Les entités de santé et leurs partenaires commerciaux devront renforcer leurs protocoles de sécurité informatique, suite à une mise à jour significative de la règle HIPAA (Health Insurance Portability and Accountability Act). Ces nouvelles exigences, axées sur la documentation, les tests et la maintenance régulière, visent à mieux protéger les données sensibles des patients face aux cybermenaces croissantes.
La refonte de l’article 308 de la règle HIPAA, désormais intégré dans le 164.308, impose désormais une approche plus structurée et proactive de la gestion des risques. Au-delà de la simple mise en œuvre de mesures de sécurité, les organisations doivent désormais les formaliser par écrit, les tester rigoureusement et les maintenir à jour, avec une révision annuelle obligatoire.
Parmi les changements majeurs, on note l’obligation de réaliser un inventaire précis des actifs technologiques, de cartographier le réseau et de mettre en place un plan de maintenance. Cette évaluation des risques, qui inclut l’identification des vulnérabilités potentielles et l’estimation de leur impact, doit également prendre en compte les risques liés aux partenaires commerciaux.
La gestion des correctifs de sécurité est également renforcée. La nouvelle règle prévoit une correction des failles critiques en moins de 15 jours et des failles à haut risque en moins de 30 jours après la publication d’un correctif ou d’une mise à jour. Des alternatives à l’application immédiate des correctifs sont autorisées, mais doivent être documentées et justifiées.
D’autres domaines clés ont été revus, notamment la gestion des risques, les politiques de sanctions, l’examen de l’activité des systèmes d’information et la sécurité du personnel. Les organisations doivent désormais établir des plans écrits de gestion des risques, définir des procédures de sanctions claires et documentées, et surveiller attentivement l’activité de leurs systèmes.
En matière de sécurité du personnel, les procédures de résiliation d’accès aux informations ont été précisées, avec un délai minimum d’une heure entre la fin de l’emploi et la suppression des droits d’accès. La notification aux parties concernées (comme les administrateurs de la sécurité) doit intervenir dans les 24 heures suivant la résiliation.
La formation à la sensibilisation à la sécurité est également soumise à des exigences plus strictes en termes de contenu, de calendrier et de documentation. Les plans de réponse aux incidents et les plans de continuité des activités doivent être rédigés, testés et mis à jour annuellement.
Enfin, les contrats avec les partenaires commerciaux doivent désormais inclure une clause exigeant une vérification annuelle écrite de leur conformité aux exigences de la règle HIPAA, par le biais d’une analyse et d’une certification documentées.