Centers for Medicare and Medicaid Services (CMS)

Le CMS est une division opérationnelle du ministère américain de la Santé et des Services sociaux (HHS), basée à Baltimore, dans le Maryland. Créé en 1977 sous le nom de Health Care Financing Administration, il a été renommé en 2001. Par ses programmes, le CMS est le plus grand acheteur unique de soins de santé aux États-Unis. Ses règles servent donc de référence de fait pour les hôpitaux, les médecins, les assureurs santé et leurs prestataires.

Le CMS décide de ce que couvrent ses programmes, fixe la politique de remboursement et publie les conditions que les prestataires doivent remplir pour participer. Il collecte aussi de gros volumes de données de facturation et de bénéficiaires. Ces données, et les conditions qui s'y rattachent, font du CMS un acteur concerné par la sécurité des données.

Le CMS se comprend le mieux à travers ses programmes :

Le CMS a aussi un mandat moins visible : la simplification administrative prévue par la HIPAA. La loi a chargé le HHS de normaliser les transactions électroniques de santé, et le CMS élabore et maintient ces normes. Elles comprennent les formats de transaction pour les demandes de remboursement, l'éligibilité et les paiements, des jeux de codes comme ICD-10 et HCPCS, qui donnent un vocabulaire commun aux diagnostics et aux actes, ainsi que le National Provider Identifier attribué à chaque prestataire concerné.

L'application de ces règles est une autre affaire. À l'origine, le CMS était aussi responsable de la HIPAA Security Rule. Depuis la loi HITECH de 2009, le Office for Civil Rights du HHS fait appliquer les règles de confidentialité et de sécurité, ainsi que l'obligation de notification des violations. Le CMS reste le gardien des normes de transaction et de codage. Les organisations qui échangent des transactions avec le CMS ou ses sous-traitants, y compris les entités couvertes, doivent continuer à respecter ces exigences.

Les obligations liées au CMS atteignent les organisations par plusieurs canaux. La plupart comportent des attentes en matière de sécurité :

1. 1

   Conditions de participation

   Garanties pour les informations des patients, vérifiées par des contrôles et des audits.

2. 2

   Conformité des transactions

   Les transactions non conformes sont rejetées, c'est donc un enjeu de revenus.

3. 3

   Accords d'utilisation des données

   Définissent l'accès, le lieu de stockage et la protection des données du CMS.

4. 4

   Signalement des incidents de sécurité

   La perte de données de patients déclenche des notifications, et les incidents dans les systèmes du CMS doivent être signalés.

Pour une équipe sécurité, les obligations liées au CMS convergent vers un ensemble de contrôles bien connu. La HIPAA Security Rule constitue le référentiel opérationnel pour les prestataires participants. Elle attend une analyse de risques documentée, une gestion des accès basée sur les rôles, des contrôles d'audit sur les systèmes qui traitent des informations de santé protégées, la protection de l'intégrité et la sécurité des transmissions. Les accords d'utilisation des données ajoutent des règles sur le lieu de stockage, le chiffrement, la journalisation des accès et les personnes autorisées à travailler avec les données.

L'échelle compte autant que le contenu. Les organisations de santé exploitent des systèmes cliniques, des plateformes de facturation et des environnements de recherche, et leur personnel fait circuler des données de patients par e-mail, fichiers, services cloud et appareils portables. Répondre aux attentes du CMS suppose donc de savoir où se trouvent les données réglementées, de contrôler les canaux par lesquels elles peuvent sortir et de conserver des traces assez complètes pour un audit ou une enquête.

Le CMS ne se contente pas de publier des règles, il les fait respecter. L'agence peut imposer des sanctions financières civiles, depuis le non-respect des conditions de participation jusqu'au traitement inapproprié des données des programmes fédéraux. Les montants sont révisés chaque année en fonction de l'inflation. Avec le HHS Office of Inspector General, le CMS peut aussi exclure des prestataires des programmes fédéraux de santé, ce qui est pour beaucoup plus lourd qu'une amende.

Les violations de la HIPAA sont sanctionnées par le Office for Civil Rights selon une échelle graduée qui tient compte du degré de faute, des violations involontaires à la négligence délibérée non corrigée. Les procureurs généraux des États peuvent aussi agir au nom de leurs résidents. Une même violation de données, comme la fuite de dossiers de patients, peut déclencher à la fois les règles du CMS, l'application de la HIPAA et les lois des États sur les notifications. Les contrôles et la réponse aux incidents sont donc conçus pour ces trois volets.

Commencez par identifier où se trouvent les données réglementées des patients et des bénéficiaires, car chacune des obligations décrites ci-dessus en dépend. La classification des données permet de les marquer, puis il faut recenser les canaux par lesquels elles peuvent sortir : e-mail, partage de fichiers, services cloud et appareils portables.

Les contrôles et les journaux découlent de cette cartographie. Des règles écrites pour tout à la fois finissent par bloquer le travail courant et sont désactivées.