Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Utiliser les outils à bon escient, dans la sécurité des systèmes d'information autant qu'ailleurs

22 avril 2014 - 11:00,
Actualité - CQFD
Dans « La sécurité du système d'information des « établissements de santé » paru aux Presses de l'EHESP (www.presses.ehesp.fr) en mai 2012, l'auteur livre une réflexion intéressante sur l'aveuglement que peuvent engendrer les méthodes d'appréciation des risques telles EBIOS ou MEHARI. Extrait.

Un des arguments des tenants de cette méthode (en dehors du nombre de jours qu’ils vont vous facturer s’il s’agit de consultants) est qu’avec une «bonne» méthode (au hasard EBIOS) on est certain de ne rater aucun risque. C’est deux fois faux: sur le plan conceptuel et empiriquement.

Sur le plan conceptuel d’abord, parce que toute méthode part de postulats (axiomes) pour inférer des résultats. Or, le choix de postulats et de la façon d’inférer exclut forcément des cas à la marge ou «dans les trous de la raquette». Rien d’étonnant à cela: une méthode, c’est un point de vue, une approche d’un problème. Et selon le point de vue, on ne voit pas tous la même chose.

Empiriquement surtout. À titre personnel j’ai eu l’occasion, dans quelques cas ciblés, de dérouler à la fois une EBIOS et une méthode «de bon sens» (et totalement conforme ISO 27005). Dans certains cas, c’est EBIOS qui ratisse le plus large, dans d’autres non.

Toutes les grandes catastrophes technologiques depuis un siècle auraient échappé à une analyse formalisée, et ceci pour trois raisons. Tout d’abord, les méthodes formelles ne sont pas calibrées pour calculer l’impact de la survenance simultanée de deux événements. C’est ce qui s’est passé à Fukushima: la centrale nucléaire était construite pour résister à un tsunami et à un séisme, mais pas aux deux simultanément. Ensuite, l’expérience montre que la probabilité d’occurrence des catastrophes est presque toujours sous-estimée. Au début du nucléaire civil, la probabilité de sinistre sur un réacteur avait été chiffrée à 1 pour 1 million (soit sur un parc mondial de 500 réacteurs une panne tous les 2000 ans) alors qu’il y a eu en moins de 70 ans trois pannes majeures.

Enfin, le facteur humain est toujours ignoré. Sans la bêtise d’un technicien qui a envoyé de l’air dans le tunnel au lieu de faire l’inverse, il n’y aurait peut-être pas eu autant de morts dans l’incendie du tunnel du mont Blanc.

Pour finir, je ne résiste pas au plaisir de caser l’argument ultime: toute méthode est un système formel, et depuis Gödel on sait que les systèmes formels sont incomplets (c’est-à-dire non-autojustifiables dans le cas présent).

Presses de l'EHESP (www.presses.ehesp.fr) en mai 2012

 

Avez-vous apprécié ce contenu ?

A lire également.

Illustration FHIR : la norme qui libère la donnée de santé et ouvre de nouvelles voies

FHIR : la norme qui libère la donnée de santé et ouvre de nouvelles voies

06 oct. 2025 - 21:41,

Actualité

- DSIH

Pour fluidifier les parcours, offrir une vision exhaustive des données patients, connecter la ville et l’hôpital, et permettre aux nouvelles générations d’algorithmes de révéler tout leur potentiel, l’interopérabilité devient essentielle. Autour d’un dîner-conférence organisé par Infor, experts amér...

Illustration L'École des hautes études en santé publique (EHESP) propose une nouvelle formation continue courte et inédite

L'École des hautes études en santé publique (EHESP) propose une nouvelle formation continue courte et inédite

06 oct. 2025 - 10:50,

Communiqué

- EHESP

Dans un contexte d’accélération de la transformation numérique du système de santé, l’École des hautes études en santé publique (EHESP) propose une nouvelle formation continue courte et inédite à destination des équipes dirigeantes d’établissements sanitaires, sociaux et médico-sociaux.

Illustration Le Data Act : une nouvelle ère pour la gouvernance des données de santé

Le Data Act : une nouvelle ère pour la gouvernance des données de santé

30 sept. 2025 - 07:15,

Tribune

-
Marguerite Brac de La Perrière

Le 12 septembre 2025 a marqué une étape décisive dans la stratégie européenne de la donnée avec l’entrée en application du Data Act (Règlement UE 2023/2854). Ce texte, pilier du marché unique de la donnée, vise à encadrer l’accès, le partage et la portabilité des données générées par les produits ...

On trouve tout à la Samaritaine – y compris des caméras, mais pas encore un EBM

29 sept. 2025 - 10:43,

Tribune

-
Cédric Cartau

Alors OK, elle est hyperfacile, mais impossible de résister, d’autant que j’ai dû aller chercher quelques vieilles publicités de l’époque (ma préférée ici 1), quelle époque épique tout de même !

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.