Guide d’achat · HIPAA
Meilleur logiciel de conformité HIPAA pour les FSG
Le meilleur logiciel de conformité HIPAA pour les FSG établit une correspondance directe avec la règle de sécurité, recueille des preuves continues des postes de travail et de l’infonuagique, et est multilocataire dès la conception. Lavawall® est conçu pour répondre à ces critères. Les FSG qui servent des clients du secteur de la santé aux États-Unis doivent gérer les contrôles des règles de sécurité et de confidentialité de HIPAA pour de nombreux locataires, sans payer les prix d’une GRC d’entreprise ni une instance de produit distincte par organisation.
Lancer votre assistant de conformité Voir les critères de sélection
Règle de sécurité · règle de confidentialité · notification des atteintes · multilocataire
HIPAA (Health Insurance Portability and Accountability Act) encadre la confidentialité et la sécurité des renseignements médicaux protégés (PHI) aux États-Unis. Les mesures de protection administratives, physiques et techniques de la règle de sécurité comportent des attentes précises en matière de contrôles, et la règle de confidentialité et la règle de notification des atteintes ajoutent d’autres couches.
Pour les FSG qui servent des cabinets de santé américains (cabinets dentaires, médecine familiale, cliniques spécialisées, santé comportementale, chaînes de pharmacies, réseaux de soins primaires), la collecte de preuves HIPAA doit s’étendre à de nombreux locataires clients sans prix d’entreprise. Le FSG signe aussi généralement une entente d’associé commercial (BAA), ce qui fait de sa propre posture une partie du portrait de conformité.
Voir ce que fait Lavawall®
Conçu et utilisé à l’interne par ThreeShield, un cabinet d’audit de Calgary. Conçu pour les FSG et les équipes TI allégées. Application des correctifs multiplateforme, détection des intrusions M365 / Entra / Azure / Google Workspace, plus de 75 cadres de conformité, élévation des privilèges d’administrateur et prévention de l’exécution (sans pilote en mode noyau), centre d’assistance intelligent, soutien à distance multilocataire. Une seule plateforme, facturation native en dollars canadiens.
Quoi chercher dans un logiciel de conformité HIPAA
Sept critères comptent quand un FSG évalue des outils HIPAA pour des clients du secteur de la santé.
- Correspondance directe avec les contrôles de la règle de sécurité HIPAA. Correspondance directe avec 45 CFR §164.308, §164.310, §164.312, §164.314 et §164.316, qui couvrent les mesures de protection administratives, physiques, techniques, organisationnelles ainsi que les politiques et procédures.
- Multilocataire pour les FSG. Une console pour tous les locataires clients, avec isolement, facturation et rapports en comarquage par client.
- Preuves continues des postes de travail et de l’infonuagique. Les PHI se trouvent sur des postes Windows, macOS et Linux et dans des locataires M365 et Google Workspace. Les preuves doivent provenir de ces sources en continu, et non d’un questionnaire trimestriel.
- Prise en compte de l’entente d’associé commercial. La plateforme devrait se déployer d’une manière compatible avec les obligations du FSG en vertu du BAA et fournir la journalisation des accès qu’attend le BAA.
- Preuves d’analyse et de gestion des risques. La règle de sécurité exige un processus documenté d’analyse des risques et de gestion des risques. La plateforme devrait produire les deux.
- Prise en charge de la règle de notification des atteintes. Des preuves à l’appui des délais de notification d’atteinte de 60 jours, y compris l’identification des personnes touchées et la base de journaux qui la soutient.
- Crédibilité d’un cabinet d’audit. Des plateformes conçues ou utilisées par des cabinets d’audit ayant une véritable expérience de la conformité dans le secteur de la santé.
Options à évaluer
Quatre catégories d’outils figurent dans les processus d’achat HIPAA des FSG.
Lavawall®
RMM multilocataire avec le cadre HIPAA en première classe.
Lavawall® est une plateforme RMM et de soutien à distance multilocataire pour les FSG et les équipes de TI, avec application des correctifs, surveillance de la sécurité, détection des intrusions Microsoft 365 et Google Workspace et conformité intégrés au même agent et à la même console. Correspondance directe avec la règle de sécurité HIPAA. Preuves continues des postes de travail Windows, macOS et Linux et des locataires M365 / Google Workspace. Multilocataire dès la conception, avec isolement et rapports en comarquage par client. Modèles de flux de travail d’analyse et de gestion des risques. Journalisation d’audit structurée selon les délais de la règle de notification des atteintes. Conçu et utilisé par ThreeShield, un cabinet d’audit qui a de l’expérience en conformité dans le secteur de la santé, notamment HIPAA, la BC E-Health Act et la HIA de l’Alberta.
Idéal pour : les FSG qui servent des cabinets de santé américains et veulent une seule plateforme pour les preuves HIPAA et le reste de la pile de sécurité.
Compliancy Group / HIPAA Secure Now / Accountable HQ
Outils HIPAA axés sur le secteur de la santé.
Populaires dans le domaine dentaire et des soins primaires. Solides sur la documentation et le flux de travail des questionnaires. Consultez la documentation de chaque fournisseur pour la collecte continue de preuves des postes de travail et de l’infonuagique.
Idéal pour : les cabinets de santé disposant de peu de ressources en TI et qui ont besoin d’une documentation HIPAA guidée.
Vanta / Drata / Secureframe
GRC SaaS avec un module HIPAA.
Intégration solide pour une seule entreprise SaaS. Consultez la documentation de chaque fournisseur pour la prestation multilocataire aux FSG.
Idéal pour : une seule entreprise SaaS qui traite des PHI en vertu d’un BAA avec ses clients.
SharePoint + Excel + mandat d’un cabinet d’audit
Approche axée sur la documentation.
De nombreux petits cabinets de santé en sont encore à ce modèle. Il convient aux plus petits cabinets, mais ne s’étend pas à la prestation de services de FSG pour de nombreux locataires.
Idéal pour : un seul très petit cabinet de santé qui a sa propre relation avec un cabinet d’audit.
Où se situe Lavawall®
Lavawall® traite la règle de sécurité HIPAA comme un cadre de première classe, avec une correspondance directe avec les mesures de protection de 45 CFR §164.308 (administratives), §164.310 (physiques), §164.312 (techniques), §164.314 (organisationnelles) et §164.316 (politiques et procédures).
Les preuves continues des postes de travail et de l’infonuagique couvrent la posture de chiffrement, la journalisation d’audit, le contrôle d’accès, les politiques de mots de passe, l’application de l’AMF, la déconnexion automatique, les contrôles d’intégrité, la sécurité des transmissions, la sécurité des postes de travail et la gestion des supports amovibles. Tout est recueilli à partir des vrais postes Windows, macOS et Linux et des locataires M365 et Google Workspace.
La conception multilocataire signifie qu’un FSG qui sert 30 cabinets dentaires et 5 cliniques de soins primaires les gère tous depuis une seule console, avec isolement par client. Les rapports peuvent être en comarquage pour le propriétaire du cabinet. ThreeShield, le cabinet d’audit qui a conçu Lavawall®, a une expérience directe de la conformité dans le secteur de la santé.
Questions fréquentes
- Lavawall® remplace-t-il mon BAA?
- Non. L’entente d’associé commercial (BAA) est un contrat entre l’entité couverte et l’associé commercial. Lavawall® fournit les preuves techniques et administratives à l’appui des contrôles que couvre le BAA.
- Lavawall® couvre-t-il la règle de confidentialité et la règle de notification des atteintes?
- Oui, par la collecte de preuves, et la règle de sécurité est couverte par une correspondance directe. Les contrôles de la règle de confidentialité et de la règle de notification des atteintes recoupent les mesures de protection administratives et sont pris en charge par les journaux d’audit, les journaux d’accès et le suivi des divulgations.
- Le FSG lui-même peut-il être conforme à HIPAA?
- Oui. Un FSG est généralement un associé commercial au sens de HIPAA lorsqu’il traite des renseignements médicaux protégés (PHI) dans le cadre de son service. Lavawall® produit les preuves dont le FSG a besoin pour sa propre posture exigée par le BAA et pour les contrôles de l’entité couverte de son client.