Publicité en cours de chargement...

Le père Noël est en avance à la CNIL

04 déc. 2017 - 11:23,
Tribune - Cédric Cartau
Le 29 novembre dernier s’est tenu au Ministère de la santé le traditionnel colloque SSI, organisé par la DGOS et avec une forte implication de Frédérique Pothier, qui « commet » encore un sans faute dans l’organisation. Ceux qui ont assisté à cette édition ainsi qu’aux précédentes savent que le temps fort est à chaque fois la séquence « Cela n’arrive pas qu’aux autres », avec des récits tantôt désopilants tantôt effrayants d’incidents IT en tout genre.

Mais cette année, une séquence mérite quelques lignes, car en effet la CNIL – en la personne de Thomas Dautieu – est intervenue sur le RGPD (what else?) et le moins que l’on puisse dire est que l’intervention en question a réussi le tour de force de passer par un trou de souris, s’entend trouvé l’exact forme (et fond) entre l’exhaustivité du propos, et la synthèse de ce domaine. Je vous la fait courte : avec le RGPD, on ne peut plus triturer des données nominatives sans s’être posé un minimum de questions et autant que faire se peut avec un brin de bonne foi. Le reste n’est que littérature, TJM et quincaillerie.

Mais la CNIL a aussi apporté les chocolats en avance de phase, puisque dès le 23 novembre nous avons tous reçu cette annonce de la mise en ligne (ici[1]) d’un outil d’aide à l’appréciation des risques (PIA ou EIVP), que votre serviteur a pris sur lui de tester.

Commençons par ce qui ne va pas, ça va être court. D’abord, la version MAC n’est pas signée, ce qui oblige à ouvrir les Préférences pour valider l’exception signalée par MacOS. Ensuite et surtout, le progiciel est basé sur la notion d’étapes avec validation, et ce n’est pas forcément clair mais une fois que l’on a validé une étape impossible, absolument impossible (ou alors j’ai raté l’option) de corriger une erreur. Je ne vois donc pas trop comment on va faire vivre une appréciation des risques. N’oublions cependant pas que le progiciel est toujours en version bêta.

Mais le gros point positif du progiciel (outre qu’il existe à la fois sur MAC et PC) est qu’il a le mérite de clarifier les étapes à suivre, il faudrait vraiment avoir le quotient intellectuel d’une vache laitière pour ne pas y arriver, même si cela réclamer tout de même un peu de temps pour arriver au bout des étapes (un peu d’aide en ligne ne ferait pas de mal du reste). Et le noyau dur de l’appréciation des risques est absolument limpide, une version allégée d’EBIOS qui ravira les plus sceptiques. 

Bref à part la cartographie des traitements (que personne ne fera à votre place) et éventuellement un diagramme des étapes englobant le PIA (j’ai fait le mien sous forme de mind mapping implémentant la roue de Deming PDCA), je ne vois pas trop ce qu’il faut de plus.

Un peu de temps peut être, mais il reste quasiment 6 mois, alors...

[1]   https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil 

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS

Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS

01 juil. 2025 - 00:00,

Actualité

- DSIH

La 13ᵉ édition du congrès APSSIS, qui s’est tenue en juin 2025, a une nouvelle fois confirmé sa place centrale dans l’écosystème de la cybersécurité en santé. Au fil de trois jours de conférences, de débats et de rencontres, RSSI, DPO, DSI, juristes et institutionnels ont croisé leurs expertises pou...

Illustration Le 8ème opus des guides cyber-résilience de l’APSSIS est en ligne !

Le 8ème opus des guides cyber-résilience de l’APSSIS est en ligne !

30 juin 2025 - 20:50,

Communiqué

- APSSIS

L’APSSIS a le plaisir d’annoncer la publication du 8ème opus des Guides Cyber-résilience à destination des professionnels du secteur. Conçus et élaborés par Cédric Cartau, ces guides se veulent à la fois accessibles, techniques et pratiques.

La cyber et les sacs de luxe

30 juin 2025 - 20:44,

Tribune

-
Cédric Cartau

C’est la fin du premier semestre, il est temps de faire un bilan à mi-course de l’année 2025. Et il s’en est passé, des choses, pas forcément douces et roses.

Illustration En direct du congrès APSSIS 2025 –– conférence sur l’histoire des malwares

En direct du congrès APSSIS 2025 –– conférence sur l’histoire des malwares

24 juin 2025 - 18:00,

Tribune

-
Cédric Cartau

Temps fort traditionnel, Michel Dubois nous a habitués à des conférences techniques sur des sujets pointus, telle l’histoire du chiffrement. Nous voilà donc embarqués dans l’histoire des malwares, et on part de loin : machine de Turing, théorie de l’informatique de la fin de la Seconde Guerre mondia...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.