02 / Conformité et certification
HIPAA, en partant du vrai chemin des données de santé
Nous aidons les covered entities et les business associates à mener l'analyse des risques qu'exige la Security Rule, à vérifier les mesures qui entourent les données de santé électroniques et à tester les systèmes qui les hébergent.
Présentation
Ce que la HIPAA Security Rule vous demande
HIPAA est une loi fédérale américaine. Sa Security Rule s'applique aux covered entities, comme les assureurs santé, les chambres de compensation et de nombreux prestataires de soins, ainsi qu'à leurs business associates. Elle exige de protéger la confidentialité, l'intégrité et la disponibilité des informations de santé protégées sous forme électronique (ePHI) par des mesures administratives, physiques et techniques.
Le point de départ est une analyse des risques : une évaluation précise et complète des risques pesant sur les ePHI que vous créez, recevez, conservez ou transmettez, suivie d'une gestion des risques pour les réduire. Certaines spécifications de mise en œuvre sont obligatoires, d'autres dites addressable : vous les évaluez et documentez votre décision, ce qui ne veut pas dire que vous pouvez les ignorer. Les business associates doivent signer un business associate agreement avant de traiter des ePHI.
Il n'existe pas de certification HIPAA officielle. Le ministère américain de la Santé (HHS) ne certifie personne comme conforme et ne reconnaît pas les certifications privées ; c'est son Office for Civil Rights qui fait appliquer les règles. Black Fox n'est ni un cabinet d'avocats ni une autorité. Nous réalisons le travail de sécurité et le documentons.
À qui s'adresse ce service
Les prestataires de soins, assureurs santé et chambres de compensation aux États-Unis, et les business associates qui travaillent pour eux, comme les éditeurs de logiciels, les prestataires cloud et informatiques et les sociétés de facturation. Également les entreprises hors des États-Unis qui traitent des ePHI pour des clients américains et reçoivent des questions HIPAA dans leurs contrats.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Analyse des risques
Nous repérons où se trouvent et circulent les ePHI, y compris les systèmes et prestataires oubliés, et évaluons pour chacun les menaces, les vulnérabilités et l'impact probable.
Mesures administratives
Une revue du processus de gestion de la sécurité, de la sécurité du personnel, de la gestion des accès, de la formation, des procédures d'incident, des plans de secours et de l'évaluation.
Mesures physiques
Un regard sur l'accès aux locaux, l'usage et la sécurité des postes de travail, et le traitement, la réutilisation et l'élimination des équipements et supports contenant des ePHI.
Mesures techniques
Une revue sur les systèmes eux-mêmes du contrôle d'accès, de la journalisation, de l'intégrité, de l'authentification et de la sécurité des transmissions, par exemple le chiffrement en transit.
Business associates
Un inventaire des prestataires qui touchent aux ePHI, une vérification des accords en place, et un avis sur l'adéquation entre leur sécurité et ce qu'ils ont signé.
Tests techniques
Des tests d'intrusion des applications, API, réseaux et environnements cloud qui hébergent des ePHI, adaptés à HIPAA, avec preuves de concept à l'appui.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des systèmes et des interlocuteurs, et signons d'abord un accord de confidentialité si vous le souhaitez.
État des lieux
Entretiens, revue documentaire et cartographie des flux pour trouver chaque endroit où des ePHI sont créées, stockées ou envoyées.
Analyse des risques
Nous évaluons les risques sur l'ensemble des mesures, selon leur probabilité et leur impact.
Tests
En option, des tests techniques des systèmes les plus exposés, convenus à l'avance.
Plan de gestion des risques
Nous construisons avec vos responsables un plan de réduction des risques, en documentant les décisions sur les spécifications addressable.
Restitution
Recommandations, rapport de synthèse avec appréciation des risques et rapport technique, puis une réunion de clôture pour recueillir votre avis.
Ce que vous recevez
- Inventaire des ePHI et cartographie des flux
- Analyse des risques selon la Security Rule
- Analyse d'écarts des mesures administratives, physiques et techniques
- Plan de gestion des risques avec décisions documentées
- Inventaire des business associates et liste de contrôle des accords
- Rapport de test d'intrusion avec preuves de concept
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Pouvez-vous nous certifier conformes à HIPAA ?
Non, et personne d'autre non plus. Il n'existe pas de certification HIPAA officielle, et le HHS ne reconnaît pas les certifications privées. Ce que vous pouvez montrer, c'est une analyse des risques documentée, les mesures en place et la preuve qu'elles fonctionnent. Notre certificat de mission réussie atteste qu'une mission a eu lieu, rien de plus.
Sommes-nous un business associate ?
Si vous créez, recevez, conservez ou transmettez des informations de santé protégées pour le compte d'une covered entity, très probablement, et il vous faut un business associate agreement. Savoir si un accord précis entre dans ce cadre relève de votre conseil.
Addressable veut-il dire facultatif ?
Non. Pour une spécification addressable, vous évaluez si elle est raisonnable et appropriée dans votre cas. Si oui, vous la mettez en œuvre. Sinon, vous documentez pourquoi et mettez en place une alternative équivalente lorsque c'est raisonnable.
HIPAA impose-t-il des tests d'intrusion ?
La Security Rule exige une analyse des risques et une évaluation périodique des mesures, sans nommer de test précis. Le test d'intrusion est un moyen courant de trouver les vulnérabilités techniques dont l'analyse des risques doit tenir compte.
Services associés
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
- Sécurité offensiveTests d'intrusionTests d'intrusion par Black Fox Security : boîte noire, grise ou blanche sur un périmètre convenu, rapports métier et technique, et contre-test de vos correctifs.
- Conformité et certificationSOC 2SOC 2 avec Black Fox Security : périmètre selon les Trust Services Criteria, analyse d'écarts, conception des contrôles et préparation des preuves pour votre cabinet CPA.
- Gouvernance et risquesGestion des risques tiersRisques fournisseurs avec Black Fox Security : inventaire, classement, questionnaires, revue des preuves et clauses contractuelles, en lien avec NIS 2 et DORA.
Commencez par l'analyse des risques
Dites-nous où se trouvent vos ePHI et qui y accède. Nous vous aiderons à voir ce que la Security Rule attend de chaque partie.