Automatisez la conformité à la Security Rule HIPAA

Conformité HIPAA — questions fréquentes

Qu’est-ce que la conformité HIPAA et qui doit s’y conformer ?

HIPAA (Health Insurance Portability and Accountability Act) fixe des normes nationales pour protéger les informations de santé sensibles des patients. Les entités couvertes — régimes d’assurance santé, centres d’échange et prestataires de soins — doivent respecter les règles Privacy, Security et Breach Notification. Les partenaires commerciaux (fournisseurs qui traitent des PHI pour le compte d’entités couvertes) doivent également s’y conformer et signer des accords de partenariat commercial (BAA). La non-conformité peut entraîner des sanctions civiles et pénales allant jusqu’à 1,9 million de dollars par catégorie de violation et par an.

Que sont les ePHI et que surveille CATAAM à leur sujet ?

Les ePHI (informations de santé protégées électroniques) désignent toute information de santé individuellement identifiable créée, reçue, conservée ou transmise sous forme électronique. CATAAM découvre les ressources AWS (compartiments S3, instances RDS, tables DynamoDB, fonctions Lambda) susceptibles de contenir des ePHI, surveille les contrôles d’accès et la journalisation d’audit sur ces ressources, et rattache les constats aux exigences techniques HIPAA concernées — §164.312(a) contrôle d’accès, §164.312(b) contrôles d’audit et §164.312(e) sécurité des transmissions.

Comment CATAAM prend-il en charge l’analyse des risques de sécurité HIPAA ?

Le §164.308(a)(1) de HIPAA impose aux entités couvertes de mener une analyse des risques de sécurité exacte et approfondie, fondement de leur programme de conformité à la Security Rule. CATAAM génère une analyse des risques continue en combinant la découverte d’actifs iASM (identification de tous les systèmes qui stockent ou transmettent des ePHI), la simulation de menaces BAS (test des contrôles contre de vrais vecteurs d’attaque) et l’analyse des écarts par rapport à l’ensemble des exigences administratives, physiques et techniques. Le résultat est un document d’analyse des risques prêt pour l’audit, et non un tableur ponctuel.

CATAAM peut-il accompagner à la fois les entités couvertes et les partenaires commerciaux ?

Oui. CATAAM prend en charge les entités couvertes (régimes de santé, prestataires, centres d’échange) comme les partenaires commerciaux (éditeurs technologiques, services de facturation, fournisseurs cloud traitant des PHI). La plateforme gère le suivi des accords de partenariat commercial, rattache les contrôles à l’ensemble des exigences de la Security Rule et fournit la documentation d’audit exigée des deux parties. Pour les partenaires commerciaux ayant plusieurs clients du secteur de la santé, le tableau de bord partenaire de CATAAM gère des environnements de conformité distincts par client.

Comment HIPAA est-il mis en correspondance avec SOC 2 et ISO 27001 dans CATAAM ?

De nombreuses exigences techniques HIPAA recoupent largement les contrôles SOC 2 et ISO 27001. Par exemple, le contrôle d’accès §164.312(a) correspond à SOC 2 CC6.1 et à ISO 27001 A.9. Grâce à la cartographie inter-référentiels de CATAAM, une seule revue de politique IAM satisfait simultanément les trois référentiels. Les organisations qui visent plusieurs certifications en parallèle de la conformité HIPAA peuvent réduire jusqu’à 60 % leur charge de conformité totale grâce à cette approche unifiée des preuves.