Une circulaire destinée au médico-social pour la sécurisation des SI

Le médico-social est souvent le parent pauvre, à la fois des systèmes d’information et, par ricochet, de leur sécurisation. Certes, il ne faut pas faire d’amalgame universel : je connais des établissements médico-sociaux qui sont informatisés du sol au plafond et où le SI en remontrerait à bien des établissements dix fois plus gros. Le crédit doit être accordé au directeur, qui a parfaitement compris les enjeux du SI et y a mis les moyens financiers adéquats : local technique informatique digne de ce nom, progiciels intégrés couvrant à la fois les fonctions administratives (paye, compta, etc.) et soins (dossier médical, dossier de soins).

Cela étant, c’est dans ce secteur que le meilleur côtoie le plus souvent le pire, et si l’on ne trouve quasiment plus, dans le domaine médical, des CH de petite ou de moyenne taille sans antivirus à jour, ce n’est malheureusement pas le cas dans la sphère médico-sociale. Il m’est arrivé de croiser des établissements où le réseau wifi était totalement ouvert (aucun cryptage du SSID) et où le réseau wifi patient était le même que le réseau informatique de production.

La circulaire a le mérite de poser un socle de base qui se décline en huit points :

• la mise à jour régulière des logiciels ;
• un antivirus à jour et un pare-feu ;
• un système de sauvegarde avec délocalisation des copies de sauvegarde ;
• un verrouillage automatique des sessions ;
• des comptes individuels et des mots de passe robustes ;
• des procédures dégradées a minima ;
• une sensibilisation du personnel à la sécurité informatique ;
• une charte interne d’utilisation de l’outil informatique.

Il faut selon moi voir cette circulaire comme la déclinaison, à petite échelle, des 42 mesures d’hygiène de l’Anssi – qui sont inapplicables aux petites structures. Le monde du médico-social est d’ailleurs resté globalement à l’écart de la mouvance générale de sécurisation du SI depuis plus de cinq ans, du fait de critères et d’outils souvent inappropriés.

(1)   http://circulaires.legifrance.gouv.fr/pdf/2017/07/cir_42445.pdf