Confidentialité et protection des données
HIPAA
HIPAA (Health Insurance Portability and Accountability Act)
La loi HIPAA définit les exigences américaines en matière de protection des informations de santé. Nous vous aidons à mettre en œuvre les mesures de protection de la Security Rule et de la Privacy Rule et à constituer les preuves qui attestent de votre conformité.
Ce qu'est HIPAA
La loi HIPAA est une législation fédérale américaine qui régit la manière dont les informations de santé protégées (PHI) sont traitées. Sa Privacy Rule encadre la façon dont les PHI peuvent être utilisées et divulguées, tandis que sa Security Rule fixe des mesures de protection administratives, physiques et techniques pour les PHI électroniques. La Breach Notification Rule précise ce qui doit se produire lorsque des informations protégées sont exposées.
La loi HIPAA est une réglementation appliquée par le Department of Health and Human Services des États-Unis, et non une norme vis-à-vis de laquelle vous êtes certifié. Il n'existe pas de certificat HIPAA officiel. La conformité se démontre par une analyse de risque documentée, des mesures de protection mises en œuvre, des politiques, des formations et des Business Associate Agreements avec les prestataires qui traitent les PHI pour votre compte.
La structure de la norme
Privacy Rule
Fixe des normes nationales sur la manière dont les informations de santé protégées peuvent être utilisées et divulguées et confère aux personnes des droits sur leurs dossiers, y compris l'accès et la rectification.
Security Rule
Fixe les mesures de protection des informations de santé protégées sous forme électronique et s'organise en groupes de mesures administratives, physiques et techniques.
Security Rule · mesures administratives
Couvrent le volet gouvernance, y compris l'analyse de risque requise, la formation du personnel, la gestion des accès et la planification de continuité.
Security Rule · mesures physiques
Traitent de l'accès physique aux locaux, aux postes de travail et aux appareils, ainsi que des contrôles des supports pour la mise au rebut et la réutilisation du matériel.
Security Rule · mesures techniques
Traitent du contrôle des accès, de la journalisation d'audit, de la protection de l'intégrité et de la sécurité des transmissions pour les systèmes qui stockent ou déplacent des PHI électroniques.
Breach Notification Rule
Définit ce qui constitue une violation de PHI non sécurisées et les notifications dues aux personnes concernées, au régulateur et, pour les violations de plus grande ampleur, aux médias.
Enforcement Rule
Précise la manière dont l'Office for Civil Rights enquête sur les plaintes et les niveaux de sanction applicables aux manquements.
HITECH et la Omnibus Rule
Modifications ultérieures qui ont étendu la responsabilité directe aux sous-traitants et renforcé les dispositions relatives aux violations et à l'application.
Qui en a besoin
- Les entités couvertes (Covered Entities) telles que les prestataires de soins, les régimes d'assurance santé et les chambres de compensation
- Les sous-traitants (Business Associates), y compris les fournisseurs SaaS et cloud qui traitent des PHI pour le compte d'une entité couverte
- Toute entreprise traitant des données de santé américaines à qui l'on demande de signer un Business Associate Agreement
Ce que vous obtenez
- Une cartographie des données PHI et une analyse de risque documentée conforme à la Security Rule
- Des mesures de protection administratives, physiques et techniques accompagnées de politiques
- Des preuves de tests d'intrusion pour les systèmes traitant des PHI électroniques
- Un dossier de preuves de conformité et un accompagnement sur les Business Associate Agreements
Les délais dépendent de votre périmètre, des systèmes en contact avec les PHI et de vos mesures de protection actuelles. Nous en définissons le périmètre honnêtement dès le départ plutôt que de promettre un nombre fixe de semaines.
Version actuelle
La loi HIPAA a été promulguée en 1996, la Privacy Rule, la Security Rule et la Breach Notification Rule ayant été ajoutées par des textes réglementaires ultérieurs et renforcées par le HITECH Act de 2009 et la Omnibus Rule de 2013. La version en vigueur aujourd'hui repose toujours sur ces règles, administrées par l'Office for Civil Rights au sein du Department of Health and Human Services des États-Unis. Une mise à jour proposée de la Security Rule est à l'étude, publiée sous forme de notice of proposed rulemaking, qui renforcerait et préciserait les attentes en matière de cybersécurité pour les PHI électroniques ; elle n'est pas encore définitive et la Security Rule existante demeure la norme à l'aune de laquelle vous êtes évalué. Considérez la proposition comme une orientation à anticiper plutôt que comme une obligation modifiée, et maintenez entre-temps votre analyse de risque et vos mesures de protection à jour.
Ce que cela coûte
Il n'y a pas de certificat HIPAA à acheter, car la loi HIPAA est une réglementation dont vous démontrez le respect plutôt qu'un dispositif vis-à-vis duquel un organisme accrédité vous certifie. Vos coûts correspondent à nos honoraires de conseil et de mise en œuvre à périmètre défini, chiffrés dès le départ une fois que nous avons compris votre taille, les systèmes en contact avec les PHI et votre point de départ, auxquels s'ajoutent toute évaluation indépendante, tout audit, tout test d'intrusion ou tout apport juridique et de confidentialité que vous choisissez de solliciter, et que ces parties facturent séparément selon leurs propres conditions. tr3labs n'est jamais l'organisme de certification, l'auditeur ni le régulateur ; un client ou un tiers peut mener une évaluation HIPAA à votre encontre, et le coût de cette prestation lui incombe. Nous en définissons le périmètre avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Périmètre et analyse de risque
Nous identifions où résident et circulent les PHI, réalisons l'analyse de risque qu'exige la Security Rule et évaluons vos mesures de protection actuelles au regard de la Privacy Rule, de la Security Rule et de la Breach Notification Rule.
Construire les mesures de protection
Nous vous aidons à mettre en œuvre les mesures de protection administratives, physiques et techniques, à rédiger les politiques requises, à accompagner vos formations et à mettre en ordre vos Business Associate Agreements.
Tester et prouver
Nous réalisons des tests d'intrusion et des revues de sécurité sur les systèmes qui hébergent des PHI électroniques, afin que vos mesures de protection techniques soient prouvées, et non simplement affirmées.
Accompagnement à la préparation et à l'attestation
Nous rassemblons la documentation qui atteste de votre conformité et vous préparons à répondre avec assurance à une due diligence client ou à une évaluation HIPAA réalisée par un tiers.
HIPAA et SOC 2 comparés
Les deux sont évoqués lorsqu'un acheteur vérifie si ses données sont en sécurité chez vous, de sorte que les entreprises de santé reçoivent souvent des demandes pour chacun et les confondent.
| HIPAA | SOC 2 | |
|---|---|---|
| Portée | Informations de santé protégées américaines | Critères de sécurité et de confiance associés pour un service |
| Qui le demande | Régulateurs de santé américains et partenaires traitant des PHI | Acheteurs grands comptes réalisant une due diligence fournisseur |
| Idée centrale | Obligation légale de protéger les données de santé | Rapport indépendant sur vos contrôles |
| Modèle d'audit | Pas de certificat ; la conformité est prouvée | Rapport émis par un cabinet de CPA agréé |
| Souvent détenu avec | Business Associate Agreements | ISO 27001 et revues de sécurité fournisseurs |
FAQ HIPAA
- Existe-t-il un certificat HIPAA officiel ?
- Non. La loi HIPAA est une réglementation appliquée par le Department of Health and Human Services des États-Unis, et non une norme certifiable, de sorte qu'aucun certificat officiel n'existe. La conformité se démontre par une analyse de risque documentée, des mesures de protection mises en œuvre et des preuves. Méfiez-vous de quiconque vend un certificat HIPAA comme preuve.
- Qu'est-ce qu'un Business Associate Agreement ?
- Il s'agit d'un contrat exigé par la loi HIPAA entre une entité couverte et un prestataire qui traite des informations de santé protégées pour son compte. Il définit les responsabilités de chaque partie dans la protection de ces données. Nous vous aidons à mettre en place les accords adéquats avec les prestataires concernés.
- La loi HIPAA exige-t-elle des tests d'intrusion ?
- La loi HIPAA ne nomme pas de test spécifique, mais la Security Rule exige que vous évaluiez les risques pesant sur les PHI électroniques et que vous appliquiez des mesures de protection techniques appropriées. Les tests d'intrusion sont un moyen bien établi de prouver que ces mesures fonctionnent, et nos tests répondent précisément à cet objectif.
Les services qui vous y amènent
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture