Quand la justice américaine définit la Politique de Sécurité des SI d’un assureur santé
Le 30 septembre dernier, toujours dans le cadre de cette affaire, le procureur général de New-York annonçait que l’assureur était condamné à verser 39,5 millions de dollars d’amende répartis sur l’ensemble des 41 États dont les victimes faisaient partie [2].
On peut dire que la note est salée, Anthem aura donc dû débourser 154,5 millions de dollars au total (hors frais de protection bancaire pour les victimes) pour ne pas avoir suffisamment protégé les données de santé de ses assurés.
Mais ce n’est pas tout, puisque l’assureur a été contraint de signer un accord lui imposant la mise en place d’une « PSSI » dans laquelle il s’engage à :
- mettre en place :
- une architecture « zéro trust » (oui même la justice s’y met ;p)
- une segmentation de ses réseaux
- de la journalisation et de la surveillance des logs (on peut donc supposer, investir dans un SIEM si ce n’est déjà fait et mettre en place un SOC ou faire appel à un SOC externe)
- du chiffrement
- du contrôle d’accès
- de l’authentification deux facteurs
- maintenir ses systèmes et antivirus à jour
- réaliser des analyses de risques
- fournir des rapports de sécurité réguliers au conseil d’administration
- notifier le PDG en cas d’incident de sécurité important
- sensibiliser les employés à la sécurité numérique
- réaliser des tests d’intrusion
Cette décision de justice est une grande première qui pourrait bien faire évoluer la vision de certains, consistant à provisionner le montant de ce que pourrait leur coûter une fuite de données en se disant que cela reviendrait toujours moins cher que de mettre en place de la sécurité au sein de leurs SI. Dans cette affaire, l’accusé se trouve condamné à une « triple peine », payer des dommages et intérêts aux victimes, payer une amende, et payer pour enfin sécuriser son SI. Un suivi et des contrôles de la mise en application de ce qui est imposé à Anthem sera fait sur trois ans, difficile donc, de se dérober…
Quand-est ce que l’on fait la même chose en France ?
Avez-vous apprécié ce contenu ?
A lire également.
Equasens nomme François-Pierre Marquier au poste de Directeur Général Délégué et renforce ainsi sa gouvernance pour accompagner ses ambitions de croissance
02 avril 2026 - 15:47,
Communiqué
- Le groupe EquasensLe groupe Equasens annonce la nomination de François-Pierre Marquier au poste de Directeur Général Délégué. Il rejoint à ce titre l’équipe de direction aux côtés de Denis Supplisson, Directeur Général, et de Grégoire de Rotalier, Directeur Général Délégué et directeur de la Division Établissements d...
Premier avis favorable au remboursement d’une thérapie numérique
02 avril 2026 - 11:19,
Communiqué
- Haute Autorité de santéLa Commission nationale d’évaluation des dispositifs médicaux et des technologies de santé (CNEDiMTS) de la Haute Autorité de santé (HAS) vient de rendre un avis favorable au remboursement en droit commun d’un dispositif médical numérique à visée thérapeutique (thérapie numérique ou DTx). Pour la pr...
SantExpo 2026 : data, interopérabilité, cybersécurité… les SI de santé à l’épreuve des usages
02 avril 2026 - 09:36,
Communiqué
- SantExpo 2026Alors que les établissements de santé et médico-sociaux accélèrent leur transformation numérique, les systèmes d’information entrent dans une phase décisive : celle des usages. Interopérabilité, qualité de la donnée, cybersécurité, souveraineté et déploiement de l’IA structurent désormais les priori...
Comment obtenir l’unanimité sur le choix d’un DPI commun, l’exemple du GHT du Var
31 mars 2026 - 08:42,
Actualité
- Pierre Derrouch, DSIHAu GHT du Var, la convergence des systèmes d’information franchit une nouvelle étape, avec l’officialisation fin janvier 2026 d’un DPI commun pour ses sept établissements. C’est la fin du support d’un DPI utilisé en psychiatrie qui a constitué le déclencheur. La contrainte technique a été transformé...
