ASIP Santé (Agence des Systèmes d’Information Partagés de santé)
Sécurité numérique dans le secteur de la santé
support d’...
L’ASIP Santé, une agence qui œuvre à la
promotion de la e-santé
2
Objectifs :
Favoriser le développement des
systèmes d’in...
Missions et projets de l’ASIP Santé
Axes missions et projets :
 Axe 1 - Définir et promouvoir le cadre national d’urbanis...
ASIP santé : urbanisation et sécurité de
l’écosystème
4
Socle d’interopérabilité Socle de sécurité
RPPS /
annuaire
santé
I...
Les spécificités de la sphère
santé
Sécurité numérique dans la sphère santé - Septembre 2015 5
Acteurs de la sphère santé et
environnements de travail
Sécurité numérique dans la sphère santé - Septembre 2015 6
Plus d’...
Acteurs de la sphère santé et
environnements de travail
Sécurité numérique dans la sphère santé - Septembre 2015 7
• une s...
Acteurs de la sphère santé et
environnements de travail
Sécurité numérique dans la sphère santé - Septembre 2015 8
… et au...
Espace de confiance et
système CPS
9
CHAPITRE E
Sécurité numérique dans la sphère santé - Septembre 2015
10
Référentiel
Opposable
RPPS
Autorités
d’enregistrement
(Ordres
professionnels, SSA,
ARS)
annuaire.sante.fr
Accès à la e-...
La carte CPS : titre fondateur de l’espace national
de confiance Santé
La carte de professionnel de santé (CPS) :
• pièce ...
Usages dans l’espace national de
confiance santé
Les principaux usages mettant en œuvre l’authentification forte sont :
• ...
Réflexions et retours
d’expérience sur la sécurité des
Si en santé
Sécurité numérique dans la sphère santé - Septembre 201...
Réflexions et retours d’expérience sur la sécurité
des Si en santé
 Le spectre de la sécurité est parfois / trop souvent ...
Réflexions et retours d’expérience sur la sécurité
des Si en santé
 Une démarche de mise en œuvre de la sécurité + pragma...
ANNEXES
Sécurité numérique dans la sphère santé - Septembre 2015 16
La PGSSI-S (Politique générale de sécurité des SI de santé) - un corpus de documents de
référence sur la sécurité à destin...
Agrément des hébergeurs de données de santé
Cadre légal et réglementaire :
Article L. 1111-8 du code de la santé publique ...
Le Cadre d’Interopérabilité des SIS
• Référentiel central qui spécifie les standards (le plus souvent internationaux : IHE...
Urbanisation: Référentiels d’interopérabilité
Modèle des Objets de Santé (MOS)
20
Le Modèle des Objets de Santé
Formalisat...
Prochain SlideShare
Chargement dans…5
×

Asip telecom paristech v2

104 vues

Publié le

Sécurité Numérique dans le secteur de la santé support d'échange.
Présentation de l'ASIP. Les spécificité de la sphère santé.Espace de confiance et système CPS. retours d'expérience sur la sécurité des SI en santé.

Publié dans : Santé
0 commentaire
0 j’aime
Statistiques
Remarques
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Aucun téléchargement
Vues
Nombre de vues
104
Sur SlideShare
0
Issues des intégrations
0
Intégrations
2
Actions
Partages
0
Téléchargements
1
Commentaires
0
J’aime
0
Intégrations 0
Aucune incorporation

Aucune remarque pour cette diapositive

Asip telecom paristech v2

  1. 1. ASIP Santé (Agence des Systèmes d’Information Partagés de santé) Sécurité numérique dans le secteur de la santé support d’échange Telecom ParisTech 23 Septembre 2015
  2. 2. L’ASIP Santé, une agence qui œuvre à la promotion de la e-santé 2 Objectifs : Favoriser le développement des systèmes d’information partagés dans les secteurs de la santé et du médico-social afin de développer la coordination et la qualité des soins, la prévention, la veille et l’alerte sanitaire. Membres du Conseil d’Administration : L’Etat, l’Assurance Maladie et la Caisse Nationale de Solidarité pour l’autonomie (CNSA) L’Agence des Systèmes d’Information Partagés de Santé (130 agents) a été créée en 2009 4 grandes missions Sécurité numérique dans la sphère santé - Septembre 2015
  3. 3. Missions et projets de l’ASIP Santé Axes missions et projets :  Axe 1 - Définir et promouvoir le cadre national d’urbanisation des systèmes d’information de santé et du domaine médico-social : • Cadre d’interopérabilité des SI de santé (CI-SIS), Modèle et nomenclature des objets de santé (MOS/NOS), • Politique générale de sécurité des SI de santé (PGSSI-S), • Procédure d’agrément des hébergeurs de données de santé, • Identifiant national de santé (INS), • Guides : projets eSanté en région, territoires de santé numérique, dossier communicant de cancérologie  Axe 2 - Mise en œuvre d’infrastructures nationales permettant le développement d’échanges et de partages sécurisés : • Répertoire Partagé des Professionnels de Santé (RPPS), • Cartes à puce des professionnels de santé (CPS), • Messagerie sécurisée de santé (MSSanté), • Dossier Médical Personnel (DMP),  Axe 3 - Autres projets en délégation du Ministère : • Modernisation SI et télécom des SAMU Centres, • Répertoire Opérationnel des Ressources (ROR) • Portail des Vigilances (PVIG), • SI des centres anti-poison, • … 3Sécurité numérique dans la sphère santé - Septembre 2015
  4. 4. ASIP santé : urbanisation et sécurité de l’écosystème 4 Socle d’interopérabilité Socle de sécurité RPPS / annuaire santé INS PGSSI Hébergement des données de santé Cadre d’interopérabilité des SIS Socle identification Authentification (carte CPS..) Service hospitalier + Social PAERPAUrgences Radiologue, biologiste Pharmacien Para-médicaux Médecin traitant Médecin spécialiste Patient ESPACE DE CONFIANCE INTEROPERABLE Services nationaux, régionaux, territoriaux… MOS/NOS Services numériques de coordination des soins Sécurité numérique dans la sphère santé - Septembre 2015
  5. 5. Les spécificités de la sphère santé Sécurité numérique dans la sphère santé - Septembre 2015 5
  6. 6. Acteurs de la sphère santé et environnements de travail Sécurité numérique dans la sphère santé - Septembre 2015 6 Plus d’1 million de professionnels de santé (dans une définition restreinte - 22 professions réglementées) et 60 000 structures de santé (du CHU à la PMI ou l’EHPAD dont 3000 établissements de santé) • des conditions d’exercice très différentes et souvent mixtes ou multiples : hôpital – ou exercice collectif, ville – ou exercice individuel, réseau de santé, … mais une nécessité d’échange et de partage des données :  une prise en charge santé multi factorielle (ville-hôpital, multi spécialités, …) imposant de plus en plus d’échanges dématérialisés  décloisonnement ville – hôpital, organisation du parcours de santé, soins primaires en maison de santé pluridisciplinaire, … • un taux d’équipement en informatique [dont le dossier patient informatisé] moyen – avec un fort écart type  certains professionnels de santé en exercice libéral ne sont pas équipés ou uniquement pour l’envoi de Feuilles de Soin Electronique (FSE)  d’autres structures de production de soins sont en revanche complètement informatisées (hôpitaux : DPI, plateau techniques, plus rarement la production des soins), voire automatisées (plateaux techniques des laboratoires d’analyses biologiques, des cabinets d’imagerie médicale, …)
  7. 7. Acteurs de la sphère santé et environnements de travail Sécurité numérique dans la sphère santé - Septembre 2015 7 • une sensibilité élevée à la confidentialité des données de santé à caractère personnel • « Quoi que je voie ou entende dans la société pendant, ou même hors de l’exercice de ma profession, je tairai ce qui n’a jamais besoin d’être divulgué, regardant la discrétion comme un devoir en pareil cas. » Serment d’Hippocrate • mais une culture SSI finalement assez peu développée  la SSI est souvent considérée comme un sujet technique et non comme une composante de la gestion des risques  la situation en ES évolue :  sensibilisation par la DGOS, PGSSI-S, prérequis Hôpital Numérique, …  Accompagnement progressif : GCS eSanté, URPS, …
  8. 8. Acteurs de la sphère santé et environnements de travail Sécurité numérique dans la sphère santé - Septembre 2015 8 … et au moins autant de postes de travail (sans régulation/norme nationale) : • des terminaux multiples (et des interfaces multiples) adaptés aux différentes conditions d’exercice :  PC fixe, portable, tablette, PDA,  Système d’Information Hospitalier (SIH) très divers : client lourd, client légers, TSE, CITRIX ….SIH intégrés (ERP) / SIH urbanisés… voire SIH en SAAS  Presque 200 éditeurs ou logiciels de gestion de cabinet (essentiellement locaux mais émergence du mode SAAS) • des systèmes d’exploitation (et versions d’OS) variés :  Windows (de Windows 2000 !! à Windows 10 , Mac, voire IOS, Android … Java … • des modes de « mise en œuvre » [installation, intégration, maintenance, …] en évolution :  du logiciel acheté et installé, avec ou sans intégrateur, mode SAAS, ….
  9. 9. Espace de confiance et système CPS 9 CHAPITRE E Sécurité numérique dans la sphère santé - Septembre 2015
  10. 10. 10 Référentiel Opposable RPPS Autorités d’enregistrement (Ordres professionnels, SSA, ARS) annuaire.sante.fr Accès à la e-santé, échange et partage d’informations médicales à caractère personnel : DMP, messagerie sécurisée, télémédecine, dématérialisation de déclarations (e-fit, Cert-DC, e-DO…), accès à des sites collaboratifs (réseaux de santé..) RPPS : Répertoire Partagés des Professionnels de Santé Espace national de confiance santé Titre fondateur : carte CPS & diversification des solutions d’authentification avec des dispositifs associés Les données du RPPS sont réputées fiables et opposables : elles tiennent lieu de pièces justificatives 1. ANNUAIRE Annuaire MSSanté (avec PS Adeli, BAL MSSanté..) SI RASS Annuaire.sante.fr : service de publication via des web-services, et une IHM
  11. 11. La carte CPS : titre fondateur de l’espace national de confiance Santé La carte de professionnel de santé (CPS) : • pièce d’identité professionnelle électronique délivrée aux professionnels de santé pour sécuriser le partage et l’échange d’informations médicales à caractère personnel. • mise en œuvre de la carte CPS dans le système de feuille de soin électronique de l’Assurance maladie : 1,2 milliards de FSE par an Fonctionnalités offertes par la carte CPS: • authentification forte du professionnel (porteur de carte) et signature numérique 1. en mode contact 2. pour réaliser pleinement les opérations cryptographiques permettant de sécuriser le partage et l’échange d’informations médicales à caractère personnel • authentification simple de la carte • en mode sans contact : lecture de la carte à moins de 5 cm du lecteur • pour faciliter l’usage de la carte en situation de mobilité au sein d’une organisation de santé. 11Sécurité numérique dans la sphère santé - Septembre 2015
  12. 12. Usages dans l’espace national de confiance santé Les principaux usages mettant en œuvre l’authentification forte sont : • Feuille de Soin Electronique • Authentification directe auprès des télé-services du secteur Santé • Dossier Médical Personnel (DMP), • Messageries Sécurisées de Santé (MSSanté), • Télé-services de la CNAMTS : Espace PRO, Consultation des droits réels en ligne (CDR), • Dossier pharmaceutique (DP), • Dématérialisation des fiches d’incident transfusionnel (E-fit), • Dématérialisation du volet médical des certificats de décès (Cert-DC), • Télé déclaration des maladies à déclaration obligatoire (E-DO), • Accès aux plateformes régionales de services nécessitant une authentification par CPS… • Authentification directe auprès du système d’information utilisé par le professionnel de santé dans le cadre de sa production de soins • SI d’une structure de soins (direct ou via une solution de SSO), • Logiciels pour les professions de santé libéraux 12Sécurité numérique dans la sphère santé - Septembre 2015
  13. 13. Réflexions et retours d’expérience sur la sécurité des Si en santé Sécurité numérique dans la sphère santé - Septembre 2015 13
  14. 14. Réflexions et retours d’expérience sur la sécurité des Si en santé  Le spectre de la sécurité est parfois / trop souvent réduit à la dimension confidentialité (vs. DICA)  Nécessité d’impliquer l’ensemble des acteurs • les professionnels de santé  culture forte des professionnels de santé concernant la sensibilité des données de leurs patients (papier / Hippocrate) mais il faut faire émerger une culture SSI sectorielle (+ de 1 million d’acteurs …)  sensibiliser les PS : le secteur de la santé n’est pas épargné par les attaques (intrusion, chantage en cas de vol de données ou aux fichiers chiffrés, …) – et l’utilisateur reste un « bon » vecteur d’attaque (voire le meilleur)  proposer des solutions adaptées aux pratiques professionnelles (complexe notamment du fait de la multiplicité des processus métier et des modes d’exercice, …) / difficulté de dématérialiser à iso processus • les industriels  définition d’une cible claire, exigeante mais pérenne – proposer une trajectoire d’évolution / voir la progressivité de la PGSSI-S  une réalité terrain des SI de santé à prendre en compte – des produits sur marché mondial pouvant rencontrer des difficultés à s’adapter à des contraintes nationales, s’adapter aux roadmaps • les pouvoirs publics  proposer un encadrement réglementaire / opposabilité de la PGSSI-S  trouver les leviers – notamment économiques (hôpital numérique, …) 14Sécurité numérique dans la sphère santé - Septembre 2015
  15. 15. Réflexions et retours d’expérience sur la sécurité des Si en santé  Une démarche de mise en œuvre de la sécurité + pragmatique • la sécurité des SI doit accompagner l’émergence de la e-santé et ne doit pas se limiter à être un risque projet • équilibrer sécurité, performance et ergonomie  arbitrer dans le souci de la sécurité du patient et de l’efficacité de sa prise en charge  proposer des trajectoires d’amélioration constante sans rupture de sécurité, de performances et d’ergonomie • nécessaire arbitrage entre :  confidentialité et perte de chance et donc  sécurité à priori (contrôle d’accès) et sécurité a posteriori (imputabilité des actions dont la consultation) mais l’imputabilité des actions reste théorique s’il n’y a pas de pénalisation des mésusages • la quantification des impacts et la probabilité d’occurrence (l’intérêt à agir pour les acteurs malveillants) doivent permettre de graduer les niveaux de sécurité • la confiance (ou la sécurité ressentie) est aussi importante que la sécurité effective  Acceptabilité du système  Attention : même avec un niveau d’usage limité, un incident à l’impact critique, voire une médiatisation, reste toujours possible 15Sécurité numérique dans la sphère santé - Septembre 2015
  16. 16. ANNEXES Sécurité numérique dans la sphère santé - Septembre 2015 16
  17. 17. La PGSSI-S (Politique générale de sécurité des SI de santé) - un corpus de documents de référence sur la sécurité à destination des acteurs du secteur sanitaire : • élaborée en concertation avec les acteurs du secteur (professionnels de santé, structures de soin, industriels, institutionnels) ; • axée sur la notion de paliers progressifs avec un palier inférieur aisément atteint ; • composée de documents produits au fil de l’eau. 17 Urbanisation : Référentiels de sécurité Politique Générale de sécurité des SIS (PGSSI-S) Les Référentiels : documents destinés à devenir opposables (ex. : référentiel d’authentification des acteurs de santé - référentiel d’imputabilité) Les Guides pratiques : documents présentant les bonnes pratiques sur un sujet particulier (ex. : mémento du libéral , guide pratique pour les dispositifs connectés, pour le accès tiers…)       Publié Publication prévue (concertation publique terminée) Sécurité numérique dans la sphère santé - Septembre 2015      
  18. 18. Agrément des hébergeurs de données de santé Cadre légal et réglementaire : Article L. 1111-8 du code de la santé publique (loi « Kouchner » du 4 mars 2002) Organisation et encadrement du dépôt, de la conservation et de la restitution des données de santé à caractère personnel, dans des conditions de nature à garantir leur confidentialité et leur sécurité Décret 2006-6 du 4 janvier 2006 Définition des conditions d’obtention de l'agrément des hébergeurs et processus global de traitement d'une demande d'agrément Objectifs : Permettre aux pouvoirs publics de : • s’assurer que les garanties indispensables exigées par les textes sont apportées aux patients concernant l’hébergement de leurs données de santé, notamment: o sécurité et pérennité des données o respect des droits du patient • favoriser le développement des prestataires de services d’hébergement, l’agrément constituant une reconnaissance de savoir-faire. Acteurs concernés : • Entité qui héberge des données de santé personnelles pour le compte d’un tiers • L’agrément porte sur un service (ou une famille de services) opéré par un hébergeur Procédure : • Dossiers instruits par l’ASIP Santé pour le compte du Comité d’Agrément, composé de représentants de professionnels de santé, d’usagers de santé et de l’IGAS, ainsi que d’un collège d’experts en sécurité des données de santé, droit et questions éthiques, nommés pour 5 ans Evolution de la procédure d’agrément en cours 18 Urbanisation : Référentiels de sécurité Agrément des hébergeurs de données de santé Nombre de dossiers instruits depuis 2009 : • 212 dossiers de candidature ont été déposés. • 78 services d’hébergement ont été agréés à la suite d’une demande initiale. • 14 renouvellements d’agrément ont été accordés. • 40 dossiers sont en cours de traitement. • 61 demandes d’agrément ont été refusées. • 19 dossiers n’ont pas été traités (annulés par les candidats ou incomplets). Sécurité numérique dans la sphère santé - Septembre 2015
  19. 19. Le Cadre d’Interopérabilité des SIS • Référentiel central qui spécifie les standards (le plus souvent internationaux : IHE, HL7) à utiliser dans les échanges et lors du partage de données de santé entre SIS, • Encadre la mise en œuvre de ces standards par des spécifications d’implémentation pour faciliter le déploiement de l’interopérabilité entre SIS dans les conditions de sécurité requises. 19 Urbanisation : Référentiels d’interopérabilité Cadre d’interopérabilité des SIS (CI-SIS) Spécifications sous la forme de : • Cahiers d’implémentation ou volets Partition : • Intéropérabilité médicale (contenu) / interopérabilité technique • Interopérabilité technique : o Structuration des échanges o Services o Transport • Sécurité intégrée dans les volets Vue simplifiée du corpus documentaire du CI-SIS Les processus d’élaboration du CI-SIS sont en cours de refonte : • Maintien du principe de la concertation publique sur tous les volets comme un axe important de leur qualité et de leur utilisabilité – essentiel aussi pour l’adhésion des industriels • Formalisation de l’instruction des besoins métiers sous l’angle interopérabilité afin de réduire les itérations et formaliser la production des volets Sécurité numérique dans la sphère santé - Septembre 2015
  20. 20. Urbanisation: Référentiels d’interopérabilité Modèle des Objets de Santé (MOS) 20 Le Modèle des Objets de Santé Formalisation par l’ASIP Santé des objets de santé au profit de l’ensemble des promoteurs d’application (publics, privés) pour favoriser l’interopérabilité « structurelle » des SI de santé. • Couvre les domaines suivants : o personnes morales (structures) o personnes physiques (professionnels) o entités organisationnelles (structures internes des établissements) – en cible o offre de soins – en cible o équipements – en cible • Décrit chaque objet avec : o sa définition o sa structure (ses attributs) ainsi que les nomenclatures associées aux attributs de type «code» o ses association avec les autres objets • Fait référence à la NOS (Nomenclature des Objets de Santé). • Est en cohérence étroite avec le CI-SIS et permet aux industriels d’organiser leurs produits autour de concepts communs manipulés par l’ensemble du secteur (pas uniquement dans le cadre de l’échange et du partage). Sécurité numérique dans la sphère santé - Septembre 2015

×