Confidentialité394 documents taggés

SSI : Quand le problème se trouve entre la chaise et le clavier... de l’informaticien !

Les informaticiens vous le diront, en informatique, le problème se situe entre la chaise et le clavier. Comme le souligne à juste titre Cédric Cartau, ce qu’ils oublient de préciser, c’est qu’il s’agit très souvent de la chaise et du clavier de l’informaticien lui même !

Incidents de sécurité des SI de santé : que faut-il déclarer ?

La déclaration des incidents de sécurité des SI de santé a été gravée dans le marbre avec l’article L1111-8-2 du Code de la santé publique [1]. Le décret du 12 septembre 2016 [2] a fixé l’entrée en vigueur de cette obligation à la date du 1eroctobre 2017, et indiqué que tous les incidents ayant des conséquences potentielles ou avérées sur la sécurité des soins, des conséquences sur la confidentialité ou l'intégrité des données de santé ou portant atteinte au fonctionnement normal de l'établissement, de l'organisme ou du service, devraient être déclarés.

Edgar Poe et la sécurité informatique

On reconnaît les génies au fait que leurs œuvres peuvent être lues et relues, interprétées et réinterprétées au fil des modes et du temps, tout en restant les mêmes. Edgar Poe est de ceux-là. Que l’on en juge : avec le Double Assassinat dans la rue Morgue, le bonhomme a carrément inventé le genre policier, 50 ans ou presque avant Conan Doyle et son Sherlock Holmes, et quasiment un siècle avant Agatha Christie et ses Dix Petits Nègres. Respect.

Mauvaise communication en cas d’incident numérique : le risque au-delà du risque

Référentiels d’interopérabilité : le Gouvernement a dit !

Comment créer les conditions favorables à l’essor de l’e-santé en France ? Il semble manifestement que le Gouvernement ait pris le taureau par les cornes à procédant à une série d’annonces spectaculaires en la matière.

Santé publique et environnement : Le lancement d’un portail internet pour recueillir les alertes du public !

Congrès Apssis : usage et sécurisation des entrepôts de données de santé

Autre temps fort du Congrès, la conférence du Pr Pierre-Antoine Gourraud sur la mise en œuvre et la sécurisation d’un entrepôt de données de recherche au CHU de Nantes.

« Ma santé 2022 » : l’espace numérique de santé désormais entériné !

Le 22 mars dernier, l’Assemblée nationale a adopté, dans le cadre de l’examen du projet de loi relatif à l’organisation et à la transformation du système de santé, la création de l’espace numérique de santé (ENS).

La fanfare Microsoft Office 365, trompettes et pipeau – la partie pipeau

Dans une première partie, nous avons examiné les conséquences du passage à Office 365 pour la partie sécurité, profil des agents en charge du domaine, etc.

BlueFiles hebergée par Orange Healthcare : une solution simple de transfert de fichiers en toute sécurité

la société 100 % française Forecomm signe un accord de partenariat avec Orange Healthcare  pour lancer uneoffre Saas/HDS dédiée au secteur de la Santé – du nom de BlueFiles – qui permet d’envoyer des données sensibles en toute sécurité. BlueFiles est une alternative sécurisée aux services d’envoi de documents en ligne ou, de façon plus générale, au partage de liens ou à l’envoi de pièces jointes par email. Au-delà du traitement pur de la donnée de santé, le partenariat a pour but de donner la possibilité aux acteurs du monde de la santé de sécuriser leur document – les données médicales comme les autres types de données. 

Carte Blanche Partenaires devient opérateur frontal accrédité Sesam-Vitale en partenariat avec Docaposte

Afin de mieux accompagner les professionnels de santé dans la mise en place du tiers-payant généralisé, Carte Blanche Partenaires étoffe son offre en lançant une plateforme de flux normalisés. Cette plateforme permet aux professionnels de santé d’utiliser la messagerie sécurisée de la plateforme SESAM-Vitale pour, notamment, télétransmettre leurs factures électroniques aux mutuelles et assurances complémentaires. Un projet technique et complexe, mené de concert avec les équipes Docaposte, dont la mise en œuvre a été saluée par le GIE SESAM-Vitale.

Foliateam HealthCare : de l’hébergeur agréé à l’hébergeur certifié de données de santé

Le 21 février prochain, Foliateam et SynAApS organisent à Paris une conférence sur la réglementation en matière d’hébergement de données de santé en prévision du transfert de la procédure d’agrément vers celle de certification.

Baromètre sur l’e-santé et les Français

À l’occasion de ses journées « D4 Evolution », les 22 et 23 janvier 2019 à Paris, Medasys présente les résultats du baromètre sur l’e-santé et les Français, réalisé par le cabinet Deloitte, qui montre des perspectives prometteuses en matière de numérique malgré une utilisation limitée.

La formation continue ou comment sécuriser le parcours du patient… et celui de l’agent

Le directeur des systèmes d’information de l’Assistance publique-hôpitaux de Paris (AP-HP) a annoncé, en décembre 2018, la mise en œuvre d’un vaste plan de formation aux outils numériques et aux dossiers patients informatisés au bénéfice de l’ensemble des agents de l’institution.

Inria dévoile son Livre blanc sur la cybersécurité

Attaques DDoS : premières sanctions exemplaires prononcées !

Dans le domaine de la cybercriminalité, les attaques par déni de service distribué (DDoS) n’apparaissent pas comme étant les plus critiques. Pendant un laps de temps, un ou plusieurs services sont rendus indisponibles par un nombre conséquent de requêtes émises de manière synchronisée via un grand nombre de machines compromises constituant un « botnet », un réseau de machines contrôlées par un attaquant.

Quand le RGPD assure la protection du PMSI

Tout le monde a encore en mémoire l’affaire du centre hospitalier de Saint-Malo, révélée fin 2013 par la presse généraliste[1]et spécialisée.[2]La Commission nationale informatique et liberté (CNIL) lui avait adressé une mise en demeure d’avoir à se conformer aux exigences du code de la santé publique et de la loi n°78-17 du 6 janvier 1978.[3]

GHT et convergences fonctionnelles

S’il est un sujet qui me plonge dans un abîme de réflexion, c’est bien celui-ci : comment faire converger le SI des établissements d’un GHT ? Sur le plan fonctionnel s’entend.

Microsoft et Enovacom : une offre complète pour la Messagerie Sécurisée de Santé

Microsoft et Enovacom se rencontrent et forment un partenariat dédié 100% au monde de la santé. Microsoft a obtenu il y a quelques semaines la certification Hébergeur de Données de Santé (HDS), lui permettant de proposer Office 365 compatible MSSanté, avec l’appui d’Enovacom, éditeur de logiciels et leader dans la messagerie sécurisée de santé depuis 2003. L’objectif commun pour les deux entreprises ? Assurer la confidentialité des informations médicales échangées entre acteurs de santé.

Le MiPih met du PEPS dans vos échanges

La messagerie sécurisée Medimail du MiPih, première messagerie MSSanté de France, s’inscrit dorénavant dans une solution complète et modulable appelée MediPEPS.

« Concilier recherche médicale et RGPD, un prérequis indispensable pour continuer à innover »

Par Carole Le Goff, Sales & Marketing Manager, e-Health chez bcom

Certification HDS : puissance VS souveraineté

La semaine dernière, Microsoft annonçait avoir enfin obtenu LA certification HDS [1], Saint Graal détenue à ce jour par un seul acteur bien connu du secteur de la santé, le GIP MIPIH. Une question me vient alors à l’esprit, la souveraineté doit-elle être prise en compte dans le choix de son hébergeur ?

Chiffrer ses postes clients Windows avec BitLocker en connaissance de cause

Pour préserver la confidentialité et éviter toute violation de données à caractère personnel, à plus forte raison lorsqu’il s’agit de données aussi sensibles que les données de santé manipulées au quotidien par nos utilisateurs, le recours au chiffrement peut s’avérer nécessaire, comme le souligne à plusieurs reprises le RGPD.

Top 3 des incidents SSI Santé des semaines passées

Les dernières semaines ont encore été riches en « fails » pour le secteur de la santé, en France et à l’international.

Comment simplifier la gestion des mots de passe sécurise nos données en tant que patient

Mais je fais quoi avec tous ces mots de passe ? Partie III

Lors du premier volet, nous avons engagé une classification des grandes familles de mots de passe (ID/MDP) et une première évaluation des risques encourus. Dans le deuxième volet nous avons tenté une ébauche de solution de stockage des ID/MDP en fonction des catégories susnommées. Poursuivons.

Mais je fais quoi avec tous ces mots de passe ? Partie II

Lors du premier volet, nous avons engagé une classification des grandes familles de mots de passe (ID/MDP) et une première évaluation des risques encourus. Poursuivons.

Mais je fais quoi avec tous ces mots de passe ? Partie I

C’est un sujet qui revient régulièrement dans la presse, et en cours les élèves – toute formation confondue – posent souvent la question : avec la multiplication des mots de passe d’accès aux services divers et variés (banque en ligne, réseaux sociaux, etc.), quelles sont les bonnes pratiques à adopter ? J’avais besoin d’un cobaye pour tester deux ou trois trucs, j’ai pris le plus disponible à défaut du plus intelligent : moi ! J’insiste sur le fait qu’il n’y a pas de bonne solution universelle aux questions soulevées dans cet article, et de plus ce domaine suscite immanquablement des débats enflammés, l’indulgence du lecteur est donc requise.

Intégration des GHT dans leur territoire

Les 27es Journées nationales d’Athos se tiendront les 18 et 19 octobre à Arles sur le thème « Les GHT et les autres acteurs de santé de territoire ».

Google pourrait-il connaître l’état de santé de tout le monde ou presque ?

Déduire la situation sanitaire des utilisateurs de ses services ou identifier les titulaires d’une carte de crédit, même si leurs achats ont lieu hors ligne, Google en serait-il capable ?

Orages de vulnérabilités pour des inondations d’informations

Les données de santé de 2 millions de patients mexicains exposés sur Internet

Def Con 2018 : le chercheur Douglas McKee récupère et modifie les constantes vitales d’un patient

La Def Con figure parmi les conférences les plus incontournables dans le domaine de la sécurité numérique. Pour sa 26ème édition à Las Vegas qui s’est déroulée du 9 au 12 août, la sécurité des dispositifs médicaux faisaient partie, une fois encore des sujets phares de l’évènement.  

Les archives, meilleurs amis du RSSI ?

Pour le dernier article de cette première moitié d’année, j’ai décidé de revenir sur la question du rattachement hiérarchique et fonctionnel du RSSI : après tout, tant qu’à commenter des idées stupides, autant qu’elles viennent directement de moi. En l’occurrence, je me suis interrogé sur la question de savoir s’il était opportun ou pas de rattacher le RSSI au service des archives.

Informatique de santé : les leçons très altruistes du Syntec

Dans un article récent de tic santé(1) qui relate une interview avec un représentant du Syntec, le lecteur pourra prendre connaissance de conseils de bon aloi de ce dernier concernant l’informatique de santé. Ainsi, le Syntec travaille (je cite) à un programme de sensibilisation des directions générales, afin de leur porter la bonne parole – sans nul doute entièrement désintéressée – et leur expliquer les avantages de l’externalisation. Bien entendu, les informaticiens ne sont pas conviés à ce genre d’intervention, on ne va tout de même pas inviter les soutiers à des débats stratégiques, que diable !  

Quid de la conformité au RGPD en santé ?

Le RGPD, vous connaissez ? Vous en avez entendu parler, bien entendu. Commençons par quelque chose de factuel : il s’agit d’un règlement européen du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. On parle de règlement général sur la protection des données, ou de RGPD. Le RGPD (et non « la RGPD ») est entré en vigueur le 25 mai 2018.

Le GCS Guyasis choisit Medimail pour sa messagerie sécurisée de santé

Le groupement de coopération sanitaire Guyane Système d’information de Santé (GCS GUYASIS) a décidé de faire confiance au GIP MiPih et à sa solution de messagerie sécurisée Medimail, première messagerie sécurisée MSSanté compatible en France.

Rendez-vous médicaux en ligne et données personnelles : le scandale australien

Alors qu’en France, le marché de la prise de rendez-vous médicaux en ligne est en plein essor et que certains professionnels de santé libéraux imposent ce système à leur patientèle en refusant tout bonnement la prise de rendez-vous par téléphone. Nos amis australiens, échaudés par les pratiques de la plateforme de prise de rendez-vous médicaux de référence en Australie, vont sûrement réviser leur jugement sur ce type de services.

Le Centre Léon Bérard avec Orange Healthcare et Biomouv lancent un programme d’activité physique adaptée avec un dispositif connecté pour améliorer la prise en charge des patientes suivies pour un cancer du sein

Le Centre Léon Bérard lance une étude clinique pour évaluer l’efficacité d’un dispositif avec bracelet connecté dans le cadre de son programme d’activité physique adaptée (APA) proposé depuis 2010. Cette étude, baptisée DISCO, a été mise en place en partenariat avec Orange Healthcare et Biomouv. Pendant deux ans, plus de 400 femmes suivies pour un cancer du sein localisé intégreront ce nouveau programme de recherche.Pour mener cette étude, un programme d’APA innovant grâce à l’utilisation des nouvelles technologies et pouvant être réalisé en autonomie a été construit par le département Cancer et Environnement du Centre Léon Bérard et la société Biomouv.

RGPD VS Cloud Act

À deux jours de l’entrée en vigueur du RGPD programmée depuis deux ans, on peut s’interroger sur la position des États-Unis qui ont promulgué contre tout attente le 23 mars dernier, soit deux mois avant l’entrée en vigueur du règlement européen une loi qui pourrait bien le « remettre en question ». Sacré pied de nez, non ?

Comment garantir la qualité et l'accès aux données de vos patients ?

Du 29 au 31 Mai prochain, retrouvez Enovacom au salon HIT, le salon professionnel leader de l’IT santé durant la Paris Healthcare Week. Rendez-vous Stand O56.

Cloud Clipboard : la nouvelle fonctionnalité Windows qui va mettre en péril la confidentialité de nos données

Les utilisateurs « bêta testeurs » de Windows 10 participant au programme Windows Insider ont pu découvrir en avant-première, le 9 mai dernier, de nouvelles fonctionnalités dans la « Preview Build 17666 »publiée par Microsoft. Au-delà du thème « sombre » de l’explorateur de fichiers et de la possibilité de lancer des recherches Bing depuis le bloc-notes, une nouvelle fonctionnalité baptisée « Cloud Clipboard »a particulièrement attiré mon attention.

Le RGPD ou l’art de se payer notre tête, version US

Certaines entreprises informatiques feraient mieux de faire de l’informatique et d’arrêter de vouloir faire du juridique, surtout quand le boulot est aussi mal torché. Parmi celles-ci, l’une, dont je tairai le nom (elle a inventé le PC dans les années 1980 et ses cadres portent tous des chemises de couleur bleue, n’insistez, pas je ne donnerai aucun nom), s’est piquée d’envoyer un mail concernant l’avenant RGPD, qu’il faut absolument que je vous fasse suivre. Voyez plutôt (les caractères en gras sont de moi).  

Protéger les données personnelles et responsabiliser les acteurs

Le règlement général européen sur la protection des données personnelles (RGPD), applicable dès le 25 mai, sera le nouveau garant du respect de la vie privée, notamment en ce qui concerne les données de santé.

Facebook à la conquête des données de santé ?

Décidément Facebook n’en fini pas de faire couler de l’encre, ou de remplir de pixels nos écrans en ce moment.  

Vous reprendrez bien un peu de RGPD ?

J-14 avant le lancement du 6e Congrès national de la sécurité des SI de santé, qui se déroulera au Mans les 3, 4 et 5 avril 2018. « Le RGPD par ceux qui ont les mains dedans, pour ceux qui y sont jusqu’au cou » est la conférence inédite préparée spécialement pour l’événement par Cédric Cartau, RSSI et DPO du CHU de Nantes. De quoi parle-t-elle ?

GE Healthcare « patche » 20 dispositifs médicaux

Le constructeur GE Healthcare annonce la mise à disposition d’importants correctifs de sécurité pour 20 dispositifs d’imagerie médicale sur 23 identifiés comme vulnérables, à la suite des travaux réalisés par le chercheur en sécurité Scott Erven. Cet expert en sécurité depuis près de 20 ans travaille depuis 2010 dans le domaine de la sécurité appliquée au monde de la santé et, ces dernières années, dans la recherche sur les dispositifs médicaux.

DPI de GHT : habilitations et contrôles, partie IV

Dans une première partie(1), nous avons examiné les deux grandes familles de politique d’habilitation dans les accès à un DPI d’établissement de santé. Nous en avons conclu que la seule méthode viable à terme au sein d’un GHT était celle du contrôle a posteriori. Dans une deuxième partie(2), nous avons décrit les trois conditions pour aller vers ce mode de gestion : concertation entre les CME, systèmes homogènes de sanctions au sein de tous les établissements du GHT et généralisation de l’analyse des traces d’accès. Dans une troisième partie(3), nous avons décrit les grands principes du système de contrôle d’accès aux données patients. Intéressons-nous maintenant à la question des accès aux données des administrateurs qui, à une époque pas si lointaine, faisait pas mal fantasmer dans les chaumières (j’ai connu des diplodocus qui refusaient de saisir des données dans un logiciel métier au prétexte que le DBA(4) y avait accès en direct en saisissant des requêtes SQL).  

Des garde-fous pour les plateformes de rendez-vous médicaux en ligne

Dix plateformes de prise de rendez-vous médicaux en ligne ont signé, le 15 février, une charte e-RDV rédigée par l’URPS médecins libéraux d’Île-de-France(1). Cette initiative fait suite à l’audit réalisé il y a un an par la commission Nouvelles Technologies de l’URPS.  

Nos sites web dans la lunette des assaillants

Diffusion de logiciels malveillants, hébergement de pages de phishing, vols d’informations, porte d’entrée dans le système d’information, minage de cryptomonnaies(1)… Les raisons de s’en prendre à nos sites Web ne manquent pas, ainsi que les conséquences désastreuses qui en découlent : atteinte à l’image de l’établissement, perte de confiance de la part des patients, intrusion dans le système d’information, intégrité, disponibilité et confidentialité des données de santé mises à mal, et dans le pire des cas, risques pour la vie des patients. La sécurité de nos sites web n’est donc pas à prendre à la légère.

Hébergement des données de santé : pourquoi passer directement à la certification ?

Une nouvelle procédure de certification pour l’hébergement de données de santé à caractère personnel sur support numérique va remplacer l’actuelle procédure d’agrément au 1er avril 2018. A ce titre, l’ASIP Santé encourage vivement les candidats qui souhaitent déposer des dossiers HDS à privilégier la procédure de certification plutôt que celle de l’agrément.