Sécurité et informatique de santé : questionnaire sur la conformité à la loi HIPAA

En tant que prestataire de services gérés (MSP) sur le marché actuel, vous avez sans doute déjà entendu parler de l’acronyme « HIPAA ». Si certains de vos clients sont des prestataires de soins de santé, des centres de traitement des données ou des entreprises traitant des informations de santé protégées sous forme électronique (ePHI), vous avez très certainement entendu parler de la conformité HIPAA.

La loi HIPAA( Health Insurance Portability and Accountability Act) est un ensemble de réglementations en vigueur aux États-Unis qui s’appliquent à toute personne ayant accès à des données et/ou à des réseaux contenant des informations de santé protégées électroniques (ePHI). Si vous vous contentez de gérer le réseau d’un client qui traite des ePHI, et même si vous n’accédez jamais à ces informations, vous serez tout de même considéré comme un « partenaire commercial » au sens de la loi, vous serez légalement tenu de vous conformer à celle-ci et vous pourrez être tenu pour responsable en cas de violation des données.

Cela signifie que si vous accompagnez ou avez l'intention d'accompagner des clients dans le domaine de la santé, vous devez vous conformer à la loi HIPAA. Même si la loi HIPAA est une législation américaine, de nombreux pays disposent de législations similaires imposant des exigences comparables.

Cela nous amène à une question essentielle : quelles sont les exigences de la loi HIPAA en matière de sécurité informatique, de gestion des identités et des accès ?

Heureusement, j'ai résumé les réponses à cette question sous la forme d'une liste de questions simples auxquelles on répond par « oui » ou par « non » et que vous pouvez poser à votre client. Si la réponse est « non », considérez cela comme un mauvais signe.

Politiques et procédures de sécurité

Il convient de mettre en place des procédures pour traiter et gérer toutes les violations de sécurité. Vous pouvez poser à vos clients des questions telles que :

• Vos employés connaissent-ils les sanctions qui s'appliquent en cas de manquement aux règles de sécurité ?
• Existe-t-il des sanctions internes à l'encontre des employés qui enfreignent les procédures de sécurité ?
• Tous vos utilisateurs savent-ils comment réagir en cas d'incidents ou de problèmes de sécurité ?
• Existe-t-il une procédure permettant de consigner, de suivre et de traiter les problèmes ou incidents liés à la sécurité ?
• Y a-t-il une personne chargée de vérifier l'ensemble des journaux, rapports et registres de sécurité ?
• Avez-vous un responsable de la sécurité chargé de la gestion des mots de passe et de la mise en place d'une politique de sécurité efficace ?
• Avez-vous déjà réalisé une analyse des risques ?

Gestion des accès

L'accès aux données ePHI doit être réservé aux personnes autorisées. Vous pouvez poser à vos clients des questions telles que :

• Avez-vous mis en place des mesures pour autoriser ou contrôler l'accès aux données de santé électroniques protégées (ePHI) ?
• Existe-t-il des procédures permettant de vérifier la légitimité de l'accès aux données de santé électroniques (ePHI) ?
• En cas de licenciement d'un salarié, son accès aux données ePHI est-il bloqué ?

Formation à la sensibilisation à la sécurité

La loi HIPAA impose la mise en place d'un programme de formation à la sensibilisation à la sécurité destiné à l'ensemble du personnel. Vous pouvez poser à vos clients des questions telles que :

• Rappelle-t-on régulièrement aux employés les questions de sécurité ?
• Organisez-vous des réunions sur l'importance de la sécurité des mots de passe, des logiciels et des systèmes informatiques ?
• Vos collaborateurs connaissent-ils la procédure à suivre en cas de logiciels malveillants ?
• Disposez-vous de procédures permettant de contrôler régulièrement les tentatives de connexion ?
• Ces procédures permettent-elles de détecter d'éventuelles anomalies ou problèmes ?
• Avez-vous mis en place des procédures pour contrôler, gérer et protéger les mots de passe ?

Le pire des scénarios

Il convient de mettre en place un plan visant à assurer la protection et l'utilisation des données ePHI en cas d'urgence ou de catastrophe. Vous devriez poser à vos clients des questions telles que :

• Existe-t-il des plans d'urgence testés et mis à jour ?
• Les applications et les données nécessaires à ces plans d'urgence ont-elles été analysées ?
• En cas de catastrophe (I.T.E.O.A.D.), est-il possible de réaliser ou de récupérer des copies des données ePHI ?
• I.T.E.O.A.D… Est-il possible de restaurer ou de récupérer toutes les données ePHI ?>
• I.T.E.O.A.D… Vos données ePHI seront-elles protégées ?
• I.T.E.O.A.D… Les fonctions métier essentielles liées aux données de santé électroniques (ePHI) peuvent-elles être assurées ?

Contrats pour les partenaires commerciaux

Les contrats de partenariat commercial revêtent une importance cruciale tant pour les fournisseurs de services de télécommunications (ITSP) que pour les fournisseurs de services gérés (MSP) intervenant dans le secteur de la santé. Même si le fait de ne pas signer de contrat peut offrir une protection minime contre toute responsabilité juridique, le fait de détailler et de valider par écrit les obligations et responsabilités convenues peut garantir une protection nettement plus importante en cas d’enquête, d’audit ou de violation de données. La documentation est essentielle pour assurer votre protection.

Protection technologique et physique

Des procédures limitant l'accès physique aux locaux et aux équipements abritant des données ePHI doivent être mises en place. De plus, il est tout aussi essentiel que ces procédures garantissent que toutes les données ePHI ne soient accessibles qu'aux employés autorisés à y accéder.

En tant que professionnel de l'informatique, il vous incombe de veiller à ce que l'accès aux applications et aux données contenant des informations médicales protégées (ePHI) soit réservé exclusivement aux utilisateurs autorisés. C'est là que l'authentification revêt une importance cruciale.

Une méthode que vous pouvez aborder avec votre client est l’authentification multifactorielle (MFA). Avec la MFA, les utilisateurs se connectent à l’aide d’un mot de passe ainsi que d’un facteur de sécurité supplémentaire, tel qu’une empreinte digitale ou un code à usage unique généré par une application mobile sécurisée. Le niveau de sécurité avancé de la MFA permet également aux entreprises d’explorer d’autres solutions de productivité et de sécurité, comme l’authentification unique (SSO), qui permet d’accéder à d’autres services à l’aide d’un seul identifiant. Pour de nombreuses entreprises tenues de se conformer à la réglementation HIPAA, l’authentification multifactorielle et l’authentification unique constituent des solutions à la fois pratiques et efficaces pour résoudre bon nombre de leurs problèmes de conformité.