Stockage cloud sécurisé et conforme HIPAA pour la santé : solutions de conformité fiables

Les hôpitaux, cliniques et autres organisations de santé ont eu un parcours chaotique vers l'adoption du cloud au cours des dernières années. Les risques de sécurité implicites de l'utilisation du cloud public ou du travail avec un fournisseur de services tiers ont considérablement retardé l'adoption du cloud dans le secteur de la santé.

Même aujourd'hui, alors que 84 % des organisations de santé utilisent des services cloud, la question du choix du bon fournisseur cloud conforme HIPAA peut être un casse-tête.

Tous les prestataires de santé dont les données clients sont stockées aux États-Unis sont soumis à un ensemble de réglementations connues sous le nom de conformité HIPAA.

Aujourd'hui, toute organisation qui gère des données patient confidentielles doit se conformer aux exigences de stockage HIPAA.

Qu'est-ce que la conformité HIPAA ?

Les normes HIPAA assurent la protection des données de santé. Tout fournisseur travaillant avec une organisation de santé ou une entreprise manipulant des dossiers de santé doit respecter les règles de confidentialité HIPAA. Il existe également de nombreuses industries annexes qui doivent se conformer aux directives si elles ont accès aux données médicales et des patients. C'est là que le stockage cloud conforme HIPAA joue un rôle significatif.

En 1996, « le Département américain de la Santé et des Services sociaux (HHS) a publié la Règle de confidentialité pour mettre en œuvre l'exigence de la loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA) de 1996. » La Règle de confidentialité traite des « informations de santé protégées électroniques » des patients et de la manière dont les organisations, ou « entités couvertes par HIPAA » soumises aux Règles de confidentialité doivent se conformer.

La plupart des institutions de santé utilisent une forme d'appareils électroniques pour fournir des soins médicaux. Cela signifie que l'information ne réside plus sur un dossier papier, mais sur un ordinateur ou dans le cloud. Contrairement aux entreprises générales ou à la plupart des entités commerciales, les institutions de santé sont légalement tenues d'employer les pratiques de sauvegarde de données les plus fiables.

Alors, comment cela affecte-t-il leur choix de fournisseur cloud ?

Lors de la planification de leur migration vers l'informatique en nuage, les établissements de santé doivent s'assurer que leur fournisseur répond à des critères de sécurité spécifiques.

Ces critères se traduisent en exigences et seuils qu'une entreprise doit remplir et maintenir pour devenir prête pour HIPAA. Cela se résume à un ensemble de certifications, d'audits et rapports SOC, de niveaux de chiffrement et de fonctionnalités de sécurité physique.

Les solutions de stockage cloud HIPAA devraient travailler à rendre la conformité simple et directe. Ainsi, les organisations de santé ont une chose de moins à craindre et peuvent se concentrer sur l'amélioration de leurs processus critiques.

Exigences de stockage cloud et de sauvegarde de données HIPAA

Un fournisseur de services cloud faisant affaire avec une entreprise opérant sous les règles de la loi HIPAA-HITECH est considéré comme un associé commercial. En tant que tel, il doit démontrer qu'il respecte les normes de conformité cloud et suit toutes les normes pertinentes. Bien que le fournisseur ne manipule pas directement les informations des patients, il reçoit, gère et stocke les informations de santé protégées (PHI - Protected Health Information). Ce fait seul le rend responsable de les protéger selon les directives de la loi HIPAA-HITECH.

Être conforme HIPAA signifie mettre en œuvre toutes les règles et réglementations que la Loi propose. Tout fournisseur offrant des services soumis à la loi doit fournir une documentation comme preuve de leur conformité. Cette documentation doit être envoyée non seulement à leurs clients mais aussi au Bureau des droits civils (OCR - Office for Civil Rights). L'OCR est une sous-agence du Département américain de l'Éducation, qui promeut l'accès égal aux programmes de santé et de services humains.

Les organisations de l'industrie de la santé cherchant à travailler avec un fournisseur de stockage cloud conforme HIPAA devraient demander une preuve de conformité pour se protéger. Si le fournisseur suit toutes les normes, il ne devrait avoir aucune hésitation à partager la documentation appropriée avec vous.

Les exigences HIPAA pour les organisations d'hébergement cloud sont les mêmes que les exigences pour les associés commerciaux. Elles se divisent en trois catégories distinctes : garanties administratives, physiques et techniques.

• Garanties administratives : Ce type de garanties sont des politiques transparentes qui décrivent comment l'entreprise se conformera d'un point de vue opérationnel. Les opérations peuvent inclure la gestion des évaluations des risques de sécurité, les procédures appropriées, la réponse aux catastrophes et urgences, et la gestion des mots de passe.
• Garanties physiques : Les garanties physiques sont généralement des systèmes en place pour protéger les données des clients. Elles peuvent inclure le stockage approprié, la sauvegarde des données et l'élimination appropriée des supports dans un centre de données. Les précautions de sécurité importantes pour les installations où résident les dispositifs de stockage matériel ou logiciel font également partie de cette catégorie.
• Garanties techniques : Ce groupe de garanties fait référence aux fonctionnalités techniques mises en œuvre pour minimiser le risque de données et maximiser la protection. Exiger des informations de connexion uniques, des politiques de déconnexion automatique et l'authentification pour l'accès aux PHI ne sont que quelques-unes des garanties techniques qui devraient être en place.

Qu'est-ce qui rend un fournisseur cloud certifié HIPAA conforme ?

Fournir un stockage de fichiers conforme HIPAA, matériel ou logiciel, n'est pas aussi simple que d'actionner un interrupteur. Il faut une quantité énorme de temps et d'efforts pour qu'une entreprise devienne conforme.

L'élément critique à rechercher chez un fournisseur de stockage cloud certifié HIPAA est sa volonté de conclure un Accord d'Associé Commercial. Connu sous le nom de BAA (Business Associate Agreement), cet accord est conclu entre deux parties prévoyant de transmettre, traiter ou recevoir des PHI. Son objectif principal est de protéger les deux parties contre toute répercussion légale résultant de l'utilisation abusive d'informations de santé protégées.

Un Accord d'Associé Commercial BAA ne doit pas ajouter, soustraire ou contredire les normes globales de HIPAA. Cependant, si les deux parties sont d'accord, la supplémentation de terminologie spécifique est acceptable. Il existe également certains termes fondamentaux qui constituent la base d'un accord d'associé commercial conforme et doivent rester pour que le contrat soit considéré comme juridiquement contraignant.

Le niveau de chiffrement activé par le fournisseur cloud nécessite une attention appropriée. L'entreprise devrait chiffrer les fichiers non seulement en transit mais aussi au repos. Le Standard de Chiffrement Avancé (AES - Advanced Encryption Standard) est le niveau minimum de chiffrement qu'il devrait utiliser pour le stockage et le partage de fichiers. AES est un successeur du Data Encryption Standard (DES) et a été développé par l'Institut National des Standards et de la Technologie (NIST) en 1997. C'est un algorithme de chiffrement avancé qui offre une défense améliorée contre différents incidents de sécurité.

Sélectionner un fournisseur de stockage cloud conforme

Lors du choix d'un fournisseur conforme HIPAA, recherchez un hébergement web HIPAA qui répond aux mesures décrites dans la section précédente. Assurez-vous de leur demander leurs pratiques de sécurité de stockage de données pour savoir à quel point vos données PHI seront sécurisées.

Le fournisseur potentiel propose-t-il un accord de niveau de service ?

Un contrat SLA indique des temps de réponse garantis aux menaces, généralement dans une fenêtre de vingt-quatre heures. En tant qu'entreprise qui transmet des PHI, vous devez savoir à quelle vitesse le fournisseur peut vous notifier en cas d'incident. Plus vous recevez rapidement une notification de violation, plus vous pouvez répondre efficacement.

N'oubliez pas que le stockage des dossiers médicaux électroniques basés sur le cloud doit se faire dans un centre de données sécurisé.

Quelles sont les mesures de sécurité en place en cas d'incident ? Comment l'accès à l'installation est-il déterminé ? Demandez un aperçu détaillé de la manière dont ils mettent en œuvre et appliquent la sécurité physique. Vérifiez comment ils réagissent en cas de violation de données. Assurez-vous d'obtenir tous les détails pertinents avant de mettre vos données en danger.

Votre fournisseur sélectionné devrait également avoir un plan de reprise d'activité et de continuité en place.

Un plan de continuité anticipera les pertes dues aux catastrophes naturelles, violations de données et autres incidents imprévus. Il fournira également les processus et procédures nécessaires si de tels événements se produisent. Concernant les meilleures pratiques de prévention de la perte de données, il est également essentiel de déterminer à quelle fréquence la méthode proposée subit des tests rigoureux.

Sécurité des dossiers médicaux — Comment être sûr ?

Les fournisseurs cloud qui prennent la conformité au sérieux s'assureront que leurs certifications sont à jour. Il existe plusieurs façons de vérifier s'ils suivent les normes et réglementations pertinentes.

Une façon est d'auditer votre fournisseur potentiel en utilisant une tierce partie indépendante. L'audit mettra en lumière les risques possibles et révélera les tactiques de sécurité du fournisseur. Les fournisseurs de stockage cloud pour dossiers médicaux doivent auditer régulièrement leurs systèmes et environnements pour sécuriser les menaces et rester conformes. Le terme « régulièrement » n'est pas défini par la loi, il est donc essentiel de demander une documentation et des informations sur une base au moins trimestrielle. Vous devriez également vous assurer d'avoir un accès constant aux rapports et à la documentation détaillant l'audit le plus récent.

Une autre façon de déterminer si l'entreprise est conforme est d'évaluer les qualifications de ses employés. Tout le personnel doit être éduqué sur les normes les plus récentes et se familiariser avec les garanties spécifiques. Ce n'est qu'avec ces éléments en place que les organisations peuvent atteindre la conformité.

Posez des questions difficiles à votre fournisseur potentiel. Toute personne ayant accès aux PHI a besoin d'une formation appropriée sur les méthodes de transmission sécurisée des données. La formation doit inclure la capacité de chiffrer de manière sécurisée les informations des patients peu importe où elles sont stockées.

Une entreprise conforme HIPAA ne vous demandera pas de porte dérobée pour accéder à vos données ou la permission de contourner vos protocoles de gestion d'accès. De tels fournisseurs reconnaissent le risque d'exiger une authentification supplémentaire ou des points d'accès. Compromettre l'accès aux protocoles d'authentification et aux exigences de mot de passe est une violation grave et ne devrait jamais se produire.

Sauvegarde et stockage cloud — Questions fréquemment posées

Demandez aux fournisseurs cloud potentiels quelle méthode ils utilisent pour évaluer votre conformité HIPAA.

Un modèle de politique HIPAA est-il disponible pour utilisation ? Le fournisseur offre-t-il des conseils et des commentaires sur la conformité ? Comment s'assurent-ils que vous êtes à jour et conscient des règles et réglementations de sécurité ? Offrent-ils un email conforme HIPAA ?

L'entreprise a-t-elle des employés à temps plein sur site ?

Avoir une présence sur site et disponible 24/7 est un mécanisme pour assurer une sécurité avancée. Un représentant disponible rend la sécurité PHI plus fiable et garantit une réponse rapide si nécessaire. Cela vous donne aussi la tranquillité d'esprit de savoir que l'entreprise responsable de votre protection des données est parfaitement versée dans les normes requises.

Le bon fournisseur devrait également être rapide pour s'adapter aux changements et vous informer de tout ce qui affecte directement vos PHI ou votre accès à ceux-ci.

La suppression des données est un composant crucial dans le choix de l'associé commercial HIPAA approprié. Combien de temps l'information est-elle conservée pendant une période avant d'être purgée ? Comment la fuite de données est-elle prévenue lorsque les serveurs sont mis hors service ou effacés ? Les données vous sont-elles fournies avant la suppression ? La loi n'offre pas de directives concernant la durée requise, mais c'est un accord que vous et votre fournisseur devez conclure ensemble.

En plus de vos connaissances, déterminez à quel point votre fournisseur potentiel est versé dans les réglementations HIPAA. Les entreprises cloud échouent souvent à suivre les derniers changements de réglementation, et vous devez chercher celle qui a un dévouement constant.

Faites le tour du marché. Ne vous contentez pas du premier devis.

De nombreuses entreprises vantent leur sécurité HIPAA, pour découvrir qu'elles ne répondent pas aux critères de mesure. Faites vos recherches, posez des questions et déterminez quel fournisseur correspond le mieux à vos besoins.

Le stockage cloud conforme HIPAA est critique

Quand il s'agit de protéger les dossiers médicaux dans le cloud, phoenixNAP soutiendra vos efforts avec la plus haute qualité de service, sécurité et fiabilité.

Nous fournissons une sélection de centres de données qui offrent une protection de pointe pour vos fichiers médicaux. Avec des solutions cloud évolutives, une garantie de disponibilité à 100 % et une reprise d'activité inégalée, vous pouvez être assuré que votre infrastructure est conforme.

Les certifications HIPAA peuvent être confuses, compliquées et stressantes.

Vous devez pouvoir faire confiance à votre fournisseur cloud pour garder vos fichiers en sécurité. PhoenixNAP Global IT Services vous permettra la liberté de concentrer votre attention sur d'autres domaines de votre entreprise et d'assurer la protection de vos entités et associés commerciaux.