Illustrant les liens privilégiés et l’ambition partagée de l’ARS et du GRADeS Normandie, SECUR’NeS offre un précieux panorama des réalisations du comité régional des RSSI, qui lui-même entend faciliter la mutualisation d’outils techniques et fédérer un réseau de compétences régionales. 

Grâce à cette stratégie commune, l’ARS et le GRADeS Normandie ont mis en place tout un panel d’offres régionales visant à consolider les points forts des structures normandes de santé.

          • Description
 
L’action des utilisateurs joue un rôle déterminant face aux menaces cyber, car elle peut prévenir ou aggraver un incident de sécurité. Ce constat met en évidence l’absolue nécessité de sensibiliser l’ensemble du personnel aux bonnes pratiques de cybersécurité. 
 
Le GRADeS Normandie accompagne les établissements sanitaires, médico-sociaux et sociaux dans l’acculturation à la cybersécurité de leurs personnels, grâce à la mise à disposition de l’offre régionale de sensibilisation à la sécurité de l’information, financée en grande partie par l’ARS Normandie. 
 
          • Fonctionnement
 
La plateforme est administrée localement par chaque responsable SSI d’établissement : il peut ainsi enrôler et gérer les utilisateurs, choisir les cours, les quiz et les supports de communication mis à leur disposition et suivre leur progression. 
 
Des tests de phishing, qui consistent en l’envoi de mails frauduleux fictifs avec des liens cliquables, peuvent également être opérés depuis la plateforme, afin de mesurer le niveau de vigilance des utilisateurs.  
 
          • Accès à l’offre régionale
 
Les structures normandes disposant de la fonction RSSI et souhaitant s’outiller peuvent souscrire à l’instance indépendante de l’offre SECUR’NeS_Sensibilisation via le site web vitrine des offres régionales SECUR’NeS : https://www.securnes.fr. Ils peuvent ensuite utiliser la solution via l’espace régional de travail des RSSI « Le volet SECUR’NeS de l'ENRS Norm’Uni - Espace Numérique Régional de Santé Norm'Uni » : https://www.norm-uni.fr/portail.pro/. 
 
Les structures normandes ne disposant pas de la fonction RSSI (et situées hors GHT - Groupement Régional de Territoire), mais qui souhaiteraient sensibiliser leurs salariés peuvent souscrire GRATUITEMENT à l’instance mutualisée de l’offre SECUR’NeS Sensibilisation via le site web vitrine des offres régionales SECUR’NeS : https://www.securnes.fr. Les campagnes de sensibilisation seront ensuite réalisées par l’éditeur titulaire de l’offre régionale SECUR’NeS Sensibilisation. 

          • Description
 
L’offre régionale de pilotage de la sécurité de l’information représente une opportunité majeure pour industrialiser la gouvernance SSI. Mais la majorité des RSSI disposent d’un outillage limité pour justement mener ces activités de gouvernance.  Dans la plupart des cas, seuls des outils Excel sont à disposition pour gérer séparément les analyses de risques, les contrôles permanents ou encore les plans d’action issus des audits. 
 
Ce défaut d’outillage complique l’obtention d’une vision régionale consolidée des différentes activités et impacte directement l’efficacité de la SSI régionale. 
 
C’est pourquoi le GRADeS Normandie a souhaité accompagner les structures normandes de santé disposant de la fonction RSSI, en mettant à leur disposition une offre régionale dédiée au pilotage de la sécurité de l’information, et financée par les structures de santé membres du comité régional des RSSI. 
 
​          • Fonctionnement
 
La plateforme est administrée localement par chaque responsable SSI d’établissement. Il peut ainsi modéliser son organisation SSI, sélectionner ses politiques, définir ses risques, évaluer sa position, construire son plan d’action, maintenir ses dispositifs opérationnels, définir ses plans de contrôle, gérer ses incidents/décorations/écarts, choisir ses indicateurs, renseigner ses tableaux de bord et bénéficier de l’aide à la décision.  
 
​          •Accès à l’offre régionale
 
Les structures normandes disposant de la fonction RSSI et souhaitant s’outiller peuvent souscrire à l’instance indépendante de l’offre SECUR’NeS_Pilotage via le site web vitrine des offres régionales SECUR’NeS : https://www.securnes.fr, et ensuite utiliser la solution à travers l’espace régional de travail des RSSI « Le volet SECUR’NeS de l'ENRS Norm’Uni - Espace Numérique Régional de Santé Norm'Uni » : https://www.norm-uni.fr/portail.pro/. 
 
Les structures normandes ne disposant pas de la fonction RSSI (et situées hors GHT), mais souhaitant s’outiller peuvent souscrire (sous certaines conditions) à l’instance mutualisée de l’offre SECUR’NeS_Pilotage via le site web vitrine des offres régionales SECUR’NeS : https://www.securnes.fr. Cette instance mutualisée sera administrée par le RSSI du GRADeS Normandie. 

Pour poursuivre et consolider cette dynamique, le comité régional des RSSI a notamment identifié les projets de mutualisation suivants : 

• La détection et la réponse régionale aux incidents cyber 
• Les audits de sécurité 
• Les tests d’intrusion 
• La formation continue des RSSI
• L’escape game ciblant la sécurité numérique en santé

Sponsors : 

• Olivier ANGOT, Directeur du GRADeS Normandie et animateur du comité technique des DSI
• Fabian RICHARD, Responsable e-Santé de l'ARS Normandie et référent régional cyber

Rédacteur / Coordinateur : 

• Simon LARCHE, Responsable sécurité des systèmes d'information du GRADeS Normandie et animateur du comité régional des RSSI

L’INS constitue l’un des projets socles de la feuille de route du numérique en santé. Il garantit que l’ensemble des projets de la feuille de route soient construits sur des fondations solides pour sécuriser l’identification des patients et le partage de données de santé tout au long de leur parcours. 
 
Afin de rendre la récupération et l’exploitation de l’INS les plus transparentes possibles pour les utilisateurs, les équipes R&D de Maincare Solutions, en concertation avec l’ANS et les sites pilotes, se sont attachées à automatiser au maximum les processus d’échange avec les téléservices lors des phases d’admission et de préadmission. 
 
La version certifiée INSi du logiciel M-GAM sera installée d’ici mi-novembre auprès du premier site pilote, le GHT de la Dordogne, territoire pilote sur l’INS en Nouvelle-Aquitaine. 
 
Cette autorisation est une étape importante pour Maincare Solutions qui accélère son engagement pour la doctrine technique du numérique en santé et de sa feuille de route #MaSanté2022 au cours des tous prochains mois. 
 
Ainsi, d’ici la fin de l’année 2020, Maincare Solutions engagera les démarches d’autorisation INSi d’autres solutions majeures de son catalogue au bénéfice de ses clients. Début 2021, Maincare Solutions communiquera également à ses clients une feuille de route détaillée d’évolutions de ses solutions précisant pour chacune les modalités d’intégration des 4 services et référentiels socles prioritaires que sont le DMP, la MSSanté, l’INS et Pro Santé Connect. 
 
« L’intégration des référentiels et services socles nationaux est indispensable pour la modernisation de notre système de santé et la concrétisation d’une vision décloisonnée des prises en charge que nous portons depuis plus de 10 ans », indique Franck Lehmann, Directeur du Pôle Digitalisation des Fonctions Supports de Maincare Solutions. « C’est pourquoi au cours des prochains mois nous allons largement accélérer les travaux d’intégration des services socles nationaux et nous prendrons dans ce sens de nouveaux engagements forts et très concrets auprès de nos clients. » 
 

Pilier de la feuille de route du numérique en santé, la généralisation de l’Identifiant National de Santé (INS) devrait permettre de sécuriser les partages de données de santé entre les différents acteurs de la prise en charge d’un patient. « Le déploiement de l’INS dans les établissements sanitaires, dans les établissements médico-sociaux et en ville est le gage d’une amélioration de la qualité et de la sécurité de l’identification des usagers, confient Marianne Benamo et le Dr. Bernard Giusiano, responsables de l'identitovigilance à l'Assitance Publique – Hôpitaux de Marseille (AP-HM). Le rôle de l’INS va être crucial pour prévenir la création de doublons - lorsqu’une personne a deux dossiers dans la même structure - ainsi que le risque de collisions - quand les informations de deux personnes se trouvent dans le même dossier. Tout cela arrive plus souvent qu’on ne le croit et peut avoir malheureusement des conséquences graves pour la santé des personnes. » 
 

Permettant de rechercher l’INS d’une personne via des traits d’identités ou la lecture de sa carte vitale, le téléservice INSi joue un rôle central dans la mise en place de ce nouvel outil. Prévue pour 2021, l’instauration de ce nouvel identifiant vient de passer un cap : trois éditeurs de logiciels destinés aux établissements de soins et un éditeur de logiciel d’imagerie médicale viennent d’être agréé par le Centre National de Dépôt et d’Agrément (CNDA). Ils ont ainsi obtenu l’autorisation d’utiliser le téléservice INSi au sein de leurs logiciels : Logevitale (Logemed), Suite Medical Objects (Mediware), Xplore (EDL) et Pastel (MiPih). 
« La manière d’intégrer l’INS a fait l’objet d’un travail collectif sur les sites pilotes à Marseille et à Orléans, réunissant des acteurs du terrain, les professionnels de l’identitovigilance et les équipes de la direction des systèmes d’information avec les différents éditeurs concernés,raconte Isabelle Claude, cheffe de produits au MiPih. Cela a permis de gagner un temps précieux pour nos autres clients, et cela a contribué à la réalisation du guide d’implémentation sur l’INS, complémentaire au guide d’intégration du téléservice qui a été mis à disposition par le GIE Sesam-Vitale ». 

Une fois cette première étape passée, les quatre éditeurs de logiciels vont maintenant procéder au déploiement de la nouvelle version de ces logiciels au sein des établissements de santé. « D’autres éditeurs sont actuellement en cours de test et devraient bientôt obtenir leur autorisation », précisent le ministère des Solidarités et de la Santé, l’Assurance Maladie, l’Agence du numérique en santé et Sesam-Vitale dans un communiqué commun.