La loi HIPAA a été promulguée en 1996 afin de fournir des dispositions en matière de confidentialité et de sécurité des données pour la protection des informations médicales. En 2017, 86 % des médecins exerçant en cabinet avaient numérisé les dossiers médicaux de leurs patients. Afin de fournir un cadre normatif pour la confidentialité, l’intégrité et la sécurité de ces dossiers, le département américain de la santé et des services sociaux (U.S. Department of Health and Human Services, HHS) a publié la réglementation de sécurité HIPAA. Le respect de cette réglementation est largement considéré comme une pratique exemplaire en ce qui concerne la sécurisation des données de santé protégées au format électronique (ePHI).
Qu’est-ce que la réglementation de sécurité HIPAA ?
La réglementation de sécurité HIPAA établit des normes nationales pour la protection des données de santé personnelles des individus au format électronique qui sont créées, reçues, utilisées ou gérées par une entité couverte. La réglementation de sécurité exige des protections administratives, physiques et techniques appropriées pour assurer la confidentialité, l’intégrité et la sécurité des ePHI.
Que se passe t’il si votre entreprise ne respecte pas la conformité de la loi Hipaa ?
Le coût total de la non-conformité peut atteindre des millions de dollars. Mais le non-respect des exigences de sécurité prévues par la loi HIPAA peut également entraîner des violations de données de santé qui dépassent la simple perte financière.
Comment SailPoint peut-il vous aider à vous conformer à la loi HIPAA ?
Notre plateforme ouverte de gouvernance des identités dans le cloud vous permet de voir et de contrôler l’accès à toutes vos applications et données pour chaque utilisateur.
A qui s’applique la règle de sécurité HIPAA ?
La règle de sécurité HIPAA concerne à la fois les individus et les organisations. Ces derniers sont souvent appelés entités couvertes par la HIPAA. Les entités couvertes par la HIPAA comprennent les compagnies d’assurance maladie, les HMOs (organisations de maintenance de santé), les plans de santé parrainés par l’employeur, les programmes de soins de santé gouvernementaux, les intermédiaires et les prestataires de soins de santé.
La HIPAA s’étend même aux partenaires commerciaux qui travaillent avec des entités couvertes. Les exemples de partenaires commerciaux incluent les comptables, les analystes de données, les consultants, les collecteurs de factures et bien d’autres.
À quels domaines clés de la loi HIPAA la gouvernance des identités répond-elle ?
Protection de l’intégrité des ePHI
Identifiez et analysez les risques potentiels relatifs aux ePHI et mettez en œuvre des politiques de gouvernance, de gestion des risques, et de conformité pour diminuer les vulnérabilités.
Gestion des accès aux informations/contrôle d’accès
Sachez qui a accès à quelles applications et à quelles données, et comment cet accès est utilisé.
Journaux d’activité et contrôles d’audit
| Réduisez les coûts de mise en conformité en générant automatiquement des pistes d’audit et des rapports d’accès sur toutes les applications et données clés. |
Évaluation
Évaluez régulièrement les politiques et procédures de sécurité.
En savoir plus sur
les sujets liés à la gestion des identités
Comment la gouvernance des identités contribue à assurer la conformité à la HIPAA :
- En employant l’intelligence artificielle/l’analyse prédictive pour surveiller et identifier les comportements d’accès inhabituels.
- En appliquant constamment les politiques d’accès et en soumettant les applications contenant des ePHI à des contrôles.
- En localisant et en sécurisant les ePHI structurées ou non structurées, quel que soit leur lieu de stockage.
- En effectuant des examens périodiques automatisés des droits d’accès des utilisateurs.
Étapes pour mettre en œuvre la gouvernance des données
Il est extrêmement important d’avoir une politique solide de gouvernance pour vos données de santé. Le secteur de la santé traite une immense quantité d’informations de santé personnelles, et sans moyen de régir qui y a accès, comment cet accès a été obtenu et les divers risques que cela présente, il est difficile de gérer et de protéger les données.
Une solution de gouvernance des données aide les organisations de santé à partager les données en toute sécurité, à accorder des permissions aux utilisateurs et à gérer les données de santé tout au long du cycle de vie du patient.
Suivez ces étapes pour mettre en œuvre une politique de gouvernance des données adaptée à votre organisation de santé :
1 – Identifiez toutes vos données
La première étape de tout système de gouvernance des données consiste à effectuer un audit des données sensibles, en particulier les PHI (informations de santé protégées) et les ePHI (informations de santé protégées électroniques). Vous voudrez créer une hiérarchie des données pour comprendre la sensibilité des données, leurs niveaux d’autorisation actuels et le niveau de risque qu’ils présenteraient s’ils étaient compromis.
Il est particulièrement important de comprendre les niveaux d’autorisation afin de créer une approche de moindre privilège en matière de gouvernance des données. L’idée est de limiter l’accès des utilisateurs uniquement à ce qui est nécessaire pour leur fonction professionnelle. Cela est particulièrement important lorsqu’il s’agit de données hautement sensibles.
2 – Nettoyez les données
Une autre étape du processus de gouvernance des données est le nettoyage et l’entretien des données. Les données obsolètes (anciennes) peuvent être à la fois coûteuses à stocker et présenter un risque de sécurité potentiel. Si l’on manque de visibilité sur l’endroit où résident les données obsolètes et comment elles sont utilisées, cela expose les organisations à un risque d’atteinte aux données. Sans parler du fait que si des données obsolètes sont utilisées dans la gestion du cycle de vie des patients ou le stockage des données des patients, elles pourraient présenter un énorme risque pour leur bien-être.
3 – Conformez-vous aux normes gouvernementales
Des incohérences dans la manière dont vos données sont traitées peuvent entraîner des violations de lois comme la HIPAA. Une mauvaise organisation et gestion des utilisateurs limite la capacité à protéger les informations de santé des patients.
Enjeux de sécurité dans le secteur de la santé :
Le secteur de la santé est intrinsèquement lié à la manipulation d’informations sensibles, souvent désignées sous le terme PHI (informations de santé protégées). Avec l’avènement de la numérisation et la migration vers le cloud, les entreprises médicales doivent s’aligner sur des normes strictes, telles que celles imposées par la loi HIPAA.
Cette législation, bien qu’essentielle pour garantir la protection des données, présente des défis majeurs pour les entités couvertes. L’intégration d’applications et de services, y compris des solutions populaires doit être méticuleusement gérée pour assurer une conformité continue.
Les processus de conformité ne se limitent pas à la mise en place de logiciels ou d’outils; ils nécessitent une organisation rigoureuse, des rapports réguliers, et une surveillance constante du réseau. Les exigences de la loi HIPAA, bien qu’exigeantes, renforcent la confiance entre les patients et les prestataires de soins, garantissant que les informations protégées sont gérées avec le plus haut niveau d’intégrité et de sécurité.
C’est dans ce contexte que SailPoint intervient, offrant des solutions de pointe pour aider les entreprises à naviguer dans les complexités de la conformité HIPAA, garantissant que les informations protégées sont gérées avec le plus haut niveau d’intégrité et de sécurité.
Interactions de la loi HIPAA avec d’autres réglementations clés :
RGPD (Règlement général sur la protection des données) : Bien que centré sur l’Union européenne, le RGPD a des implications mondiales pour la protection des données personnelles. Les entreprises du secteur de la santé opérant également en Europe doivent veiller à la cohérence entre HIPAA et RGPD.
PCI-DSS (Payment Card Industry Data Security Standard) : Pour les entités de santé qui traitent des paiements par carte, la conformité à la fois à la HIPAA et à la PCI-DSS est essentielle pour garantir la sécurité des données financières et médicales.
SOX (Sarbanes-Oxley Act) : Pour les entreprises de santé cotées en bourse aux États-Unis, la SOX exige une transparence financière. L’interaction entre les informations financières et les données de santé doit être traitée avec précaution.
HITECH Act : Complétant directement la loi HIPAA, le HITECH renforce les protections autour des informations de santé électroniques et étend la responsabilité aux sous-traitants.
FERPA (Family Educational Rights and Privacy Act) : Pour les entités médicales associées aux institutions éducatives, la protection des dossiers éducatifs des étudiants est tout aussi cruciale que celle des dossiers médicaux.
GLBA (Gramm-Leach-Bliley Act) : Pour les entreprises de santé qui offrent également des services financiers, comme le financement des soins médicaux, la conformité à la fois à la HIPAA et à la GLBA est nécessaire.
ISO 27001 : Bien qu’il s’agisse d’une norme plutôt que d’une réglementation, les entreprises de santé qui cherchent à obtenir cette certification doivent s’assurer que leurs pratiques en matière de protection des données de santé sont en phase avec les exigences de cette norme internationale sur la sécurité des informations.
Il est impératif pour les entités du secteur de la santé de prendre en compte ces interactions pour éviter des complications juridiques et garantir la sécurité optimale des données des patients.
Assurez-vous de bien vous conformer la loi HIPAA.
Découvrez comment SailPoint peut vous aider.