Seguridad y privacidad
Tu información de salud, bajo llave.
Es de la información más sensible que existe. Aquí está, sin letra pequeña, cómo la protegemos. Kasi y CASID todavía no están abiertos: hoy no guardamos datos de nadie. Lo que sigue es cómo está construido Kasi y lo que falta antes de abrir.
Hoy, en este sitio
- Conexión cifradalegisalud.com funciona solo con HTTPS, a través de Cloudflare. Con los navegadores que lo soportan, la conexión usa un intercambio de claves poscuántico híbrido (ML-KEM).
- Sin formularios ni rastreoNo pedimos datos personales, no instalamos cookies de seguimiento ni herramientas de publicidad. La tipografía se carga desde Google Fonts.
Así está construido Kasi
Esto ya está escrito en el código de Kasi y se activa el día que abra.
- Cada documento, cifradoCon AES-256 antes de guardarse. La llave de cifrado se guarda aparte de la base de datos.
- Sin contraseñas que robarTu carpeta se abre con un enlace que te llega por WhatsApp, sirve una sola vez y vence en 15 minutos.
- Registro de cada accesoQueda anotado cada vez que se abre tu carpeta o uno de tus documentos.
- Lo mínimo necesarioKasi nunca te pide el número de tu documento, y el registro de mensajes guarda la hora, no lo que escribiste.
- Tu carpeta, cerrada al públicoLa base de datos bloquea todo acceso que no venga del sistema de Kasi, y cada consulta se limita a la carpeta de su dueña.
- Autorización por personaAutorización expresa para tratar datos sensibles. La de un menor de edad la da su representante legal.
- Tú tienes el controlVes y descargas tu carpeta cuando quieras. Si escribes BORRAR, se borra toda tu información.
- Sin venta de datosNunca vendemos tu información ni la compartimos sin tu permiso. Tu situación migratoria queda en reserva: Kasi no la comparte con nadie, salvo que una autoridad lo ordene conforme a la ley.
Lo que falta antes de abrir
- Conexiones cifradas de punta a puntaTLS 1.3 en todas las conexiones del servicio, con intercambio de claves poscuántico híbrido.
- Llaves en un servicio especializadoPasar la llave de cifrado a un servicio de gestión de llaves, con rotación periódica.
- Acceso del equipoSolo personas autorizadas, con doble factor de autenticación.
- Copias de respaldoCifradas y probadas periódicamente.
- Revisión legalLa política de tratamiento de datos y los textos de autorización, revisados por un abogado.
El mismo idioma que el sistema de salud
CASID organiza tu información con HL7 FHIR, el estándar que el Ministerio de Salud adoptó con la Resolución 1888 de 2025 para el Resumen Digital de Atención.
Esa resolución obliga a prestadores y aseguradores. CASID usa el mismo estándar para que tu carpeta sea compatible con la información que ellos generan.
Preparados para la era poscuántica
Un computador cuántico suficientemente grande podría romper los métodos con los que hoy se intercambian claves y se firman documentos en internet. El cifrado AES-256 de los datos guardados, en cambio, se considera resistente. Por eso la migración se concentra en lo que sí cambia:
- InventarioSaber dónde y cómo se usa criptografía en toda la plataforma.
- Intercambio de claves con ML-KEMEn modo híbrido en todas las conexiones (estándar FIPS 203 del NIST).
- Firmas digitales con ML-DSACuando el ecosistema lo soporte (estándar FIPS 204 del NIST).
El NIST publicó los estándares de criptografía poscuántica FIPS 203 y FIPS 204 en agosto de 2024.
Marcos de referencia
- Obligatorio en ColombiaLey 1581 de 2012 y Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015, sobre datos personales y datos sensibles.
- Referencias internacionalesLa norma ISO/IEC 27001 para la gestión de la seguridad de la información y las salvaguardas de HIPAA, la ley de privacidad en salud de Estados Unidos, como guía de diseño.
Hoy no tenemos certificaciones. Cuando obtengamos una auditoría o una certificación externa, la publicaremos aquí con su fecha.
