HIPAA, PCI-DSS et réglementations sectorielles

Les lois générales sur la vie privée, comme GDPR, établissent une base commune pour tous les secteurs, mais certaines industries traitent des données si sensibles que les Government imposent des exigences supplémentaires propres à chaque secteur. Les données du secteur de la santé interviennent dans des décisions pouvant concerner la vie ou la mort. Les données financières facilitent la fraude et l'usurpation d'identité. Les données de cartes de paiement alimentent la cybercriminalité mondiale. Les réglementations sectorielles imposent des normes minimales qui font l'objet d'audits indépendants, avec des sanctions conçues pour garantir que la conformité ne soit pas simplement considérée comme un coût d'exploitation.

La loi américaine Health Insurance Portability and Accountability Act (HIPAA) est une loi fédérale des US qui régit la protection des Protected Health Information (PHI). Les PHI comprennent toute information qui identifie un patient et concerne son état de santé, son traitement ou son paiement. HIPAA s'applique aux entités couvertes (prestataires de soins, régimes d'assurance maladie et centres de traitement des demandes de remboursement) et à leurs associés commerciaux (fournisseurs ayant accès aux PHI, tels que les fournisseurs cloud, les sociétés de facturation et les systèmes EHR). Les associés commerciaux doivent signer un accord d'associé commercial (BAA).

La Règle de Security HIPAA traite spécifiquement les PHI électroniques (ePHI) et impose aux entités concernées de mettre en œuvre des mesures de protection Administrative, Physical et Technical. Les mesures de protection Administrative comprennent la désignation d’un responsable de la Security, la formation du personnel et des plans d’urgence. Les mesures de protection Physical couvrent les contrôles d’accès aux installations et la mise au rebut des appareils. Les mesures de protection Technical imposent des contrôles d’accès, des contrôles d’audit, le chiffrement des transmissions et la vérification de l’intégrité. Contrairement à PCI-DSS, HIPAA emploie le terme « pouvant être pris en compte » pour certaines Requirements : les organisations doivent les mettre en œuvre ou documenter pourquoi une solution de remplacement est équivalente.

La règle de notification des violations HIPAA impose aux entités concernées d’informer les personnes touchées dans les 60 jours suivant la découverte d’une violation de PHI non sécurisées. Le secrétaire du HHS doit également être informé ; si la violation concerne au moins 500 personnes dans un État, la notification doit avoir lieu dans les 60 jours et comporter un avis largement diffusé dans les médias. Les violations concernant moins de 500 personnes sont signalées chaque année. Les PHI non sécurisées sont des Data qui n’ont pas été chiffrées ou détruites conformément aux directives du HHS ; une violation de PHI chiffrées ne déclenche pas les Requirements de notification.

Les sanctions HIPAA sont graduées selon le degré de responsabilité. Niveau 1 : 100 à 50 000 $ par violation, jusqu’à 25 000 $ par catégorie et par an (aucune connaissance des faits). Niveau 2 : 1 000 à 50 000 $ par violation (cause raisonnable). Niveau 3 : 10 000 à 50 000 $ (négligence volontaire corrigée). Niveau 4 : 50 000 $ par violation (négligence volontaire non corrigée). Les sanctions pénales prévues par HIPAA peuvent atteindre 250 000 $ et 10 ans d’emprisonnement en cas de violations intentionnelles. La violation d’Anthem en 2018 a donné lieu à un accord transactionnel de 115 millions de dollars, et la violation de Kronos en 2021 a entraîné plusieurs enquêtes de l’OCR.

PCI-DSS (norme de Security des Data du secteur des cartes de Payment) n’est pas une loi : c’est une norme contractuelle créée par les principaux réseaux de cartes (Visa, Mastercard, Amex, Discover, JCB) par l’intermédiaire du Conseil des normes de Security PCI. Toute organisation qui stocke, traite ou transmet des Data de titulaires de cartes doit s’y conformer. La version actuelle est PCI-DSS v4.0 (publiée en 2022). Le non-respect peut entraîner des amendes imposées par les réseaux de cartes (5 000 à 100 000 $ par mois), une hausse des frais de transaction et, à terme, la perte de la capacité à accepter les Payments par carte, ce qui est vital pour la plupart des commerçants.

PCI-DSS est organisé en 12 Requirements réparties entre six objectifs. Construire et maintenir un réseau sécurisé : pare-feu, aucun mot de passe par défaut. Protect les Data des titulaires de cartes : chiffrer les transmissions, restreindre le stockage. Maintenir un programme de gestion des vulnérabilités : antivirus, développement sécurisé. Mettre en œuvre un contrôle d’accès strict : privilèges minimaux, IDs uniques, accès Physical. Surveiller et tester les réseaux : logs, détection des intrusions, tests d’intrusion. Maintenir une politique de Security de l’information : politiques écrites, sensibilisation à la Security. La maîtrise de ces six domaines couvre les 12 Requirements.

Les Requirements de conformité PCI-DSS varient selon le volume des transactions. Niveau 1 : plus de 6 millions de transactions par carte par an : évaluation annuelle sur site par un évaluateur qualifié de la Security (QSA) et analyses trimestrielles du réseau par un fournisseur d’analyses approuvé (ASV). Niveau 2 : 1 à 6 millions de transactions : questionnaire annuel d’auto-évaluation (SAQ). Niveau 3 : 20 000 à 1 million de transactions de commerce électronique : SAQ annuel. Niveau 4 : moins de 20 000 transactions de commerce électronique : SAQ annuel, analyse trimestrielle recommandée. Les commerçants plus importants doivent se soumettre à des Requirements d’évaluation plus rigoureuses.

Au-delà de HIPAA et de PCI-DSS, plusieurs autres lois propres à certains secteurs figurent à l’examen Security+. GLBA (loi Gramm-Leach-Bliley) : les établissements financiers doivent Protect les informations financières des consommateurs et mettre en œuvre un programme écrit de Security de l’information. FERPA : les établissements d’enseignement doivent Protect les dossiers scolaires des Student. COPPA : les sites Web doivent obtenir l’autorisation parentale avant de collecter des Data concernant des Children de moins de 13 ans. SOX (Sarbanes-Oxley) : les sociétés cotées doivent tenir des records financiers exacts avec des contrôles internes ; les systèmes IT qui prennent en charge les rapports financiers relèvent du périmètre de SOX.

La conformité est démontrée au moyen de la documentation (politiques, procédures, évaluations des Risk), de preuves Technical (rapports d’analyse, résultats de tests d’intrusion, logs d’accès) et d’entretiens (les auditeurs vérifient que le personnel comprend et suit les procédures documentées). Les évaluations QSA (PCI) et les audits HIPAA (OCR) exigent toutes deux une collecte organisée des preuves. De nombreuses organisations utilisent des plateformes de GRC (gouvernance, Risk et conformité) pour centraliser les preuves relatives aux contrôles, mettre en correspondance les controls avec plusieurs référentiels et générer à la demande des rapports prêts pour l’audit.

Les organisations relèvent souvent simultanément de plusieurs référentiels réglementaires. Le système de Payment d’un hôpital peut être soumis en même temps aux Requirements de HIPAA, de PCI-DSS et de GLBA. Les programmes de conformité efficaces recherchent les chevauchements entre controls, par exemple des contrôles de chiffrement qui satisfont simultanément aux mesures de protection Technical de HIPAA, à la Requirement 4 de PCI-DSS et à l’annexe A d’ISO 27001. La mise en correspondance des controls entre les référentiels réduit les efforts redondants et permet aux organisations de démontrer efficacement leur conformité lors de plusieurs audits en utilisant les mêmes éléments probants.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : HIPAA Protect les PHI au moyen de mesures de protection Administrative, Physical et Technical, avec une notification des violations sous 60 jours ; PCI-DSS est une norme contractuelle comportant 12 Requirements et des niveaux de conformité fondés sur le volume des transactions ; et les autres réglementations propres à certains secteurs (GLBA, FERPA, COPPA, SOX) traitent chacune des types de Data précis avec des obligations propres à leur secteur. Nous allons ensuite étudier les principes de la protection de la vie privée dès la conception et les politiques de conservation des Data.