Conformité WiFi HIPAA : votre guide complet sur les dernières exigences en matière de confidentialité

L'objectif de la loi HIPAA (Health Insurance Portability And Accountability Act) est de protéger les données médicales et personnelles des patients grâce à des dispositions de sécurité standardisées en matière de confidentialité des données. Quel est le rapport entre la loi HIPAA et le Wi-Fi public/réservé aux visiteurs dans les établissements de santé ? Quelles sont les dernières exigences en matière de confidentialité que vous devez connaître pour garantir la conformité Wi-Fi à la loi HIPAA et éviter les sanctions ?

Conformité HIPAA : quelles sont les trois règles HIPAA ?

La loi HIPAA, promulguée en 1996, comprend trois éléments principaux, ou trois règles HIPAA.

1. Règle de confidentialité HIPAA Elle a été mise à jour pour la dernière fois en 2002 afin de « définir des normes nationales pour la protection des informations de santé identifiables individuellement par trois types d'entités couvertes : les régimes de santé, les centres d'échange d'informations sur les soins de santé et les prestataires de soins de santé qui effectuent les transactions standard de soins de santé par voie électronique ».
2. Règle de sécurité Elle a été finalisée en 2003 afin d'établir « des normes nationales pour la protection de la confidentialité, de l'intégrité et de la disponibilité des informations de santé protégées électroniques (ePHI) ». Les types d'informations qui sont considérées comme des ePHI sont les suivants : - Nom - Adresse - Toute date (à l'exception des années) directement liée à une personne, y compris la date de naissance, la date d'admission ou de sortie, la date du décès ou l'âge exact des personnes âgées de plus de 89 ans - Numéro de téléphone - Numéro de fax - Adresse e-mail - Numéro de sécurité sociale - Numéro de dossier médical - Numéro de bénéficiaire du régime de santé - Numéro de compte - Numéro de certificat/licence - Identifiants de véhicule, numéros de série ou numéros d'immatriculation - Identifiants ou numéros de série d'appareils - URL Web - Adresse IP - Identifiants biométriques tels que les empreintes digitales ou vocales - Photos du visage entier - Tout autre numéro, caractéristique ou code d'identification unique

Il est important de noter que la règle de sécurité ne s'applique pas aux informations médicales protégées (PHI) (ou aux informations médicales identifiables individuellement d'un patient) transmises oralement ou par écrit, qui relèvent de la règle de confidentialité.

1. Règle relative à la notification des violations Cette règle exige que « les entités couvertes par la loi HIPAA et leurs partenaires commerciaux fournissent une notification à la suite d'une violation des informations médicales protégées non sécurisées ».

L'impact de la loi HIPAA sur le WiFi

Alors, où intervient exactement la conformité WiFi HIPAA ? Avec l'intégration des technologies Internet dans les systèmes de santé dans le but de numériser et de rationaliser la création, la collecte, le stockage, la gestion et la transmission des ePHI, la conformité WiFi HIPAA, en particulier, est cruciale pour la protection continue du droit des patients à la confidentialité et à la sécurité des données lorsque l'accès et l'utilisation de ces informations se font via un réseau sans fil. Que vous utilisiez un portail captif pour la connexion WiFi des invités ou que vous créiez une liste d'abonnés SMS pour envoyer des alertes et des rappels aux patients, l'utilisation du WiFi invité comme moyen de communication direct est certes pratique, mais pose également des défis en matière de sécurité des données.

La règle de sécurité HIPAA est la plus pertinente en matière de conformité WiFi HIPAA. La règle de sécurité prévoit quatre mesures de protection techniques qui s'appliquent directement à la protection des ePHI :

1. Contrôle d'accès
2. Contrôle d'audit
3. Contrôle d'intégrité
4. Sécurité de transmission

La sécurité des transmissions est le domaine dans lequel intervient la conformité WiFi HIPAA. Les directives relatives à la sécurité des transmissions stipulent qu'« une entité couverte doit mettre en œuvre des mesures de sécurité techniques qui protègent contre tout accès non autorisé aux e-PHI transmises sur un réseau électronique », tel que le WiFi.

Avec un nombre croissant d'organismes de santé qui migrent leurs données vers le cloud, l'installation d'un réseau WiFi dans les établissements de santé pour répondre aux besoins des visiteurs, des patients et du personnel nécessite une approche axée sur la sécurité afin de garantir la sécurité des transmissions, comme le stipulent les directives HIPAA. Le choix du bon fournisseur de réseau WiFi sécurisé doit être une priorité absolue.

Conformité WiFi HIPAA : quelles entités sont concernées ?

Il existe principalement deux types d'organisations qui doivent garantir la conformité WiFi HIPAA :

1. Prestataires de soins de santé Il s'agit de tous les types d'entités de soins de santé qui transmettent des informations de santé par voie électronique, par exemple lors de transactions, qui peuvent inclure des demandes de remboursement, des orientations vers des spécialistes ou des demandes d'éligibilité à des prestations ; lors de la collecte d'informations de base sur les patients ; ou lors de l'accès aux antécédents médicaux des patients, entre autres.

2. Contrats commerciaux et associés Il s'agit d'organisations qui exercent certaines activités pour le compte d'un prestataire de soins de santé et qui impliquent l'utilisation des données de santé des patients. Parmi les exemples courants, on peut citer les cabinets d'avocats, les comptables et les consultants externes.

Exigences de conformité informatique HIPAA

Les exigences de conformité informatique HIPAA, en particulier celles relatives à la conformité WiFi HIPAA, sont largement couvertes par la norme de sécurité pour la sécurité des transmissions. Cette norme relative aux mesures de protection techniques HIPAA exige qu'une entité couverte : « mette en œuvre des mesures de sécurité techniques pour se prémunir contre tout accès non autorisé aux informations de santé protégées électroniques transmises via un réseau de communications électroniques ». En vertu de la norme de sécurité, un réseau électronique ouvert doit être protégé de manière adéquate pour garantir la sécurité des transmissions d'ePHI.

La norme de sécurité de transmission comporte deux spécifications de mise en œuvre : les contrôles d'intégrité et le chiffrement.

Conformité WiFi HIPAA via des contrôles d'intégrité

Pour garantir le contrôle de l'intégrité conformément à la norme HIPAA WiFi, une entité couverte doit « mettre en œuvre des mesures de sécurité afin de s'assurer que les informations de santé protégées transmises par voie électronique ne soient pas modifiées de manière inappropriée sans être détectées jusqu'à leur élimination ».

L'utilisation de protocoles de communication réseau, qui garantissent que les données envoyées sont identiques aux données reçues, est recommandée comme méthode principale pour protéger l'intégrité des ePHI pendant leur transmission. Les codes d'authentification des données ou des messages peuvent également être envisagés comme mesures de sécurité alternatives.

Conformité HIPAA WiFi via le chiffrement

À titre de mesure de protection raisonnable et appropriée et pour se conformer à la norme HIPAA WiFi, les entités concernées doivent utiliser des méthodes de cryptage lorsqu'elles transmettent des ePHI sur un réseau ouvert, en particulier sur Internet.

Les directives relatives à la norme de sécurité des transmissions pour le chiffrement, telles que décrites dans la série HIPAA Security Series des Centers for Medicare & Medicaid Services (CMS), recommandent qu'« une entité couverte discute des mesures de sécurité raisonnables et appropriées pour le chiffrement des EPHI lors de leur transmission sur des réseaux de communications électroniques avec ses professionnels informatiques, ses fournisseurs, ses partenaires commerciaux et ses partenaires commerciaux ».

Meilleures pratiques pour la conformité HIPAA

Examinons les meilleures pratiques en matière de conformité HIPAA lors de l'utilisation d'un réseau WiFi.

Directives pour l'utilisation/l'accès à distance d'Ephi

Selon les directives de la politique WiFi HIPAA, l'accès à distance aux ePHI via des appareils portables (tels que des clés USB) ou l'accès ou le transport hors site des ePHI via des ordinateurs portables, des PDA, des ordinateurs personnels ou d'autres systèmes ou matériels externes n'appartenant pas à une entité couverte par la HIPAA ou gérés par celle-ci ne doit être autorisé que « lorsqu'il est clairement déterminé que cela est nécessaire dans le cadre des activités de l'entité » et à condition que cet accès soit conforme aux exigences applicables de la règle de confidentialité HIPAA.

Le ministère américain de la Santé et des Services sociaux (HHS) a élaboré des lignes directrices concernant l'accès à distance ou l'utilisation des EPHI. Les entités concernées doivent accorder une importance et une attention particulières à :

• Analyse des risques et stratégies de gestion des risques ;
• Politiques et procédures visant à protéger les informations personnelles identifiables (EPHI) ;
• Sensibilisation à la sécurité et formation aux politiques et procédures de protection des données personnelles sensibles (EPHI).

Directives relatives à la politique HIPAA en matière de WiFi pour les appareils mobiles

Les directives de la politique WiFi HIPAA du HSS répertorient les conseils et informations suivants afin de protéger et sécuriser les informations médicales des patients lors de l'utilisation d'appareils mobiles.

1. Utilisez un mot de passe ou un autre moyen d'authentification de l'utilisateur.
2. Installez et activez le chiffrement.
3. Installez et activez l'effacement à distance et/ou la désactivation à distance.
4. Désactivez et n'installez ni n'utilisez aucune application de partage de fichiers.
5. Installez et activez un pare-feu.
6. Installez et activez un logiciel de sécurité.
7. Maintenez votre logiciel de sécurité à jour.
8. Recherchez les applications mobiles (apps) avant de les télécharger.
9. Gardez le contrôle physique de vos appareils mobiles.
10. Utilisez une sécurité adéquate pour envoyer ou recevoir des informations médicales sur les réseaux WiFi publics.
11. Supprimez toutes les informations de santé enregistrées avant de jeter ou de réutiliser l'appareil mobile.

Routeur sans fil conforme à la norme HIPAA

Vous ne pouvez pas fournir un service WiFi de qualité sans le matériel adéquat. Pour être conforme à la norme HIPAA WiFi, il est encore plus important d'utiliser les dernières technologies WiFi, telles qu'un routeur sans fil conforme à la norme HIPAA. Des équipements obsolètes, par exemple, peuvent entraîner une baisse du niveau de sécurité des données, ce qui peut avoir de graves répercussions sur votre capacité à vous conformer à la norme HIPAA.

Par exemple, les points d'accès Beambox créent un réseau WiFi invité séparé et isolé. Cela sécurise le trafic des invités par rapport au réseau utilisé par l'entreprise ou l'organisation, mais cela va encore plus loin. Beambox propose également une fonctionnalité d'isolation des clients, qui isole le trafic entre les appareils individuels des invités. Il n'y a pas plus sûr que cela.

Logiciel WiFi conforme à la norme HIPAA

Du point de vue de la loi HIPAA, le logiciel utilisé pour contrôler l'accès à votre réseau WiFi est tout aussi important que le matériel.

Lorsque les patients utilisent le réseau Wi-Fi invité fourni dans une clinique ou une salle d'attente d'hôpital, par exemple, le niveau de sécurité approprié requis pour la conformité du logiciel Wi-Fi HIPAA peut être assuré par :

• Demander explicitement l'acceptation des communications marketing lors de l'enregistrement au réseau Wi-Fi ;
• Mise en œuvre du protocole SSL et du chiffrement du trafic pour toutes les connexions ; et
• Stockage sécurisé des données dans le cloud.

Choisir le bon système WiFi pour se conformer à la norme HIPAA

Pour garantir la conformité WiFi HIPAA, vous devez choisir le système WiFi et le fournisseur adaptés à votre établissement. L'équipe de Beambox veille à plusieurs égards à ce que nos systèmes WiFi invités restent conformes à la norme HIPAA :

• Nous documentons de manière exhaustive les services Beambox qui doivent être conformes à la norme HIPAA et pouvons fournir les détails sur demande.
• Nous pouvons vous proposer des conseils et une formation personnalisés pour vous aider à gérer votre système Beambox en toute sécurité.
• Nos employés suivent régulièrement des formations sur la conformité HIPAA afin de s'assurer qu'ils connaissent toutes les exigences ; et
• Nos processus sont audités de manière indépendante afin de vérifier leur conformité à la loi HIPAA.

Nous pouvons également fournir une copie de notre rapport de conformité HIPAA (HROC) et des références de clients Beambox.

Si vous travaillez dans le secteur de la santé aux États-Unis, vous ne pouvez pas échapper à la nécessité de disposer d'un service WiFi conforme à la norme HIPAA. Cependant, vous aurez besoin d'aide pour mettre en place un système WiFi conforme à la norme HIPAA. Contactez-nous dès aujourd'hui pour en savoir plus sur notre solution WiFi conforme à la norme HIPAA. Accélérez la croissance de votre entreprise : commencez dès aujourd'hui votre essai gratuit de Beambox!

---