Exigences de Mot de Passe HIPAA

L'industrie de la santé fait face à une pléthore de risques graves en matière de cybersécurité. En effet, 2021 a vu un nombre record de violations de données de santé majeures aux États-Unis — le portail de notification des violations du Département de la santé et des services sociaux des États-Unis répertorie au moins 713 incidents affectant 45,7 millions d'individus.

La loi sur la portabilité et la responsabilité de l'assurance maladie (HIPAA) est conçue pour aider les organisations de santé à réduire les risques pour la sécurité et la confidentialité des informations de santé personnelles électroniques (ePHI). En particulier, la règle de sécurité HIPAA comprend des exigences de mot de passe pour aider les organisations à minimiser le risque de data breaches. Cet article explique ces exigences de mot de passe et fournit les meilleures pratiques pour leur mise en œuvre.

Qui doit se conformer à HIPAA ?

HIPAA s'applique aux deux types d'organisations suivants :

• Entités couvertes — Ce groupe comprend les fournisseurs de soins de santé, les régimes de santé, les maisons de compensation de soins de santé et les employeurs ayant accès aux informations de santé à des fins d'assurance
• Associés commerciaux — Ce groupe comprend les organisations qui gèrent ou stockent des dossiers de patients physiques ou des ePHI, par exemple, les compagnies d'assurance médicale et de facturation, les cabinets d'avocats qui traitent des cas médicaux, les fabricants de dispositifs médicaux et les coursiers médicaux. Il inclut également les fournisseurs de logiciels et de services cloud qui traitent des ePHI.

Identifier si votre organisation est soumise à HIPAA est très important car les pénalités pour non-respect de la réglementation peuvent varier de 100 $ à 50 000 $ par violation ou enregistrement, jusqu'à une pénalité maximale de 1,5 million de dollars par an pour chaque violation. De plus, les violations intentionnelles des exigences réglementaires HIPAA peuvent entraîner jusqu'à 10 ans de prison.

Pourquoi HIPAA inclut-elle des exigences en matière de mots de passe?

HIPAA inclut des exigences concernant les mots de passe pour une bonne raison : Les mots de passe sont les clés de votre ePHI, et une politique de mots de passe conforme à HIPAA peut vous aider à prévenir les connexions non autorisées et l'accès aux données. En fait, les attaquants ont développé une grande variété de techniques pour voler ou craquer des mots de passe, y compris :

• Attaques par force brute— Les hackers exécutent des programmes qui essaient diverses combinaisons potentielles d'ID utilisateur/mot de passe jusqu'à ce qu'ils trouvent la bonne.
• Attaques par dictionnaire— C'est une forme d'attaque par force brute qui utilise des mots trouvés dans un dictionnaire comme mots de passe possibles.
• Attaques par pulvérisation de mots de passe — C'est un autre type d'attaque par force brute qui cible un seul compte, testant plusieurs mots de passe pour essayer d'accéder.
• Attaques par bourrage d'identifiants — Ces attaques ciblent les personnes qui utilisent les mêmes mots de passe sur différents systèmes et sites Web.
• Spidering — Les hackers rassemblent des informations sur un individu et essaient ensuite des mots de passe créés à partir de ces données.

Quels sont les exigences de mot de passe HIPAA?

Les mots de passe sont couverts par les mesures administratives de la Règle de Sécurité HIPAA. Plus précisément, §164.308(5D) indique que les organisations doivent mettre en œuvre « des procédures pour créer, modifier et protéger les mots de passe. » Une mesure technique connexe (§164.312(d)) stipule que les entités couvertes doivent avoir des processus en place pour vérifier l'identité d'une personne cherchant à accéder à des informations de santé électroniques.

Cette ambiguïté concernant les exigences en matière de mots de passe est intentionnelle : HIPAA est conçue pour être neutre sur le plan technologique et pour reconnaître que les meilleures pratiques en matière de sécurité évoluent au fil du temps pour améliorer la résilience contre les techniques d'attaque connues.

Alors, comment mon organisation peut-elle être conforme ?

Le meilleur moyen d'assurer la conformité des mots de passe HIPAA est de construire votre politique et vos procédures de mots de passe en utilisant un cadre approprié et respecté. Une excellente option est Publication Spéciale 800-63B de l'Institut National des Standards et de la Technologie (NIST). Les directives qu'il fournit sont utiles pour toute entreprise cherchant à améliorer la cybersécurité, y compris les entités couvertes par HIPAA et les associés commerciaux.

Les directives de base du NIST pour les mots de passe couvrent les éléments suivants :

• Longueur — Les mots de passe doivent comporter entre 8 et 64 caractères.
• Construction — Des phrases longues sont encouragées, mais elles ne doivent pas correspondre à des mots du dictionnaire.
• Types de caractères — Les organisations peuvent autoriser les lettres majuscules et minuscules, les chiffres, les symboles uniques et même les émoticônes, mais ne devraient PAS exiger un mélange de différents types de caractères.
• Authentification multifactorielle — L'accès à des informations personnelles telles que les ePHI doit nécessiter une authentification multifactorielle, comme un mot de passe plus une empreinte digitale ou un code PIN d'un appareil externe.
• Réinitialiser — Un mot de passe doit être requis pour être réinitialisé uniquement s'il a été compromis ou oublié.

Quelles sont les meilleures pratiques pour garder les mots de passe sécurisés ?

Voici cinq stratégies qui peuvent faire une différence mesurable dans la sécurité de vos mots de passe :

• Augmentez la longueur de vos mots de passe. Les mots de passe courts sont extrêmement faciles à craquer, mais les mots de passe très longs sont difficiles à retenir. Le point idéal, selon le NIST, se situe entre 8 et 64 caractères.
• Permettre aux utilisateurs de copier et coller leurs mots de passe à partir de services de gestion de mots de passe cryptés. De cette façon, ils peuvent choisir des mots de passe longs plus forts sans le tracas de les taper ou la crainte de les oublier. Cette meilleure pratique aide également à prévenir les lacunes de sécurité causées par des employés qui réutilisent des mots de passe ou les écrivent là où d'autres pourraient les voir.
• Ne permettez pas les indices de mot de passe. Les indices rendent souvent remarquablement facile de deviner le mot de passe de l'utilisateur — dans certains cas, les employés utiliseront en fait le mot de passe lui-même comme indice !
• Autoriser les mots de passe à contenir des espaces, d'autres caractères spéciaux et même des emojis. Cela ajoute une autre couche de complexité qui aide à contrer les attaques courantes sur les mots de passe.
• Vérifiez les mots de passe proposés en utilisant des listes de mots de passe courants et précédemment compromis. Vous pouvez externaliser cette tâche à la sécurité

Comment Netwrix peut-il aider?

Netwrix propose plusieurs solutions spécifiquement conçues pour rationaliser et renforcer la gestion des mots de passe :

• Netwrix Password Policy Enforcer facilite la création de politiques de mot de passe solides mais flexibles qui améliorent la sécurité sans nuire à la productivité des utilisateurs ni surcharger les équipes d'assistance et de TI.
• Netwrix Password Reset permet aux utilisateurs de déverrouiller en toute sécurité leurs propres comptes et de réinitialiser ou de changer leurs propres mots de passe, directement depuis leur navigateur web. Cette fonctionnalité en libre-service réduit considérablement la frustration des utilisateurs et les pertes de productivité tout en réduisant le volume des appels au service d'assistance.

Netwrix propose également des solutions plus complètes pour la conformité HIPAA. Ils vous permettent de :

• Effectuez régulièrement des évaluations des risques informatiques pour réduire votre surface d'attaque.
• Comprenez exactement où se trouvent vos données sensibles afin de pouvoir prioriser vos efforts de protection.
• Auditez l'activité de vos systèmes sur site et basés sur le cloud, et repérez et enquêtez sur les menaces à temps pour prévenir les violations de donnéeses.
• Réduisez le temps et les efforts nécessaires pour vous préparer à la conformité HIPAA et répondez facilement aux questions des auditeurs sur place.

FAQ

Quelles sont les exigences minimales de mot de passe HIPAA ?

Les HIPAA password requirements stipulent que les organisations concernées doivent mettre en œuvre des « procédures pour créer, modifier et protéger les mots de passe ». Il n’existe aucune exigence spécifique concernant la longueur, la complexité ou le chiffrement des mots de passe. Pour garantir la conformité, envisagez d’établir une politique de mots de passe robustes en utilisant un cadre de sécurité reconnu comme le NIST.

Quelles sont les meilleures recommandations pour les mots de passe HIPAA ?

Les meilleures pratiques actuelles pour les mots de passe sont détaillées dans NIST Special Publication 800-63B. Cette publication gratuite comprend des directives sur la longueur des mots de passe, leur composition, les types de caractères, les exigences de réinitialisation et l'authentification multifactorielle.

À quelle fréquence l'HIPAA exige-t-il que les mots de passe soient changés ?

Il n'y a pas d'exigences spécifiques de changement de mot de passe HIPAA. Les directives du NIST recommandent d'exiger le changement de mots de passe uniquement s'ils sont compromis. Aujourd'hui, les experts reconnaissent que l'exigence de changements fréquents de mots de passe augmente souvent en réalité les problèmes de sécurité car les utilisateurs ont recours à des stratégies telles que noter leurs mots de passe ou simplement ajouter un chiffre à la fin du mot de passe, laissant leur compte vulnérable aux cyberattaques.

HIPAA exige-t-elle l'authentification multifacteur (MFA) ?

HIPAA ne fournit pas ce niveau de détail. Cependant, les cadres de meilleures pratiques tels que NIST recommandent l'authentification multifactorielle pour protéger les données sensibles et réglementées dans les e-mails, les bases de données et d'autres systèmes. La mise en œuvre de l'MFA comme décrit par NIST peut considérablement réduire le risque d'amendes pour une organisation en cas de non-conformité avec HIPAA.

Y a-t-il des exigences de verrouillage de compte dans HIPAA ?

HIPAA ne fournit pas ce niveau de détail. Cependant, une politique de mot de passe conforme à HIPAA impliquerait un verrouillage après un certain nombre de tentatives de connexion échouées pour contrer les attaques par devinettes de mots de passe. Permettre aux utilisateurs de déverrouiller leurs propres comptes en utilisant une solution sécurisée de self-service password management solution peut vous permettre de définir un seuil bas pour les tentatives de connexion échouées afin de renforcer la sécurité sans augmenter le volume d'appels au service d'assistance.