La loi HIPAA (Health Insurance Portability and Accountability Act) est une législation américaine qui encadre la confidentialité et la sécurité des données médicales. Adoptée il y a près de 30 ans (en 1996), elle faisait suite à des violations de données de santé causées par des cyberattaques dues à des mesures de protection insuffisantes chez les assureurs et les établissements de santé. En 2013, la loi HITECH a apporté des mises à jour essentielles pour tenir compte de l'évolution vers les services en ligne et sur Internet.
Depuis 1996, la loi HIPAA a été modifiée pour inclure des processus de stockage et de partage électronique sécurisés des informations médicales des patients. Elle comprend également des dispositions de simplification administrative visant à accroître l'efficacité et à réduire les coûts administratifs grâce à l'établissement de normes nationales.
Dans le secteur de la santé, la conformité à la loi HIPAA (Titre II) est généralement considérée comme une conformité HIPAA. Également connu sous le nom de « Dispositions de simplification administrative », le Titre II comprend les exigences de conformité HIPAA suivantes :
Norme nationale d'identification des fournisseurs. Chaque entité de soins de santé, y compris les particuliers, les employeurs, les régimes d'assurance maladie et les prestataires de soins de santé, doit avoir un numéro unique à 10 chiffres. Identifiant national du fournisseur numéro, ou NPI.
Norme relative aux transactions et aux ensembles de codes. Les organismes de santé doivent suivre un mécanisme standardisé pour échange de données informatisées (EDI) afin de soumettre et de traiter les demandes d’assurance.
Règle de confidentialité HIPAA. Officiellement connue sous le nom de Normes de confidentialité des informations médicales identifiables individuellement, cette règle établit des normes nationales pour protéger les informations médicales des patients.
Règle de sécurité HIPAA. Les normes de sécurité pour la protection des informations de santé électroniques protégées (ePHI) établissent des normes pour la sécurité des données des patients.
Règle d'application HIPAA. Cette règle établit des lignes directrices pour les enquêtes sur les violations de la conformité HIPAA.
Responsable de la confidentialité HIPAA:Les entités couvertes (entités qui doivent se conformer aux exigences HIPAA) doivent adopter un ensemble écrit de procédures de confidentialité et désigner un responsable de la protection de la vie privéeêtre responsable de l’élaboration et de la mise en œuvre de toutes les politiques et procédures requises.
Qu’est-ce que cela signifie pour une PME ?
La loi HIPAA s'applique aux organisations considérées comme des entités couvertes par la loi. Elle désigne également les tiers travaillant avec des entités couvertes comme des partenaires commerciaux (PCA). La loi HIPAA exige que les entités couvertes travaillant avec des tiers qui accèdent aux données HIPAA concluent un accord de partenariat commercial (APCA) avec ces derniers. Un APCA est un contrat qui impose des garanties spécifiques aux informations de santé protégées qu'un APCA utilise, traite ou manipule de toute autre manière en tant que tiers de l'entité couverte.
Les entités couvertes se répartissent en trois catégories :
Fournisseur de soins de santé. Les prestataires de soins de santé comprennent les médecins, les cliniques, les psychologues, les dentistes, les chiropraticiens, les maisons de retraite et les pharmacies.
Plan de santé. Les régimes de santé comprennent les compagnies d’assurance maladie, les organismes de maintien de la santé (HMO), les régimes de santé d’entreprise et les programmes de santé gouvernementaux, tels que Medicare, Medicaid et les programmes de santé militaires.
Centre d'échange d'informations sur les soins de santé. Les centres d'échange d'informations sur la santé sont des entités qui traitent les informations de santé non standardisées reçues d'une autre entité dans un format standard, ou inversement. Il s'agit notamment des services de facturation et des systèmes de santé communautaires pour la gestion des données de santé.
Les entités peuvent utiliser l' outil en ligne du HHS pour déterminer si elles sont admissibles en tant qu'entité couverte par la loi HIPAA ou BA et, par conséquent, si elles doivent se conformer à la loi HIPAA ou non.
Recommandations supplémentaires en matière de cybersécurité
De plus, les recommandations ci-dessous vous aideront, vous et votre entreprise, à vous protéger contre les différentes menaces auxquelles vous pouvez être confrontés au quotidien. Toutes les suggestions mentionnées ci-dessous peuvent être mises en œuvre en faisant appel aux services de développement du programme vCISO de CyberHoot.
Gérez vos employés avec des politiques et des procédures. Vous devez au minimum disposer d'une politique de mots de passe, d'une politique d'utilisation acceptable, d'une politique de traitement des informations et d'un programme écrit de sécurité de l'information (WISP).
Former les employés à repérer et à éviter attaques de phishingAdoptez un système de gestion de l’apprentissage comme CyberHoot pour enseigner aux employés les compétences dont ils ont besoin pour être plus confiants, productifs et en sécurité.
Testez vos employés avec des attaques de phishing pour vous entraîner. Les tests de phishing de CyberHoot permettent aux entreprises de tester leurs employés avec des attaques de phishing crédibles et de former ceux qui échouent à une formation corrective.
Déployer une technologie de cybersécurité critique, notamment authentification à deux facteurs sur tous les comptes critiques. Activez le filtrage anti-spam, validez les sauvegardes, déployez la protection DNS, antivirus, et anti-malware sur tous vos terminaux.
À l'ère du travail à domicile moderne, assurez-vous de gérer les appareils personnels se connectant à votre réseau en validant leur sécurité (correctifs, antivirus, protections DNS, etc.) ou en interdisant totalement leur utilisation.
Si vous n'avez pas fait réaliser d'évaluation des risques par un tiers au cours des deux dernières années, vous devriez en faire une dès maintenant. La mise en place d'un cadre de gestion des risques au sein de votre organisation est essentielle pour gérer vos risques les plus graves avec un temps et un budget limités.
Souscrivez une cyberassurance pour vous protéger en cas de sinistre catastrophique. La cyberassurance est comparable à une assurance auto, incendie, inondation ou vie. Elle est là quand vous en avez le plus besoin.
Toutes ces recommandations sont intégrées au produit CyberHoot et aux services vCISO de CyberHoot. Avec CyberHoot, vous pouvez gérer, former, évaluer et tester vos employés. Rendez-vous sur CyberHoot.com et inscrivez-vous à nos services dès aujourd'hui. À défaut, continuez à vous former en vous abonnant à nos newsletters mensuelles sur la cybersécurité pour rester informé des dernières actualités.
Pour en savoir plus sur la loi HIPAA, regardez cette courte vidéo de 2 minutes :
CyberHoot met également à votre disposition d'autres ressources. Vous trouverez ci-dessous les liens vers toutes nos ressources ; n'hésitez pas à les consulter quand vous le souhaitez :
Remarque : Si vous souhaitez vous abonner à notre newsletter, cliquez sur n’importe quel lien ci-dessus (à l’exception des infographies), saisissez votre adresse e-mail à droite de la page et cliquez sur « M’envoyer la newsletter ».
Les derniers blogues :
Restez informé des dernières nouveautés Informations sur la sécurité
Découvrez et partagez les dernières tendances, conseils et meilleures pratiques en matière de cybersécurité, ainsi que les nouvelles menaces à surveiller.
