Nouveau référentiel Mathurin-H : de l’avantage d’être certifié ISO 27001

Quelles sont les finalités du nouveau référentiel de certification des SI de santé en cours de rédaction ?

Yves Normand : Il vise à évaluer le degré de maturité des systèmes d’information hospitaliers selon cinq niveaux, dans le cadre d’une démarche vertueuse d’amélioration continue. Un volet est dédié à la sécurisation, avec la prise en compte des normes de la famille ISO 27000. Il va également permettre de simplifier et de clarifier les programmes nationaux et les référentiels SI sur lesquels les établissements de santé doivent se positionner, avec un cadre unique. C’est une bonne chose dans la mesure où parfois, d’un référentiel à l’autre, on rencontre des variations de vocabulaire pour désigner des éléments semblables.

Quand ce référentiel sera-t-il disponible ?

Y. N. : Une première version est attendue dans le courant de l’année 2021, avec une mise en place de pilotes. L’ensemble devrait être opérationnel en 2022.

Qu’implique-t-il concrètement pour les établissements de santé ?

Y. N. : Le référentiel devrait nécessiter un cadre opérationnel de management des systèmes d’information, avec la mise en place d’une gouvernance spécifique. Le document devrait aussi donner des précisions sur l’implication de certaines fonctions métiers (RSSI, DPO) dans cette gouvernance.
L’un des objectifs consiste à pouvoir fournir les bonnes informations, aux bonnes personnes, au moment voulu, en développant notamment une culture de gestion des risques SI au sein des DSI, et plus largement des directions des établissements de santé.

En quoi les normes de la famille ISO 27000 sont-elles un outil adapté à la mise en œuvre opérationnelle du référentiel Mathurin-H ?

Y. N. : Les formations ISO 27001 fournissent un cadre méthodologique pour la mise en œuvre d’une certification de la sécurité de l’information, avec une stratégie de management et des engagements de service au bénéfice des utilisateurs des SIH et des parties intéressées. Elles permettent, dans une logique d’amélioration continue, d’augmenter le niveau de « professionnalisation » de management de la SSI, et plus globalement du SI, en cherchant à atteindre le meilleur service possible, au regard des moyens disponibles et des enjeux.

Quels sont les modes de formation ISO 27001 proposés par DSIH Formations ?

Y. N. : Actuellement, deux modes sont ouverts :

• en e-learning, où les participants suivent la formation à leur rythme. Des échanges sont proposés en visioconférence avec le formateur pour finaliser la préparation à l’examen de certification de Lead Auditor ou de Lead Implementer. Ce mode de formation présente l’avantage de pouvoir se caler, par exemple, sur l’avancement au quotidien des projets d’une direction des systèmes d’information ;
• en interne ou interétablissements, pour permettre à un GHT/GCS de former le personnel de la DSI des établissements du groupement impliqué dans le projet de certification.

En savoir plus sur nos formations e-learning ISO 27001 Lead Implementer :