dentro del alcance. Cada tienda utilizaba una contraseña compartida para las terminales del dispensario, las tabletas y los teléfonos del personal. Las tiendas más nuevas ejecutaban Cisco Meraki y las tiendas más antiguas ejecutaban Ubiquiti UniFi.

Lo que se hizo. Cada tienda obtuvo un SSID para el personal 802.1X con EAP-TLS, autenticado contra un servicio RADIUS en la nube. No se reemplazó ningún punto de acceso. Los registros de contabilidad se enviaron a un registro central. Los compradores de Retail se mantuvieron en una red de invitados independiente.

Resultado. Las contraseñas compartidas a nivel de tienda disminuyeron de 60 a cero, al igual que las visitas para la rotación de contraseñas. Un conjunto de controles ahora responde a la identificación única de HIPAA y al Requisito 8.2.1 de PCI-DSS v4.0, el cual requiere una ID única para cada persona.

¿Cuáles son los límites de los controles inalámbricos en un análisis de riesgos de HIPAA?

Los controles de WiFi protegen un salto. Los controles de acceso a EHR, TLS en la capa de aplicación y el cifrado de endpoints asumen el resto de la carga. HIPAA es neutra con respecto a la tecnología y no menciona ningún protocolo inalámbrico, por lo que su análisis de riesgos debe explicar cada elección.

Los dispositivos heredados marcan el límite inferior. El modo de transición WPA3-Enterprise mantiene conectados a los clientes WPA2, pero también mantiene las debilidades de WPA2 en ese SSID. Utilice un SSID exclusivo para WPA3 en dispositivos compatibles y retire el SSID de transición mediante un plan programado.

Los certificados necesitan un ciclo de vida. Un certificado de servidor RADIUS vencido desconecta a todos los clientes a la vez. Automatice la renovación y monitoree las fechas de vencimiento.

La iteración de roaming necesita ajustes. Un intercambio 802.1X completo en cada punto de acceso agrega retrasos, lo cual afecta primero a los dispositivos de voz. La transición rápida de BSS (802.11r) lo acorta. Consulte 802.11r y 802.11k en Android: despliegue de roaming rápido en Cisco Meraki, HPE Aruba y Ubiquiti UniFi. En entornos Meraki, consulte Cisco Meraki 802.11r adaptativo vs habilitado: solución de roaming en puntos de acceso MR.

Finalmente, la Ley Pública 116-321 indica al HHS que considere las prácticas de seguridad reconocidas que haya tenido implementadas durante los 12 meses anteriores al momento de determinar las sanciones. Vincular sus controles inalámbricos con las prácticas 405(d) resulta útil en este caso.

¿Qué debe hacer antes de su próximo análisis de riesgos?

1. Realice un inventario de cada SSID, su método de autenticación, cifrado y VLAN.
2. Clasifique los dispositivos como personal administrado, personal propio, IoT clínico o invitado.
3. Migre los dispositivos administrados a EAP-TLS, con políticas impulsadas por grupos de directorio.
4. Deshabilite TKIP, exija PMF y programe WPA3-Enterprise.
5. Envíe la contabilidad RADIUS a su SIEM, documente la revisión y establezca la retención.
6. Segmente el IoT clínico por clase de dispositivo y documente los controles compensatorios.
7. Vuelva a validar la cobertura después de los cambios de cifrado y SSID. WiFi Site Surveys: A Practical Planning Guide establece el método.
8. Escriba cada decisión en el análisis de riesgos, con evidencia adjunta.

La solución Staff WiFi de Purple ofrece 802.1X con EAP-TLS, política de VLAN por persona y contabilidad RADIUS centralizada en la nube. Se integra sobre hardware Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. Microsoft Entra ID, Okta y Google Workspace gestionan las altas, cambios y bajas de personal. Purple cuenta con la certificación ISO 27001 y opera en más de 80,000 ubicaciones en vivo, con 440 millones de inicios de sesión en 2024 (datos de Purple). Lea más en nuestra página de Healthcare y en Why your next WiFi upgrade doesn't need new hardware.

Consulte también el resumen de Staff WiFi de Purple, SecurePass para la red de pacientes y visitantes, y nuestras guías de cumplimiento de WiFi para empleados ISO 27001 y SOC 2 si administra varios marcos de trabajo a la vez.

Preguntas frecuentes

¿HIPAA requiere WPA3-Enterprise o es aceptable WPA2-Enterprise?

No, HIPAA no menciona WPA3-Enterprise ni ningún otro protocolo. WPA2-Enterprise con AES-CCMP y EAP-TLS sigue siendo defendible en un análisis de riesgos hoy en día. WPA2 con TKIP no lo es, porque el IEEE devaluó ese cifrado en 802.11-2012. Implemente WPA3-Enterprise en los nuevos SSID del personal donde los dispositivos lo admitan, y documente un plan con fecha para el resto. La actualización propuesta de la Regla de Seguridad del HHS haría obligatorio el cifrado en tránsito, por lo que debe diseñar con base en ese estándar desde ahora.

¿Podemos mantener una contraseña compartida para el personal si la documentamos en el análisis de riesgos?

No, no para el acceso del personal a ePHI. La identificación única de usuario en 164.312(a)(2)(i) es una especificación requerida, por lo que la documentación no puede reemplazarla. Una contraseña compartida no identifica a nadie, y cada persona que deja la empresa conserva el acceso hasta la siguiente rotación. Las claves compartidas o por dispositivo siguen siendo aceptables solo para dispositivos clínicos sin pantalla ni interfaz gráfica. Esos dispositivos también necesitan segmentación por VLAN y los controles compensatorios asentados en su análisis de riesgos.

¿Necesitamos nuevos puntos de acceso para migrar a 802.1X y EAP-TLS?

No, 802.1X y EAP-TLS se ejecutan en los puntos de acceso empresariales que la mayoría de los hospitales ya poseen. El RADIUS en la nube de Purple funciona con Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme y Fortinet. El trabajo reside en la emisión de certificados, la integración de directorios y la política de RADIUS, no en el hardware. Planifique una revisión de radiofrecuencia solo si también se va a migrar a WPA3, ya que los puntos de acceso más antiguos pueden necesitar actualizaciones de firmware.

¿Durante cuánto tiempo debemos conservar los registros de acceso inalámbrico para HIPAA?

Consérvelos durante seis años si desea un plazo predeterminado defendible. La regla de documentación de HIPAA en 164.316(b)(2)(i) exige la retención de seis años de la documentación requerida. Muchas organizaciones aplican el mismo período a la evidencia del registro de auditoría que la respalda. Confirme el período con su responsable de cumplimiento, ya que la ley estatal puede exigir uno más largo. Almacene los registros de RADIUS Accounting en un sistema que pueda consultar por persona, dispositivo y rango de fechas.

¿Los dispositivos médicos en WiFi están dentro del alcance de las salvaguardas técnicas?

Sí, si el dispositivo crea, recibe, mantiene o transmite ePHI. Las bombas de infusión inteligentes vinculadas al EHR, las modalidades de imagenología que envían estudios al PACS y los monitores de telemetría califican. Los dispositivos que no pueden ejecutar EAP-TLS pertenecen a VLANs dedicadas, utilizando iPSK donde sea posible. Las reglas de firewall deben limitar cada clase de dispositivo a sus servidores designados. Registre la segmentación como el control compensatorio en su análisis de riesgos.

¿Un auditor de la OCR preguntará sobre nuestra WiFi para pacientes y visitantes?

Sí, espere preguntas sobre la red de pacientes y visitantes junto con la WiFi del personal. Los auditores quieren pruebas de que no puede acceder a los segmentos clínicos que transportan ePHI. También pueden preguntar cómo maneja los datos personales el Captive Portal. Muestre el diseño de la red, las reglas de firewall y los datos recopilados al iniciar sesión. SecurePass, el complemento de seguridad de Purple Guest WiFi, extiende el acceso basado en la identidad a pacientes y visitantes.

¿Purple se integra con Microsoft Entra ID, Okta y Google Workspace?

Sí, la WiFi para personal de Purple se integra con Microsoft Entra ID, Okta y Google Workspace. Los grupos de directorio impulsan la política de RADIUS, por lo que el rol de una persona decide a qué VLAN accede. Los nuevos empleados obtienen acceso cuando se agregan al grupo correcto. Los empleados que cambian de puesto cambian de VLAN cuando cambia su grupo. Los empleados que se van pierden el acceso cuando usted revoca su certificado y elimina su pertenencia al grupo, registrando cada paso para la pista de auditoría.