analyse des diffÉrents cadres de rÉfÉrence
Post on 22-Jun-2022
2 Views
Preview:
TRANSCRIPT
A N A LY S E D E S D I F F É R E N T S C A D R E S D E R É F É R E N C E
Bénédicte GUERRIER
Mardi 27 avril 2021
POINTS ABORDES
• Déclarer les incidents de sécurité du Système
d’Information
• Les outils à votre disposition
• La qualité du SI:
– La certification SIH
– La certification QHN
2
3
LES ACTIONS DE LA FEUILLE DE ROUTE
4
L A D E C L A R A T I O N D E S I N C I D E N T S D E S E C U R I T E S I
5
OBSERVATOIRE DES INCIDENTS DE SÉCURITÉ A N N É E 2 0 2 0
6
Cellule ACSS (devient cellule CERT-Santé)
Haut fonctionnaire de défense et de sécurité (HFDS) et Fonctionnaire de sécurité des systèmes d’information (FSSI)
ANSSI: Agence Nationale de Sécurité des SI – ANSM: Agence Nationale de Sécurité du Médicament et des Produits de santé
CORRUS : Centre opérationnel de régulation et de réponse aux urgences sanitaires et sociales
LES MENACES CROISSENT EN 2020
60% des incidents déclarés ont une origine malveillante (+17% par rapport à 2019)
60% des incidents ont un impact sur des données à caractère personnel (patient) principalement
l’indisponibilité
43% sont des maliciels*
35% sont liés à une activité de phisphing**
42% sont liées à l’exploitation d’une vulnérabilité sur un accès à distance (bureau à distance,
webmail, VPN, …)
Source HFDS
*programmes malveillants – logiciels malveillants
** hameçonnage7
RAPPELS DES OBLIGATIONS
Depuis le 1er octobre 2017 , les structures ci-dessous doivent signaler sans délai tout incident
de sécurité de leurs systèmes d’information aux autorités compétentes de l'Etat (ARS) et à
l'Agence du numérique en santé (ANS):
• les établissements de santé,
• les établissements médico-sociaux,
• les hôpitaux des armées,
• les centres de radiothérapie,
• les laboratoires de biologie médicale.
Cette obligation découle de l'article 110 de la Loi de modernisation de notre système de santé du 26
janvier 2016 puis ordonnance publiée le 19 novembre au JO (pour les ESMS)
8
QUE DOIT-ON DECLARER ?
Toute action ou suspicion d’action malveillante ayant un impact sur le fonctionnement
normal de l’établissement.
Incidents sur :
• la sécurité des soins,
• la confidentialité ou l’intégrité des données de santé,
• le fonctionnement normal des établissements, de l’organisme ou d’un service.
9
AUPRES DE QUI DECLARER ?• Portail de signalement des événements sanitaires indésirables: www.signalement.social-
sante.gouv.fr/ sur l’espace « professionnels de santé » en renseignant le formulaire dédié.
• En cas d’urgence/ incident majeur
– accueil téléphonique en heures ouvrées 9h-18h sans interruption :
+33 09 72 43 91 25 et cyberveille@esante.gouv.fr
• En cas d’incident majeur en heures non ouvrables ou jours non ouvrables
– les demandes sont prises en charge par l’astreinte HFDS/FSSI et l’ANSSI:
+33 01 71 75 84 68 et ssi@sg.social.gouv.fr/ cert-fr.cossi@ssi.gouv.fr/
10
L E S O U T I L S
11
LES OUTILS A VOTRE DISPOSITION
12
PGSSI-S
Fiches pratiques pour réagir contre le hameçonnage et contre les maliciels
Mise à jour du guide de bonnes pratiques sur la sécurité des mots de passe
LES 42 RÈGLES DE SÉCURITÉ SIMPLES
I - Sensibiliser et former
II - Connaître le système d’information
III - Authentifier et contrôler les accès
IV - Sécuriser les postes
V - Sécuriser le réseau
VI - Sécuriser l’administration
VII - Gérer le nomadisme
VIII - Maintenir le système d’information à jour
IX - Superviser, auditer, réagir
13
Version 2.0 - Septembre 2017
L’INCONTOURNABLE RISQUE NUMÉRIQUE
14
Version 1- 2019
ORGANISER UN EXERCICE DE GESTION DE CRISE CYBER
Les 4 étapes à suivre
Etape 1 _ concevoir son exercice
Etape II _ préparer son exercice
Etape II _ dérouler son exercice
Etape IV _ tirer les enseignements de l’exercice
15Version 1.0 – Octobre 2020 -ANSSI-PA- 081
L A Q U A L I T E E T G E S T I O N D E S R I S Q U E S D E S S I
C E R T I F I C A T I O N
16
17
LES ACTIONS DE LA FEUILLE DE ROUTE
18
LE DISPOSITIF DE CERTIFICATION
A C T I O N 2 3 D E L A F E U I L L E D E R O U T E .
19
LE DISPOSITIF DE CERTIFICATION
Un référentiel d’évaluation de la maturité numérique (MaturiN-H)
+
des modalités de contrôle
détermination des niveaux de maturité numérique des ES
=
Dispositif de certification SI
Cette certification représente un réel levier de transformation pour les établissements de santé en
l’intégrant dans une démarche continue pour l’amélioration la qualité et la sécurité des soins.
20
OBJECTIFS DE LA CERTIFICATION SIH
1. Promouvoir la e-santé en donnant un cadre clair et partagé
2. Améliorer la qualité du service rendu par l'organisation informatique
3. S’assurer du niveau de sécurité requis
4. Garantir le bon niveau d'utilisation du numérique
5. Engager les acteurs à développer des services utiles aux usagers et aux professionnels, dans
le respect des valeurs et du cadre définis par la puissance publique
6. Simplifier les déclarations de conformité dans la mesure où la certification SI permettra
d’éviter des déclarations redondantes
21
LES CARACTÉRISTIQUES DU DISPOSITIF
1. Rassemble un ensemble de critères d’évaluation de la maturité numérique des
établissements
2. S’appuiera progressivement sur les conformités définies par différentes
démarches déjà existantes (IFAQ, Programme HOP’En, Plan d’actions SSI, Auditabilité des SI, Ethique du
numérique et développement durable, NIS OSE, Conformité dans la règlementation de traitement des données à
caractère personnel (RGPD), Conformité du SI à la doctrine technique du numérique en santé, Exigences en matière
d’interopérabilité (DMP, plateforme régionale …), …)
3. Ne se substitue pas aux diverses démarches de certification de type ISO ou
autres que vous pouvez souhaiter mener (Certification HAS, HDS, modèle international EMRAM
HISS) mais cherche à s’articuler avec elles
4. Permet de se comparer aux différents niveaux internationaux
5. Permet la modulation des niveaux d’exigences selon les types d’établissements
22
LE RÉFÉRENTIEL MATURIN-H
7 dimensions
5 degrés de maturité
1- Ethique et numérique
II – Pratique de management du SI
III- Adéquation fonctionnelle
IV- Adéquation de l’infrastructure
V- Qualité de service
VI- Sécurité des SI
VII- Performance, usage et satisfaction
1. Insuffisant: tout niveau en dessous du niveau de base
2. De base: niveau minimal admissible
3. Défini : niveau acceptable en vue d’établir des bonnes pratiques
4. Maîtrisé : niveau correspondant aux bonnes pratiques « à l’état de l’art »
5. Optimisé : niveau des meilleures pratiques contribuant à faire évoluer « l’état de l’art »
23
UN CRITERE D’EVALUATION
24Source : Réunion éditeurs 15 12 2020
UN SCORE DE MATURITÉEXEMPLE « SÉCURITÉ DE L’IDENTIFICATION DU PATIENT »
25
MODALITÉS DE CONTRÔLE DE LA CERTIFICATION
SIH
26
L’autoévaluation, conduite par votre établissement de santé ou votre GHT : utiliser un outil de mesure de la complétude du recueil des données nécessaires au référentiel de certification SI
Cette première étape va permettre d’évaluer la maturité des systèmes d’information tant au niveau technique qu’opérationnel.
Cette autoévaluation permettra de classer la maturité de chaque critère de l’évaluation selon cinq niveaux.
MODALITÉS DE CONTRÔLE DE LA CERTIFICATION
SIH
27
Les contrôles externes sont les différents contrôles que votre établissement ou votre GHT a fait réaliser dans le cadre de procédures officielles précises (certification des comptes, accréditation des laboratoires de biologie, ISO 27001, certification hébergeur de données de santé, etc.).
Une procédure spécifique de « certification SI » pourrait être envisagée par la suite et pourrait conduire à l’obtention d’un label « Certifié Qualité SI ».
Elle resterait à l’initiative de l’établissement et correspondrait à sa volonté de faire valoir l’obtention d’un haut niveau de qualité de son système d’information.
CALENDRIER
Version du référentiel MaturiN-H
fin 2021/début 2022
Etablissement et validation des grilles de calcul des scores de maturité numérique associés à des objectifs et programmes nationaux
2022 / 2023
o Scores IFAQ du numérique
o Scores HAS du numérique
o Scores SEGUR du numérique
o Scores ENRAM STAR
o Scores ETHIQUE du numérique
28
L A C E R T I F I C A T I O N Q U A L I T E H O P I T A L
N U M E R I Q U E ( Q H N ) P O U R L E S É D I T E U R S
29
QHN: UNE DÉMARCHE DE CERTIFICATION QUALITÉ ÉDITEUR POUR RÉPONDRE AUX ATTENTES DES ETABLISSEMENTS DE SANTE
La connaissance de ce référentiel vous permettra:
D’améliorer vos relations contractuelles avec votre ou vos éditeurs
De vous assurer de votre conformité (organisations et éléments documentaires) et ce
qu’il faut éventuellement mettre en place
De mieux appréhender ce que vous êtes en droit d’attendre de vos fournisseurs de
solution de logicielles:
• Editeurs de logiciels
• Développeurs de logiciels
• Intégrateurs de logiciels
• Fournisseurs de solution en mode service (SaaS)
• Fournisseurs de dispositifs médicaux
30
QHN: UNE DÉMARCHE DE CERTIFICATION QUALITÉ ÉDITEUR POUR RÉPONDRE AUX ATTENTES DES ETABLISSEMENTS DE SANTE
Le certificat Qualité Hôpital Numérique (QHN) est une garantie de qualité de service des
solutions informatiques à destination des professionnels de santé exerçant dans les
établissements de santé.
Il est attribué aux industriels fournisseurs de solutions informatiques et dont le système de
management de la qualité respecte le référentiel Qualité Hôpital Numérique.
Le certificat QHN :
-précise les obligations des industriels et des établissements de santé (parties prenantes)
-garantit que :
• Les logiciels sont testés avant leur installation en production
• Les déploiements sont efficaces et réalisés par des équipes formées et stables
• Le support est réactif
• L’industriel donne de la visibilité sur l’évolution de ses produits31
EDITEURS CERTIFIES QHN
32
Source ANS
33
QHN ET HOP’EN: DES EXIGENCES LIÉES
QHN ET HOP’EN: DES EXIGENCES LIÉES
34
M E R C I D E V O T R E AT T E N T I O N
35
top related