Les trois types de protection
- Administratives (§164.308) : analyse et gestion des risques, sécurité du personnel, formation, procédures d'incident, plan de secours, évaluation.
- Physiques (§164.310) : accès aux locaux, usage et sécurité des postes de travail, contrôle des appareils et des supports.
- Techniques (§164.312) : contrôle d'accès, contrôles d'audit, intégrité, authentification, sécurité des transmissions.
Commencer par l'analyse des risques
Le §164.308(a)(1)(ii)(A) exige une évaluation exacte et approfondie des risques pesant sur la confidentialité, l'intégrité et la disponibilité des informations de santé électroniques. Tout le reste de votre programme en dépend.
Les partenaires commerciaux
Quiconque traite ces informations pour votre compte doit signer un business associate agreement, et est directement soumis à la Security Rule.
Une refonte proposée
En janvier 2025, le HHS a proposé une mise à jour majeure de la Security Rule. Tant qu'une règle définitive n'est pas publiée, la règle actuelle reste en vigueur : vérifiez où en est la proposition avant de planifier en fonction d'elle.
Documentation et violations
- Conserver les politiques et les enregistrements requis pendant six ans (§164.316(b)(2)).
- Notifier une violation d'informations non sécurisées sans retard déraisonnable et dans les 60 jours calendaires suivant sa découverte (§§164.404 à 164.408).
- Les violations touchant 500 personnes ou plus exigent aussi d'informer le HHS en même temps et, dans certains cas, les médias.
Questions
- Existe-t-il une certification HIPAA ?
- Aucune certification officielle n'existe. Le HHS ne certifie pas les entreprises. Des tiers proposent des évaluations, mais ce ne sont pas des certifications gouvernementales.
- Que sont les spécifications addressable ?
- Vous devez les évaluer et les mettre en œuvre si c'est raisonnable et approprié, ou documenter pourquoi non et adopter un équivalent le cas échéant. Elles ne sont pas facultatives.