CevroConformité HIPAA pour les équipes healthtech et santé numérique
HIPAA s'applique aux entités couvertes et aux sous-traitants (business associates) qui traitent des informations de santé protégées pour leur compte, ce qui inclut de nombreux éditeurs de logiciels. La règle de sécurité fixe les attentes pour protéger les informations de santé protégées électroniques (ePHI).
Les trois familles de garanties
La règle de sécurité organise les exigences en garanties administratives, physiques et techniques. Certaines spécifications sont obligatoires et d'autres « adressables » : il faut les mettre en œuvre ou documenter une alternative équivalente.
- Administratives : analyse des risques, formation du personnel, gestion des accès, procédures d'incident
- Physiques : accès aux locaux, contrôle des appareils et des supports
- Techniques : contrôle d'accès, journaux d'audit, protection de l'intégrité, sécurité des transmissions
Les accords de sous-traitance (BAA)
Si vous traitez des ePHI pour une entité couverte, vous avez besoin d'un accord de sous-traitance (business associate agreement) avec elle, et avec chaque sous-traitant ultérieur qui accède à ces données.
Notification des violations
La règle de notification des violations impose d'informer les personnes concernées sans retard injustifié et au plus tard 60 jours après la découverte. Les violations plus importantes déclenchent aussi une notification aux autorités et, dans certains cas, aux médias.
Les preuves techniques qui comptent
- Identification unique des utilisateurs et accès multifacteur aux systèmes contenant des ePHI
- Chiffrement au repos et en transit
- Journaux d'audit conservés et examinés
- Suppression rapide des accès au départ des collaborateurs
- Une analyse des risques documentée et à jour
Comment Cevro vous aide
- Cevro exécute des contrôles automatisés sur 11 systèmes connectés (cloud, code source, identités, équipes et paiements) et rattache chaque résultat à HIPAA et aux autres référentiels que vous suivez.
- Chaque contrôle en échec s'accompagne d'une correction précise et d'un moyen de le revérifier : la liste des écarts devient une liste de tâches.
- Les preuves collectées pour un référentiel sont réutilisées pour les autres, et ce qu'un scan ne peut pas produire va dans le coffre de preuves.
- Une page de confiance en direct et des preuves exportables vous permettent de répondre aux clients et aux auditeurs sans repartir d'un tableur vide.
Questions fréquentes
Existe-t-il une certification HIPAA ?
Il n'existe pas de certification HIPAA officielle. La conformité se démontre par votre analyse des risques, vos garanties, votre documentation et, souvent, des évaluations par des tiers.
HIPAA s'applique-t-elle hors des États-Unis ?
Elle s'applique selon que vous traitez ou non des informations de santé protégées pour des entités couvertes américaines, et non selon votre lieu d'établissement. Les fournisseurs étrangers qui servent des clients de santé américains sont souvent concernés.