Así respondemos cuando se descubre una vulnerabilidad crítica

Cuando eliges un software para guardar la historia clínica de tus pacientes, no solo eliges funciones: eliges a quién le confías información que la ley protege de forma especial. Por eso inauguramos esta Bitácora de seguridad, donde contamos en lenguaje simple cómo respondemos ante situaciones reales.

Qué pasó

A fines de octubre de 2026 se dio a conocer una vulnerabilidad calificada como crítica en un componente de red que usa gran parte de los servidores de internet, sin importar qué empresa o aplicación los utilice. En teoría, un atacante podía enviar conexiones especialmente preparadas para hacer caer un servidor o alterar su memoria.

Qué significaba para tu clínica

Nuestro equipo evaluó el aviso la misma mañana en que llegó. La vía de ataque era muy acotada: requería un tipo de tráfico que las conexiones normales no usan, y nuestra arquitectura ya filtraba la mayor parte de él. Aun así, no esperamos a que el riesgo fuera alto para actuar.

Nuestro monitoreo no registró caídas ni comportamientos anómalos en el servidor.

Qué hicimos y en cuánto tiempo

• En horas: aplicamos una protección que bloquea por completo el tipo de tráfico necesario para aprovechar la falla. La verificamos con pruebas reales y comprobamos que no afecta el uso normal de VitalDesk.
• De forma continua: activamos una vigilancia automática que nos avisa en cuanto el fabricante publique la corrección definitiva.
• A continuación: instalaremos esa corrección apenas esté disponible, en un horario sin usuarios conectados y verificando antes que nadie esté trabajando en el sistema. Actualizaremos esta nota con la fecha.

Interrupción del servicio para las clínicas: ninguna.

Cómo trabajamos la seguridad todos los días

Este caso no es una excepción, es nuestro procedimiento habitual:

• Vigilancia de avisos de seguridad y aplicación de correcciones en horarios sin usuarios, para no interrumpir tu consulta.
• Datos clínicos cifrados en la base de datos.
• Respaldos cifrados con una prueba de restauración automática cada semana: no basta con respaldar, comprobamos que el respaldo se puede recuperar.
• Verificación en dos pasos al ingresar desde un dispositivo nuevo, con un código enviado a tu correo.
• Registro de cada acceso a la ficha clínica, para saber quién vio qué y cuándo.
• Contrato de encargo de datos (DPA) que detalla cómo tratamos la información, alineado con la Ley 21.719 de protección de datos personales.

Por qué te lo contamos

Porque la confianza se construye con hechos, no con promesas. Ningún sistema conectado a internet está libre de riesgos, y quien diga lo contrario no está siendo honesto. Lo que sí podemos asegurarte es cómo respondemos: rápido, con método y sin dejarte a ciegas.

Si tienes preguntas sobre la seguridad de tus datos, escríbenos a [email protected]. Y si quieres ver todas nuestras medidas en un solo lugar, visita nuestra página de Confianza y seguridad.