HIPAA : Guide de conformité pour le responsable de la sécurité

Dans le secteur de la santé, la sécurité et la confidentialité des données constituent un principe fondamental pour garantir la qualité des soins. La confiance est primordiale et doit être préservée ; une fois perdue, elle est quasiment impossible à rétablir. Il est donc compréhensible que les patients s’attendent à ce que leurs informations de santé personnelles restent confidentielles.

Des réglementations ont été élaborées au fil du temps à l'intention des compagnies d'assurance, des prestataires de services et des professionnels de la santé afin de les aider à mettre en œuvre et à faire respecter des politiques et des procédures de protection des données. Ces règles s'appliquent en effet à toute personne accédant à ces données ou les utilisant. informations de santé protégées (PHI). La principale loi de ce type aux États-Unis est la Loi sur la portabilité et la responsabilité en matière d'assurance maladie de 1996 (HIPAA).

Qu'est-ce que la loi HIPAA ?

La loi HIPAA établit des « normes nationales visant à protéger les informations de santé sensibles des patients contre toute divulgation sans leur consentement ou à leur insu ».

Au cœur de la loi HIPAA se trouvent cinq éléments. Titres Des modifications visent à améliorer la gestion et la couverture des assurances santé et vie. Outre les règles relatives à la confidentialité, plusieurs dispositions spécifiques s'appliquent, notamment en matière de sécurité, d'application des politiques, de sécurité des patients et de notification des violations de données.

Pour les dirigeants soucieux des données, tant du point de vue de la sécurité que de la confidentialité, les règles de confidentialité et de sécurité du Titre II (simplification administrative de la loi HIPAA) sont les plus pertinentes.

Le titre II établit des « normes nationales pour les transactions électroniques de soins de santé et des identifiants nationaux pour les prestataires, les organismes d'assurance maladie et les employeurs. […] L'adoption de ces normes améliorera l'efficience et l'efficacité du système de santé national en encourageant la généralisation de l'échange de données informatisées dans le domaine des soins de santé. »

Le Règle de confidentialité affirme « le droit des individus à comprendre et à contrôler la manière dont leurs informations de santé sont utilisées ».

Le Règle de sécurité HIPAA a des implications plus larges pour les données de santé électroniques (e-PHI) afin de « garantir la confidentialité, l’intégrité et la disponibilité » de ces données.

Qu'est-ce que PHI ?

«PHILe terme « données de santé » est utilisé comme un fourre-tout… « patient », « personnel », « privé », « protégé », etc., selon le site consulté. Selon le Département américain de la Santé Résumé du HHS Aux termes de la loi, le terme « protégé » est privilégié et s'applique aux métadonnées, aux enregistrements, aux transactions/partages, aux plans et aux paiements. Mais existe-t-il des données personnelles qui ne sont pas considérées comme des informations de santé protégées (ISP) ?

Oui. Le titre II définit 18 catégories uniques de «identifiants« Les données de santé électroniques protégées (comme le numéro d’enregistrement d’un document de traitement) sont soumises aux mêmes restrictions ou réglementations que les données « dépersonnalisées » — des informations dont tous les marqueurs permettant de les associer à une personne en particulier ont été supprimés ou masqués. »

Selon la section 164.514 D'après le texte final de la règle, les éléments suivants sont considérés comme des identifiants de données (la loi HIPAA a été approuvée il y a plus de vingt ans et de nombreuses nouvelles technologies ont été introduites depuis. Il pourrait exister de nouveaux types de données qui ne correspondraient pas à ces attributs) :

1. Noms
2. État, adresse, ville, comté, circonscription, code postal et leurs géocodes équivalents
3. Dates (sauf l'année) incluant la naissance, l'admission, la sortie, le décès ; âges supérieurs à 89 ans
4. numéros de téléphone
5. Numéros de fax
6. adresses électroniques
7. numéros de sécurité sociale
8. numéros de dossier médical
9. numéros de bénéficiaires du régime de santé
10. Numéros de compte
11. Numéros de certificat/licence
12. Identifiants et numéros de série des véhicules, y compris les numéros de plaques d'immatriculation
13. Identifiants et numéros de série des appareils
14. Localisateurs universels de ressources Web (URL)
15. Numéros d'adresse de protocole Internet (IP)
16. Identifiants biométriques, notamment les empreintes digitales et vocales
17. Images photographiques du visage entier et toute image comparable
18. Tout autre numéro, caractéristique ou code d'identification unique

Comment Cyera peut-elle m'aider à me conformer aux exigences de la loi HIPAA en matière de données ?

Cyera propose une approche globale de la recherche d'informations de santé, vous permettant de mieux protéger la confidentialité des données de vos clients grâce à l'analyse et au reporting de leur localisation, type, statut, ancienneté et autres informations contextuelles. Ces données peuvent ensuite être anonymisées, supprimées et contrôlées afin de respecter les exigences de la loi HIPAA.

1. Dé-identification

Étant donné que les données de votre organisation existent probablement à de nombreux endroits et pour de nombreuses utilisations, vous devez d'abord les inventorier et les classer, ce qui répond directement à la section 164.502-(B)(2)(d) concernant « les utilisations et les divulgations de renseignements médicaux protégés dépersonnalisés » dans la norme.

Cyera vous indique si les données sont dépersonnalisées ou non, et leur format (masqué, haché, chiffré, expurgé ou tokenisé). Si vous détenez des données de santé protégées non dépersonnalisées, celles-ci doivent être traitées et anonymisées avant toute divulgation ou utilisation.

2. Gestion du cycle de vie des données

L’article 164.530(iv)(2) impose une période de conservation des documents par une entité couverte : « six ans à compter de sa date de création ou de sa dernière date d’application, la plus tardive étant retenue ». Cependant, les données de santé protégées (DSP) diffèrent de la documentation système. La période de conservation ne s’applique pas aux DSP, mais aux enregistrements contenus dans les journaux de sécurité, les plans de continuité d’activité et de reprise après sinistre (PCA/PRA), les politiques, etc., utilisés pour administrer le système de traitement des données. La loi HIPAA n’impose pas d’exigences de conservation pour les dossiers des patients, hormis la règle d’accès de six ans, ce qui permet de distinguer une entité couverte (par exemple, un hôpital) d’une entité qui traite des données sans en être propriétaire (par exemple, une plateforme de stockage).

Cyera récapitule les dates de vos données, notamment la date de création et la date de dernière modification, vous permettant ainsi de déterminer quels fichiers sont conformes ou non. Cela évite les suppressions accidentelles avant la fin de la période et permet de migrer les données (par exemple, celles datant de plus de deux ans) vers un archivage à froid pour réaliser des économies.

3. Contrôle d'accès

La règle de sécurité HIPAA cite le principe de «minimum nécessaireLe principe de « moindre accès utilisateur », également appelé « principe du moindre accès utilisateur », vise à réduire l'exposition aux données dans ces cas en incitant les administrateurs à limiter l'utilisation des données en fonction du rôle, de la classification, de l'appartenance à un groupe ou d'autres critères gérables. Plus précisément, « une entité concernée doit élaborer et mettre en œuvre des politiques et des procédures qui limitent l'accès aux données de santé protégées et leur utilisation en fonction des rôles spécifiques des membres de son personnel ».

Cyera vous aide à appliquer les politiques de gouvernance des accès aux données (DAG). Cyera vous indique le niveau de risque que présentent les données. En comprenant ce risque, vous êtes mieux à même de choisir les contrôles d'accès les plus appropriés.

De plus, Cyera vous indique qui a accès aux données de santé protégées, y compris les employés actuels et anciens. Grâce à ces informations, vous pouvez limiter l'accès aux seules personnes qui en ont besoin et le supprimer pour les anciens employés.

4. Classification dynamique

Le niveau de sécurité requis pour un actif dépend non seulement du risque actuel, mais aussi du risque futur. Si un fichier perd de son importance dans six mois, le chiffrement quantique n'est probablement pas nécessaire. En revanche, si des données de santé protégées doivent être conservées pendant six ans, il est impératif de garantir leur sécurité durant cette même période. Les garanties administratives prévues par la réglementation sur la sécurité des données apportent des précisions sur la supervision des données, notamment concernant les évaluations des risques et des vulnérabilités ainsi que les plans d'intervention. Ces éléments sont en particulier soumis à un audit HIPAA (ou autre).

Les données étant par nature dynamiques, votre compréhension de celles-ci doit l'être également. Cyera vous informe de l'évolution de l'état et, par conséquent, de la sensibilité de vos données. À un moment donné, les données peuvent concerner une personne mineure. Quelques mois plus tard, ces mêmes données peuvent concerner une personne majeure. Comprendre le contexte de vos données à différents moments vous permet d'appliquer les niveaux de gouvernance de l'information les plus adaptés.

La manière dont vous gérez vos données dépend également de leur identifiable, c'est-à-dire de leur capacité à être associées à une personne en particulier. Cyera signale les données exposées en clair ou anonymisées dans votre environnement. ‍

5. Garanties

De la section 164.530-(c)(1), « Une entité couverte doit maintenir des mesures de protection administratives, techniques et physiques raisonnables et appropriées pour empêcher la divulgation intentionnelle ou non intentionnelle de [PHI…] et pour limiter son utilisation accessoire […]. » Ces mesures de protection techniques (164.312(a, b, c)) peuvent inclure des contrôles d’accès basés sur les rôles (RBAC), des systèmes de détection d’intrusion et même une formation à la sécurité des employés.

Cyera vous fournit le contexte de vos contrôles de sécurité. Ce contexte indique si les données ont été expurgées, chiffrées, transformées par une autre méthode ou exposées en clair. Il vous indique également si la base de données est accessible et par qui (par exemple, si elle est accessible à tous les employés, à un seul service, à des personnes spécifiques ou à Internet).

Assurer la conformité HIPAA avec Cyera

Les exigences techniques, juridiques et procédurales de la loi HIPAA sont variées et complexes. Cependant, avec la bonne approche, vous pouvez comprendre l'étendue et la répartition des informations de santé protégées (PHI) au sein de votre organisation, et Cyera vous préparera aux audits grâce à une analyse approfondie de votre posture de sécurité des données et à une exploration poussée, adaptées à vos besoins. organisation de soins de santé.

La plateforme de sécurité des données de Cyera fournit un contexte approfondi sur vos données, en appliquant des contrôles corrects et continus pour assurer la cyber-résilience et la conformité.

Cyera adopte une approche de sécurité centrée sur les données, évaluant l'exposition de vos données au repos et en cours d'utilisation et appliquant de multiples niveaux de défense. Grâce à une analyse approfondie et globale de votre environnement de données, Cyera est la seule solution permettant aux équipes de sécurité de localiser leurs données, d'identifier les risques et d'intervenir immédiatement pour y remédier et garantir la conformité, sans perturber l'activité.

Pour en savoir plus sur la façon dont Cyera peut vous aider à assurer la conformité à la loi HIPAA, planifier une démonstration aujourd'hui.