Journaux d’audit HIPAA : Quelles sont les exigences pour la conformité ?

Les exigences du journal d’audit HIPAA ne sont pas difficiles à suivre, et elles peuvent renforcer la posture de sécurité globale de votre entreprise.

Qu’est-ce que les journaux d’audit HIPAA ? Les journaux d’audit HIPAA sont des enregistrements de qui a accédé au réseau, à quelle heure, quelles actions ils ont prises, et quels documents ou données ils ont consultés afin de créer un journal des activités. Les journaux d’audit sont une exigence pour la conformité HIPAA.

Quel est le but d’un journal d’audit ?

Les systèmes informatiques traitent des milliers d’événements individuels chaque jour : événements d’incident de sécurité, événements d’accès des utilisateurs, événements d’ajustement de configuration, etc. Comprendre ces événements, enregistrés sous forme de journaux d’audit, est essentiel pour les administrateurs et les experts en sécurité car ils montrent quand et comment les choses se passent et si elles ont mal tourné. Ils sont un élément essentiel de la gestion des risques de sécurité.

Pour conserver les enregistrements de ces événements de manière utile, un système sécurisé conserve des journaux d’audit qui fournissent un journal des preuves qui peuvent être utilisées pour les rapports de conformité et les enquêtes en cas de violation de la HIPAA.

Quelles sont les exigences des journaux d’audit HIPAA ?

La loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA) est un élément essentiel de la législation visant à protéger la confidentialité et la sécurité des informations médicales protégées (PHI) des patients. Pour se conformer à la HIPAA, les organisations de soins de santé et leurs partenaires commerciaux doivent respecter des exigences spécifiques, notamment la mise en place de journaux d’audit. Ces journaux d’audit servent de mécanisme pour surveiller et enregistrer les activités liées à l’ePHI et aider à détecter les accès non autorisés ou les éventuelles violations de sécurité.

Les exigences en matière de journalisation des audits HIPAA stipulent que les organisations de soins de santé et leurs partenaires doivent conserver des journaux détaillés de toutes les activités liées à l’ePHI. Cela comprend le suivi des accès, des modifications, des suppressions et des mouvements de données. Les journaux d’audit doivent capturer suffisamment d’informations pour identifier l’individu ou l’entité responsable de l’action, la date et l’heure de l’activité, et les données spécifiques affectées. Les informations doivent être stockées de manière sécurisée et être à l’abri des manipulations, garantissant ainsi leur intégrité et leur disponibilité pour examen en cas d’incidents de sécurité ou d’enquêtes. De plus, les organisations de soins de santé doivent périodiquement examiner et analyser les données du journal d’audit pour identifier et traiter les risques potentiels pour la sécurité et la confidentialité de l’ePHI. En maintenant un système de journalisation des audits adéquat et en évaluant régulièrement ses données, les organisations peuvent répondre aux exigences de conformité HIPAA et améliorer leur posture globale en matière de cybersécurité, protégeant ainsi les informations sensibles des patients contre les menaces potentielles.

Utilisations des journaux d’audit

Les utilisations typiques des journaux d’audit comprennent les suivantes :

• Journaux d’audit pour la conformité : La plupart des réglementations de sécurité (y compris la HIPAA) exigent des journaux d’audit. Ces journaux servent à la fois à garantir qu’une organisation peut enquêter sur les violations de données et à fournir des preuves de conformité lors des audits.
• Journaux d’audit pour la criminalistique : Une fois qu’une violation de données se produit, une organisation doit travailler rapidement pour atténuer le problème et le comprendre afin de remédier aux problèmes de sécurité. Ce processus est impossible dans les grandes infrastructures informatiques sans journaux d’audit fiables.
• Journaux d’audit pour la récupération après sinistre : Si un problème non lié à la sécurité survient, entraînant une perte de données ou une interopérabilité du système, les entreprises doivent agir rapidement pour remettre les choses en marche. Les efforts de récupération automatisés et manuels s’appuieront sur les journaux d’audit pour s’assurer qu’ils ont compris et résolu le problème et l’éviter à l’avenir.

Caractéristiques des journaux d’audit

Un bon système de journaux d’audit pour l’infrastructure d’entreprise moderne comprend généralement au moins certaines, sinon toutes, des caractéristiques suivantes :

• Automatisation : Les journaux doivent être enregistrés automatiquement dans un système lors de l’occurrence d’un événement. Cela peut inclure les tentatives de connexion à un système, la surveillance de l’accès à des ressources spécifiques et le suivi des modifications apportées aux fichiers, dossiers et bases de données. De plus, les administrateurs devraient être en mesure de rationaliser les audits de système dans des workflows rapides avec peu ou pas de surcharge.
• Immuabilité : Un journal d’audit ne vaut pas grand-chose s’il n’est pas fiable, et les piratages ou la corruption des données liés aux journaux d’audit peuvent rendre une chaîne de preuves inutile. Un système de journal d’audit naturel doit inclure une manière de garantir qu’un enregistrement est précis, intact et digne de confiance.
• Information robuste : Les journaux d’audit peuvent suivre presque n’importe quelle information que vous voulez, mais certaines informations sont plus précieuses que d’autres. Un système de journal d’audit complet devrait stocker des informations clés sur tout événement, y compris les dates et les horodatages, les descriptions des événements, les systèmes affectés et toutes les erreurs ou avertissements.

Il est important de noter que les journaux d’audit de cybersécurité et d’informatique ne sont pas nécessairement les mêmes que les journaux d’audit financiers, bien qu’ils se chevauchent souvent.

Lois HIPAA et journaux d’audit

Les réglementations HIPAA définissent des exigences spécifiques de sécurité HIPAA pour toutes les informations médicales protégées (PHI) électroniques et les systèmes qui les contiennent, ainsi que pour la tenue de journaux d’activité du système.

Les règles de confidentialité et de sécurité stipulent que tous les fournisseurs de soins de santé et les compagnies d’assurance (entités couvertes) et leurs partenaires commerciaux (associés d’affaires) doivent maintenir des contrôles physiques, techniques et administratifs sur la confidentialité, l’intégrité et la disponibilité des informations des patients. Cela inclut la tenue de journaux d’audit critiques sur l’accès et le traitement de ces données.

Selon les réglementations HIPAA, un système conforme comprendra les types de journaux d’audit suivants :

• Journaux d’audit d’application : Les journaux d’audit doivent surveiller l’activité des utilisateurs pour les personnes utilisant toutes les applications, y compris les applications de poste de travail et les applications cloud. Ces journaux surveilleront comment les fichiers sont ouverts et fermés, créés, modifiés et supprimés.
• Journaux d’audit au niveau du système : Les journaux d’audit du système enregistreront les événements à l’échelle du système, y compris les arrêts ou redémarrages du système, l’authentification et l’autorisation des utilisateurs, et l’accès aux ressources par des utilisateurs spécifiques.
• Journaux d’audit des utilisateurs : Ces journaux d’audit peuvent sembler similaires aux journaux de niveau système, mais ils se concentrent plus spécifiquement sur l’activité des utilisateurs, y compris l’accès aux informations médicales protégées et toutes les commandes système exécutées par cet utilisateur.

Exigences du journal d’audit HIPAA

Selon ces exigences, un CE ou un BA doit suivre les événements suivants à travers les journaux d’audit :

• Tentatives de connexion d’un utilisateur, réussies ou non
• Modifications des bases de données stockant des informations médicales protégées
• Ajout, suppression ou modification des permissions et des rôles des utilisateurs dans le système
• Accès aux fichiers, bases de données ou répertoires par les utilisateurs
• Journaux du pare-feu traçant les tentatives de connexion entrantes et sortantes du périmètre de sécurité du système
• Journaux du logiciel anti-malveillant
• Accès aux dossiers papier

De plus, en raison de la généralité et de la priorité des réglementations HIPAA, l’Institut National des Normes et de la Technologie (NIST) a publié la Publication Spéciale 800-66, un document qui décrit comment les organisations peuvent répondre aux exigences de sécurité de la HIPAA. Cette publication comprend des directives sur la manière dont les organisations peuvent envisager la mise en place de journaux d’audit, y compris des questions qui guident les organisations dans la mise en œuvre de journaux d’audit.

Ces questions comprennent ce qui suit :

• Où se trouve l’ePHI dans les systèmes informatiques, et où est-elle vulnérable ?
• Quelles activités, applications ou processus rendent l’ePHI vulnérable, y compris les endroits où elle est accessible par des parties prenantes internes ou externes ?
• Quelles activités à l’intérieur et à l’extérieur d’un système informatique devraient être surveillées pour une interaction spécifique ou potentielle avec l’ePHI ?
• Comment les journaux seront-ils examinés ? Par qui, selon quel calendrier et par quels mécanismes ?
• Comment fonctionnera le reporting, qui s’occupera des rapports et comment seront-ils traités ?
• Comment fonctionneront les activités suspectes, les violations confirmées et les enquêtes de sécurité, et comment utiliseront-elles les journaux existants ?
• Comment les administrateurs système peuvent-ils protéger l’intégrité de ces journaux dans le respect des normes HIPAA ?

Un résumé complet des suggestions de journal d’audit HIPAA peut être trouvé dans le NIST SP 800-66.

Il devient évident après avoir examiné de telles questions que les journaux d’audit couvrent plusieurs pratiques, médias et processus. Par exemple, un employé qui emprunte une tablette pourrait remplir une feuille de sortie en papier et se connecter à l’appareil, les deux fournissant un enregistrement de l’acquisition (l’un étant un enregistrement papier relativement précis avec une date et une heure et l’autre un événement utilisateur numérique).

Éléments communs dans les journaux d’audit HIPAA

Pour comprendre et mettre en œuvre efficacement les journaux d’audit HIPAA, il est crucial de se familiariser avec les éléments communs qui composent ces journaux. Le tableau présenté ci-dessous décrit les composants clés généralement trouvés dans les journaux d’audit HIPAA. Avec une meilleure compréhension de ces éléments, les organisations de soins de santé et leurs associés commerciaux peuvent obtenir des informations précieuses sur les actions des utilisateurs, l’accès aux ressources et la sécurité globale des informations médicales protégées. Ce tableau sert de guide de référence, mettant en lumière les détails essentiels qui devraient être inclus dans les journaux d’audit pour assurer la conformité avec les réglementations HIPAA.

En appliquant ces éléments dans leurs pratiques de journalisation d’audit, les organisations peuvent renforcer leurs efforts de conformité HIPAA et améliorer la sécurité des informations sensibles des patients.

Exigences de journalisation d’audit HIPAA pour les fournisseurs de services Cloud

Il existe des exigences spécifiques en vertu de la HIPAA qui s’appliquent aux fournisseurs de services Cloud et à l’utilisation des journaux d’audit, qui, encore une fois, sont un composant essentiel de la conformité HIPAA.

Lors de l’utilisation d’une solution Cloud pour stocker ou partager des informations médicales protégées, les entités couvertes et leurs associés commerciaux doivent s’assurer que le fournisseur de services Cloud a mis en œuvre des mesures appropriées conformément à la HIPAA. Voici quelques considérations clés pour les fournisseurs de services Cloud concernant les journaux d’audit :

1. Contrôles d’accès : Le fournisseur de services Cloud doit maintenir des journaux d’audit pour suivre et surveiller l’accès aux informations médicales protégées électroniques (ePHI). Cela comprend l’enregistrement des activités des utilisateurs telles que les connexions, les déconnexions et toutes modifications apportées aux ePHI.
2. Horodatage : Les journaux d’audit doivent inclure des horodatages précis indiquant quand les événements se sont produits. Ces horodatages aident à établir une piste d’audit et permettent la reconstitution des événements si nécessaire.
3. Identification de l’utilisateur : Les journaux d’audit doivent capturer des informations d’identification d’utilisateur uniques, permettant l’association d’actions spécifiques à des utilisateurs individuels. Cela aide à suivre tout accès ou activité non autorisés.
4. Intégrité : Les journaux d’audit doivent être protégés contre toute altération ou suppression non autorisée. Ils doivent être inviolables, garantissant que toute modification ou tentative de falsification des journaux est détectable.
5. Rétention et disponibilité : La HIPAA exige la conservation des journaux d’audit pendant une période spécifiée (au moins six ans). Les fournisseurs de services Cloud doivent s’assurer que les journaux d’audit sont stockés en toute sécurité et disponibles pour examen lorsque nécessaire.
6. Examen et analyse : Les entités couvertes et les associés commerciaux devraient régulièrement examiner et analyser les journaux d’audit pour identifier tout incident de sécurité potentiel ou violation. Cela aide à détecter et à répondre rapidement à tout accès ou activité non autorisés.

Il est important de noter que les détails spécifiques de mise en œuvre et les exigences peuvent varier en fonction du fournisseur de services Cloud et des services utilisés. Les entités couvertes et les associés commerciaux devraient établir des accords appropriés et effectuer une diligence raisonnable pour s’assurer que leur fournisseur de services Cloud choisi se conforme à toutes les réglementations HIPAA concernant les journaux d’audit et la sécurité globale des données.

Exigences de rétention des journaux HIPAA

Il y a un certain débat sur le fait de savoir si les journaux d’audit relèvent ou non de la règle des six ans pour la conservation des documents en vertu de la HIPAA. D’une part, les journaux d’audit dans les systèmes informatiques gérant les informations médicales protégées semblent être un candidat évident pour la conservation des journaux d’audit. D’autre part, les journaux d’audit ne contiennent pas toujours ou ne divulguent pas d’informations médicales protégées. L’obligation de conservation obligatoire pourrait exposer involontairement des secrets commerciaux ou causer un fardeau excessif sur les organisations.

Les règles de la HIPAA et le Département de la Santé et des Services Sociaux ne spécifient pas à 100% quelles informations doivent être consignées et donc ce qui devrait être conservé pendant six ans. La réponse courte que de nombreux experts donnent est que si une analyse des risques et des justifications claires sont données pour expliquer pourquoi certains journaux sont conservés et d’autres non, le HHS peut rendre une décision favorable pour les exigences de conformité.

Il est néanmoins une bonne pratique de conserver les journaux et de les sécuriser contre tout accès non autorisé, et d’être disponibles pour examen par l’officier de confidentialité désigné de l’entité ou le personnel de sécurité. La période de rétention commence à la date de création du journal et se poursuit de préférence pendant six ans, même si l’entité couverte cesse ses activités ou est acquise par une autre entité. Le respect des exigences de rétention est crucial pour éviter d’éventuelles violations de la HIPAA, ainsi que pour maintenir la confidentialité et la sécurité des informations médicales protégées des patients.

Conséquences du non-respect des exigences de journalisation d’audit HIPAA

Le non-respect des exigences de journalisation d’audit HIPAA peut entraîner les conséquences suivantes :

1. Sanctions et amendes : Le non-respect des exigences du journal d’audit HIPAA peut entraîner des sanctions et des amendes imposées par le Bureau des droits civils (OCR), qui applique les réglementations HIPAA. Les amendes peuvent varier de 100 $ à 50 000 $ par violation, en fonction de la gravité et de la volonté de non-conformité. Dans certains cas, les organisations peuvent être confrontées à de multiples violations, entraînant des pénalités financières substantielles.
2. Responsabilité juridique : Le non-respect peut exposer les organisations à une responsabilité juridique, y compris d’éventuelles poursuites de la part des individus ou des entités affectés. Si les données des patients sont compromises ou mal utilisées en raison d’un contrôle insuffisant du journal d’audit, les organisations peuvent être tenues responsables de tout préjudice ou violation de la vie privée en résultant. Les actions en justice peuvent entraîner des dommages financiers importants et une atteinte à la réputation.
3. Perte de confiance et de réputation : Le non-respect des exigences du journal d’audit HIPAA peut nuire à la réputation d’une organisation et éroder la confiance parmi les patients, les partenaires et les parties prenantes. Les violations de la vie privée et de la sécurité des patients peuvent entraîner une publicité négative, une perte de clients et une diminution de la position au sein de l’industrie de la santé.
4. Augmentation de l’examen et des audits : Le non-respect peut déclencher un examen accru de la part des organismes de réglementation, tels que l’OCR. Les organisations peuvent faire l’objet d’audits, d’enquêtes ou d’examens de conformité, qui peuvent consommer beaucoup de temps, de ressources et perturber les opérations normales. Ces audits peuvent évaluer la conformité globale d’une organisation avec les réglementations HIPAA, y compris les exigences du journal d’audit.
5. Plans d’action correctifs : En cas de non-conformité, l’OCR peut exiger que les organisations élaborent et mettent en œuvre des plans d’action correctifs pour remédier aux déficiences et prévenir de futures violations. Ces plans impliquent souvent la mise en œuvre de mesures de sécurité supplémentaires, l’amélioration des politiques et des procédures, la formation du personnel et la démonstration des efforts de conformité en cours.
6. Exclusion des programmes fédéraux : Le non-respect des exigences du journal d’audit HIPAA peut entraîner l’exclusion de la participation à des programmes de soins de santé fédéraux, tels que Medicare et Medicaid. Être exclu de ces programmes peut avoir de graves conséquences financières pour les prestataires de soins de santé et les organisations.

Il est important que les entités couvertes et les associés commerciaux comprennent et se conforment aux exigences du journal d’audit HIPAA pour protéger la vie privée et la sécurité des patients et éviter ces conséquences potentielles. Les organisations devraient établir des systèmes de journal d’audit robustes, examiner et analyser régulièrement les journaux, et maintenir une documentation pour démontrer la conformité avec les réglementations HIPAA.

Difficultés courantes dans la collecte et la gestion des journaux d’audit HIPAA

Un défi majeur posé par les journaux d’audit HIPAA est le volume considérable de données qui doit être capturé et stocké. Alors que les organisations adoptent de plus en plus de technologies qui génèrent, traitent et stockent les informations médicales protégées, y compris l’informatique en nuage et l’Internet des objets (IoT), la quantité de données générées peut rapidement devenir écrasante.

Un autre défi est de s’assurer que les journaux d’audit sont complets et précis. Toute lacune ou erreur dans les données peut compromettre l’efficacité du système de journalisation et rendre difficile l’identification des incidents de sécurité ou d’autres problèmes. De plus, il peut être difficile de s’assurer que les journaux sont accessibles et sécurisés, tout en respectant les exigences réglementaires et les lois sur la protection des données. Enfin, l’élaboration d’une stratégie efficace pour analyser et interpréter les journaux d’audit peut être une tâche complexe, nécessitant des compétences et des outils spécialisés pour extraire des informations significatives à partir des données.

Qu’est-ce qu’une liste de contrôle d’audit interne HIPAA ?

Une liste de contrôle d’audit interne HIPAA est un outil que les CEs et les BAs utilisent pour vérifier qu’ils se conforment à la loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA). Elle fournit un moyen systématique pour ces entreprises de revoir et de mettre à jour leurs politiques et procédures HIPAA. Elle comprend généralement des sections couvrant la formation des membres de l’équipe, les systèmes informatiques, le stockage des données et la sécurité physique.

Les CEs et les BAs bénéficient de l’utilisation d’une liste de contrôle d’audit interne HIPAA en détectant les erreurs et les vulnérabilités qui compromettent la sécurité et la confidentialité des informations médicales protégées. Cela les aide à éviter la non-conformité accidentelle aux réglementations HIPAA, qui pourrait entraîner des sanctions financières, des poursuites et des dommages à la réputation de l’entreprise.

Comment Kiteworks aide-t-il à la conformité du journal d’audit HIPAA ?

L’utilisation d’une plateforme centralisée pour gérer les documents et les fichiers peut soutenir la conformité HIPAA en regroupant les outils nécessaires pour maintenir cette conformité, y compris la journalisation d’audit complète.

La plateforme Kiteworks regroupe plusieurs fonctionnalités clés pour la conformité HIPAA :

• Sécurité et conformité : Kiteworks utilise le chiffrement AES-256 pour les données au repos et TLS 1.2+ pour les données en transit. Son appliance virtuelle durcie, ses contrôles granulaires, son authentification, ses autres intégrations de pile de sécurité et sa journalisation et ses rapports d’audit complets permettent aux organisations de démontrer facilement et rapidement leur conformité avec les normes de sécurité. Elle dispose de rapports de conformité prêts à l’emploi pour les réglementations et normes industrielles et gouvernementales, telles que HIPAA, la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS), SOC 2, et le Règlement général sur la protection des données (RGPD).

De plus, Kiteworks se vante de la certification et de la conformité avec diverses normes qui incluent, mais ne sont pas limitées au, Programme fédéral de gestion des risques et d’autorisation (FedRAMP), Normes de traitement de l’information fédérale (FIPS), la Loi fédérale sur la gestion de la sécurité de l’information (FISMA), la Certification du modèle de maturité en cybersécurité (CMMC), et le Programme d’évaluateurs enregistrés en sécurité de l’information (IRAP).

• Journal d’audit : Avec les journaux d’audit immuables de la plateforme Kiteworks, les organisations peuvent avoir confiance que les attaques sont détectées plus tôt et maintenir la bonne chaîne de preuves pour effectuer des analyses judiciaires. Comme le système fusionne et standardise les entrées de tous les composants, son Syslog unifié et ses alertes font gagner un temps précieux aux équipes du centre des opérations de sécurité et aident les équipes de conformité à se préparer pour les audits.
• Intégration SIEM :Kiteworks prend en charge l’intégration avec les principales solutions SIEM, y compris IBM QRadar, ArcSight, FireEye Helix, LogRhythm, et d’autres. Il dispose également du Splunk Forwarder et inclut une application Splunk.
• Visibilité et gestion : Le tableau de bord CISO de Kiteworks donne aux organisations une vue d’ensemble de leurs informations : où elles se trouvent, qui y a accès, comment elles sont utilisées, et si les envois, les partages et les transferts de données sont conformes aux réglementations et normes. Le tableau de bord CISO permet aux dirigeants d’entreprise de prendre des décisions éclairées tout en offrant une vue détaillée de la conformité.
• Environnement cloud à locataire unique : Les transferts de fichiers, le stockage de fichiers et l’accès des utilisateurs se font sur une instance Kiteworks dédiée, déployée sur site, sur les ressources Infrastructure-as-a-Service (IaaS) d’une organisation, ou hébergée en tant qu’instance privée à locataire unique par Kiteworks dans le cloud par le serveur Kiteworks Cloud. Cela signifie qu’il n’y a pas de runtime partagé, de bases de données ou de dépôts partagés, de ressources partagées, ou de potentiel pour des violations ou des attaques inter-cloud.

Pour en savoir plus sur comment Kiteworks permet des journaux d’audit HTML personnalisés, planifiez une démonstration personnalisée de Kiteworks aujourd’hui.

Ressources supplémentaires

• Article de blog Tout ce que vous devez savoir sur la conformité HIPAA [Liste de contrôle complète]
• Article de blog Transfert sécurisé de fichiers & Solutions conformes à HIPAA
• Article de blog Meilleurs formulaires conformes à HIPAA
• Article de blog Chiffrement HIPAA : Exigences, meilleures pratiques & Logiciels
• Article de blog Envoyer un email conforme à HIPAA