En tant que prestataire de services gérés (MSP) sur le marché actuel, vous avez sans doute déjà entendu parler de l'acronyme « HIPAA ». Si certains de vos clients sont des prestataires de soins de santé, des centres de traitement des données ou des entreprises qui traitent des informations de santé protégées sous forme électronique (ePHI), vous avez très certainement entendu parler de la conformité HIPAA.

La loi HIPAA( Health Insurance Portability and Accountability Act) est un ensemble de réglementations en vigueur aux États-Unis qui s'applique à toute personne ayant accès à des données ou à des réseaux contenant des informations de santé protégées électroniques (ePHI). Si vous gérez uniquement un réseau pour un client qui traite des ePHI, et même si vous n'accédez jamais à ces informations, vous serez tout de même considéré comme un « partenaire commercial » au sens de la loi, vous serez légalement tenu de vous conformer à celle-ci et vous pourrez être tenu responsable en cas de violation des données.

Cela signifie que si vous accompagnez ou avez l'intention d'accompagner des clients dans le secteur de la santé, vous devez vous conformer à la loi HIPAA. Même si la loi HIPAA est une législation américaine, de nombreux pays disposent de législations similaires comportant des exigences comparables.

Cela nous amène à une question essentielle : quelles sont les exigences de la loi HIPAA en matière de sécurité informatique, de gestion des identités et des accès ?

Heureusement, j'ai résumé les réponses à cette question sous la forme d'une liste de questions simples auxquelles on répond par oui ou par non et que vous pouvez poser à votre client. Si la réponse est « non », considérez cela comme un mauvais signe.

Politiques et procédures de sécurité

Il convient de mettre en place des procédures pour traiter et gérer toutes les violations de sécurité. Vous pouvez poser à vos clients des questions telles que :

Vos employés sont-ils conscients des sanctions qui s'appliquent en cas de violation des règles de sécurité ?
Existe-t-il des sanctions internes à l'encontre des employés qui enfreignent les procédures de sécurité ?
Tous vos utilisateurs savent-ils comment réagir en cas d'incidents ou de problèmes de sécurité ?
Existe-t-il une procédure permettant de consigner, de suivre et de traiter les problèmes ou incidents de sécurité ?
Y a-t-il une personne chargée de vérifier tous les journaux, rapports et registres de sécurité ?
Avez-vous un responsable de la sécurité chargé de la gestion des mots de passe et de la mise en œuvre d'une politique de sécurité rigoureuse ?
Avez-vous déjà réalisé une analyse des risques ?

Gestion des accès

L'accès aux données de santé électroniques (ePHI) doit être limité aux personnes autorisées à y accéder. Vous pouvez poser à vos clients des questions telles que :

Avez-vous mis en place des mesures pour autoriser ou contrôler l'accès aux données de santé électroniques (ePHI) ?
Existe-t-il des procédures permettant de vérifier la légitimité de l'accès aux données de santé électroniques (ePHI) ?
En cas de licenciement d'un employé, son accès aux données de santé électroniques (ePHI) est-il bloqué ?

Formation de sensibilisation à la sécurité

La loi HIPAA impose la mise en place d'un programme de formation à la sensibilisation à la sécurité destiné à l'ensemble du personnel. Vous pouvez poser à vos clients des questions telles que :

Rappelle-t-on régulièrement aux employés les questions de sécurité ?
Organisez-vous des réunions sur l'importance de la sécurité des mots de passe, des logiciels et des systèmes informatiques ?
Vos employés connaissent-ils les procédures à suivre en cas de logiciels malveillants ?
Disposez-vous de procédures permettant de contrôler régulièrement les tentatives de connexion ?
Ces procédures permettent-elles de détecter d'éventuelles anomalies ou problèmes ?
Avez-vous mis en place des procédures pour surveiller, gérer et protéger les mots de passe ?

Le pire des scénarios

Il convient de mettre en place un plan pour la protection et l'utilisation des données de santé électroniques (ePHI) en cas d'urgence ou de catastrophe. Vous devriez poser à vos clients des questions telles que :

Existe-t-il des plans d'urgence testés et révisés ?
Les applications et les données nécessaires à ces plans d'urgence ont-elles été analysées ?
En cas de catastrophe (I.T.E.O.A.D.), est-il possible de réaliser ou de récupérer des copies des données ePHI ?
I.T.E.O.A.D… Est-il possible de restaurer ou de récupérer toutes les données ePHI ?>
I.T.E.O.A.D… Vos données de santé électroniques (ePHI) seront-elles protégées ?
I.T.E.O.A.D… Les fonctions opérationnelles essentielles liées aux données de santé électroniques (ePHI) peuvent-elles être assurées ?

Contrats pour les partenaires commerciaux

Les contrats de partenariat commercial revêtent une importance cruciale tant pour les fournisseurs de services de télécommunications (ITSP) que pour les fournisseurs de services gérés (MSP) qui opèrent dans le secteur de la santé. Si le fait de ne pas signer de contrat peut offrir une protection minime contre toute responsabilité juridique, le fait de définir en détail et de valider par écrit les obligations et responsabilités convenues peut offrir une protection nettement plus importante en cas d'enquête, d'audit ou de violation de données. La documentation est essentielle pour se protéger.

Protection technologique et physique

Des procédures visant à restreindre l'accès physique aux locaux et aux équipements contenant des données ePHI doivent être mises en place. De plus, il est tout aussi essentiel que ces procédures garantissent que seules les personnes autorisées puissent accéder à ces données ePHI.

En tant que professionnel de l'informatique, il vous incombe de veiller à ce que l'accès aux applications et aux données contenant des informations médicales protégées (ePHI) soit réservé aux seuls utilisateurs autorisés. C'est là que l'authentification revêt une importance cruciale.

Une méthode que vous pouvez proposer à votre client est l'authentification multifactorielle (MFA). Avec la MFA, les utilisateurs se connectent à l'aide d'un mot de passe ainsi que d'un facteur de sécurité supplémentaire, tel qu'une empreinte digitale ou un code à usage unique généré par une application mobile sécurisée. Le niveau de sécurité avancé de la MFA permet également aux entreprises d'explorer d'autres solutions de productivité et de sécurité, comme l'authentification unique (SSO), qui permet d'accéder à d'autres services à l'aide d'un seul identifiant. Pour de nombreuses entreprises tenues de se conformer à la réglementation HIPAA, l'authentification multifactorielle et l'authentification unique constituent des solutions à la fois pratiques et efficaces pour résoudre bon nombre de leurs problèmes de conformité.