Interpolgar Seguridad y cumplimiento
Decimos las cosas como son: Interpolgar Nexus está diseñada para soportar los requisitos de seguridad de HIPAA y SOC 2, pero todavía no cuenta con auditoría ni certificación independiente. Esta página muestra qué está hecho, qué está en preparación y cómo trabajamos mientras tanto.
Cómo trabajamos hoy con clientes piloto
- Los pilotos usan datos ficticios o desidentificados. No procesamos información médica identificable (PHI) hasta contar con el contrato BAA firmado, la evaluación de riesgos y la prueba de penetración independiente.
- Cuando se procese PHI, se firmará un Business Associate Agreement (BAA) y se alojará en una nube que también lo firme.
- Respondemos cuestionarios de seguridad del cliente con evidencia del código y de la arquitectura.
Estado por control
| Control | Qué hacemos | Estado |
|---|---|---|
| Control de acceso (HIPAA §164.312(a)) | Usuarios únicos, permisos por rol (mínimo privilegio), lista blanca de IP, sesiones de 15 minutos con renovación rotativa y bloqueo por intentos fallidos. | Implementado |
| Autenticación (§164.312(d)) | Contraseñas con hash, doble factor (TOTP) que cada aseguradora puede exigir, códigos de recuperación de un solo uso. | Implementado |
| Auditoría (§164.312(b)) | Bitácora de acciones con cadena de hashes verificable; alertas por comportamiento sospechoso. | Implementado |
| Integridad (§164.312(c)) | Detección de alteraciones por cadena de hashes; validación estricta de entradas. | Implementado |
| Cifrado en tránsito (§164.312(e)) | HTTPS obligatorio en producción; webhooks firmados (HMAC) con protección contra SSRF. | Implementado |
| Cifrado de datos sensibles | Campos sensibles con AES-256-GCM y clave propia por aseguradora, con rotación de claves; copias de seguridad cifradas. | Implementado |
| Aislamiento entre clientes | Toda consulta se limita a la aseguradora del usuario. Aislamiento a nivel de fila en PostgreSQL: en la migración a producción. | En preparación |
| Cifrado de disco y base de datos en producción | Se configura en el despliegue con claves gestionadas (KMS). | Con el proveedor de nube |
| Seguridad física y de centros de datos | La ofrece el proveedor de nube con BAA. | Con el proveedor de nube |
| Evaluación de riesgos y políticas escritas | Documentación de políticas, plan de contingencia y respuesta a incidentes. | En preparación |
| Capacitación del personal | Programa de concientización en seguridad y privacidad. | En preparación |
| Prueba de penetración independiente | Contratar una firma externa y corregir hallazgos antes de procesar PHI. | En preparación |
| Informe SOC 2 (Tipo I y luego Tipo II) | Iniciaremos la preparación; el Tipo II requiere meses de evidencia operando. | Aún no |
HIPAA no emite “certificaciones”: es una ley que se cumple y se demuestra. Nuestra alineación no sustituye una evaluación de cumplimiento del cliente. Para preguntas de seguridad escribe a contacto@interpolgarnexus.com.