Entorno regulatorio

Por el tipo de datos que procesa y los países donde opera, Ágora Salud está sujeta a un conjunto de obligaciones legales y regulatorias que condicionan directamente la forma en que debe gestionar la información. Carolina Mejía, la Gerente Legal, ha identificado las siguientes obligaciones vigentes:

​

Colombia

• Ley 1581 de 2012 (Protección de Datos Personales): establece los principios y las obligaciones para el tratamiento de datos personales. Para Ágora Salud es especialmente relevante porque los datos clínicos de pacientes son datos sensibles, categoría que tiene protecciones reforzadas bajo esta ley. La empresa actúa como operador de datos en nombre de las instituciones cliente, que son los responsables del tratamiento.

• Resolución 866 de 2021 del Ministerio de Salud y el MinTIC: reglamenta el conjunto de datos clínicos relevantes para la interoperabilidad de la historia clínica electrónica en Colombia. Aplica directamente a ÁgoraCare como sistema de gestión de historia clínica, e impone requisitos de seguridad, disponibilidad, integridad y confidencialidad de la información.

México

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP): obliga a proteger los datos personales, incluyendo los de salud, con medidas de seguridad administrativas, físicas y técnicas.

• NOM-024-SSA3-2012: norma oficial mexicana que regula los sistemas de información en salud, incluyendo requisitos de confidencialidad, integridad y disponibilidad de la información clínica.

Obligaciones contractuales

Más allá de las obligaciones legales, varios contratos con clientes incluyen cláusulas específicas de seguridad de la información. Cuatro contratos con instituciones que prestan servicios al Estado colombiano exigen expresamente que Ágora Salud cuente con certificación ISO 27001 o un sistema equivalente documentado. Tres contratos con clientes en México hacen referencia a estándares de seguridad de la información como requisito de cumplimiento. El plazo para acreditar el cumplimiento de estas cláusulas vence en 18 meses.

​

Presiones del negocio

Ágora Salud enfrenta una convergencia de presiones externas e internas que hacen que la implementación del SGSI sea, a la vez, urgente y estratégica.

​

La licitación del MinSalud

En los próximos seis meses, el Ministerio de Salud de Colombia abrirá una licitación para la implementación de un sistema nacional de historia clínica electrónica interoperable. Se estima que el contrato tiene un valor de COP $12.000 millones y una duración de cinco años. El pliego preliminar, al que Ágora Salud tuvo acceso, incluye como requisito habilitante la certificación ISO 27001 vigente o, en su defecto, la presentación de un plan de implementación aprobado por la alta dirección con cronograma y compromisos formales. Ricardo Lozano considera este contrato como la mayor oportunidad de crecimiento en la historia de la empresa.

​

La presión de los clientes existentes

En los últimos doce meses, al menos siete clientes han enviado cuestionarios de seguridad a Ágora Salud como parte de sus procesos de renovación de contratos. Estos cuestionarios incluyen preguntas sobre políticas de seguridad, gestión de accesos, cifrado de datos, planes de continuidad y gestión de incidentes. En tres casos, los clientes han expresado explícitamente que la ausencia de una certificación de seguridad reconocida podría afectar la decisión de renovación.

​

La competencia

Dos competidores directos de Ágora Salud en el mercado colombiano obtuvieron la certificación ISO 27001 en el último año y la están usando activamente como argumento comercial. En al menos dos procesos de selección en los que Ágora Salud participó durante el último semestre, los competidores certificados resultaron favorecidos. El equipo comercial ha reportado que la falta de certificación está comenzando a afectar la competitividad en licitaciones de alta complejidad.

​

La expansión internacional

La estrategia de crecimiento en México requiere que Ágora Salud pueda demostrar cumplimiento con los marcos de seguridad y privacidad de datos vigentes en ese país. Tres prospectos grandes han condicionado la firma de contrato a la presentación de evidencia de un SGSI formal.

​

Situación actual de seguridad

Ágora Salud no ha ignorado la seguridad. A lo largo de los años ha implementado controles técnicos que funcionan razonablemente bien. Sin embargo, esos controles fueron adoptados de forma reactiva, sin un marco sistemático, sin documentación formal y sin una evaluación de riesgos que los justifique. Lo que tiene la empresa hoy es un conjunto de prácticas de seguridad dispersas, no un sistema de gestión.

Mariana Ospina, en su primer mes en la empresa, realizó un recorrido informal por el estado de la seguridad. Esto es lo que encontró:

​

Lo que funciona

• El data center tiene control de acceso físico con tarjeta de proximidad y registro de ingresos. La sala de servidores está separada del resto de la oficina y tiene aire acondicionado dedicado y sistema contra incendios.

• Los servidores de producción tienen antivirus actualizado y firewall perimetral activo. Las reglas del firewall fueron configuradas hace tres años y no han sido revisadas desde entonces.

• Los respaldos de la base de datos principal se ejecutan diariamente a las 2:00 a.m. y se almacenan en una unidad externa dentro del mismo data center. Adicionalmente, Sergio envía semanalmente una copia cifrada a un servidor en AWS S3.

• La infraestructura en la nube tiene controles de acceso configurados y registro de actividad habilitado. Natalia implementó el cifrado en reposo en los componentes de base de datos y almacenamiento de archivos críticos durante la migración.

• Los empleados tienen cuentas individuales con contraseña en todos los sistemas. Las contraseñas tienen requisitos mínimos de complejidad en los sistemas más nuevos.

• La VPN corporativa está en uso y todos los empleados remotos tienen instrucciones de usarla para acceder a recursos internos.

Lo que no funciona o no existe

• No existe un inventario formal de activos de información. Sergio tiene una hoja de cálculo no oficial con los servidores, pero no cubre software, datos ni servicios en la nube.

• No hay una política de seguridad de la información documentada ni aprobada por la dirección. Existen algunas instrucciones informales sobre contraseñas y uso del correo, pero no están formalizadas.

• No existe un proceso de gestión de riesgos. Nunca se ha realizado una evaluación formal de los riesgos de seguridad de la información.

• La gestión de accesos es inconsistente. Cuando un empleado deja la empresa, sus accesos no siempre se revocan de forma oportuna. Mariana identificó tres cuentas activas de exempleados en el sistema de tickets.

• No existe un proceso formal de gestión de incidentes. Cuando ocurren incidentes de seguridad, se resuelven de forma ad hoc sin registro ni análisis posterior.

• La gestión de parches es reactiva. No hay un proceso regular de actualización de sistemas operativos y aplicaciones.

• No hay un plan de continuidad del negocio ni un plan de recuperación ante desastres documentado. Si el data center fallara, la recuperación dependería del conocimiento de Sergio y de los respaldos existentes.

• La concienciación en seguridad es inexistente. Nunca se ha realizado una capacitación formal en seguridad de la información para los empleados.

• Las integraciones con laboratorios y aseguradoras no tienen documentación técnica actualizada. No está claro qué datos se transfieren, bajo qué mecanismos de seguridad y con qué frecuencia.

• Los contratos con proveedores de servicios de tecnología no incluyen cláusulas de seguridad de la información. El contrato con AWS es estándar, sin acuerdos específicos sobre protección de datos de pacientes.

​

El incidente

El 14 de marzo de 2025, a las 7:23 a.m., el equipo de soporte de una clínica cliente en Bogotá reportó a la mesa de ayuda de Ágora Salud que varios médicos estaban recibiendo mensajes de texto con información clínica de pacientes que no les correspondía. Los mensajes incluían nombres completos, diagnósticos y resultados de laboratorio de pacientes de otras instituciones.

​

Sergio escaló el reporte al CIO en los primeros veinte minutos. Andrés convocó a Natalia y al equipo de soporte a una llamada de emergencia. Lo que encontraron en las siguientes horas reveló un problema más serio de lo que parecía inicialmente.

Un proceso automatizado del módulo de alertas clínicas tenía un error de configuración que había estado activo durante al menos 11 días. El error causaba que, bajo ciertas condiciones relacionadas con el tipo de patología registrada, las notificaciones de alerta de un paciente se enrutaran al grupo de médicos equivocado (específicamente, a los médicos de otra institución que compartía el mismo código de especialidad clínica en la tabla de configuración). El error había afectado a 847 pacientes de tres instituciones cliente diferentes.

​

Las alertas enviadas incorrectamente incluían: nombre completo del paciente, número de identificación, diagnóstico principal, valores de parámetros clínicos (glicemia, presión arterial, frecuencia cardíaca), nombre del médico tratante e institución de origen. Toda esa información había llegado a dispositivos móviles de médicos que no tenían ninguna relación con esos pacientes ni con esas instituciones.

​

A las 11:00 a.m. del mismo día, el equipo técnico había corregido el error de configuración y detenido el envío de nuevas alertas incorrectas. Sin embargo, las notificaciones ya enviadas no podían recuperarse de los dispositivos de los destinatarios.

​

A las 3:00 p.m., Carolina Mejía convocó una reunión de crisis con Ricardo Lozano, Andrés Peña y Valentina Ríos. Le informó que la situación configuraba una posible violación de datos personales sensibles bajo la Ley 1581 de 2012, que la empresa tenía la obligación legal de notificar a la Superintendencia de Industria y Comercio en un plazo perentorio, y que los pacientes afectados también tenían derecho a ser notificados. También advirtió que dos de las tres instituciones afectadas tenían cláusulas contractuales de seguridad que podrían activarse como causal de penalización.

​

Al día siguiente, uno de los médicos que recibió las alertas incorrectas publicó una queja en redes sociales mencionando que había recibido información clínica de pacientes que no eran suyos a través de la plataforma de su institución. Aunque el médico no mencionó explícitamente a Ágora Salud, el nombre de la aplicación era visible en la captura de pantalla que acompañaba la publicación. La publicación fue compartida 340 veces en las primeras cuatro horas.