Le 27 décembre 2024, le Bureau des droits civils (OCR) du ministère américain de la Santé et des Services sociaux (HHS) a publié un avis de projet de réglementation (NPRM) visant à modifier la règle de sécurité de la loi de 1996 sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA) afin de renforcer les mesures de cybersécurité applicables aux informations de santé protégées sous forme électronique (ePHI). Les modifications proposées à la politique HIPAA pourraient avoir des répercussions importantes sur la manière dont les MSP et les équipes informatiques se conforment à la réglementation.
Le projet de règlement propose de renforcer les normes et les spécifications de mise en œuvre de la règle de sécurité par le biais de nouvelles propositions et précisions, notamment :
- Supprimer la distinction entre les spécifications de mise en œuvre « obligatoires » et « facultatives » et rendre toutes les spécifications de mise en œuvre obligatoires.
- Exiger une documentation écrite de l'ensemble des politiques, procédures, plans et analyses relatifs à la règle de sécurité.
- Ajouter des délais de mise en conformité spécifiques pour de nombreuses exigences existantes. Il prévoit également un audit annuel des contrôles de sécurité, au moins une fois tous les 12 mois.
- Exiger l'élaboration et la mise à jour d'un inventaire des équipements informatiques et d'un plan du réseau au moins une fois tous les 12 mois.
- Exiger la réalisation d'un scan de vulnérabilités au moins tous les six mois et d'un test d'intrusion au moins une fois tous les 12 mois.
- Il faudrait davantage de précision pour mener une analyse des risques. Les nouvelles exigences explicites incluraient une évaluation écrite des risques.
Pourquoi les changements à venir dans la réglementation HIPAA sont importants pour les MSP :
Si vous accompagnez des entreprises du secteur de la santé, vous devrez les aider à se conformer à la nouvelle liste de mesures de sécurité, de conformité et d'audit prévue pour 2025. Les entreprises de ce secteur, qui n'ont traditionnellement pas perçu de retour sur investissement en matière de sécurité ou de conformité, seront contraintes de se conformer aux nouvelles modifications apportées à la réglementation HIPAA afin de conserver leur agrément, de souscrire une assurance ou d'être remboursées par Medicare/Medicaid. Les acheteurs du secteur de la santé vont commencer à s'informer sur la réglementation HIPAA, les services de conformité et les mises à niveau de sécurité, tels que les tests d'intrusion.
Que devraient faire les MSP pour se préparer :
C'est le moment idéal pour concevoir et commercialiser une offre spécialement adaptée au secteur de la santé afin de répondre aux besoins de vos clients, de développer votre activité et de gérer les risques. Évaluez votre capacité à vérifier correctement la conformité de votre réseau et à proposer des solutions de gestion des risques à vos clients. Envisagez de mettre en œuvre des solutions telles que Compliance Manager GRC automatiser les principaux aspects de la conformité. Découvrez de nouveaux outils de sécurité qui vous aideront à concevoir des solutions conformes à la norme HIPAA pour vos clients, et prenez ainsi une longueur d'avance sur vos concurrents avant qu'ils ne viennent vous ravir des parts de marché.
Kaseya met tout en œuvre pour anticiper l'évolution de la réglementation afin de vous permettre de proposer des solutions automatisées et intégrées qui répondent à ces normes. Découvrez comment maîtriser les audits d'infrastructure, la conformité et la gestion des risques grâce aux solutions d'audit et de conformité de Kaseya.
