Découvrez comment Jotform vous accompagne dans le respect de la loi HIPAA tout en créant un environnement plus sûr, plus fiable et plus performant, afin de réduire vos risques et de démontrer facilement votre conformité. Nous prenons en charge pour vous les aspects les plus complexes et mettons à votre disposition notre expertise éprouvée en matière d’audits, tandis que notre API, notre plateforme et nos services d’intégration de données simplifient et accélèrent votre mise en conformité HIPAA.
Dans une démarche de transparence totale, nous partageons sur cette page des informations détaillées. Pour commencer, vous trouverez ci-dessous une vue d’ensemble de notre architecture principale, de nos principes fondamentaux et de la manière dont ils renforcent et optimisent notre niveau de sécurité.
- Chiffrement : toutes les données sont chiffrées en transit, de bout en bout et au repos. Les données de journalisation sont également chiffrées afin de limiter les risques liés aux données de santé électroniques stockées dans les fichiers journaux.
- Accès minimal nécessaire : les contrôles d’accès sont toujours configurés par défaut pour n’autoriser aucun accès, sauf modification manuelle.
- Suivi des accès au système : toutes les demandes d’accès et les modifications d’accès, ainsi que les approbations, sont suivies et conservées.
- Segmentation des données de santé protégées (PHI) : toutes les données client sont segmentées. De plus, chaque client de la plateforme dispose d’un réseau superposé dédié (sous-réseau) pour une segmentation réseau plus poussée.
- Surveillance : toutes les requêtes réseau, qu’elles aboutissent ou non, sont enregistrées, ainsi que tous les journaux système. Les requêtes API PHI (GET, POST, PUT, DELETE) enregistrent l’auteur de la requête, la localisation et les données modifiées/consultées. De plus, des alertes sont envoyées de manière proactive en cas d’activité suspecte. OSSEC est utilisé pour la détection d’intrusion et la surveillance de l’intégrité des fichiers.
- Audit : toutes les données de journalisation sont chiffrées et unifiées, et permettent un accès sécurisé à l’intégralité des enregistrements historiques d’activité du réseau.
- Risque minimal pour l’architecture : seul un accès sécurisé et chiffré est autorisé aux serveurs. Tout accès API doit transiter par les pare-feu AWS de Jotform. Pour accéder pleinement aux systèmes Jotform, les utilisateurs doivent se connecter via une authentification à deux facteurs par VPN, s’authentifier auprès du système concerné en tant qu’utilisateur standard et obtenir temporairement des privilèges d’accès supplémentaires si nécessaire.
- Analyse des vulnérabilités : tous les réseaux clients et internes sont régulièrement analysés afin de détecter les vulnérabilités.
- Détection d’intrusion : tous les systèmes de production sont équipés d’un logiciel de détection d’intrusion qui permet de détecter proactivement les anomalies.
- Sauvegarde : toutes les données clients sont sauvegardées toutes les 24 heures, avec une conservation continue des sauvegardes sur une période de sept (7) jours.
- Reprise après sinistre : Jotform dispose d’un plan de reprise après sinistre audité et régulièrement testé. Ce plan s’applique également à nos clients, qui en bénéficient.
- Documentation : toute la documentation (politiques et procédures qui constituent notre programme de sécurité et de conformité) est revue au moins une fois par an.
- Gestion des risques : nous effectuons des évaluations des risques de manière proactive afin de garantir que les modifications apportées à notre infrastructure n’exposent pas de nouveaux risques aux informations de santé électroniques protégées (ePHI). Des mesures d’atténuation des risques sont mises en œuvre avant la mise en production des modifications.
- Formation du personnel : bien que n’ayant pas accès aux informations de santé électroniques protégées de nos clients, tous les membres du personnel de Jotform suivent régulièrement une formation sur la loi HIPAA et la sécurité.
Envoyer un commentaire: