{"id":33987,"date":"2017-04-01T10:32:59","date_gmt":"2017-04-01T08:32:59","guid":{"rendered":"https:\/\/gestions-hospitalieres.fr\/?p=33987"},"modified":"2018-03-06T12:08:58","modified_gmt":"2018-03-06T11:08:58","slug":"securite-numerique-environnement-hospitalier","status":"publish","type":"post","link":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/","title":{"rendered":"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier"},"content":{"rendered":"<span class=\"span-reading-time rt-reading-time\" style=\"display: block;\"><span class=\"rt-label rt-prefix\">Temps de lecture\u00a0: <\/span> <span class=\"rt-time\"> 7<\/span> <span class=\"rt-label rt-postfix\">minutes<\/span><\/span><p>Apr\u00e8s avoir construit, fusionn\u00e9 et s\u00e9curis\u00e9 des syst\u00e8mes d\u2019information (SI) industriels et administratifs, nous constatons depuis six ans que, au-del\u00e0 de la gestion des patients et des donn\u00e9es m\u00e9dicales, notre SI hospitalier regroupe, avec le domaine biom\u00e9dical, la gestion technique et la gestion logistique, toutes les facettes du num\u00e9rique. Ainsi, informatique de gestion, de process ou encore l\u2019Internet des objets se c\u00f4toient de mani\u00e8re acc\u00e9l\u00e9r\u00e9e dans des modes de plus en plus hybrides.<\/p>\n<h1>Un contexte de complexit\u00e9 et d\u2019h\u00e9t\u00e9rog\u00e9n\u00e9it\u00e9<\/h1>\n<p>Par exemple, des infrastructures (souvent virtualis\u00e9es) g\u00e9r\u00e9es par la direction des syst\u00e8mes d\u2019information (DSI) dialoguent avec des composants biom\u00e9dicaux maintenus ou infog\u00e9r\u00e9s \u00e0 distance par des prestataires proposant une supervision accessible dans le <em>cloud<\/em>\u2026\u00a0Face \u00e0 cette complexit\u00e9 technique, une autre vient s\u2019ajouter au casse-t\u00eate des directions\u2009: celle des lois et r\u00e9glementations sur la s\u00e9curit\u00e9 du syst\u00e8me d\u2019information de sant\u00e9.<\/p>\n<p>Un durcissement et une multiplication des r\u00e9f\u00e9rentiels \u2013 RGS, Cnil, RGDP, PSSIE, PSSI MCAS, PGSSI-S (Asip), certification des comptes, certification HAS V2014, HDS, loi Sant\u00e9, GHT\u2026 \u2013 rendent encore plus difficiles la lisibilit\u00e9 et surtout les priorit\u00e9s. Mais \u00e0 y regarder de (tr\u00e8s) pr\u00e8s, on s\u2019aper\u00e7oit que toutes convergent vers un m\u00eame principe de bon sens\u2009: g\u00e9rer les risques.\u00a0Ainsi, tous ces textes, telle la derni\u00e8re instruction minist\u00e9rielle (n\u00b0\u2009309 &#8211; DSSIS), nous invitent ou nous obligent \u00e0 structurer et cadencer notre s\u00e9curit\u00e9 num\u00e9rique pour r\u00e9duire nos risques.<\/p>\n<p>Face \u00e0 la complexit\u00e9, il est n\u00e9cessaire de s\u2019adapter et d\u2019utiliser des outils d\u2019analyse pour simplifier l\u2019aide \u00e0 la d\u00e9cision des directions d\u2019h\u00f4pital. Tel le \u00ab\u2009macroscope\u2009\u00bb de Jo\u00ebl de Rosnay<sup class=\"appel\" data-toggle=\"modal\" data-target=\"#notes\">\u2009(1)<\/sup>, l\u2019analyse et la gestion des risques doivent permettre d\u2019\u00e9clairer les d\u00e9cideurs sur l\u2019impact de leurs choix sur la r\u00e9duction des risques.\u00a0L\u2019enjeu de la s\u00e9curit\u00e9 est finalement de d\u00e9cider la prise de risque au bon niveau de responsabilit\u00e9. Les propri\u00e9taires de risques sont ceux qui peuvent les traiter \u2013 prendre, \u00e9viter, r\u00e9duire ou transf\u00e9rer les risques<sup class=\"appel\" data-toggle=\"modal\" data-target=\"#notes\"> (2)<\/sup>.<\/p>\n<h1>Un environnement de plus en plus hostile<\/h1>\n<p>Au-del\u00e0 des \u00ab\u2009traditionnels\u2009\u00bb virus, espiogiciels\u2026, les tout nouveaux ran\u00e7ongiciels (<em>cryptolockers<\/em>) ont r\u00e9v\u00e9l\u00e9 l\u2019int\u00e9r\u00eat du secteur sant\u00e9 pour la cybercriminalit\u00e9. Avec plusieurs centaines de structures de sant\u00e9 touch\u00e9es en France, deux nouveaux risques sont devenus majeurs depuis trois ans, avec chantage \u00e0 la cl\u00e9\u2009: le vol pour la diffusion sur Internet de dossiers patients, le cryptage des donn\u00e9es (les rendant inutilisables).<\/p>\n<p>Mais cette partie visible de l\u2019iceberg des menaces souvent m\u00e9diatis\u00e9e ne doit pas faire oublier la partie immerg\u00e9e plus sombre\u2009: la v\u00e9tust\u00e9 des infrastructures, les changements mal ma\u00eetris\u00e9s, les configurations n\u00e9glig\u00e9es, la complexit\u00e9 sans comp\u00e9tences suffisantes, les mainteneurs peu fiables, la \u00ab\u2009cloudisation\u2009\u00bb sauvage, la r\u00e9versibilit\u00e9 oubli\u00e9e\u2026<\/p>\n<h1>Un syst\u00e8me d\u2019information pour l\u2019ouverture et la mobilit\u00e9<\/h1>\n<p>Enfin, dans ce contexte, l\u2019attractivit\u00e9 pour nos patients, nos professionnels de sant\u00e9, le lien ville\/h\u00f4pital demandent une ouverture de plus en plus large du syst\u00e8me d\u2019information. Le mariage difficile de la disponibilit\u00e9 et de la confidentialit\u00e9 devient ainsi un enjeu strat\u00e9gique. Et si finalement tout convergeait vers\u2026 une vision de la cible \u00e0 atteindre, un cadre pr\u00eat et \u00ab\u2009relativement constant\u2009\u00bb, une l\u00e9gitimit\u00e9\u2009: la certification ISO\u00a027001\u2009?<\/p>\n<p>En attendant la fusion de tous les r\u00e9f\u00e9rentiels applicables au domaine de la sant\u00e9, il existe un cadre international permettant de construire la s\u00e9curit\u00e9 num\u00e9rique\u2009: l\u2019ISO\u00a027001 (norme de management de la s\u00e9curit\u00e9 de l\u2019information). Elle est d\u2019ailleurs le socle du futur r\u00e9f\u00e9rentiel de certification HDS pour 2018. Elle offre une perspective permettant de \u00ab\u2009ranger\u2009\u00bb tous les textes et, s\u2019il le faut, d\u2019ajouter quelques r\u00e8gles sp\u00e9cifiques au syst\u00e8me de sant\u00e9.\u00a0Certes, il faut accepter que d\u2019autres aient eu les bonnes id\u00e9es, mais il reste tout de m\u00eame \u00e0 les int\u00e9grer, ce qui est un beau challenge. Une autre norme, l\u2019ISO\u00a020000, d\u00e9riv\u00e9e de bonnes pratiques anglo-saxonnes (ITIL), permet, sans viser une certification, de faciliter la mise en pratique de quelques processus cl\u00e9s utiles pour la s\u00e9curit\u00e9 mais aussi l\u2019efficience de la DSI orient\u00e9e services aux m\u00e9tiers\u2009: piloter le SI, g\u00e9rer les projets, les changements, les incidents et, bien s\u00fbr, g\u00e9rer l\u2019am\u00e9lioration. \u00c0 l\u2019Assistance publique-H\u00f4pitaux de Marseille, nous avons choisi d\u2019ajouter un processus central de gestion des risques au confluent de tous ces processus. Il porte ainsi l\u2019analyse de risques aliment\u00e9e par tous les processus.<\/p>\n<button data-toggle=\"collapse\" data-target=\"#enc_2017_229_01\">figure 1<\/button><div id=\"enc_2017_229_01\" class=\"encadre collapse\"><p><span class=\"surtitre_enc\">figure\u00a01<\/span><\/p>\n<h2>Management de la s\u00e9curit\u00e9<\/h2>\n<h3>Processus central de la gestion des risques<\/h3>\n<p><img decoding=\"async\" class=\"alignnone size-full wp-image-34050\" src=\"https:\/\/gestions-hospitalieres.fr\/wp-content\/uploads\/2017\/05\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.18.17.png\" alt=\"\" width=\"600\" height=\"357\" srcset=\"https:\/\/www.ricom-web8.com\/gestions\/wp-content\/uploads\/2017\/05\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.18.17.png 600w, https:\/\/www.ricom-web8.com\/gestions\/wp-content\/uploads\/2017\/05\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.18.17-300x179.png 300w\" sizes=\"(max-width: 600px) 100vw, 600px\" \/><\/p>\n<\/div>\n<p>Au-del\u00e0 d\u2019une gestion documentaire et d\u2019un cycle d\u2019audits externes, comme pour l\u2019ISO\u00a09001, l\u2019ISO\u00a027001 requiert une liste pr\u00e9cise des objectifs ou des mesures de s\u00e9curit\u00e9 choisis au regard de l\u2019analyse de risques. Ainsi, les revues de risques avec les directions et les audits internes et externes am\u00e8nent une dynamique permanente indispensable \u00e0 la r\u00e9activit\u00e9 n\u00e9cessaire face \u00e0 l\u2019agilit\u00e9 des menaces actuelles.<\/p>\n<button data-toggle=\"collapse\" data-target=\"#enc_2017_229_02\">encadr\u00e9 1<\/button><div id=\"enc_2017_229_02\" class=\"encadre collapse\"><p><span class=\"surtitre_enc\">Encadr\u00e9\u00a01<\/span><\/p>\n<h2>Les quatre principes\u00a0du management de la s\u00e9curit\u00e9<\/h2>\n<ul>\n<li>Vision\u2009: s\u2019appuyer sur ce qui existe (en dehors de la sant\u00e9), la norme ISO\u00a027001, vers laquelle convergent tous nos r\u00e9f\u00e9rentiels s\u00e9curit\u00e9. Se projeter et projeter les exigences internes et externes sur un cadre stable.<\/li>\n<li>Pragmatisme\u2009: utiliser les bonnes pratiques, proc\u00e9der par paliers, rendre possibles des pratiques utiles et s\u00e9curis\u00e9es pour les professionnels de sant\u00e9.<\/li>\n<li>P\u00e9dagogie\u2009: sensibiliser, former tous les acteurs \u00e0 la \u00ab\u2009perception et gestion\u2009\u00bb du risque\u2009: informaticiens, acteurs du biom\u00e9dical, techniciens, mais aussi \u00e9diteurs\/fournisseurs (renforcer les exigences et recommandations SSI dans les acquisitions).<\/li>\n<li>Agilit\u00e9\u2009: les menaces sont agiles, les r\u00e9ponses de protection doivent s\u2019adapter\u2009: apprendre \u00e0 g\u00e9rer des crises, \u00e0 d\u00e9fendre en profondeur, \u00e0 s\u2019entraider (en interne et en externe), \u00e0 alerter.<\/li>\n<\/ul>\n<\/div>\n<p>La strat\u00e9gie retenue par l\u2019Assistance publique-H\u00f4pitaux de Marseille fin 2011 a \u00e9t\u00e9 d\u2019utiliser ce cadre et de viser une certification, obtenue en 2016 (en grande partie une conformit\u00e9 ISO\u00a027001), en passant par des paliers d\u2019agr\u00e9ments HDS\u2009: agr\u00e9ment HDS pour une application en 2012, puis agr\u00e9ment HDS d\u2019imagerie en 2014, et enfin agr\u00e9ment g\u00e9n\u00e9rique en 2017. Ces \u00e9tapes, en fortifiant progressivement la conformit\u00e9 ISO\u00a027001, ont permis de formaliser, d\u2019impliquer, d\u2019investir et de d\u00e9ployer progressivement. Cette progression a garanti la ma\u00eetrise du changement et la mont\u00e9e en maturit\u00e9 des acteurs.<\/p>\n<h1>Faire preuve de pragmatisme et de p\u00e9dagogie<\/h1>\n<p>Le r\u00f4le du responsable s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information (RSSI) est avant tout d\u2019\u00eatre un lien entre les professionnels de sant\u00e9 (leurs besoins et leurs contraintes) et la s\u00e9curit\u00e9 du SI, pour \u00e9clairer les prises de d\u00e9cision, au niveau de la commission m\u00e9dicale d\u2019\u00e9tablissement (CME), de la direction g\u00e9n\u00e9rale, comme de la DSI. Il consiste \u00e9galement \u00e0 identifier, \u00e0 \u00e9valuer et \u00e0 g\u00e9rer les risques. Que risque-t-on \u00e0 mettre une application en ligne pour nos patients ou nos professionnels de sant\u00e9\u2009? Quelle est la probabilit\u00e9 de survenance du risque et quel est l\u2019impact de ce risque potentiel\u2009?<\/p>\n<p>Face aux risques, le RSSI doit proposer des solutions par paliers, utiles et accept\u00e9es. Par exemple, apr\u00e8s avoir suivi le mode de travail des personnels des urgences, nous avons constat\u00e9 leurs besoins de connexion et d\u2019acc\u00e8s rapides aux donn\u00e9es des patients. Le contournement pratiqu\u00e9 par n\u00e9cessit\u00e9 consistait \u00e0 utiliser la premi\u00e8re session ouverte sans utiliser ses identifiants personnels. Nous avons d\u00e9ploy\u00e9 un syst\u00e8me alliant rapidit\u00e9 et meilleure s\u00e9curit\u00e9 avec l\u2019usage du badge professionnel qui, apr\u00e8s une premi\u00e8re connexion renforc\u00e9e en d\u00e9but de service (compte\/mot de passe complexe ou CPS), permet de verrouiller ou de \u00ab\u2009r\u00e9veiller\u2009\u00bb instantan\u00e9ment sa session dans chaque box par passage du badge devant un lecteur sans contact. Cette solution permet \u00e9galement d\u2019ouvrir automatiquement toutes les applications utiles sans ressaisie et peut s\u2019utiliser avec la CPS \u2013 ou pourrait int\u00e9grer l\u2019usage de la biom\u00e9trie, selon les \u00e9volutions de la Cnil.<\/p>\n<button data-toggle=\"collapse\" data-target=\"#enc_2017_229_03\">figure 2<\/button><div id=\"enc_2017_229_03\" class=\"encadre collapse\"><p><span class=\"surtitre_enc\">figure\u00a02<\/span><\/p>\n<h2>Les cinq processus du management de la s\u00e9curit\u00e9<\/h2>\n<p><img decoding=\"async\" class=\"alignnone size-full wp-image-34051\" src=\"https:\/\/gestions-hospitalieres.fr\/wp-content\/uploads\/2017\/05\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.18.27.png\" alt=\"\" width=\"600\" height=\"407\" srcset=\"https:\/\/www.ricom-web8.com\/gestions\/wp-content\/uploads\/2017\/05\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.18.27.png 600w, https:\/\/www.ricom-web8.com\/gestions\/wp-content\/uploads\/2017\/05\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.18.27-300x204.png 300w\" sizes=\"(max-width: 600px) 100vw, 600px\" \/><\/p>\n<\/div>\n<p>Le r\u00f4le du RSSI demeure \u00e0 l\u2019analyse et au conseil afin de prendre les bonnes d\u00e9cisions et d\u2019\u00e9viter de prendre des risques. Et, dans le cas o\u00f9 il faut en prendre, de le faire en connaissance des impacts et de les limiter \u00e0 un niveau acceptable. Le management des risques est donc le c\u0153ur de son activit\u00e9, dans un contexte o\u00f9 les r\u00e9glementations se durcissent, et o\u00f9 la technologie, les usages et les menaces \u00e9voluent sans cesse.<\/p>\n<button data-toggle=\"collapse\" data-target=\"#enc_2017_229_04\">Encadr\u00e9 2<\/button><div id=\"enc_2017_229_04\" class=\"encadre collapse\"><p><span class=\"surtitre_enc\">Encadr\u00e9\u00a02<\/span><\/p>\n<h2>Les dix conseils de survie du RSSI<\/h2>\n<ul>\n<li>Sauvegardes\u2009: v\u00e9rifier ses r\u00e9tentions \u2013 capacit\u00e9 et d\u00e9lai \u00e0 les restaurer (existence de sauvegardes hors ligne) \u2013, mais aussi la sauvegarde des composants techniques critiques (AD, DNS, configurations\u2026).<\/li>\n<li>Gestion de crise\u2009: entra\u00eener les acteurs aux r\u00f4les et aux reflexes.<\/li>\n<li>Data center\u2009: v\u00e9rifier\/tester le courant secouru, la climatisation, l\u2019acc\u00e8s, les mat\u00e9riels inflammables, le syst\u00e8me d\u2019extinction incendie, la conformit\u00e9 \u00e9lectrique.<\/li>\n<li>Cloisonnement\u2009: \u00eatre pr\u00eat \u00e0 isoler des parties de son r\u00e9seau et d'Internet.<\/li>\n<li>Acc\u00e8s Internet\u2009: surveiller les contournements de proxy.<\/li>\n<li>Acc\u00e8s maintenance\u2009: cloisonner\/tracer, s\u00e9parer les remont\u00e9es de monitoring de la prise de main \u00e0 distance, surveiller les VPN.<\/li>\n<li>Antimenaces et mises \u00e0 jour s\u00e9curit\u00e9\u2009: sortir du cercle de la qualification des applications, ajouter des d\u00e9fenses p\u00e9rim\u00e9triques (mat\u00e9riels ou logiciels), notamment pour le p\u00e9rim\u00e8tre m\u00e9dico-technique.<\/li>\n<li>Modes d\u00e9grad\u00e9s\u2009: v\u00e9rifier leurs fonctionnements en pratique et la confidentialit\u00e9.<\/li>\n<li>Acquisition\u2009: pr\u00e9ciser ses conditions (exigences et recommandations pour tous les SI, r\u00e9f\u00e9rentiels Asip\u2026).<\/li>\n<li>Comptes d\u2019administration\u2009: \u00e0 v\u00e9rifier r\u00e9guli\u00e8rement (nombre, individualis\u00e9s, authentification renforc\u00e9e, cloisonnement pour e-mails et Web, traces d\u2019acc\u00e8s et d\u2019actions, alertes sur usages anormaux).<\/li>\n<\/ul>\n<\/div>\n<h1>Pourquoi s\u00e9curiser\u2009?<\/h1>\n<p>Dans un h\u00f4pital, l\u2019enjeu est de g\u00e9rer le risque num\u00e9rique au m\u00eame niveau que le risque sanitaire. En ce sens, la certification HAS V2014 nous aide fortement car elle requiert cette consolidation des risques.\u00a0Lors d\u2019une revue de risques, \u00e0 la question \u00ab\u2009<em>Que redoutez-vous le plus qui pourrait \u00eatre provoqu\u00e9 par le SI\u2009?<\/em>\u00bb, un directeur g\u00e9n\u00e9ral nous a spontan\u00e9ment et fort justement donn\u00e9 la liste des risques majeurs encourus selon lui\u2009:<\/p>\n<ul>\n<li>perdre toutes les donn\u00e9es de l\u2019h\u00f4pital\u2009;<\/li>\n<li>perdre l\u2019int\u00e9grit\u00e9 des donn\u00e9es patients\u2009;<\/li>\n<li>bloquer l\u2019activit\u00e9 pendant plusieurs jours\u2009;<\/li>\n<li>diffuser les donn\u00e9es patients sur Internet.<\/li>\n<\/ul>\n<p>Ces risques majeurs impactant la vie, le soin et la confiance des patients peuvent-ils arriver dans vos \u00e9tablissements\u2009? V\u00e9rifiez et construisez un plan de traitement de ces risques avec votre RSSI et votre DSI (sauvegarde des donn\u00e9es, des applications, des configurations, modes d\u00e9grad\u00e9s, cloisonnement, gestion de crise, alertes\u2026).<\/p>\n<h1>Quelle strat\u00e9gie pour rester agile face aux menaces\u2009?<\/h1>\n<p>Comme pour la s\u00e9curit\u00e9 incendie, il faut se pr\u00e9parer aux sinistres, donner des consignes et instaurer des r\u00e9flexes, mettre en place des syst\u00e8mes de d\u00e9tection, de cloisonnement et avoir des \u00e9quipes sp\u00e9cialis\u00e9es et entra\u00een\u00e9es.\u00a0Cette approche consiste \u00e0 associer et f\u00e9d\u00e9rer tous les acteurs des SI \u00e0 l\u2019h\u00f4pital\u2009: DIM, CIL, biom\u00e9dical, services techniques, juridiques, qualit\u00e9, s\u00fbret\u00e9\u2026<\/p>\n<p>Au-del\u00e0 des r\u00e8gles d\u2019hygi\u00e8ne informatique de l\u2019Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information (Anssi), des guides\/outils de l\u2019Agence des syst\u00e8mes d\u2019information partag\u00e9s de sant\u00e9 (Asip Sant\u00e9) et des composants techniques de s\u00e9curit\u00e9, trois axes strat\u00e9giques sont \u00e0 construire\u2009:<\/p>\n<ul>\n<li>former autour du RSSI un r\u00e9seau de correspondants s\u00e9curit\u00e9 SI (CSSI) parmi les acteurs en capacit\u00e9 d\u2019analyser les risques (la m\u00e9thode Ebios \u2013 Expression des besoins et identification des objectifs de s\u00e9curit\u00e9 \u2013 diffus\u00e9e par l\u2019Anssi est une bo\u00eete \u00e0 outils \u00e0 adapter)\u2009;<\/li>\n<li>entra\u00eener la DSI \u00e0 g\u00e9rer des crises SI en relation avec les structures de gestion de crise existantes. G\u00e9rer une crise, c\u2019est distribuer des r\u00f4les pr\u00e9cis pour optimiser la r\u00e9solution, communiquer, alerter et obtenir de l\u2019aide rapidement et efficacement\u2009;<\/li>\n<li>int\u00e9grer la gestion des risques dans le sch\u00e9ma directeur des SI (la r\u00e9duction des risques apporte un portefeuille de projets structurants).<\/li>\n<\/ul>\n<h1>Les opportunit\u00e9s de la s\u00e9curit\u00e9<\/h1>\n<figure id=\"attachment_34052\" aria-describedby=\"caption-attachment-34052\" style=\"width: 300px\" class=\"wp-caption alignright\"><img decoding=\"async\" class=\"size-medium wp-image-34052\" src=\"https:\/\/gestions-hospitalieres.fr\/wp-content\/uploads\/2017\/04\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.19.11-300x191.png\" alt=\"\" width=\"300\" height=\"191\" srcset=\"https:\/\/www.ricom-web8.com\/gestions\/wp-content\/uploads\/2017\/04\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.19.11-300x191.png 300w, https:\/\/www.ricom-web8.com\/gestions\/wp-content\/uploads\/2017\/04\/Capture-d\u2019\u00e9cran-2017-05-15-\u00e0-14.19.11.png 600w\" sizes=\"(max-width: 300px) 100vw, 300px\" \/><figcaption id=\"caption-attachment-34052\" class=\"wp-caption-text\">Extrait du guide \u00ab\u2009Faire face ensemble. Vigilance, pr\u00e9vention et protection face \u00e0 la menace terroriste\u2009\u00bb publi\u00e9 par le Secr\u00e9tariat g\u00e9n\u00e9ral de la d\u00e9fense et de la s\u00e9curit\u00e9 nationale, novembre 2016, p. 47, \u00a7 3.2. \u00ab\u2009Que faire en cas de cyberattaque\u2009?\u2009\u00bb<\/figcaption><\/figure>\n<p>La s\u00e9curit\u00e9 est aussi une valeur ajout\u00e9e pour la confiance num\u00e9rique (une des \u00e9volutions de la version 2013 de la norme ISO\u00a027001). La signature num\u00e9rique, le chiffrement et l\u2019authentification forte rendent ainsi possibles\u2009:<\/p>\n<ul>\n<li>la d\u00e9mat\u00e9rialisation\u2009: par la preuve num\u00e9rique\u2009;<\/li>\n<li>la confiance en l\u2019identit\u00e9 num\u00e9rique\u2009: pour l\u2019acc\u00e8s aux donn\u00e9es et aux dispositifs (pour les organisations, les personnes, les logiciels, les appareils m\u00e9dicaux)\u2009;<\/li>\n<li>la communication s\u00e9curis\u00e9e\u2009: entre professionnels de sant\u00e9 (signature \u00e9lectronique, MSSant\u00e9-Asip) mais aussi entre composants (logiciels, objets connect\u00e9s).<\/li>\n<li>les soins\/t\u00e9l\u00e9m\u00e9decine \u00e0 distance\u2009: par la confidentialit\u00e9 et le contr\u00f4le\u2009;<\/li>\n<li>le <em>big data<\/em>\u2009: par l\u2019anonymisation et la protection des traitements (scellement des algorithmes).<\/li>\n<\/ul>\n<h1>La s\u00e9curit\u00e9 \u00e0 l\u2019\u00e9chelle des GHT<\/h1>\n<p>Pour s\u00e9curiser la convergence des SI et se diriger \u00e0 terme vers une fusion des organisations et des SI, le contr\u00f4le des acc\u00e8s, des \u00e9changes (EAI) et la f\u00e9d\u00e9ration des identit\u00e9s sont des chantiers cl\u00e9s. En ayant pour strat\u00e9gie le cadre normatif ISO\u00a027001 \u2013 qu\u2019il soit obligatoire ou non pour l\u2019\u00e9tablissement support (HDS et loi Sant\u00e9) \u2013, cela garantit d\u2019am\u00e9liorer progressivement le niveau de s\u00e9curit\u00e9 de l\u2019ensemble du GHT. Et, surtout, il s\u2019agit de f\u00e9d\u00e9rer autour du RSSI les forces permettant de construire la s\u00e9curit\u00e9 dans le temps avec les DIM, CIL, futurs DPO (<em>data protection officers<\/em>), \u00e9quipe s\u00fbret\u00e9, CSSI pour\u2009:<\/p>\n<ul>\n<li>adopter les m\u00eames r\u00e8gles de la conception \u00e0 la fin de vie des syst\u00e8mes\u2009;<\/li>\n<li>harmoniser les moyens de protection (beaucoup de produits peuvent s\u2019\u00e9tendre par licence)\u2009;<\/li>\n<li>former \u00e0 l\u2019analyse de risques le r\u00e9seau de CSSI et utiliser une cartographie commune\u2009;<\/li>\n<li>g\u00e9rer ensemble les incidents et les crises.<\/li>\n<\/ul>\n<h1>Au-del\u00e0, la s\u00e9curit\u00e9 num\u00e9rique augment\u00e9e<\/h1>\n<p>De nombreux acteurs peuvent aider \u00e0 construire notre s\u00e9curit\u00e9\u2009:<\/p>\n<ul>\n<li>l\u2019Anssi, la Cnil, la D\u00e9l\u00e9gation \u00e0 la strat\u00e9gie des syst\u00e8mes d\u2019information de sant\u00e9 (DSSIS), la HAS, le service du haut fonctionnaire de d\u00e9fense et de s\u00e9curit\u00e9 (HFDS) et son fonctionnaire de s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information (FSSI), tous proposent des conseils, des guides et des outils tr\u00e8s utiles (disponibles sur leurs sites Web). L\u2019Asip met \u00e0 disposition des r\u00e9f\u00e9rentiels opposables pour le secteur sant\u00e9\u2009;<\/li>\n<li>des groupements d\u2019achat et leurs experts qui construisent des segments s\u00e9curit\u00e9 adapt\u00e9s au monde de la sant\u00e9\u2009: l\u2019UniHA et la Centrale d\u2019achat de l\u2019informatique hospitali\u00e8re (CAIH).<\/li>\n<\/ul>\n<p>Pensons aussi \u00e0 nos utilisateurs, qui constituent les derniers remparts contre les attaques complexes\u2009: sensibilisation et ripostes r\u00e9flexes seront des gages d\u2019agilit\u00e9 (une bo\u00eete pour rediriger tout e-mail douteux ou encore un <em>e-learning<\/em> disponible dans le cadre de la CAIH).\u00a0Enfin, pensons \u00e0 nos \u00e9diteurs et \u00e0 nos prestataires\u2009: nous devons obtenir un socle de s\u00e9curit\u00e9 pour leurs applications et leur maintenance. C\u2019est un enjeu extr\u00eamement important pour le syst\u00e8me d\u2019information des GHT, qui pourra peut-\u00eatre passer par un label s\u00e9curit\u00e9 des logiciels sant\u00e9, au-del\u00e0 du label qualit\u00e9 existant (Asip).<\/p>\n<script>function PlayerjsAsync(){} if(window[\"Playerjs\"]){PlayerjsAsync();}<\/script>","protected":false},"excerpt":{"rendered":"<p>Apr\u00e8s avoir construit, fusionn\u00e9 et s\u00e9curis\u00e9 des syst\u00e8mes d\u2019information (SI) industriels et administratifs, nous constatons depuis six ans que, au-del\u00e0 de la gestion des patients et des donn\u00e9es m\u00e9dicales, notre SI hospitalier regroupe, avec le domaine biom\u00e9dical, la gestion technique et la gestion logistique, toutes les facettes du num\u00e9rique. Ainsi, informatique de gestion, de process ou encore l\u2019Internet des objets se c\u00f4toient de mani\u00e8re acc\u00e9l\u00e9r\u00e9e dans des modes de plus&hellip; <\/p>\n","protected":false},"author":23133,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","footnotes":""},"categories":[26,2],"tags":[],"class_list":["post-33987","post","type-post","status-publish","format-standard","hentry","category-dossier","category-gestions-hospitalieres"],"acf":[],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v24.8.1 - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier - Gestions hospitali\u00e8res<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier - Gestions hospitali\u00e8res\" \/>\n<meta property=\"og:description\" content=\"Apr\u00e8s avoir construit, fusionn\u00e9 et s\u00e9curis\u00e9 des syst\u00e8mes d\u2019information (SI) industriels et administratifs, nous constatons depuis six ans que, au-del\u00e0 de la gestion des patients et des donn\u00e9es m\u00e9dicales, notre SI hospitalier regroupe, avec le domaine biom\u00e9dical, la gestion technique et la gestion logistique, toutes les facettes du num\u00e9rique. Ainsi, informatique de gestion, de process ou encore l\u2019Internet des objets se c\u00f4toient de mani\u00e8re acc\u00e9l\u00e9r\u00e9e dans des modes de plus&hellip;\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/\" \/>\n<meta property=\"og:site_name\" content=\"Gestions hospitali\u00e8res\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/gestionshospitalieres\/\" \/>\n<meta property=\"article:published_time\" content=\"2017-04-01T08:32:59+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2018-03-06T11:08:58+00:00\" \/>\n<meta name=\"author\" content=\"Gestions hospitali\u00e8res\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@revue_GH\" \/>\n<meta name=\"twitter:site\" content=\"@revue_GH\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"Gestions hospitali\u00e8res\" \/>\n\t<meta name=\"twitter:label2\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data2\" content=\"12 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/\"},\"author\":{\"name\":\"Gestions hospitali\u00e8res\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/person\/3ba9fe913190dfe9507feb621e902c1f\"},\"headline\":\"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier\",\"datePublished\":\"2017-04-01T08:32:59+00:00\",\"dateModified\":\"2018-03-06T11:08:58+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/\"},\"wordCount\":2340,\"commentCount\":0,\"publisher\":{\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#organization\"},\"articleSection\":[\"dossier\",\"Gestions Hospitali\u00e8res\"],\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/\",\"url\":\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/\",\"name\":\"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier - Gestions hospitali\u00e8res\",\"isPartOf\":{\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#website\"},\"datePublished\":\"2017-04-01T08:32:59+00:00\",\"dateModified\":\"2018-03-06T11:08:58+00:00\",\"breadcrumb\":{\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\/\/www.ricom-web8.com\/gestions\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#website\",\"url\":\"https:\/\/www.ricom-web8.com\/gestions\/\",\"name\":\"Gestions hospitali\u00e8res\",\"description\":\"la revue des d\u00e9cideurs hospitaliers\",\"publisher\":{\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.ricom-web8.com\/gestions\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#organization\",\"name\":\"Gestions hospitali\u00e8res\",\"url\":\"https:\/\/www.ricom-web8.com\/gestions\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/gestions-hospitalieres.fr\/wp-content\/uploads\/2017\/02\/picto_Gif-GH-trans.png\",\"contentUrl\":\"https:\/\/gestions-hospitalieres.fr\/wp-content\/uploads\/2017\/02\/picto_Gif-GH-trans.png\",\"width\":512,\"height\":512,\"caption\":\"Gestions hospitali\u00e8res\"},\"image\":{\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/gestionshospitalieres\/\",\"https:\/\/x.com\/revue_GH\",\"https:\/\/www.linkedin.com\/company\/gestions-hospitalieres?trk=top_nav_home\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/person\/3ba9fe913190dfe9507feb621e902c1f\",\"name\":\"Gestions hospitali\u00e8res\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/1a0d93e6db5dbe7dac96bae4757d256f?s=96&d=mm&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/1a0d93e6db5dbe7dac96bae4757d256f?s=96&d=mm&r=g\",\"caption\":\"Gestions hospitali\u00e8res\"},\"url\":\"https:\/\/www.ricom-web8.com\/gestions\/author\/benjamin\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier - Gestions hospitali\u00e8res","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/","og_locale":"fr_FR","og_type":"article","og_title":"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier - Gestions hospitali\u00e8res","og_description":"Apr\u00e8s avoir construit, fusionn\u00e9 et s\u00e9curis\u00e9 des syst\u00e8mes d\u2019information (SI) industriels et administratifs, nous constatons depuis six ans que, au-del\u00e0 de la gestion des patients et des donn\u00e9es m\u00e9dicales, notre SI hospitalier regroupe, avec le domaine biom\u00e9dical, la gestion technique et la gestion logistique, toutes les facettes du num\u00e9rique. Ainsi, informatique de gestion, de process ou encore l\u2019Internet des objets se c\u00f4toient de mani\u00e8re acc\u00e9l\u00e9r\u00e9e dans des modes de plus&hellip;","og_url":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/","og_site_name":"Gestions hospitali\u00e8res","article_publisher":"https:\/\/www.facebook.com\/gestionshospitalieres\/","article_published_time":"2017-04-01T08:32:59+00:00","article_modified_time":"2018-03-06T11:08:58+00:00","author":"Gestions hospitali\u00e8res","twitter_card":"summary_large_image","twitter_creator":"@revue_GH","twitter_site":"@revue_GH","twitter_misc":{"\u00c9crit par":"Gestions hospitali\u00e8res","Dur\u00e9e de lecture estim\u00e9e":"12 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#article","isPartOf":{"@id":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/"},"author":{"name":"Gestions hospitali\u00e8res","@id":"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/person\/3ba9fe913190dfe9507feb621e902c1f"},"headline":"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier","datePublished":"2017-04-01T08:32:59+00:00","dateModified":"2018-03-06T11:08:58+00:00","mainEntityOfPage":{"@id":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/"},"wordCount":2340,"commentCount":0,"publisher":{"@id":"https:\/\/www.ricom-web8.com\/gestions\/#organization"},"articleSection":["dossier","Gestions Hospitali\u00e8res"],"inLanguage":"fr-FR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/","url":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/","name":"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier - Gestions hospitali\u00e8res","isPartOf":{"@id":"https:\/\/www.ricom-web8.com\/gestions\/#website"},"datePublished":"2017-04-01T08:32:59+00:00","dateModified":"2018-03-06T11:08:58+00:00","breadcrumb":{"@id":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/www.ricom-web8.com\/gestions\/securite-numerique-environnement-hospitalier\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/www.ricom-web8.com\/gestions\/"},{"@type":"ListItem","position":2,"name":"La s\u00e9curit\u00e9 num\u00e9rique en environnement hospitalier"}]},{"@type":"WebSite","@id":"https:\/\/www.ricom-web8.com\/gestions\/#website","url":"https:\/\/www.ricom-web8.com\/gestions\/","name":"Gestions hospitali\u00e8res","description":"la revue des d\u00e9cideurs hospitaliers","publisher":{"@id":"https:\/\/www.ricom-web8.com\/gestions\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.ricom-web8.com\/gestions\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Organization","@id":"https:\/\/www.ricom-web8.com\/gestions\/#organization","name":"Gestions hospitali\u00e8res","url":"https:\/\/www.ricom-web8.com\/gestions\/","logo":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/logo\/image\/","url":"https:\/\/gestions-hospitalieres.fr\/wp-content\/uploads\/2017\/02\/picto_Gif-GH-trans.png","contentUrl":"https:\/\/gestions-hospitalieres.fr\/wp-content\/uploads\/2017\/02\/picto_Gif-GH-trans.png","width":512,"height":512,"caption":"Gestions hospitali\u00e8res"},"image":{"@id":"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/gestionshospitalieres\/","https:\/\/x.com\/revue_GH","https:\/\/www.linkedin.com\/company\/gestions-hospitalieres?trk=top_nav_home"]},{"@type":"Person","@id":"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/person\/3ba9fe913190dfe9507feb621e902c1f","name":"Gestions hospitali\u00e8res","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/www.ricom-web8.com\/gestions\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/1a0d93e6db5dbe7dac96bae4757d256f?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/1a0d93e6db5dbe7dac96bae4757d256f?s=96&d=mm&r=g","caption":"Gestions hospitali\u00e8res"},"url":"https:\/\/www.ricom-web8.com\/gestions\/author\/benjamin\/"}]}},"_links":{"self":[{"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/posts\/33987","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/users\/23133"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/comments?post=33987"}],"version-history":[{"count":0,"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/posts\/33987\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/media?parent=33987"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/categories?post=33987"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ricom-web8.com\/gestions\/wp-json\/wp\/v2\/tags?post=33987"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}