Temps de lecture estimé : 16 minutes
Avec le développement de la digitalisation du domaine de la santé, le vol, le piratage et la falsification de données numériques représentent de véritables menaces que tous les hébergeurs de données de santé se doivent d'anticiper.
Mais quelle est réellement l'ampleur de telles menaces sur la sécurité de données extrêmement sensibles ? Nous avons rédigé cet article afin de vous en dire un peu plus sur le sujet, tout en vous renseignant sur les différentes réformes de lois relatives à la modernisation de l'hébergement de données de santé en France.
01. Les données des patients : Une proie facile pour les pirates
02. Pourquoi viser le secteur Santé exactement ?
03. Hébergeur de données de santé : qu'est-ce que c'est réellement ?
04. Quels métiers d'hébergement sont concernés ?
05. Qu'en est-il de la Certification ?
06. Quelles peuvent être les éventuelles sanctions ?
Aujourd'hui, le domaine sanitaire est devenu l'une des cibles privilégiées par les cybercriminels. En 2014, près d'un million de dossiers ont été hackés sur les serveurs d'une entreprise d'assurance maladie américaine. Selon une étude effectuée par Websense, une agence américaine, les piratages de systèmes informatiques des établissements de santé auraient incroyablement haussé de 600% au cours de ces dernières années. La société Vectra a également diffusé un rapport (Spotlight 2019) qui met en avant cette tendance. D'après ce rapport, la finance-assurance (35 %) ainsi que la santé (18 %) sont les domaines les plus touchés par les ransomwares. Une circonstance qui s'explique notamment par un nombre accroissant d'objets connectés dans les centres hospitaliers et un contrôle des accès trop faible.
Cela n'a rien d'étonnant quand on sait que les données de santé sont parmi les plus onéreuses sur le darknet. Il est alors évident que leur hébergement propose des assurances solides en termes de sécurité. De telles menaces planent aussi en France. D'après les rapports de l'Agence des Systèmes d'Information Partagés en Santé ou ASIP Santé, plus de 470 cas de piratages ont été enregistrés dans l'Hexagone entre octobre 2017 et mai 2019.
Le 10 août 2019, tout le réseau de Ramsay-Générale de santé, un groupe privé de 120 établissements de santé, a été attaqué par une cyberattaque. Un virus a paralysé tous les serveurs qui gèrent les messageries et les infrastructures. D'après TICsanté, 4 hôpitaux en moyenne subissent un piratage au quotidien en France.
Un rapport a permis de mettre en évidence 9 principales raisons qui pourraient expliquer l'intérêt des cybercriminels pour le domaine sanitaire :
Pour répondre au besoin de Cybersécurité pour ce genre de données, la loi a qualifié ces données sanitaires d'ultrasensibles. Ainsi, en plus de la RGPD, des règles spécifiques aux données sanitaires en ce qui concerne leurs traitements (collecte, usage, conservation et communication) s'appliquent à cette catégorie de données personnelles.
En vue de la mise en conformité au RGPD des individus hébergeant des données de santé, on se pose souvent la question de l'Agrément de celles-ci prévu à l'article L 1111-8 du Code de la Santé Publique (CSP).
Tout individu hébergeant des données sanitaires personnelles qui ont été recueillies au cours d'activités de soins, de diagnostic, de prévention, de médico-social et suivi social pour le compte de personnes morales ou physiques à l'origine de la production et de recueil de ces données ou encore celui du patient lui-même, doit effectivement être agréé à cet effet. Peu importe le support, électronique ou encore papier, cet hébergement est effectué quand l'individu pris en charge en a été conformément renseigné et sauf opposition pour un motif légitime.
Les traitements de données sanitaires personnelles qu'exige l'hébergement se doivent d'être effectués dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative aux libertés, aux fichiers et à l'informatique. D'où l'importance de faire appel à un hébergeur certifié HDS.
Obligatoire en France et acquise auprès d'un organisme accrédité par le COFRAC, la Certification HDS a substitué la procédure d'Agrément qui fonctionnait davantage sur une logique de déclaration de l'hébergeur par le décret n° 2018-137 du 26 février 2018. Après un processus d'audit sur site et documentaire, elle est délivrée pour 3 ans, avec un contrôle annuel. Les certificats sont délivrés pour deux principaux métiers d'hébergement :
Dès le commencement d'un projet, l'hébergeur doit mesurer l'écart entre la cible de Certification et son existant. Les exigences du référentiel sont issues de 3 principales catégories : le SMSI ou Système de Management de la Sécurité de l'Information ISO 27001, la sécurité de l'information dans le Cloud ISO 27018 et les services informatiques résultant des bonnes pratiques ITIL (ISO 20000).
Le décret exige à l'hébergeur de détenir l'ISO 27001 sur le périmètre d'hébergement. Plusieurs points de conformité obligatoires ont été majorés :
Les différents points clés indispensables à la mise en œuvre d'un SMSI demeurent valables : traitement et analyse des risques, engagement de la direction, gestion de la documentation, traitement des non-conformités, objectifs de sécurité, optimisation continue…
Le référentiel HDS reprend des exigences des normes ISO 27017 (protection des données personnelles) et ISO 27018. Ces différents points doivent être respectés avec beaucoup de rigueur, ainsi qu'incorporés à la déclaration d'applicabilité.
Plusieurs de ses exigences doivent être mises en œuvre afin d'acquérir l'Agrément d'hébergement :
Le plan de continuité des activités doit donc être renforcé pour tout hébergeur.
Si l'hébergement est réalisé sans avoir acquis l'accord indispensable, l'hébergeur non certifié risque une peine d'emprisonnement de 3 ans et d'amende allant jusqu'à 45 000 euros.