Pourriez-vous revenir sur la création du Club RSSI Santé ? 

Thomas Aubin : La création officielle du Club RSSI Santé en association loi 1901 remonte à 2023. Mais cette structuration est l’aboutissement d’une dynamique bien plus ancienne. Depuis plusieurs années, des RSSI hospitaliers échangeaient déjà de manière informelle. À l’origine, il s’agissait surtout de partager des retours d’expériences entre pairs confrontés aux mêmes problématiques. La création de l’association a permis de formaliser et d’institutionnaliser cette démarche, mais aussi de porter une voix unifiée auprès des instances nationales. Nous avons également fait le choix d’une présidence tournante, limitée à deux ans et non renouvelable, afin de préserver une vision réellement collective.  

Parmi vos actions, le « clausier de sécurité » revient régulièrement. Est-ce un projet initié dès la création du Club ? 

Oui, ce travail s’inscrit dans la continuité d’initiatives antérieures. Il trouve son origine à l’Assistance Publique - Hôpitaux de Marseille (AP-HM), où Philippe Touron et ses équipes avaient commencé à identifier des exigences de sécurité applicables aux marchés publics. Le Club RSSI Santé a ensuite enrichi et structuré cette base pour en faire un référentiel partagé. Le document a été rendu public à partir de 2024 sous licence ouverte. Progressivement, il a évolué vers un « clausier de conformité numérique », intégrant au-delà de la sécurité des enjeux comme le RGPD, avec l’appui d’autres acteurs, notamment le réseau des DPO hospitaliers et l’AFIB. L’ambition est d’harmoniser nos exigences à l’échelle nationale, y compris auprès des centrales d’achat avec la collaboration de la CAIH/UniHA. 

À quand remonte la dernière version du clausier et comment évolue-t-il dans le temps ? 

La dernière version date de mai 2025. Nous avons fait le choix d’un rythme de mise à jour annuel. Même si les enjeux évoluent rapidement, ce type de document demande un travail approfondi à chaque révision. Chaque nouvelle version intègre à la fois les évolutions réglementaires – nationales comme européennes – et des mesures enrichies, en fonction de l’actualité du moment. En 2025, nous avons introduit un premier volet dédié à l’intelligence artificielle, couvrant des sujets majeurs comme la conformité à l’AI Act, la transparence des modèles, l’information sur les biais ou encore la souveraineté des données. La version 2026 ira plus loin, pour répondre à la montée en maturité des établissements et la diffusion de ces technologies. 

Quels seront les principaux axes d’évolution du clausier en 2026 ? 

Nous avons engagé un important travail de clarification et d’harmonisation. Certains points ont été simplifiés ou précisés à partir des retours des établissements et des industriels, afin de rendre le document plus opérationnel. Le véritable enjeu, désormais, porte sur l’intégration du clausier dans les processus d’achats. Nous travaillons à des propositions pour faciliter son utilisation dans les marchés publics, afin qu’il devienne un levier concret d’évaluation et d’exigences vis-à-vis des prestataires, tout en restant compatible avec les contraintes et les pratiques des établissements. 

Disposez-vous de retours sur son utilisation ? 

Oui, plusieurs établissements se sont déjà approprié le clausier, avec des niveaux d’intégration variables. L’objectif est d’aller vers une adoption la plus large possible, car il constitue un socle commun de sécurité bénéfique à tous. Pour les établissements, il permet de structurer les exigences et de gagner en maturité. Pour les prestataires, il simplifie les réponses aux appels d’offres : une fois leur niveau de conformité établi, ils peuvent le réutiliser d’un marché à l’autre.  

Au-delà du clausier, quelles sont les principales actions du Club RSSI ? 

Notre fonctionnement repose sur trois piliers. D’abord, l’échange entre pairs, véritable raison d’être du collectif : discussions quotidiennes, réunions trimestrielles et même un dispositif de mentorat pour accompagner les nouveaux RSSI dans un environnement complexe. Ensuite, le lien avec les institutions nationales (ANS, ANSSI, CNIL…), avec une participation active aux consultations publiques et aux réflexions réglementaires, afin de porter une vision terrain. Enfin, nous avons des groupes de travail thématiques qui produisent des livrables concrets pour la communauté (gestion de crise, analyse de risques, cloud, etc.). Cette organisation favorise à la fois le partage d’expertise et une production collective adaptée à un environnement en constante évolution. 

Quelles sont aujourd’hui vos priorités ?

À court terme, la révision du clausier reste la priorité majeure. C’est un chantier exigeant, d’autant qu’il repose sur un engagement bénévole des membres. En parallèle, le Club RSSI Santé continue de se développer, comptant aujourd’hui plus de 110 membres issus d’établissements publics de santé. Notre objectif est d’élargir encore cette communauté, idéalement avec un représentant par GHT, afin de renforcer le maillage territorial et les échanges. Nous constatons d’ailleurs une augmentation nette des sollicitations et des partages d’expérience, ce qui confirme l’utilité du collectif. Enfin, l’actualité réglementaire, notamment autour de NIS 2 ou du programme CaRE, alimente fortement nos travaux et nos échanges avec les institutions. Dans ce contexte, nous restons attentifs à préserver nos fondamentaux – partage, production collective, ancrage terrain et lien avec les acteurs nationaux – afin de maintenir la pertinence de nos missions.

Où en est la directive NIS 2 et quel sera son impact pour les établissements de santé ? 

La directive NIS 2 est en cours de transposition dans le cadre de la loi Résilience. Cela dit, la publication récente du référentiel associé par l’ANSSI permet déjà aux établissements de se préparer. Les RSSI peuvent ainsi anticiper les exigences, quitte à ajuster certains éléments à la marge lorsque le cadre sera définitivement stabilisé. Par ailleurs, d’autres dispositifs structurants avancent en parallèle, comme le programme CaRE ou les projets liés à l’identification numérique. Dans ce contexte de complexification, le partage d’expérience entre pairs apparaît plus que jamais essentiel pour accompagner les transformations. 

> Article paru dans Hospitalia #73, édition de mai 2026, à lire ici 

La sécurité des systèmes d'information est un enjeu majeur au sein des établissements de santé, où la protection des données sensibles des patients et la continuité des soins sont deux impératifs primordiaux. Intégrer les outils nécessaires au bon fonctionnement des hôpitaux et autres structures de soins représente dès lors un défi de taille, car il faut à la fois garantir la confidentialité et la sécurité des informations échangées, tout en assurant un accès fluide à ces données. 

« Même pour des experts, l'amoncellement des exigences législatives, réglementaires et normatives en matière de cybersécurité, de protection des données à caractère personnel, et de santé est complexe », résumait, en décembre dernier, Jean-Sylvain Chavanne, responsable de la sécurité des systèmes d’information (RSSI) du CHU de Brest et du GHT de Bretagne Occidentale, lors de la European Cyber Week de Rennes. Né d’une collaboration entre le Club des RSSI Santé, l’AP-HM (Assistance Publique - Hôpitaux de Marseille), les centrales d’achat public UniHA et CAIH et, plus récemment, l’Association française des ingénieurs biomédicaux (AFIB) et le réseau des DPO (délégués à la protection de la donnée) hospitaliers, le Clausier de sécurité numérique tente justement de répondre à cette problématique. 

Parue en 2023 et révisée en 2024, pour intégrer notamment des précisions sur le volet RGPD et les dispositifs médicaux, cette publication « est une synthèse unifiée des exigences de conformité numérique en santé, portées par le RSSI, le DPO et les ingénieurs biomédicaux et qui s’imposent aux acteurs du numérique en santé », a complété le RSSI du CHRU de Brest. « Ce clausier vise à homogénéiser les exigences de sécurité dans les marchés publics et permet aux entreprises de se conformer plus facilement aux réglementations en vigueur ou aux exigences nécessaires pour la protection d’un hôpital en matière de cybersécurité », avait pour sa part précisé la CAIH lors de la publication de la nouvelle version du Clausier. 

Basé sur les orientations définies par l’Agence du numérique en santé (ANS) et la Délégation au numérique en santé (DNS), ainsi que sur les observations et les attentes des organismes ayant participé à la rédaction du document, le Clausier de cybersécurité entend en effet sécuriser davantage les achats numériques et renforcer le respect des normes légales, et ce « dès la phase d’appel d’offres » en s’intégrant pleinement dans la procédure d’achat. Mais il a également d’autres objectifs, comme « réduire les risques légaux et optimiser les ressources » par la mutualisation de compétences expertes, et promouvoir « l'innovation et l'amélioration continue via l'intégration de solutions innovantes et conformes, et l'adaptation régulière aux nouvelles menaces » informatiques.

Le Clausier de sécurité numérique liste ainsi les principales exigences identifiées par ses rédacteurs, classées en dix thématiques générales et cinq cas spécifiques (voir encadré). Au total, ce ne sont pas moins de 118 « points de contrôles »qui sont recensés, couvrant tout autant « les infrastructures logicielles, les terminaux mobiles et les équipements biomédicaux », a détaillé Jean-Sylvain Chavane à l’occasion de la European Cyber Week 2024. « Ce document est libre de droits d’usage ; sa réutilisation est encouragée », a souligné le RSSI, en indiquant par ailleurs que le Clausier a déjà été intégré à un logiciel open source pour la gestion d’un programme de cybersécurité.

Disponible sur le site du Club des RSSI Santé, un fichier Excel vient compléter le document texte, en permettant aux candidats de cocher directement les différents points identifiés dans le Clausier. Un premier onglet aux réponses fermées (oui, non, non concerné) offre ainsi la possibilité au prestataire et à l’établissement de se faire une idée rapide de la candidature, tandis qu’un second onglet permet au candidat de préciser sa réponse et de proposer, le cas échéant, une solution adaptée. « Ce fichier reprend les éléments du Clausier en les présentant sous un autre format, pour faciliter les échanges avec les candidats », a fait valoir Jean-Sylvain Chassagne. 

Issu d’une collaboration associant, entre autres, la Centrale d'achat de l'informatique hospitalière (CAIH) et l’Union des hôpitaux pour les achats (UniHA), le Clausier a tout naturellement trouvé une place de choix dans les marchés publics engagés par ces deux entités. La CAIH avait d’ailleurs intégré ses exigences dans ses marchés publics dès 2022, soit avant même la publication officielle du document. Quelques mois plus tard, le 25 mai 2023 à l’occasion de SantExpo, Nicolas Funel, président de la CAIH, Pierre Thépot, président d’UniHA, ainsi que Béatrice Bérard et Jean-Sylvain Chavanne, représentants du Club des RSSI Santé, signaient une convention de partenariat reposant sur deux axes majeurs, une clause de conformité ainsi que la co-construction de marchés en cybersécurité. 
Un an après, le cercle des partenaires s’élargissait encore avec l’intégration de l’AFIB et du Club des DPO, permettant au Clausier de s’étoffer en précisant les exigences en matière de dispositifs médicaux et de mise en conformité avec le Règlement général de protection des données (RGPD). « L’intégration de l’AFIB et du réseau des DPO a pris tout son sens dans l’amélioration de ce Clausier car les dispositifs médicaux numériques et la protection des données sont des points centraux dans les enjeux de cybersécurité. […] Cela montre que nous sommes bien au-delà du secteur informatique ou de la Direction des systèmes numériques, avait alors noté Thomas Jan, le directeur général adjoint d’UniHA en charge de la stratégie numérique. La mise en œuvre de ce Clausier démontre que la sécurité numérique s’opère dès l’acte d’achat. L’acheteur public et son prescripteur (ingénieur biomédical, pharmacien…) ont donc la responsabilité de la sécurisation des données de leur établissement ».

> Article paru dans Hospitalia #68, édition de février 2025, à lire ici 
 

Le Club des RSSI Santé 

Créé le 10 juillet 2023, le Club des RSSI Santé regroupe les Responsables de la sécurité des systèmes d’information des Groupements hospitaliers de territoire français. Il est constitué sous la forme d’une association à but non lucratif (loi 1901), avec pour objectif premier de « favoriser les échanges entre les établissements publics de santé afin d'homogénéiser les connaissances et les pratiques ». 
L’association compte aujourd’hui 93 adhérents, représentant 76 GHT. Son bureau se compose de quatre membres : Béatrice Bérard, présidente de l’association et Officier de sécurité des systèmes d'information (OSSI) du GHT Val Rhône Centre ; Philippe Turron, vice-président et RSSI du GHT des Hôpitaux de Provence ; Adrien Bourdon, trésorier et RSSI du GHT 85 ; et Jean-Sylvain Chavanne, secrétaire général et RSSI du GHT de Bretagne Occidentale. 
 
118 points réunis en 40 pages

Le Clausier de sécurité numérique liste, en 40 pages, 118 points de contrôles classés en 10 thématiques : la sous-traitance, les logiciels, les identités, l’authentification, la traçabilité, la protection des systèmes, la cryptographie, la maintenance et la télémaintenance, les spécifications Wi-Fi, et la protection des données médicales. Dans chaque thématique, une ou plusieurs exigences sont émises et référencées à l’aide d’un code unique. Ainsi, dans le chapitre « cryptographie », on retrouve par exemple l’exigence O-8.2 : « Les données utiles à l’authentification doivent être chiffrées lors de leur communication et de leur stockage ». 
À ces dispositions générales s’ajoutent cinq cas particuliers : les moyens mobiles, les dispositifs médicaux connectés, les services hébergés en dehors du SI de l’établissement de santé, les services hébergés par l’établissement de santé et intégralement administrés par le titulaire, et enfin le fournisseur de service de développement. Chacun est à son tour détaillé et intègre des exigences de sécurité qui lui sont propres. 

> Le Clausier Sécurité est téléchargeable gratuitement en format texte et Excel sur le site du Club des RSSI Santé  ainsi que sur le site de l’Anap

« Le CHU de Rennes est victime d'une cyberattaque ce mercredi 21 juin ». Par ces simples mots, l’Agence régionale de santé de Bretagne annonçait qu’un nouvel hôpital – encore un – venait d’être victime de pirates informatiques. En ce jour de fête de la Musique, ceux-ci ont lancé une action pour voler les données de l’institution rennaise. Prévenues assez tôt, les équipes ont néanmoins pu limiter ses effets, en coupant notamment les connexions internet. Avec seulement 300 Go de données exfiltrées, le butin sera finalement assez faible. BianLan, le groupe attaquant, a certes menacé de divulguer des informations sur le darknet. Mais « il ne s’est rien passé à ce jour », indique l’établissement, qui n’a payé aucune rançon. Si l’impact en propre de l’attaque est donc resté assez limité, le CHU de Rennes a tout de même dû fonctionner pendant plusieurs heures en mode dégradé, sans que les professionnels de santé aient accès à leurs outils habituels.

« Le camion du SAMU, qui se trouvait en centre-ville pour la fête de la Musique, s’est par exemple retrouvé sans GPS, et avec un accès limité à plusieurs services », s’est remémoré, le 21 novembre dernier, Frédéric Alliaume, responsable de la sécurité des systèmes d’information (RSSI) du CHU de Rennes, à l’occasion de l’European Cyberweek. Organisé tous les ans à Rennes, l’événement dédié à la sécurité informatique consacre toujours une série de conférences au monde de la santé. Pour cette édition 2024, celles-ci étaient au nombre de six avec, notamment, le témoignage des RSSI du CHU de Rennes sur la cyberattaque ayant touché l’établissement l’année précédente. « Les retours d’expériences d’autres établissements nous ont réellement aidés, et nous souhaitons aujourd’hui rendre la pareille », a expliqué Éméric Guillou, le RSSI adjoint, lors de cette présentation qui a fait salle comble. 

Plusieurs mois après l’attaque, l’enquête a permis de mieux comprendre la chronologie des événements. Dès le 17 juin, les attaquants s’étaient ainsi déjà connectés au réseau informatique de l’hôpital, grâce à des identifiants et mots de passe récupérés au préalable. Le 18 juin, ils installent un kit de compromission sur les serveurs visés et se retrouvent administrateurs de domaine. Le lendemain, ils mettent en place des portes dérobées et, le 21 juin, lancent la procédure d’exfiltration des données. 

« À 15h39, le 21 juin 2023, nous avons été alertés par Orange Cyberdéfense sur une fuite de données en cours. En moins d’une heure, une cellule de crise technique est en place, le CHU est isolé du monde extérieur, les sauvegardes sont déconnectées, et un compte à hauts privilèges, qui était compromis, est désinstallé », a résumé Frédéric Alliaume. Un peu plus tard, à 17h, une cellule de crise institutionnelle est également créée au sein de l’établissement, qui se prépare à assurer la continuité de ses activités malgré la déconnexion du réseau internet. « Cette rapidité dans la mise en œuvre des premiers éléments de réponse a été rendue possible par les exercices de gestion d’une crise cyber, qui ont accéléré la prise de décision », a constaté le RSSI. 

Si elle a permis de limiter le volume de données volées, la coupure avec le monde extérieur a un impact sur le fonctionnement de l’hôpital. Sans accès internet, plus rien, ou presque, ne fonctionne. Les applications du SAMU ou de gestion interne sont inutilisables, l’imagerie à distance, la télé-expertise et la téléconsultation sont à l’arrêt, la messagerie professionnelle, la messagerie sécurisée de santé, et l’envoi automatique des comptes-rendus et lettres de liaison de sortie sont suspendus. Il n’y a plus d’échanges avec les établissements extérieurs, plus de biologie réalisée avec des partenaires territoriaux, ni même de dictée vocale. Les fax, la téléphonie, les secrétariats et certains équipements connectés, par exemple pour la télésurveillance en cardiologie ou la surveillance du diabète, fonctionnent quant à eux en mode dégradé. 

Une telle situation pèse donc considérablement sur l’exercice des soignants. Pour les y préparer, les responsables du CHU ont, dès le 21 juin à 20h30, envoyé un SMS aux salariés de l’hôpital. « Nous avons aussi organisé très vite la communication publique, via la diffusion de communiqués de presse et la tenue d’une conférence de presse le 23 juin », a ajouté Éméric Guillou, en insistant sur « la nécessité de communiquer », mais aussi de « maîtriser » cette communication. 

Ce jour du 21 juin 2023, conformément à la réglementation, les responsables du CHU ont également déclaré l’événement auprès du CERT Santé, de l’ANSSI, de l’ARS Bretagne, du Ministère et à la préfecture. Chacun est alors intervenu selon le cadre prévu par la loi, et notamment l’ANSSI pour accompagner l’établissement dans la gestion de la crise et la mise en œuvre d’un plan de sécurisation. Car tous en étaient déjà conscients : plusieurs semaines seront nécessaires pour revenir à un fonctionnement normal. Ainsi, au niveau de la direction des services numériques (DSN) du CHU, toutes les activités hors gestion de crise ont été complètement arrêtées durant 15 jours, et les activités Projets ont été suspendues pendant 3 mois. Le coût financier de la crise est aujourd’hui estimé à 500 000 euros, hors ressources humaines. « La majorité de cette enveloppe a été consacrée aux actions d’amélioration de la sécurité », a indiqué Frédéric Alliaume. Celles-ci ont mobilisé huit personnes durant quatre mois et, aujourd’hui encore, elles continuent d’accaparer une personne à temps plein. 

« Plusieurs actions ont été prévues dans le plan de sécurisation élaboré avec l’ANSSI, notamment le “nettoyage” du système d’information, l’amélioration de la sécurité des accès distants et des serveurs, le renouvellement de tous les mots de passe, ou encore la sécurisation des pratiques d’administration de la DSN », a ajouté le RSSI en évoquant l’instauration de nouvelles mesures « parfois plus contraignantes », mais « nécessaires ». Car, en étudiant le déroulé des événements, les membres de la DSN du CHU de Rennes ont pu identifier les points faibles de leur système, à commencer par un compte à hauts privilèges datant de plusieurs années. 

« Nous savions que ce compte posait problème, mais la peur que sa suppression n’engendre des erreurs dans le système avait repoussé son arrêt », a précisé Éméric Guillou. Le 21 juin, alors que la cyberattaque battait son plein, le compte est finalement désactivé « en catastrophe ». Le responsable est aujourd’hui formel : « Si nous l’avions fait avant, nous n’aurions pas subi cette attaque ». Aussi, « limiter ce type de failles » est aujourd’hui l’une des priorités des RSSI, qui réfléchissent déjà à des mesures sur le long terme pour maîtriser toujours mieux les risques cyber – par exemple via des actions de sensibilisation des professionnels et agents hospitaliers, de nouveaux exercices de crise ou encore la spécification du plan de continuité pour chaque activité de l’hôpital.  

> Article paru dans Hospitalia #67, édition de décembre 2024, à lire ici  
 

Un an après, en mai 2024, le club des RSSI associe 2 nouveaux partenaires dans le dispositif : l’AFIB, l’association française des ingénieurs biomédicaux et le club des DPO, délégués de la protection de la donnée, pour améliorer ce clausier avec de nouveaux points de contrôle sur les dispositifs médicaux numériques et sur le règlement général de la protection de la donnée (RGPD).

Face à la montée des cyberattaques dans le milieu hospitalier, l’instauration d’un pacte de confiance numérique s’avère indispensable. Pour CAIH et UniHA, ce pacte consiste à intégrer dans les appels d’offres un clausier de conformité numérique à remplir par les candidats pour sécuriser davantage les établissements dès les phases d’achats.

Le clausier de sécurité est un clausier mis à disposition de tous et en particulier des acheteurs publics quel que soit leur segment d’achat car le numérique est de plus en plus transverse. Ce clausier vise à homogénéiser les exigences de sécurité dans les marchés publics et permet aux entreprises de se conformer plus facilement aux réglementations en vigueur ou aux exigences nécessaires pour la protection d’un hôpital en matière de cybersécurité. Avec ses 118 points de contrôle essentiels pour garantir la conformité et la sécurité, ce clausier comporte 10 grandes thématiques.

Pour Thomas Jan, Directeur Général Adjoint d’UniHA en charge de la stratégie numérique, « la mise en œuvre de ce clausier démontre que la sécurité numérique s’opère dès l’acte d’achat. L’acheteur public et son prescripteur(ingénieur biomédical, pharmacien…), ont donc la responsabilité de la sécurisation des données de leur établissement. »

« L’intégration de l’AFIB et du réseau des DPO a pris tout son sens dans l’amélioration de ce clausier car les dispositifs médicaux numériques et la protection des données sont des points centraux dans les enjeux de cybersécurité, explique Thomas Jan. Cela montre que nous sommes bien au-delà du secteur informatique ou de la Direction des systèmes numériques. En conclusion, ce clausier est un outil indispensable pour renforcer la sécurité dans les marchés publics et j’invite tous les acheteurs publics à l’utiliser ! »


> Consulter le clausier sur le site du club RSSI  ou sur le site de CAIH  
 

Dans quel contexte ce CERT a-t-il vu le jour ?

Thomas Breton : Face à l’augmentation des cyberattaques ciblant spécifiquement les établissements de santé, nous avons – malheureusement – acquis une réelle expertise dans la gestion des incidents de sécurité pour le compte de nos clients. Menée en lien avec les GRADeS et le CERT Santé, celle-ci impose le respect d’un protocole cadencé, pour faciliter la remédiation et la reconstruction du système d’information une fois la crise résolue. La création de notre CERT entend justement appuyer l’industrialisation des processus afin que la gestion des incidents de sécurité informatique soit la plus efficace possible. Elle facilite en outre nos échanges avec les équipes des autres CERT, car nous partageons ainsi un langage commun.

Pourriez-vous nous détailler le déroulement d’un incident de sécurité ?

Damien Ribeiro : La procédure initiale ne change pas : l’établissement commence par contacter le centre de support GPLExpert, qui va constater la réalité de l’incident, donner de premières recommandations et déclencher le CERT. Celui-ci prend alors le relais pour tenter d’isoler les serveurs et postes atteints, mais aussi confiner les sauvegardes afin d’éviter les impacts secondaires. Il va également recueillir et conserver un maximum de preuves numériques, qui seront par la suite transmises aux autorités concernées. Le CERT coordonne ensuite le traitement de l’incident pour le compte de l’établissement, afin que ce dernier puisse se concentrer sur la poursuite de son activité en mode dégradé.

Thomas Breton : Il faudrait, dans l’idéal, avoir formalisé en amont un Plan de continuité de l’activité (PCA). Mais peu d’établissements de santé en disposent dans les faits. Le CERT peut donc, aussi, aider à structurer un PCA en urgence. Une fois la crise passée, il continue de coordonner les opérations pour que la restauration s’effectue dans les meilleures conditions possibles. L’existence d’un Plan de reprise de l’activité (PRA) est ici utile, mais son absence peut également être palliée par notre CERT. Notre connaissance parfaite du secteur de la santé représente ici un atout de taille, car nous pouvons ainsi prioriser les actions à mener en fonction des contraintes propres à chaque établissement. Pour résumer, l’appui d’une structure experte comme le CERT permet à chacun de garder son sang-froid pour respecter les bonnes procédures.

Auriez-vous des recommandations particulières pour prévenir les incidents de sécurité ou les gérer plus efficacement ?

Damien Ribeiro : Nous incitons fortement les établissements de santé à mener des exercices de gestion de crise. Exactement comme lors d’une alerte incendie, si chacun connaît son rôle, on peut rapidement sortir du feu. Il est également primordial d’effectuer régulièrement des audits de sécurité et des tests de vulnérabilité, ou Pentests, pour parer toutes les éventualités. La présence, en interne, de personnel formé à la gestion technique d’un incident de sécurité, est aussi un plus. Ce sont là autant de prestations offertes par GPLExpert, une société par ailleurs labellisée Expert Cyber. Je terminerai par rappeler un point essentiel : la gestion d’un incident informatique est un processus transversal, qui va mobiliser de nombreux acteurs. L’appui de la direction de l’établissement est donc impératif pour que chacun puisse justement jouer son rôle.

> Plus d'informations sur le site de GPLExpert.

> Article publié dans l'édition de septembre d'Hospitalia à lire ici.