Hospitalia, le magazine de l'hôpital pour toute l'actualité et l'information hospitalière https://www.hospitalia.fr/ 2026-09-05T01:04:54+02:00 Webzine Maker 48.8628488 2.3411245 https://www.hospitalia.fr/favicon.ico Le CHU Amiens Picardie certifié hébergeur de données de santé : un véritable coffre-fort pour nos données personnelles 2022-01-10T15:50:00+01:00 https://www.hospitalia.fr/Le-CHU-Amiens-Picardie-certifie-hebergeur-de-donnees-de-sante-un-veritable-coffre-fort-pour-nos-donnees-personnelles_a3068.html https://www.hospitalia.fr/photo/art/imagette/61517604-44820062.jpg 2022-01-10T15:45:00+01:00 Rédaction Le CHU Amiens Picardie certifié hébergeur de données de santé : un véritable coffre-fort pour nos données personnelles
Lors de la prise en charge de ses patients mais aussi des patients des autres hôpitaux partenaires du territoire, lors de partage de dossiers médicaux avec des autres centres ou professionnels de santé, lors de projets de recherche, le CHU Amiens-Picardie recueille et exploite de nombreuses informations à caractère personnel et a choisi d’en assurer lui-même la protection et sécurité optimum.

En tant qu’hébergeur de données de santé (HDS) certifié, le plus haut niveau de certification, le CHU Amiens- Picardie déploie et maintient les moyens pour diminuer les risques, pour renforcer et promouvoir les bonnes pratiques en matière de sécurité informatique et pour résoudre les problèmes.

Sept établissements hospitaliers agréés en France
Le CHU Amiens-Picardie compte parmi les 7 établissements hospitaliers français et les 66 hébergeurs à ce jour agréés par le ministre chargé de la santé. Ces données dites de santé sont par exemple des informations d’une personne physique obtenues suite à un test ou un examen pour une maladie, un handicap, des antécédents médicaux, un traitement clinique...

Ce processus de sécurisation maximale des données de santé est lié au projet de mutualisation de moyens des hôpitaux du territoire (Somme Littoral Sud – 10 établissements publics de santé).

Le CHU Amiens-Picardie en tant qu’animateur, souhaitait proposer des solutions communes d’hébergement et sécurisation des données de santé dans le respect des réglementations en vigueur. La convergence et compatibilité des différents systèmes d’information des hôpitaux facilitent la prise en charge des patients amenés à être transférés ou accueillis dans plusieurs établissements. Leur protection en un lieu hautement sécurisé est une des garanties essentielles qui peut maintenant être présentée aux patients. La mutualisation des systèmes d’informations sur le GHT Somme Littoral Sud et le certificat HDS permettent aussi l’accès à des nouveaux outils ou applicatifs, qu’un hôpital seul ne pourrait déployer. Les établissements pourront mutualiser et homogénéiser certaines tâches administratives et bénéficier de nouveaux outils.

Un important travail depuis deux ans
Devenir hébergeur de santé officiel (HDS) a demandé un important travail depuis 2 ans. Ce niveau couvre les sites physiques, les infrastructures matérielles et virtuelles, les plateformes d’hébergement, le maintien en condition opérationnelle, l’administration, l’exploitation et la sauvegarde.

Le CHU Amiens-Picardie a été accompagné dans cette lourde démarche qui engage l’établissement et ses partenaires, qui oblige à investir technologiquement et humainement et à établir le contrôle régulier des bonnes pratiques (système de contrôle et amélioration continus).
  •   Cette démarche de certification est règlementaire car liée au RGPD ou Règlement Général sur la Protection des Données, dont les règles sont européennes et inscrite dans la continuité de la Loi française Informatique et Libertés de 1978 (CNIL).
  •   Elle est également liée aux normes ISO, proche de la 27001 (Système de Management de la Sécurité de l’Information avec une sécurité irréprochable, tant en matière de confidentialité que de disponibilité, d’intégrité et de traçabilité). 114 mesures sont établies et sont dorénavant suivies.
  •   La démarche et l’investissement sont associés à des moyens et procédures techniques importants. Si 75% des moyens et de l’architecture utile était déjà présents au CHU Amiens-Picardie, il a fallu renforcer les compétences des équipes techniques, les équipements de sécurité, les serveurs, les nouveaux systèmes de stockage.

]]> Hébergement des données de santé : pourquoi passer directement à la certification ? 2018-02-24T11:35:00+01:00 https://www.hospitalia.fr/Hebergement-des-donnees-de-sante-pourquoi-passer-directement-a-la-certification_a1367.html https://www.hospitalia.fr/photo/art/imagette/20316360-23842056.jpg 2018-02-20T18:18:00+01:00 Rédaction Hébergement des données de santé : pourquoi passer directement à la certification ?
Depuis 2009, l’ASIP Santé a joué un rôle pivot dans la régulation des hébergeurs de données de santé (HDS). Pendant neuf ans, l’agence a assuré le secrétariat de la procédure d’agrément mais aussi pré-instruit les éléments juridiques, techniques et financiers présentés par les candidats qui souhaitaient obtenir l’agrément HDS.
 
En lien avec le ministère des Solidarités et de la Santé (délégation à la stratégie des systèmes d’information de santé, DSSIS), l’ASIP Santé travaille depuis plusieurs mois à la nouvelle procédure de certification. Cette nouvelle procédure a été définie par les pouvoirs publics en concertation avec les ordres des professions de santé, les fédérations d’entreprises du secteur de la santé, les associations de patients, les fédérations d’établissements de santé et la CNIL. Celle-ci prévoit d’encadrer l’activité d’hébergement de données de santé par une évaluation de conformité à un référentiel de certification. Cette certification sera délivrée par un organisme de certification accrédité par le COFRAC (ou équivalent au niveau européen). Les grands principes de la certification seront précisés prochainement par un décret en Conseil d’Etat.
 
Dans cette période de transition, l’agence a publié fin novembre 2017 les premiers référentiels d’accréditation et de certification qui doivent permettre aux acteurs concernés d’anticiper leur mise en œuvre.
 
Les hébergeurs de données de santé doivent privilégier cette nouvelle procédure, qui vise à renforcer leur positionnement en tant que professionnel de l’hébergement apportant un niveau de service qui garantit la sécurité et la confidentialité des données de santé.

Les atouts de la procédure de certification
La procédure de certification permet de s’aligner avec les grands standards internationaux de l’ISO :
  • les exigences de la norme ISO 27001 « système de gestion de la sécurité des systèmes d’information » ;
  • des exigences de la norme ISO 20000 « système de gestion de la qualité des services » ;
  • des exigences de la norme ISO 27018 « protection des données à caractère personnel ». En outre, elle est complétée de quelques points de contrôles adaptés à la particulière sensibilité des données de santé.
 
Cette spécificité française pourra ainsi s’exporter, constituer un gage de sécurité des services d’hébergement de données de santé et devenir un réel atout concurrentiel, au-delà du territoire français.

Les demandes d’agrément en cours
Dans ce contexte de transition, les candidats actuellement engagés dans la constitution d’un dossier de demande d’agrément doivent être particulièrement vigilants à la qualité de leur dossier (bienfondé et complétude du dossier). Il est rappelé qu’en cas de demande de compléments, les candidats disposent d’un délai maximum de deux mois pour y répondre.
Passé ce délai, l’instruction du dossier est poursuivie en l’état et risque de conduire à un avis défavorable.
 
C’est pourquoi, l’ASIP Santé encourage les candidats à favoriser cette nouvelle procédure. La mise en œuvre de la procédure de certification est une prévalence pour les industriels qui souhaitent devenir hébergeurs de données de santé. Ainsi, ils anticiperont et mettront en avant leur capacité d’adaptation à la protection des données de santé à caractère personnel.
 
Toutes les informations concernant l’ouverture de la procédure de certification ou de demande d’agrément sont disponibles sur le site e-sante.gouv.fr (rubrique Services – hébergement des données de santé).

]]> Certification hébergement données de santé : un nouveau modèle pour les infogéreurs 2017-12-21T14:40:00+01:00 https://www.hospitalia.fr/Certification-hebergement-donnees-de-sante-un-nouveau-modele-pour-les-infogereurs_a1301.html https://www.hospitalia.fr/photo/art/imagette/18872708-22936562.jpg 2017-12-21T14:40:00+01:00 Rédaction Certification hébergement données de santé : un nouveau modèle pour les infogéreurs
En 2018, le processus d’agrément des hébergeurs de données de santé va évoluer vers une certification basée sur les normes ISO.

Ce passage d’un agrément basé sur un dossier déclaratif, à une certification basée sur un audit sur site, va bouleverser la manière de travailler d’un certain nombre d’HADS (Hébergeurs Agréés de Données de Santé). Une partie d’entre eux vont voir leur métier modifié au-delà de ce changement de procédure. 

Une certification et un audit pour répondre aux limites de l’agrément
Le modèle actuel d'agrément est en fin de vie. Pour encore quelques mois, sur les bases d'une déclaration, l'hébergeur candidat exprime toute sa bonne foi dans un énorme dossier remis à l’ASIP. Le candidat ne fait l’objet d’aucun audit de la part des autorités.

L'exercice consiste donc à être cohérent et crédible face aux règles énoncées par le Ministère de la santé. Et pour certains, parfois ne pas réaliser complétement ce qui a été écrit... Nous comprenons très vite les limites d'un tel système, notamment en termes de sécurité numérique.

Le modèle de certification désormais proposé par la DSSIS (Délégation à la Stratégie des Systèmes d’Information de Santé) et l'ASIP Santé cherche à accroître la confiance envers les hébergeurs, en instaurant un audit sur site réalisé par un tiers indépendant. Et ceci aux frais de l'hébergeur.

De ce fait, le ticket d'entrée de la certification sera bien plus élevé que ne l’était celui de l'agrément, avec pour conséquence une redistribution des cartes chez les actuels hébergeurs déjà agréés. 

Le paradigme du contrôle de l’application
La réalisation d’un audit n'est pas le seul changement notable. Un autre paradigme change avec la certification : le contrôle de l'application. 
 
Dans le modèle actuel, les hébergeurs se sont attribués le contrôle de l'applicatif de leur client, remplissant un vide juridique laissé par le décret instaurant l'agrément en 2010. Cette philosophie, portée par les hébergeurs historiques, a permis de protéger ces derniers des grands cloud providers, en construisant un modèle franco-français d'hébergement de données de santé. L'intention était louable - protéger la donnée de santé du citoyen français - mais a eu d’autres conséquences.

Ce modèle n’a pas démontré sa capacité à porter l’investissement massif permettant l’éclosion de plateformes d’IoT, de deep learning ou encore de big data. En ralentissant l'accès à l'agrément aux très grands fournisseurs IaaS et Cloud, le modèle a peut-être freiné l'innovation nécessaire dans la santé. 

La certification change-t-elle la donne ?
Certification hébergement données de santé : un nouveau modèle pour les infogéreurs
En analysant la dernière version de travail, nous pouvons penser que oui. En retirant le contrôle de l'applicatif aux hébergeurs et en proposant un système à deux étages, un certificat hébergeur d'infrastructure physique et un certificat d'infogéreur, les autorités publiques obligent ou autorisent, selon les points de vue, les hébergeurs à une transformation de leur métier.


Ce schéma de l’ASIP présente les composantes des deux certifications à venir : 

Rien n'empêche l’infogéreur d'opérer ses propres infrastructures. Dans ce cas de figure, il est titulaire des deux certificats. Cela peut être un bon modèle pour l'univers hospitalier par exemple.

Mais la certification l’autorise aussi à opérer des plateformes fournies par les grands fournisseurs de cloud et de IaaS. A sa charge dans ce cas-là de :
- Assurer le maintien en condition opérationnelle, la sécurité et la conformité.
- Proposer une couche de service innovante et complémentaire en adéquation avec le besoin terrain.
- Trouver le ou les bons partenaires respectueux de la législation en vigueur mais capable d'apporter cette force de frappe manquant cruellement à la santé française.

L'innovation cumulée entre les infogéreurs et les fournisseurs IaaS et Cloud Public pourraient permettre le développement de grands projets de santé et de recherche. 

Des incertitudes demeurent
Toutefois, si les autorités publiques françaises ont retiré aux hébergeurs ce rôle de radar automatique de l'applicatif de leur client (ce qui règle quelques douloureux problèmes d'éthique, avouons-le), il est à regretter que rien ne fut pensé pour le remplacer. Et pourtant, la règle qui veut que 80% des attaques aient lieu sur l'applicatif (et non sur l'infrastructure) est toujours une réalité.

Il est donc important que les autorités publiques montent le troisième étage du dispositif, qui voudrait qu'un organisme tiers de confiance et indépendant contrôle l'application traitant de la donnée de santé.

De même, le positionnement des autorités publiques sur l'obligation des GHT à se certifier HDS doit être confirmé. En effet le décloisonnement ville-hôpital devient désormais une stratégie nationale avec pour conséquence, une ouverture croissante des SI hospitaliers.

Des établissements support sont désignés pour porter le projet informatique pour tous leurs voisins. Il est donc plus que temps de se questionner sur l’encadrement des données de santé des GHT, dans le même format et avec les mêmes règles que chez un hébergeur de données certifié. 

Infogéreur santé : un métier d’avenir
Pour conclure, l’infogéreur en santé n’exerce plus de contrôle sur l'application de ses clients. Il garde un devoir d’information et d’alerte et s’il en est capable, les accompagne dans une démarche vertueuse de sécurisation. Et désormais, il autorise, facilite et contrôle l'accès à des services de IaaS et de cloud innovants, en phase avec le besoin de la santé en France. 

]]> Adista obtient l’agrément « Hébergeur de Données de Santé » et lance Oppidom, son offre santé 2017-03-27T11:50:00+02:00 https://www.hospitalia.fr/Adista-obtient-l-agrement-Hebergeur-de-Donnees-de-Sante-et-lance-Oppidom-son-offre-sante_a1126.html https://www.hospitalia.fr/photo/art/imagette/11455113-19130337.jpg 2017-03-27T11:50:00+02:00 Rédaction Adista obtient l’agrément « Hébergeur de Données de Santé » et lance Oppidom, son offre santé
Les préoccupations du secteur de la santé, en pleine transition numérique, concernent l’amélioration de la qualité des soins, la fluidification du parcours de soins des patients et la facilitation du partage et de l’échange d’informations entre professionnels.
 
Ces actions doivent être menées dans un contexte de restriction budgétaire, de rapprochement ou de fusion d’établissements, aussi bien dans le secteur privé que public. Avec une accélération des contraintes et obligations réglementaires, notamment sur la protection des données personnelles.

La protection des données de santé, un enjeu majeur
Le volume des données de santé explose, alors les cyberattaques progressent, particulièrement en France (+ 51% contre +38% dans le monde).
 
Près de 90% des attaques ransomware sur le 2ème trimestre 2016 ont ainsi concerné des établissements de santé (selon la circulaire de la DSSIS publiée en octobre 2016). Réputation des établissements, risques pour la sécurité des soins, les conséquences, financières et juridiques notamment, peuvent être importantes.

Oppidom, l’offre santé Adista hébergée dans des Datacenter en France
Avec cette multiplication des intervenants, et des données de santé à caractère personnel qui transitent via les réseaux, la sécurité doit être une priorité pour éliminer tout risque de perte, de fuite, et de corruption des informations de santé.
 
Pour pallier ces risques, Adista a créé une Business Unit dédiée à la Santé, à l’origine du développement de l’offre Oppidom, réponse aux besoins en matière d’hébergement des Systèmes d’Information de Santé.
 
Avec Oppidom, Adista est en mesure de proposer à ses nombreux clients du secteur santé (hôpitaux, cliniques, EHPAD...) des solutions et des services identiques à ceux de ses clients entreprises et collectivités, en matière d’hébergement de système d’information, à partir de ses propres Datacenter situés en France.

La valeur ajoutée d’Adista : opérateur et hébergeur
Déployer des solutions d’échange, de partage et d’hébergement des données est une chose, mais proposer le réseau, performant, sécurisé et adapté aux besoins de la structure concernée est primordial.
 
Oppidom bénéfice ainsi de toutes les possibilités proposées par l’opérateur de télécoms innovant qu’est Adista. Maîtrisant toutes les technologies d’accès et réseaux hybrides, Adista propose une vision intelligente du réseau d’accès, managé en fonction des applications et des établissements.
La bande passante requise augmente tous les ans, impliquant des enjeux techniques et financiers.
 
Adista propose un savoir-faire très apprécié, pour intégrer des accès internet par nature très différents dans un même réseau privé d’interconnexion, libérant les établissements de la contrainte de dimensionner leurs besoins en permanence et se proposant d'offrir un ratio coût / performance des plus intéressants.
 
Adista est l’un des très rares acteurs de la santé en France qui allie les métiers de l’infrastructure informatique, d’opérateur télécoms, et des services managés, avec la dimension Hébergeur de Données de Santé.

Sa présence nationale, tout en conservant une dimension humaine, permet à Adista d’accompagner toutes les structures : de l’EHPAD au groupement régional, voire national, d’établissements.
 
http://sante.adista.fr

]]>