Garanties techniques HIPAA pour le WiFi du personnel hospitalier : ce que la règle de sécurité exige réellement

Cinq normes de garanties techniques de la regle de securite HIPAA definies au 45 CFR 164.312 s'appliquent au WiFi du personnel hospitalier. Il s'agit du controle d'acces, des controles d'audit, de l'integrite, de l'authentification des personnes ou entites et de la securite de la transmission. Vous y repondez grace a 802.1X et a l'identite EAP-TLS basee sur des certificats, a RADIUS Accounting comme journal d'audit et au chiffrement WPA3-Enterprise sur chaque SSID du personnel.

Que exigent les garanties techniques HIPAA pour le WiFi du personnel ?

Le WiFi du personnel constitue la fondation sans fil d'un reseau de sante conforme a la norme HIPAA. Les cliniciens ouvrent le dossier medical informatise sur des postes de travail mobiles. Ils scannent les codes-barres des medicaments sur des terminaux portables et prennent des appels sur des badges de communication clinique. La majeure partie de ce trafic passe par un SSID du personnel. La solution Staff WiFi de Purple traite ce SSID comme une couche d'identite plutot que comme un mot de passe, et la regle de securite vous oriente dans la meme direction.

La regle de securite protege les informations de sante protegees electroniques (ePHI) que vous creez, recevez, conservez ou transmettez (45 CFR 164.306(a)). Elle divise les exigences en garanties administratives, physiques et techniques. Les garanties techniques comprennent cinq normes. Le WLAN de votre personnel transmet des ePHI, ces cinq normes atteignent donc la couche sans fil.

Deux termes sont importants avant d'aller plus loin. Une specification de mise en oeuvre "requise" doit etre appliquee telle quelle. Une specification "adressable" doit etre mise en oeuvre si elle est raisonnable et approprie. Si ce n'est pas le cas, vous devez documenter la raison et adopter une mesure equivalente (45 CFR 164.306(d)). Le terme adressable ne signifie pas optionnel, et sur une liaison radio ouverte, il existe rarement un argument credible contre le chiffrement.

En janvier 2025, le HHS a publie un avis de projet de reglementation qui supprimerait la categorie adressable. Il rendrait obligatoire le chiffrement des ePHI en transit et l'authentification multifacteur. Verifiez son statut lorsque vous definirez la portee de votre prochaine analyse de risques. Concevoir selon le texte le plus strict des maintenant vous evite une seconde migration ulterieure.

Pourquoi une phrase de passe WiFi partagee echoue-t-elle a respecter la regle de securite ?

Un reseau WPA2-PSK (cle pre-partagee) authentifie la phrase de passe, pas la personne. Chaque infirmiere, brancardier, remplacant ou prestataire qui la connait apparait de maniere identique sur le reseau. L'"identification unique de l'utilisateur" a la section 164.312(a)(2)(i) est une specification requise. Elle vous demande d'attribuer un nom ou un numero unique a chaque personne, afin de pouvoir l'identifier et suivre son activite. Une phrase de passe partagee ne peut pas faire cela, et aucune documentation n'y changera rien.

L'echec se repercute sur les autres normes :

• Controles d'audit. Le journal enregistre une adresse MAC et un bail IP, pas un membre du personnel nomme. Les versions actuelles d'iOS et d'Android anonymisent les adresses MAC par defaut, ce qui affaiblit meme cet element.
• Authentification de la personne ou de l'entite. Connaitre une phrase de passe ne prouve rien quant a l'identite. Les phrases de passe fuient via des notes adhésives, des plannings de garde et des messageries de groupe.
• Sécurité de la transmission. Toute personne possédant la phrase secrète et capturant le four-way handshake d'un appareil peut en dériver les clés de session. Elle peut ensuite décrypter le trafic de cet appareil. Un ancien employé disposant de l'ancienne phrase secrète reste à l'intérieur du périmètre de chiffrement.
• Résiliation. La clause 164.308(a)(3)(ii)(C) exige que l'accès prenne fin lorsque le contrat de travail se termine. Avec une clé partagée, supprimer l'accès d'une personne implique de changer la clé pour tout le monde.

Ce dernier point transforme la rotation des clés PSK en une simple illusion. La rotation perturbant chaque appareil, elle n'est exécutée que très rarement. Chaque personne qui quitte l'entreprise entre deux rotations conserve son accès.

Comment les cinq normes se traduisent-elles au niveau des contrôles sans fil ?

Contrôle d'accès - 164.312(a)(1)

La norme limite l'accès aux ePHI aux personnes et aux logiciels ayant reçu des droits d'accès. Sur la couche sans fil, l'IEEE 802.1X constitue le choix d'implémentation. Il s'agit d'une norme de contrôle d'accès basée sur les ports qui maintient chaque appareil hors du réseau jusqu'à ce qu'il prouve son identité. Un serveur RADIUS (Remote Authentication Dial-In User Service) vérifie cette identité.

Avec EAP-TLS (Extensible Authentication Protocol - Transport Layer Security), l'identité est un certificat X.509 délivré à une personne désignée ou à un appareil géré. RADIUS renvoie ensuite une politique : VLAN, rôle et liste de contrôle d'accès. Un infirmier de service accède au VLAN clinique. Un prestataire technique accède à un segment menant uniquement à la gestion du bâtiment.

Deux spécifications supplémentaires concernent le WiFi. La déconnexion automatique (adressable) correspond aux délais d'expiration de session et aux intervalles de réauthentification. L'accès d'urgence (requis) implique d'avoir un plan documenté en cas d'indisponibilité du service RADIUS.

Ce que recherche l'auditeur : votre politique de contrôle d'accès, la liste de chaque SSID avec sa méthode d'authentification, et la manière dont une personne obtient ou perd son accès. Attendez-vous à devoir prouver qu'aucun SSID acheminant des ePHI n'utilise de clé partagée.

Contrôles d'audit - 164.312(b)

La norme exige des mécanismes qui enregistrent et examinent l'activité dans les systèmes contenant ou utilisant des ePHI. Elle ne comporte pas de spécifications d'implémentation, la méthode vous appartient donc. Pour le sans-fil, RADIUS Accounting (RFC 2866) constitue le journal d'audit.

Chaque session génère des enregistrements Start, Interim-Update et Stop. Les attributs répondent directement aux questions de l'auditeur :

• Qui : User-Name, l'identité du certificat ou de l'annuaire.
• Quel appareil : Calling-Station-Id, l'adresse MAC du client.
• Où : Called-Station-Id, le point d'accès et le SSID.
• Quand et pendant combien de temps : Event-Timestamp et Acct-Session-Time.
• Pourquoi la session a pris fin : Acct-Terminate-Cause.

L'enregistrement ne représente que la moitié de la norme. L'examen constitue l'autre moitié, et la clause 164.308(a)(1)(ii)(D) exige une révision régulière de l'activité du système d'information. Transmettez les enregistrements comptables vers votre plateforme SIEM (security information and event management). Planifiez et documentez ensuite cette révision.

Ce que recherche l'auditeur : une exportation pour une plage de dates échantillon et la preuve que quelqu'un la consulte. La clause 164.316(b)(2)(i) exige une conservation de six ans pour la documentation requise. De nombreuses organisations appliquent cette même durée de conservation pour les preuves enregistrées dans les journaux.

Intégrité - 164.312(c)(1)

La norme protège les ePHI contre toute altération ou destruction inappropriée. Sur la liaison radio, AES-CCMP ajoute une vérification de l'intégrité des messages à chaque trame. WPA3-Enterprise rend également obligatoires les trames de gestion protégées (IEEE 802.11w). Celles-ci bloquent les trames de désauthentification falsifiées, un moyen courant d'interrompre la connexion des dispositifs médicaux sur le réseau. Le mode WPA3-Enterprise 192 bits passe à AES-GCMP-256.

TKIP, le chiffre WPA hérité, repose sur une vérification d'intégrité faible. L'IEEE a déprécié TKIP dans la norme 802.11-2012.

Ce que recherche l'auditeur : des paramètres de chiffre du contrôleur affichant uniquement AES, l'activation de la protection des trames de gestion et la désactivation de TKIP.

Authentification de la personne ou de l'entité - 164.312(d)

La norme exige que vous vérifiez que la personne ou l'entité demandant l'accès est bien celle qu'elle prétend être. C'est le principal argument en faveur d'EAP-TLS par rapport à PEAP-MSCHAPv2.

PEAP (Protected EAP) encapsule un échange de nom d'utilisateur et de mot de passe dans un tunnel TLS. Si un client omet la validation du certificat du serveur, un point d'accès malveillant peut usurper l'identité de votre réseau. Il capture l'échange MS-CHAPv2, qui peut ensuite être craqué hors ligne. L'avis de sécurité Microsoft 2743314 documente ce phénomène. Il recommande la validation du certificat du serveur ou le passage à une authentification basée sur des certificats. Microsoft indique également que Windows Defender Credential Guard bloque le Single Sign-On pour MS-CHAPv2 avec des identifiants enregistrés.

EAP-TLS effectue une authentification mutuelle par certificat. L'équipement prouve qu'il détient une clé privée, et le serveur prouve sa propre identité. Il n'y a aucun mot de passe à hameçonner. La clé privée peut résider, de manière non exportable, dans le TPM (Trusted Platform Module) ou l'enclave sécurisée de l'équipement. Les dispositifs médicaux sont également considérés comme des entités, et les équipements compatibles peuvent embarquer leurs propres certificats.

Ce que recherche l'auditeur : la manière dont vous vérifiez l'identité sur chaque voie d'accès. "Le personnel connaît le mot de passe WiFi" n'est pas une réponse. Présentez la procédure d'émission de certificat, liée au dossier RH du nouvel arrivant, ainsi que l'étape de révocation pour les départs.

Sécurité des transmissions - 164.312(e)(1)

La norme protège contre l'accès non autorisé aux ePHI en transit. Ses deux spécifications, le contrôle de l'intégrité et le chiffrement, sont toutes deux applicables. WPA2-Enterprise avec TKIP n'est pas conforme, car le chiffre est déprécié. La norme IEEE 802.11n exclut également TKIP des débits élevés. WPA2-Enterprise avec AES-CCMP reste défendable aujourd'hui. WPA3-Enterprise est la configuration à déployer dès maintenant.

Les directives relatives aux violations du HHS considèrent les ePHI en transit comme sécurisées lorsque le chiffrement respecte les normes NIST SP 800-52, 800-77 ou 800-113. Ces publications couvrent les VPN TLS, IPsec et SSL. Le WPA3 sur les ondes ne place pas, à lui seul, le trafic dans cette zone de sécurité. Le protocole TLS au niveau de la couche application reste indispensable.

Ce que recherche l'auditeur : les paramètres de chiffrement sur chaque SSID réservé au personnel et l'historique du retrait des SSID hérités.

Quelles configurations sans fil sont viables ?

L'iPSK (identity pre-shared key) attribue à chaque équipement ou groupe d'équipements sa propre clé de protection sur un SSID unique.

Configuration	Identification unique	Piste d'audit	Authentification	Chiffrement en transit	Statut d'audit
WPA2-PSK partagé, TKIP	Aucune - un secret partagé	MAC et IP uniquement	Connaissance de la phrase de passe	Chiffrement obsolète	Échec
WPA2-PSK partagé, AES	Aucune - un secret partagé	MAC et IP uniquement	Connaissance de la phrase de passe	AES ; tout détenteur de clé peut déchiffrer les sessions capturées	Échec pour l'accès du personnel aux ePHI
iPSK par équipement	Par équipement, pas par personne	Clé d'équipement désignée	Possession de la clé d'équipement	AES-CCMP	Acceptable pour les équipements cliniques autonomes avec contrôles compensatoires documentés
WPA2-Enterprise, PEAP-MSCHAPv2	Par personne	Nom d'utilisateur par session	Mot de passe ; exposé si la validation du certificat est désactivée	AES-CCMP	Défendable avec une validation imposée et un plan de migration
WPA2-Enterprise, EAP-TLS	Par personne ou équipement	Identité du certificat par session	Certificat mutuel	AES-CCMP	Fort
WPA3-Enterprise, EAP-TLS	Par personne ou équipement	Identité du certificat par session	Certificat mutuel	AES-CCMP plus PMF obligatoire	Configuration cible
WPA3-Enterprise 192-bit, EAP-TLS	Par personne ou équipement	Identité du certificat par session	Certificat mutuel, ECC 384-bit	AES-GCMP-256 plus PMF	Assurance la plus élevée ; vérifier d'abord la prise en charge par les équipements

Qu'examine un auditeur de l'OCR sur le réseau sans fil d'un hôpital ?

Le bureau OCR du HHS applique la réglementation HIPAA. Ses examens reposent principalement sur des documents. Les auditeurs ne parcourent pas vos services avec un analyseur de spectre. Ils demandent des politiques, des configurations et des registres, puis vérifient si les registres correspondent à la politique.

Commencez par l'analyse des risques. Le rapport sectoriel sur les audits HIPAA 2016-2017 de l'OCR, publié en décembre 2020, a révélé que la plupart des entités visées auditées n'avaient pas mis en œuvre efficacement l'analyse et la gestion des risques. Une analyse des risques qui omet le WLAN constitue un manquement facile à relever.

Exigence	Ce que l'OCR demande à voir	Preuve sans fil qui y répond
Analyse des risques, 164.308(a)(1)(ii)(A)	Inventaire des systèmes traitant les ePHI et menaces associées	Chaque SSID, sa méthode d'authentification, le VLAN et les classes d'équipements
Contrôle d'accès, 164.312(a)(1)	Preuve que chaque personne dispose d'un identifiant unique	Configuration 802.1X et EAP-TLS ; zéro SSID à clé partagée acheminant des ePHI
Contrôles d'audit, 164.312(b)	Journaux et preuves de révision	Exportation RADIUS Accounting pour une plage de dates échantillon ; enregistrements de révision SIEM
Intégrité, 164.312(c)(1)	Comment les ePHI sont protégées contre toute altération	Paramètres de chiffrement du contrôleur : AES uniquement, PMF requis
Authentification, 164.312(d)	Comment l'identité est vérifiée sur chaque itinéraire	Procédure d'émission et de révocation des certificats liée aux dossiers RH
Sécurité de la transmission, 164.312(e)(1)	Décision de chiffrement, avec justification si non mise en œuvre	Configuration WPA3-Enterprise et registre de mise hors service des anciens SSID
Résiliation, 164.308(a)(3)(ii)(C)	Preuve que les personnes sur le départ perdent leur accès	Horodatages de révocation définis en fonction des dates de départ RH

Attendez-vous également à des questions sur le réseau des patients et des visiteurs. Les auditeurs veulent vérifier qu'il ne peut pas accéder aux ePHI.

Comment les dispositifs médicaux et le WiFi patient se situent-ils par rapport au WiFi du personnel ?

Les pompes à perfusion et les équipements d'imagerie sont-ils concernés ?

C'est la question de périmètre qui piège de nombreuses équipes IT du secteur de la santé. Le test consiste à savoir si le dispositif crée, reçoit, conserve ou transmet des ePHI. Les pompes à perfusion intelligentes qui échangent des prescriptions liées aux patients avec le DSE sont concernées. Il en va de même pour les modalités d'imagerie envoyant des études DICOM au PACS et les moniteurs de télémesure diffusant vers une station centrale. Un enregistreur de température de réfrigérateur à vaccins ne transporte aucune donnée patient et se situe hors du périmètre des ePHI.

La difficulté réside dans le fait que de nombreux dispositifs concernés ne peuvent pas exécuter 802.1X, EAP-TLS ou WPA3. Le guide de cybersécurité pré-marché 2023 de la FDA s'applique aux nouvelles soumissions de dispositifs. Votre parc installé reste en l'état.

Comment la segmentation VLAN limite le risque

Un VLAN (LAN virtuel) est un segment de réseau logiquement séparé sur un matériel partagé. Placez l'IoT clinique sur des SSID dédiés ou des groupes iPSK, associés à un VLAN par classe de dispositifs. Les règles de pare-feu permettent ensuite à chaque classe d'atteindre uniquement ses serveurs désignés, tels que le serveur de pompes ou le PACS. Les appareils du personnel ne peuvent pas accéder directement aux pompes, et les pompes ne peuvent pas accéder au VLAN du personnel.

La publication Health Industry Cybersecurity Practices de l'HHS 405(d) recommande de segmenter les dispositifs médicaux des réseaux généraux. Consignez la segmentation dans votre analyse des risques en tant que contrôle compensatoire pour les dispositifs qui ne peuvent pas s'authentifier par certificat. Conservez également les enregistrements RADIUS pour les dispositifs authentifiés par iPSK et adresse MAC, afin que chaque classe de dispositifs apparaisse dans le journal d'audit.

Le réseau patients et visiteurs

Votre réseau patients et visiteurs ne transporte aucun ePHI, mais il collecte des données personnelles sur le captive portal. Un captive portal est la page web qu'un visiteur voit avant de se connecter. Les auditeurs demanderont comment ce réseau est isolé des segments cliniques. SecurePass, le module complémentaire de sécurité de Purple Guest WiFi, apporte la même approche basée sur l'identité aux patients et aux visiteurs.

Deux scénarios concrets

Un hôpital de comté abandonne son mot de passe partagé par le personnel

Situation. Prenons le cas d'un hôpital public de 350 lits géré par le comté. Son SSID réservé au personnel utilisait WPA2-PSK, et la clé partagée était transmise aux infirmiers intérimaires depuis des années. Les pompes à perfusion se trouvaient sur le même réseau. L'analyse annuelle des risques a signalé que l'identification unique n'était pas respectée.

Actions menées. Les postes de travail et terminaux portables gérés ont été migrés vers EAP-TLS, avec des certificats délivrés via la plateforme MDM aux identités Microsoft Entra ID. La politique RADIUS attribuait les VLAN par groupe Entra ID. Les journaux de connexion étaient transmis au SIEM, avec une revue hebdomadaire documentée. Les pompes ont été déplacées vers iPSK sur un VLAN isolé, autorisées à joindre uniquement le serveur de pompes. Les téléphones personnels du personnel ont été transférés sur un SSID uniquement destiné à Internet.

Résultat. Le nombre de secrets partagés sur les réseaux acheminant des ePHI est passé de deux à zéro. "Qui était connecté sur le point d'accès de la salle des médicaments à 02:00 ?" est devenu une simple requête SIEM. Auparavant, cela nécessitait de corréler manuellement les baux DHCP avec les journaux de badges. Les collaborateurs qui quittent l'entreprise perdent désormais leur accès dès que leur certificat est révoqué et que leur appartenance au groupe Microsoft Entra ID est supprimée. Aucun autre appareil n'est affecté.

Une chaîne de pharmacies uniformise l'accès de son personnel dans 60 magasins

Situation. Prenons l'exemple d'une chaîne de pharmacies régionale de 60 magasins, chacun disposant d'un dispensaire et d'une salle de consultation. Les pharmacies sont des entités couvertes par la réglementation HIPAA. Les paiements par carte font également entrer PCI-DSS dans le périmètre. Chaque magasin utilisait une seule clé partagée pour les terminaux du dispensaire, les tablettes et les téléphones du personnel. Les magasins les plus récents utilisaient Cisco Meraki et les plus anciens Ubiquiti UniFi.

Mesures prises. Chaque magasin a bénéficié d'un SSID personnel 802.1X avec EAP-TLS, authentifié auprès d'un service RADIUS cloud unique. Aucun point d'accès n'a été remplacé. Les journaux de comptabilité ont été centralisés dans un registre unique. Les clients du secteur de la vente au détail sont restés sur un réseau invités séparé.

Résultat. Le nombre de clés partagées au niveau des magasins est passé de 60 à zéro, tout comme les interventions pour le renouvellement des clés. Un seul ensemble de contrôles répond désormais à l'exigence d'identification unique HIPAA et à l'exigence 8.2.1 de PCI-DSS v4.0, qui impose un identifiant unique pour chaque personne.

Quelles sont les limites des contrôles sans fil dans une analyse des risques HIPAA ?

Les contrôles WiFi ne protègent qu'un seul saut. Les contrôles d'accès EHR, le chiffrement TLS au niveau de la couche application et le chiffrement des points d'accès prennent en charge le reste. La réglementation HIPAA est neutre sur le plan technologique et ne nomme aucun protocole sans fil ; votre analyse des risques doit donc justifier chaque choix.

Les appareils obsolètes fixent la limite inférieure. Le mode de transition WPA3-Enterprise maintient la connexion des clients WPA2, mais il conserve également les vulnérabilités WPA2 sur ce SSID. Utilisez un SSID exclusivement WPA3 pour les appareils compatibles et supprimez progressivement le SSID de transition selon un calendrier défini.

Les certificats nécessitent une gestion du cycle de vie. Un certificat de serveur RADIUS expiré déconnecte simultanément tous les clients. Automatisez le renouvellement et surveillez les dates d'expiration.

L'itinérance nécessite un ajustement. Un échange 802.1X complet à chaque point d'accès ajoute un délai, ce que les badges vocaux détectent immédiatement. La transition BSS rapide (802.11r) permet de réduire ce délai. Consultez 802.11r et 802.11k sur Android : déploiement de l'itinérance rapide sur Cisco Meraki, HPE Aruba et Ubiquiti UniFi. Pour les déploiements Meraki, consultez Cisco Meraki 802.11r adaptatif vs activé : corriger l'itinérance sur les points d'accès MR.

Enfin, la loi Public Law 116-321 demande au HHS de prendre en compte les pratiques de sécurité reconnues que vous aviez mises en place au cours des 12 mois précédents lors de la fixation des pénalités. Aligner vos contrôles sans fil sur les pratiques 405(d) s'avère ici très utile.

Que devez-vous faire avant votre prochaine analyse des risques ?

1. Inventoriez chaque SSID, sa méthode d'authentification, son chiffrement et son VLAN.
2. Classifiez les appareils : personnel géré, personnel personnel, IoT clinique ou invités.
3. Migrez les appareils gérés vers EAP-TLS, avec une politique pilotée par les groupes d'annuaire.
4. Désactivez le chiffrement TKIP, exigez le PMF et planifiez le passage à WPA3-Enterprise.
5. Transmettez la comptabilité RADIUS à votre SIEM, documentez la révision et définissez la conservation.
6. Segmentez l'IoT clinique par classe d'équipement et documentez les contrôles compensatoires.
7. Revalidez la couverture après les modifications de chiffrement et de SSID. WiFi Site Surveys: A Practical Planning Guide définit la méthode.
8. Consignez chaque décision dans l'analyse des risques, pièces justificatives à l'appui.

Le Staff WiFi de Purple fournit le 802.1X avec EAP-TLS, une politique VLAN par personne et une comptabilité RADIUS centralisée dans le cloud. Il s'accumule sur les équipements Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Microsoft Entra ID, Okta et Google Workspace gèrent les arrivées, les changements de poste et les départs. Purple est certifié ISO 27001 et fonctionne sur plus de 80 000 sites actifs, avec 440 millions de connexions en 2024 (données Purple). En savoir plus sur notre page Healthcare et dans Why your next WiFi upgrade doesn't need new hardware.

Consultez également la présentation du Staff WiFi de Purple, SecurePass pour le réseau des patients et des visiteurs, ainsi que nos guides de conformité ISO 27001 et SOC 2 pour le staff WiFi si vous gérez plusieurs référentiels à la fois.

Foire aux questions

La norme HIPAA exige-t-elle WPA3-Enterprise, ou WPA2-Enterprise est-il acceptable ?

Non, la norme HIPAA ne nomme ni WPA3-Enterprise ni aucun autre protocole. WPA2-Enterprise avec AES-CCMP et EAP-TLS reste défendable dans une analyse des risques aujourd'hui. WPA2 avec TKIP ne l'est pas, car l'IEEE a rendu ce chiffrement obsolète dans le 802.11-2012. Déployez WPA3-Enterprise sur les nouveaux SSID du personnel lorsque les équipements le prennent en charge, et documentez un plan daté pour le reste. La mise à jour proposée de la Security Rule de l'HHS rendrait le chiffrement en transit obligatoire, concevez donc selon cette norme dès maintenant.

Pouvons-nous conserver un mot de passe partagé pour le personnel si nous le documentons dans l'analyse des risques ?

Non, pas pour l'accès du personnel aux ePHI. L'identification unique de l'utilisateur selon la disposition 164.312(a)(2)(i) est une spécification requise, la documentation ne peut donc pas la remplacer. Un mot de passe partagé n'identifie personne, et chaque personne qui quitte l'entreprise conserve l'accès jusqu'à la prochaine rotation. Les clés partagées ou par équipement restent acceptables uniquement pour les appareils cliniques sans écran. Ces appareils nécessitent également une segmentation VLAN et les contrôles compensatoires consignés dans votre analyse des risques.

Faut-il de nouveaux points d'accès pour passer au 802.1X et à l'EAP-TLS ?

Non, le 802.1X et l'EAP-TLS fonctionnent sur les points d'accès d'entreprise que la plupart des hôpitaux possèdent déjà. Le RADIUS cloud de Purple fonctionne avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Le travail réside dans la délivrance des certificats, l'intégration de l'annuaire et la politique RADIUS, pas dans le matériel. Ne prévoyez un contrôle radio que si vous passez également au WPA3, car les points d'accès plus anciens peuvent nécessiter des mises à jour de firmware.

Combien de temps devons-nous conserver les journaux d'accès sans fil pour HIPAA ?

Conservez-les pendant six ans si vous souhaitez bénéficier d'un délai par défaut défendable. La règle de documentation HIPAA à la section 164.316(b)(2)(i) exige une conservation de six ans pour la documentation requise. De nombreuses organisations appliquent la même durée aux preuves des journaux d'audit sous-jacents. Confirmez cette période avec votre responsable de la conformité, car la législation locale peut exiger une durée plus longue. Stockez les enregistrements RADIUS Accounting dans un système que vous pouvez interroger par personne, appareil et plage de dates.

Les dispositifs médicaux connectés au WiFi sont-ils concernés par les garanties techniques ?

Oui, si le dispositif crée, reçoit, conserve ou transmet des ePHI. Les pompes à perfusion intelligentes reliées au DSE, les modalités d'imagerie envoyant des examens au PACS et les moniteurs de télémétrie sont tous concernés. Les appareils qui ne peuvent pas exécuter EAP-TLS doivent être placés sur des VLANs dédiés, en utilisant iPSK lorsque cela est possible. Les règles de pare-feu doivent limiter chaque classe d'appareils à ses serveurs désignés. Consignez le segmentage comme mesure de compensation dans votre analyse des risques.

Un auditeur de l'OCR posera-t-il des questions sur notre WiFi patients et visiteurs ?

Oui, attendez-vous à des questions sur le réseau patients et visiteurs au même titre que sur le WiFi du personnel. Les auditeurs veulent la preuve qu'il ne peut pas accéder aux segments cliniques acheminant des ePHI. Ils peuvent également demander comment le Captive Portal traite les données personnelles. Présentez la structure du réseau, les règles de pare-feu et les données collectées lors de la connexion. SecurePass, le module de sécurité complémentaire de Purple Guest WiFi, étend l'accès basé sur l'identité aux patients et aux visiteurs.

Purple s'intègre-t-il à Microsoft Entra ID, Okta et Google Workspace ?

Oui, le WiFi pour le personnel de Purple s'intègre à Microsoft Entra ID, Okta et Google Workspace. Les groupes d'annuaire pilotent la stratégie RADIUS, ainsi le rôle d'une personne détermine le VLAN auquel elle accède. Les nouveaux arrivants obtiennent un accès lorsqu'ils sont ajoutés au bon groupe. Les employés changent de VLAN lorsque leur groupe évolue. Les personnes qui quittent l'organisation perdent leur accès lorsque vous révoquez leur certificat et supprimez leur appartenance au groupe, chaque étape étant enregistrée pour la piste d'audit.