Cartographier son SI et maîtriser ses failles : un enjeu pour le RSSI

DSIH : Vous utilisez la solution Ikare d’Itrust depuis bientôt 1 an. Pourquoi avoir choisi d’internaliser vos audits de vulnérabilité ?
Julien Rousselle : En partie pour des raisons économiques. Nous faisions régulièrement appel à des sociétés extérieures pour ces audits. Ceux-ci représentent un coût important et j’ai souhaité investir dans une solution permettant de les réaliser en interne, investissement soutenu par la Direction Générale qui en a vu tout le potentiel. Si le coût d’acquisition du produit est rapidement rentabilisé, Ikare permet également de connaitre l’état de son SI en continu et en temps réel.

DSIH : Quels sont ses autres points forts ?
J.R. : Gain de temps, interface conviviale, système simplifié via une note sur 10, meilleure compréhension du SI et communication facilitée auprès des directions générales grâce aux tableaux de bord adaptés et éléments de preuve qui peuvent être fournis lors de certifications sont des points forts. C’est aussi une obligation quasi-réglementaire avec la nouvelle PGSSI, dans le chapitre sur le suivi des vulnérabilités, où il nous est fortement recommandé d’avoir un audit temps réel.

DSIH : Ikare cartographie. Mais après ?
J.R. : Via le système de note, nous identifions clairement les applications les plus critiques et nous pouvons ainsi prioriser les actions à mettre en place pour corriger les vulnérabilités. Au CHU, nous auditons plus de 400 IP. Quand l’outil vous annonce 100 « équipements vulnérables », vous ne pouvez pas être sur tous les fronts ! L’outil nous permet donc d’élaborer un plan d’actions correctives en fonction de la qualification des remontées.

DSIH : Quel est l’intérêt pour les RSSI d’établissements de santé ?
J.R. : Les équipements biomédicaux et les données médicales sont la nouvelle cible des pirates. Le monde médical va devoir face à ces nouvelles attaques et s’en prémunir. Les établissements de santé doivent maitriser leurs propres failles et vulnérabilités. C’est un gage de qualité et de sécurité pour le patient et ses données médicales personnelles dont nous sommes garants.