Una clínica puede disponer de ordenadores actualizados, antivirus, contraseñas robustas y un buen software de gestión y, aun así, sufrir una pérdida de información. Un fallo de hardware, un borrado accidental, un ataque de ransomware o un problema con un servidor pueden afectar en pocos minutos a años de documentación.

Por eso, las copias de seguridad o backups forman parte de la continuidad asistencial de una clínica. No se trata simplemente de conservar archivos duplicados: el objetivo es poder recuperar la información necesaria y volver a trabajar con normalidad cuando ocurre un incidente.

Además, cuando se manejan historias clínicas y otros datos personales, disponer de mecanismos adecuados de recuperación forma parte de las medidas de seguridad que deben valorarse conforme al Reglamento General de Protección de Datos (RGPD).

¿Está obligada una clínica a realizar copias de seguridad?

Una clínica debe adoptar medidas que le permitan proteger y recuperar la información personal y clínica que gestiona.

El artículo 32 del RGPD exige aplicar medidas técnicas y organizativas adecuadas al riesgo y contempla expresamente la capacidad de:

• garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas;
• restaurar la disponibilidad y el acceso a los datos personales de forma rápida tras un incidente físico o técnico;
• evaluar periódicamente la eficacia de las medidas de seguridad implantadas.

Esto tiene una consecuencia importante: no basta con decir que “hacemos copias de seguridad”. El sistema debe permitir recuperar realmente los datos cuando sean necesarios.

El RGPD tampoco establece que todas las clínicas tengan que realizar, por ejemplo, una copia cada 24 horas. La periodicidad debe determinarse en función del riesgo, del volumen de información generado y, sobre todo, de cuánta información podría permitirse perder el centro sin comprometer su funcionamiento.

¿Qué información debería incluir el backup de una clínica?

El error habitual es pensar únicamente en las historias clínicas. En realidad, para reconstruir la actividad del centro después de una incidencia pueden ser necesarios varios tipos de información.

1. Historias clínicas

Constituyen uno de los activos de información más importantes de cualquier centro sanitario.

Dependiendo de la actividad profesional pueden incluir:

• anamnesis e historia clínica;
• evolución de las sesiones o consultas;
• diagnósticos;
• tratamientos;
• resultados de pruebas;
• informes clínicos;
• documentación aportada por el paciente;
• documentos adjuntos asociados a la historia.

La Ley 41/2002 establece que los centros deben archivar las historias clínicas garantizando su seguridad, conservación y recuperación de la información.

2. Documentos y archivos adjuntos

Una base de datos puede estar correctamente respaldada mientras que los documentos asociados permanezcan fuera del sistema de backup.

Conviene comprobar específicamente que se copian también:

• PDF;
• informes;
• documentos escaneados;
• resultados de pruebas;
• consentimientos;
• imágenes;
• archivos generados o incorporados por los profesionales.

3. Agenda y citas

Perder las próximas citas puede producir una interrupción operativa inmediata incluso aunque las historias clínicas continúen intactas.

Por ello, el sistema de recuperación debería permitir reconstruir también:

• citas futuras;
• agenda de profesionales;
• asignaciones de pacientes;
• salas o recursos reservados;
• estados de las citas.

4. Información administrativa y económica

Dependiendo de cómo esté organizado el centro, también puede resultar crítica información como:

• facturas;
• series de facturación;
• pagos;
• tarifas;
• datos fiscales;
• documentos contables;
• información necesaria para conciliar cobros.

5. Usuarios, permisos y configuración

Después de una pérdida completa del sistema no basta con recuperar los pacientes. También puede ser necesario reconstruir quién podía acceder a qué.

Por ello conviene respaldar:

• usuarios;
• roles;
• permisos;
• configuraciones relevantes;
• plantillas;
• configuraciones de centros y profesionales.

Las contraseñas no deberían almacenarse nunca en texto plano dentro de una copia de seguridad.

6. Registros de actividad relevantes

Cuando el sistema mantiene registros de accesos, modificaciones o eventos de seguridad, puede ser necesario conservarlos de acuerdo con la política de seguridad y conservación definida por la organización.

Estos registros también pueden resultar especialmente importantes para investigar posteriormente un incidente.

¿Hay que guardar absolutamente todo?

No. Una política adecuada de backups debe convivir con otra cuestión igualmente importante: la política de conservación y eliminación de la información.

Realizar copias no significa conservar indefinidamente todos los datos que hayan pasado por el sistema.

Por ejemplo, pueden existir:

• archivos temporales;
• exportaciones antiguas;
• duplicados;
• documentos generados para una transferencia puntual;
• información cuyo periodo de conservación ya haya finalizado.

El sistema de backup debería estar alineado con los plazos legales de conservación aplicables a cada categoría de información.

En el caso de la documentación clínica, la Ley 41/2002 establece con carácter general un plazo mínimo de cinco años desde la fecha de alta de cada proceso asistencial, sin perjuicio de plazos superiores que puedan resultar aplicables por otras razones o por normativa autonómica.

¿Dónde deberían guardarse las copias de seguridad?

Guardar una copia en el mismo ordenador que contiene los archivos originales ofrece una protección muy limitada.

Si ese equipo se avería, es robado o queda cifrado por ransomware, puede desaparecer simultáneamente tanto la información original como su supuesto backup.

La regla 3-2-1

Una de las estrategias tradicionales para organizar copias de seguridad es la denominada regla 3-2-1:

• 3 copias de la información contando los datos originales;
• almacenadas utilizando al menos 2 sistemas o soportes diferenciados;
• con al menos 1 copia situada fuera del entorno principal.

El objetivo es evitar que un único incidente pueda destruir simultáneamente todas las copias.

De la regla 3-2-1 a una estrategia 3-2-1-1-0

Las amenazas actuales, especialmente el ransomware, han llevado a reforzar este modelo.

Una estrategia más robusta puede incorporar:

• 3 copias de la información;
• 2 soportes o sistemas diferentes;
• 1 copia fuera de la ubicación principal;
• 1 copia offline, aislada o inmutable;
• 0 errores detectados después de verificar las copias.

El elemento especialmente relevante es la copia inmutable o aislada: una copia que un atacante que haya comprometido el sistema principal no pueda modificar o eliminar fácilmente.

Una carpeta sincronizada con la nube no siempre es un backup

Este es uno de los errores más frecuentes.

Servicios de sincronización permiten disponer de una copia de determinados archivos en diferentes dispositivos, pero sincronización y copia de seguridad no son necesariamente equivalentes.

Imaginemos que un archivo se elimina accidentalmente y la eliminación se sincroniza automáticamente. El archivo puede desaparecer también del resto de dispositivos.

Algo parecido puede ocurrir con determinados ataques de ransomware: los archivos cifrados pueden sincronizarse con el almacenamiento remoto.

Una solución de backup debería permitir recuperar versiones anteriores e independientes de la información.

¿Con qué frecuencia debería hacer copias una clínica?

La pregunta correcta no es únicamente “¿cada cuánto hago un backup?”, sino:

¿Cuántas horas de trabajo estaría dispuesto a perder si el sistema fallara ahora mismo?

Ese intervalo se relaciona con el denominado RPO —Recovery Point Objective— o punto objetivo de recuperación.

Si una clínica considera inaceptable perder más de una hora de información, realizar únicamente una copia cada noche sería insuficiente.

Como referencia práctica, una clínica digitalizada podría plantear una política como la siguiente:

Estas frecuencias son criterios operativos orientativos y no plazos impuestos con carácter general por el RGPD. Cada organización debe determinar su política a partir de su evaluación de riesgos.

¿Cuánto tiempo deberían conservarse los backups?

Tampoco existe una única respuesta.

Una clínica puede utilizar un sistema escalonado de versiones, por ejemplo:

• varias copias recientes;
• copias diarias durante un periodo determinado;
• copias semanales durante más tiempo;
• copias mensuales para determinadas necesidades.

Esto permite retroceder en el tiempo si el problema no se detecta inmediatamente.

Un ransomware, una corrupción silenciosa de la base de datos o un borrado inadvertido puede descubrirse varios días después. Si todas las versiones anteriores ya se han sobrescrito, disponer de muchos backups recientes puede no servir para recuperar la información correcta.

Cifrar también las copias de seguridad

Una copia de seguridad contiene potencialmente tanta información sensible como el sistema original.

Por ello debe estar protegida frente a accesos no autorizados.

Entre las medidas que deberían valorarse se encuentran:

• cifrado de los backups;
• control de acceso por usuarios y roles;
• autenticación multifactor para administradores;
• separación entre las credenciales utilizadas para producción y para backup;
• registro de accesos;
• protección de las claves de cifrado;
• restricción del acceso administrativo.

¿Es seguro guardar las copias de una clínica en la nube?

Puede serlo, siempre que el servicio utilizado cumpla los requisitos técnicos y jurídicos correspondientes.

Externalizar almacenamiento no elimina la responsabilidad de la clínica sobre los datos.

Entre otros aspectos conviene revisar:

• dónde se almacenan físicamente los datos;
• qué entidad presta el servicio;
• qué subencargados intervienen;
• qué medidas de cifrado existen;
• cómo se controla el acceso;
• qué procedimientos existen ante incidencias;
• cómo se recuperan los datos;
• qué ocurre cuando termina el contrato;
• si existen transferencias internacionales de datos;
• las condiciones del contrato de encargado del tratamiento cuando resulte aplicable.

Por tanto, “está en la nube” no es por sí mismo una garantía de seguridad.

El backup no sirve si nunca se ha probado

Este es probablemente uno de los aspectos más importantes de toda estrategia de copias de seguridad.

Una empresa puede llevar años generando backups y descubrir durante una emergencia que:

• los archivos estaban incompletos;
• la base de datos estaba dañada;
• faltaban los documentos adjuntos;
• se desconoce la contraseña de cifrado;
• el procedimiento de restauración nunca se documentó;
• nadie sabe quién debe iniciar la recuperación.

Por eso, además de comprobar que la copia se ha ejecutado correctamente, deben realizarse pruebas periódicas de restauración.

RPO y RTO: dos conceptos que una clínica debería conocer

Una política profesional de continuidad puede resumirse mediante dos preguntas.

RPO: ¿cuántos datos podemos perder?

El Recovery Point Objective establece hasta qué momento debe poder recuperarse la información.

Por ejemplo, un RPO de una hora implica que, ante un incidente grave, como máximo debería perderse aproximadamente una hora de información.

RTO: ¿cuánto podemos permanecer sin sistema?

El Recovery Time Objective establece cuánto tiempo puede permanecer interrumpido el servicio antes de que el impacto sea inaceptable.

No es lo mismo una consulta individual que atiende seis pacientes al día que un centro con cuarenta profesionales, recepción, facturación centralizada y cientos de citas.

El sistema de copias debería diseñarse teniendo en cuenta ambas variables.

¿Quién debe encargarse de comprobar los backups?

Automatizar las copias reduce errores humanos, pero automatizar no significa olvidarse de ellas.

La clínica debería tener claramente definido:

• quién es responsable de supervisar el sistema;
• quién recibe alertas cuando falla una copia;
• quién puede acceder a los backups;
• quién autoriza una restauración;
• cómo se actúa ante un incidente;
• cada cuánto se realizan pruebas de recuperación.

En sistemas SaaS parte de estas tareas puede corresponder al proveedor tecnológico, pero el centro debería conocer qué medidas están incluidas en el servicio y cuáles continúan dependiendo de su propia organización.

Qué preguntar al proveedor del software de gestión de tu clínica

Cuando una clínica contrata un software, existen algunas preguntas especialmente útiles:

• ¿Qué información se incluye en los backups?
• ¿Con qué frecuencia se realizan?
• ¿Existen varias versiones históricas?
• ¿Dónde se almacenan?
• ¿Están cifradas?
• ¿Existe una copia separada del entorno de producción?
• ¿Hay copias inmutables o aisladas?
• ¿Durante cuánto tiempo se conservan?
• ¿Se realizan pruebas reales de restauración?
• ¿Qué ocurre si se produce un ransomware?
• ¿Cuál es el procedimiento de recuperación ante una caída grave?
• ¿Cómo puede recuperar la clínica sus datos si termina la relación con el proveedor?

Estas preguntas permiten diferenciar entre un proveedor que simplemente afirma realizar backups y otro que dispone de una verdadera estrategia de continuidad y recuperación.

Errores frecuentes con las copias de seguridad en clínicas

Entre los problemas más habituales se encuentran:

• hacer la copia en el mismo ordenador que contiene los originales;
• considerar una carpeta sincronizada como única estrategia de backup;
• mantener permanentemente conectado el disco utilizado para las copias;
• utilizar una sola versión que se sobrescribe diariamente;
• no cifrar los backups;
• usar la misma contraseña para producción y backup;
• no controlar quién puede acceder a las copias;
• no comprobar si también se guardan los documentos adjuntos;
• no recibir alertas cuando falla un backup;
• no realizar nunca una restauración de prueba.

Checklist básica de copias de seguridad para una clínica

Como comprobación rápida, una clínica debería poder responder afirmativamente a la mayoría de estas preguntas:

• ¿Sabemos exactamente qué información se copia?
• ¿Tenemos varias versiones de los datos?
• ¿Existe al menos una copia separada del sistema principal?
• ¿Tenemos protección frente a ransomware?
• ¿Los backups están cifrados?
• ¿Los accesos están restringidos?
• ¿Recibimos alertas cuando una copia falla?
• ¿Existe un procedimiento documentado de restauración?
• ¿Hemos probado recientemente que podemos recuperar los datos?
• ¿Sabemos cuánto tiempo tardaríamos en volver a trabajar?

Preguntas frecuentes sobre backups en clínicas

¿El RGPD obliga a hacer una copia de seguridad todos los días?

No establece una frecuencia diaria universal. Exige medidas adecuadas al riesgo y capacidad para restaurar la disponibilidad y el acceso a los datos. La frecuencia debe definirse en función de la criticidad de la información y de la pérdida máxima de datos que pueda asumir la organización.

¿Guardar los archivos en Google Drive, OneDrive o Dropbox es suficiente?

No necesariamente. La sincronización de archivos no debe confundirse con una estrategia completa de backup. Es necesario valorar versionado, recuperación, separación del sistema principal, protección frente a ransomware, cifrado y cumplimiento en materia de protección de datos.

¿Es mejor un disco duro o una copia en la nube?

No es necesario elegir únicamente uno. Una estrategia robusta utiliza sistemas separados para evitar que un único fallo afecte a todas las copias.

¿Los backups también deben cumplir el RGPD?

Sí. Una copia que contiene datos personales continúa siendo un tratamiento de datos personales y debe estar protegida adecuadamente.

¿Cada cuánto debería probarse una restauración?

Debe hacerse periódicamente y con una frecuencia proporcional al riesgo y a la criticidad del sistema. Las clínicas con elevada dependencia tecnológica deberían incorporar estas pruebas dentro de su procedimiento habitual de continuidad.

¿Una clínica pequeña necesita todo esto?

El nivel de complejidad puede ser diferente, pero una consulta individual también puede sufrir un robo, una avería, un ransomware o una pérdida accidental. Las medidas deben ser proporcionales al riesgo, no necesariamente al tamaño de la organización.

La copia de seguridad forma parte del funcionamiento de la clínica

Las copias de seguridad suelen pasar desapercibidas precisamente cuando funcionan bien. Su importancia aparece cuando el sistema falla.

Una buena estrategia de backup debe permitir responder a cinco preguntas muy concretas:

1. Qué información estamos protegiendo.
2. Cada cuánto tiempo la copiamos.
3. Dónde se almacenan las copias.
4. Quién puede acceder a ellas.
5. Cuánto tardaríamos en recuperar la actividad.

En una clínica cada vez más digitalizada, proteger los datos no consiste únicamente en impedir que alguien acceda a ellos. También significa garantizar que seguirán estando disponibles cuando los profesionales y los pacientes los necesiten.

ClinicPocket y la gestión segura de la información clínica

Elegir un software de gestión clínica no debería depender únicamente de la agenda, la facturación o la historia clínica. La arquitectura de seguridad, la protección de los datos y los mecanismos de continuidad también forman parte de la infraestructura sobre la que funciona un centro.

En ClinicPocket entendemos la digitalización de una clínica como un proceso que debe combinar gestión, seguridad, trazabilidad y continuidad operativa.

Porque gestionar mejor una clínica también significa estar preparado para que un problema técnico no termine convirtiéndose en una pérdida de información o en una interrupción prolongada de la asistencia.

Fuentes y normativa de referencia

• Reglamento (UE) 2016/679, Reglamento General de Protección de Datos, especialmente artículo 32.
• Ley 41/2002, de autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
• Agencia Española de Protección de Datos: seguridad de los tratamientos y protección de datos sanitarios.
• INCIBE: recomendaciones sobre copias de seguridad y estrategia 3-2-1.
• CCN-CERT: buenas prácticas para gestión de incidentes de ransomware y protección de sistemas de backup.