Seguridad y cumplimiento en Alluxi
Alluxi cumple con HIPAA. Construimos software que maneja información de salud protegida, y operamos nuestra propia empresa bajo el mismo estándar que aplicamos para nuestros clientes de salud.
- Cumplimiento HIPAA
- Un programa de cumplimiento a nivel empresa que cubre las reglas de privacidad, seguridad y notificación de brechas de HIPAA.
- Análisis de riesgos y atestación
- Completamos un análisis de riesgos de seguridad formal y una atestación de cumplimiento de forma recurrente. La documentación de respaldo está disponible para clientes potenciales bajo NDA.
- BAAs firmados
- Firmamos Business Associate Agreements con nuestros clientes de salud y los exigimos a cualquier proveedor que toque PHI.
Nuestro programa de cumplimiento
Mantenemos un programa de seguridad documentado con un responsable de seguridad designado, políticas y procedimientos escritos, y un análisis de riesgos recurrente. Los hallazgos se les da seguimiento hasta su remediación, y el programa se revisa conforme evolucionan nuestras herramientas, equipo y proyectos.
Capacitación del equipo
Cada miembro del equipo completa capacitación en HIPAA y concientización de seguridad al ingresar y de forma recurrente. El acceso a sistemas de clientes y PHI se limita a personal capacitado con necesidad de acceso.
Business Associate Agreements
Firmamos un BAA con cada cliente de salud antes de que cualquier PHI fluya por los sistemas que construimos u operamos, y exigimos BAAs a los subcontratistas y proveedores que almacenan o procesan PHI en nuestro nombre.
Protección de datos
Los datos se cifran en tránsito y en reposo. El acceso sigue el principio de mínimo privilegio, está protegido con autenticación multifactor y queda registrado para auditoría. Los datos de producción se quedan en producción: no usamos PHI de clientes en ambientes de desarrollo o pruebas.
Desarrollo seguro
Cada cambio pasa por revisión de código antes de publicarse. Mantenemos ambientes de desarrollo, staging y producción separados, gestionamos dependencias contra vulnerabilidades conocidas, y diseñamos bitácoras de auditoría y controles de acceso en los sistemas que entregamos.
Respuesta a incidentes
Mantenemos un plan de respuesta a incidentes documentado con roles y rutas de escalación definidos, incluyendo procedimientos de notificación de brechas alineados con la regla de notificación de HIPAA y nuestras obligaciones contractuales con clientes.
Checklist HIPAA de construcción de Alluxi
18 verificaciones que aplicamos en cada proyecto de salud, tomadas de las prácticas descritas arriba.
Acceso
- Acceso a PHI limitado a personal capacitado con necesidad de acceso
- Acceso a sistemas y datos con mínimo privilegio
- Autenticación multifactor en los accesos
- Accesos registrados para auditoría
Protección de datos
- Datos cifrados en tránsito
- Datos cifrados en reposo
- Sin PHI de clientes en ambientes de desarrollo o pruebas
Ingeniería
- Revisión de código en cada cambio antes de publicarlo
- Ambientes de desarrollo, staging y producción separados
- Dependencias gestionadas contra vulnerabilidades conocidas
- Bitácoras de auditoría y controles de acceso diseñados en el sistema entregado
Personas y procesos
- BAA firmado con el cliente antes de que fluya cualquier PHI
- BAAs exigidos a subcontratistas y proveedores que manejan PHI
- Capacitación en HIPAA y seguridad al ingresar y de forma recurrente
- Responsable de seguridad designado, y políticas y procedimientos escritos
- Análisis de riesgos de seguridad recurrente, con hallazgos con seguimiento hasta su remediación
Preparación ante incidentes
- Plan de respuesta a incidentes documentado, con roles y rutas de escalación definidos
- Procedimientos de notificación de brechas alineados con la regla de notificación de HIPAA
Un resumen del checklist está disponible bajo NDA, junto con nuestro cuestionario de seguridad.
¿Estás evaluando proveedores?
Con gusto apoyamos tu revisión de seguridad. Solicita nuestra documentación de cumplimiento, resúmenes de políticas o un cuestionario de seguridad completado — disponibles bajo NDA.
Contáctanos