Con la entrada en vigencia de la Ley Marco de Ciberseguridad y la próxima implementación de la nueva Ley de Protección de Datos Personales, el estándar internacional ISO/IEC 27001:2022 se consolida como una referencia clave para garantizar la seguridad de la información clínica y fortalecer la confianza en la transformación digital del sistema de salud.
La transformación digital de la salud en Chile ya es una realidad que sostiene miles de atenciones diarias. El ecosistema actual incluye la consolidación de los Registros Clínicos Electrónicos (RCE), la telemedicina integrada y el uso de herramientas basadas en Inteligencia Artificial. Sin embargo, esta hiperconectividad, que permite optimizar tiempos y salvar vidas, va de la mano con la urgencia de proteger la información médica con la misma fuerza con la que se conecta.
A nivel global, el sector de la salud se convirtió en la segunda industria más atacada por los ciberdelincuentes, solo detrás de la educación e investigación, según señala el Security Report 2025 de Check Point Software, que registró un aumento del 47% en los ataques al sector salud durante el último año. La vulnerabilidad de estos sistemas expone historiales clínicos, diagnósticos, datos personales inalterables, información que resulta extremadamente valiosa en el mercado negro. Las consecuencias directas de estas brechas se traducen en pabellones paralizados, recetas inaccesibles y una grave violación a la intimidad de los pacientes.
En Chile, la Ley Marco de Ciberseguridad (Ley 21.663) representa un avance significativo en la protección de infraestructuras críticas, estableciendo exigencias concretas de gestión de riesgos para los Operadores de Importancia Vital. A esto se suma una legislación de protección de datos personales que avanza hacia mayores exigencias para quienes gestionan información sensible. En este marco regulatorio, contar con certificaciones internacionales como ISO/IEC 27001 se vuelve una condición de cumplimiento cada vez más ineludible. A esta exigencia se suma la Ley 21.719 de Protección de Datos Personales, que entrará en vigencia el 1 de diciembre de 2026 y establecerá, entre otras obligaciones, la notificación de brechas de seguridad en un plazo máximo de 72 horas y multas que pueden alcanzar las 20.000 UTM. En este contexto, un Sistema de Gestión de Seguridad de la Información certificado bajo ISO/IEC 27001:2022 se transforma en una herramienta concreta para acreditar el cumplimiento de ambos cuerpos legales. Sin embargo, por mucho tiempo no existió dicha legislación, lo que dejó gran parte de la responsabilidad en la autorregulación y el compromiso ético de las empresas tecnológicas para convertirse en verdaderos partners estratégicos de la salud pública y privada.
Un «piso sanitario» para la industria nacional
En este escenario, Rayen Salud decidió hace casi una década elevar la vara de la industria nacional en materia de seguridad de la información, un camino que hoy se traduce en la certificación de su Sistema de Gestión de Seguridad de la Información bajo el estándar ISO/IEC 27001:2022, consolidando un piso de seguridad para el ecosistema de salud digital en Chile.
Este estándar pone un foco riguroso en la resiliencia ante amenazas modernas, la gestión de riesgos en la nube, el robustecimiento de los controles de privacidad y la mitigación activa de ciberataques complejos.
Para el Dr. José Fernández, CEO de Rayen Salud, la adopción de la norma actúa hoy como un verdadero «piso sanitario» fundamental para la interoperabilidad. “La familia de normas ISO 27000, en particular ISO 27001, se consolida como el estándar mínimo para proteger a los pacientes en Chile. Es el marco base esperable para que una OIV del sector salud acredite una gestión madura de la seguridad de la información. Pero el estándar relevante hoy no es cualquier versión, sino ISO 27001:2022, que actualiza los controles e incorpora de forma más explícita los riesgos asociados a la nube, la resiliencia, la continuidad digital y la protección de la información en entornos altamente interconectados”, señala el Dr. Fernández.
“Para una organización sanitaria de importancia vital, -complementa el CEO de Rayen Salud-, avanzar hacia la certificación ISO 27001:2022 es unaclaro forma concreta de demostrar que su modelo de gobernanza, sus controles técnicos y sus procesos de mejora continua están alineados con el estándar internacional vigente para proteger datos sensibles. Esta certificación establece una base común de confianza sin la cual la conversación sobre ciberseguridad queda en el terreno de las declaraciones y no en el de la evidencia”, señala Fernández.
Esta certificación se mantiene vigente mediante un ciclo de auditorías de seguimiento periódicas, lo que reafirma el compromiso continuo de Rayen Salud con la mejora de su Sistema de Gestión de Seguridad de la Información.
En la misma línea, Cristián García, Gerente Corporativo de Operaciones y Tecnología de Rayen Salud, subraya: “Nuestro rol como proveedores de sistemas de información para los centros de salud es adelantarnos a los riesgos y mitigar cualquier vulneración que pueda afectar la integridad de la Historia Clínica de los pacientes. La certificación ISO/IEC 27001:2022 nos exige revisar cada integración, permiso o nueva funcionalidad bajo un estricto proceso de seguridad, y hoy se convierte además en una herramienta concreta para acreditar el cumplimiento frente a la Ley Marco de Ciberseguridad y a la nueva Ley de Protección de Datos Personales”.
Cultura transversal y desafíos futuros
Los expertos coinciden en que la seguridad informática abarca desde el área de soporte que atiende a un consultorio, hasta el equipo de desarrollo y la administración. La innovación tecnológica, si carece de un Sistema de Gestión de Seguridad de la Información (SGSI) certificado en sus cimientos, se vuelve frágil a medida que aumenta la superficie de exposición con nuevas funcionalidades.
Por su parte, Daniela Figueroa, Subgerenta de Planificación y Control de Gestión de Rayen Salud, complementa: «De cara a los desafíos de interoperabilidad nacional, el llamado al ecosistema Tech Health en Chile es contundente: se debe garantizar la disponibilidad, confidencialidad e integridad de la ficha clínica como un acto primordial de responsabilidad asistencial. La certificación ISO/IEC 27001:2022 es la condición mínima habilitante, pero la norma por sí sola no basta: cada organización de salud debe construir una cultura interna de seguridad de la información, donde todos y todas —desde el equipo de soporte hasta la administración— entiendan su rol en la protección de los datos. Sólo asegurando los datos en el presente, se podrá garantizar la confianza médica del futuro».
Con esta certificación, Rayen Salud es pionero entre los proveedores tecnológicos del sector salud en Chile que cuentan con un Sistema de Gestión de Seguridad de la Información validado bajo el estándar internacional vigente. De cara al 1 de diciembre de 2026, fecha en que entrará en plena vigencia la Ley 21.719 de Protección de Datos Personales, junto con las exigencias ya establecidas por la Ley Marco de Ciberseguridad, la industria de la salud enfrenta un plazo acotado para adecuar sus sistemas a un marco regulatorio cada vez más estricto en materia de protección de la información clínica de los pacientes.
