Liste de contrôle de la conformité HIPAA pour la gestion des risques liés aux tiers

Processus de gestion de la sécurité
Mesures de protection administratives
(§ 164.308(a)(1))

(A) Analyse du risque (OBLIGATOIRE)

Une entité couverte ou un associé d'affaires doit procéder à une évaluation précise et approfondie des risques et vulnérabilités potentiels pour la confidentialité, l'intégrité et la disponibilité des informations de santé protégées électroniques détenues par l'entité couverte ou l'associé d'affaires.

La première étape pour se conformer à la réglementation HIPAA est une évaluation complète des risques, tant en interne que pour les tiers susceptibles d'avoir accès aux PHI. Certaines organisations tentent de le faire à l'aide de questionnaires sur tableur, mais cette approche n'est pas adaptée.

Processus de gestion de la sécurité
Mesures de protection administratives
(§ 164.308(a)(1))

(B) Gestion des risques (OBLIGATOIRE)

Mettre en œuvre des mesures de sécurité suffisantes pour réduire les risques et les vulnérabilités à un niveau raisonnable et approprié afin de se conformer aux [normes de sécurité HIPAA].

Une fois les risques identifiés, les organisations doivent mettre en place des contrôles pour les minimiser.

Processus de gestion de la sécurité
Mesures de protection administratives
(§ 164.308(a)(1))

(D) Revue des activités du système d'information (OBLIGATOIRE)

Mettre en place des procédures pour examiner régulièrement les enregistrements de l'activité du système d'information, tels que les journaux d'audit, les rapports d'accès et les rapports de suivi des incidents de sécurité.

Comme beaucoup de choses peuvent changer entre les évaluations annuelles, les organisations doivent effectuer un suivi continu des risques, de la performance des contrats et des accords de niveau de service (SLA).

Contrats d'associés commerciaux et autres arrangements
(§ 164.308(b)(1))

Une entité couverte peut permettre à un associé de créer, recevoir, maintenir ou transmettre des informations de santé protégées électroniques au nom de l'entité couverte seulement si l'entité couverte obtient des garanties satisfaisantes, conformément au § 164.314(a), que l'associé protégera les informations de manière appropriée. Une entité couverte n'est pas tenue d'obtenir de telles assurances satisfaisantes d'un associé qui est un sous-traitant.

Des contrats d'associés d'affaires sont requis, mais les équipes de conformité et de sécurité intelligentes exigeront des preuves de conformité et de contrôles.

Processus de gestion de la sécurité, mesures de protection administratives
§ 164.308(a)(6)

Spécification de mise en œuvre : Réponse et rapports (OBLIGATOIRE)

Identifier et répondre aux incidents de sécurité suspectés ou connus ; atténuer, dans la mesure du possible, les effets néfastes des incidents de sécurité qui sont connus de l'entité couverte ou de l'associé commercial ; et documenter les incidents de sécurité et leurs résultats.

Certains fournisseurs peuvent ne pas savoir quand ils ont été victimes d'une violation ou ne pas signaler rapidement les incidents, ce qui peut retarder le délai moyen de découverte (MTTD) et le délai moyen de résolution (MTTR), ouvrant ainsi l'organisation à des exploits potentiels.

Processus de gestion de la sécurité, mesures de protection administratives
§ 164.308(a)(8)

Standard : Évaluation. Effectuer une évaluation technique et non technique périodique, basée initialement sur les normes mises en œuvre dans le cadre de cette règle et, par la suite, en réponse à des changements environnementaux ou opérationnels affectant la sécurité des informations de santé électroniques protégées, afin de déterminer dans quelle mesure les politiques et procédures de sécurité d'une entité couverte ou d'un associé répondent aux exigences de cette sous-partie.

Toutes les organisations connaissent des changements de personnel et mettent périodiquement en œuvre de nouvelles politiques et procédures. Les entités couvertes doivent surveiller en permanence le site cyber et les renseignements commerciaux et financiers afin de connaître les changements importants apportés au profil de risque d'un fournisseur entre les évaluations annuelles du contrôle interne.

Politiques et procédures et exigences en matière de documentation
(§ 164.316(b)(1))

Standard : Documentation

• (i) conserver les politiques et procédures mises en œuvre pour se conformer à la présente sous-partie sous forme écrite (qui peut être électronique) ; et
• (ii) Si une action, une activité ou une évaluation doit être documentée en vertu de la présente sous-partie, conserver une trace écrite (qui peut être électronique) de cette action, activité ou évaluation.

En cas d'incident ou d'audit, ou dans le cadre d'une relation commerciale, les organisations sont tenues de produire des preuves à l'appui des politiques, des risques identifiés et des contrôles.