Conformité à la loi HIPAA
La conformité à la loi HIPAA est souvent considérée par de nombreuses organisations comme une simple formalité administrative : remplir un modèle d’évaluation des risques une fois par an, conserver un classeur contenant les politiques, puis passer à autre chose. Les règles de sécurité et de confidentialité ont en réalité été rédigées pour imposer une exigence plus stricte : une compréhension honnête et permanente de l’emplacement des informations de santé protégées, des personnes autorisées à y accéder et des mesures à prendre en cas de problème. Les organisations qui se retrouvent en difficulté lors d’une enquête relative à la loi HIPAA sont presque toujours celles dont la documentation ne correspondait pas à la réalité.
Là où cela pose problème
L’évaluation des risques est censée constituer le fondement de l’ensemble du programme, et c’est l’étape que je vois le plus souvent traitée de manière superficielle : une liste de contrôle tirée d’un modèle au lieu d’un véritable inventaire des flux réels des données de santé protégées (ePHI) : quels systèmes les stockent, quels prestataires y ont accès, quels employés disposent d’un accès dont ils n’ont pas besoin, et lesquels de ces chemins d’accès n’ont jamais été réexaminés depuis le jour où ils ont été accordés. Sans cette base, les mesures de protection administratives, physiques et techniques qui sont censées en découler finissent par être génériques et déconnectées des risques réels.
Comment je développe cela
Je commence par une véritable évaluation des risques — en retraçant le parcours des données de santé protégées (ePHI) à travers vos systèmes et ceux de vos partenaires commerciaux, et pas seulement au sein de votre propre infrastructure. À partir de là, je vous aide à combler les lacunes les plus courantes : des contrôles d’accès qui se sont éloignés du principe du « privilège minimal », des journaux d’audit qui existent mais que personne ne consulte réellement, des failles de chiffrement des données au repos ou en transit, et des accords avec les partenaires commerciaux qui ont été signés une seule fois et jamais réexaminés, même lorsque la relation et les flux de données ont évolué.
J’insiste également beaucoup sur la préparation à la réponse aux violations, car les exigences de notification de l’HIPAA sont précises et soumises à des délais stricts, et un plan qui semble parfait sur le papier s’effondre souvent dès la première fois où quelqu’un doit réellement l’utiliser sous pression. Nous élaborons et testons un plan d’intervention qui tient compte des délais de notification aux personnes concernées, au HHS et, dans certains cas, aux médias, afin que vous n’ayez pas à improviser ces décisions lors d’un incident réel.
À qui s'adresse ce document ?
Les entités concernées et les partenaires commerciaux dont la dernière évaluation des risques s’est résumée à cocher des cases, les organismes de santé adoptant de nouvelles technologies ou faisant appel à des prestataires en contact avec des données de santé protégées (ePHI), ainsi que toute personne ayant frôlé un incident et souhaitant que sa prochaine évaluation des risques reflète la réalité du terrain.
S'il est temps de faire le point en toute honnêteté sur votre programme HIPAA, contactez-moi.