RSSI : les lieux de networking comme outil de travail

Dans l’industrie, une cyberattaque se solde au pire par l’arrêt d’une usine et des pertes financières. Dans un établissement de santé, un incident met en jeu des vies humaines. Cet écart d’enjeux, que renforce une réglementation spécifique, conduit les RSSI du secteur à rechercher des événements et lieux de networking où rencontrer des pairs confrontés aux mêmes contraintes qu’eux.

Retours d’expérience et veille : condenser l’information en quelques jours

Dans ces lieux, les retours d’expérience priment sur les démonstrations de produits. Un RSSI qui décrit un problème vécu, et la façon dont il l’a résolu, livre en effet une matière qu’il est possible, dans la plupart des cas, de transposer à son propre établissement.

« Sur les grands lieux de networking, les échanges intéressants se font entre les présentations. À la sortie d’une conférence, presque en tête-à-tête, je gagne de l’information, car mes interlocuteurs m’expliquent leur situation plus en détail. Certaines choses ne se disent pas devant cinquante, cent ou deux cents personnes, alors qu’elles se confient à deux ou trois pairs », observe Gérard Gaston Ladrech, responsable sécurité des systèmes d’information de LNA Santé.

Ce dialogue nourrit également la veille. Sollicité entre cinq et dix fois par semaine, Gérard Gaston Ladrech ignore les appels inconnus, mais écoute les exposants d’un salon. Il a d’ailleurs déjà contractualisé avec des éditeurs découverts lors d’événements organisés par l’APSSIS.

Sandrine Chipot, adjointe au directeur et coordinatrice de la sécurité du système d’information du GHNE (Groupe hospitalier Nord-Essonne), insiste, elle, sur le gain de temps. « En passant une journée sur un salon, nous pouvons avoir l’impression de perdre du temps. En réalité, nous en gagnons beaucoup, car l’information s’y trouve condensée et partagée. Lorsque nous cherchons un outil, nous peinons à identifier des établissements qui l’utilisent déjà et peuvent servir de référence. Sur place, ceux qui ont mis en place les solutions nous livrent leurs retours terrain », souligne-t-elle.

Tutelles, salons et pairs : une communauté entretenue d’année en année

Quand les lieux de networking ajoutent aux échanges un accès direct aux institutions, les participants prennent connaissance des évolutions réglementaires attendues dans l’année, tout en nouant un contact personnel avec leurs tutelles. Le congrès de l’APSSIS illustre ce modèle : chaque édition réserve une session aux représentants de l’État, dont l’ANS (Agence du numérique en santé) et l’ANSSI (Agence nationale de la sécurité des systèmes d’information).

« Le gros avantage de l’APSSIS tient au fait que nous y rencontrons nos tutelles, du ministère de la Santé à l’ANS. Ces interlocuteurs demeurent joignables toute l’année, mais rien ne remplace le face-à-face pour faciliter les échanges. Nous abordons très ouvertement les problématiques de nos établissements : cyberattaques, réglementation, budget », note Gérard Gaston Ladrech.

À l’échelle régionale, la plupart des GRADeS (groupements régionaux d’appui au développement de la e-santé) organisent une rencontre comparable, limitée à un jour. Sandrine Chipot assiste systématiquement à celle du GIP SESAN, en Île-de-France, où l’ARS (agence régionale de santé) présente, entre autres, le calendrier des programmes nationaux. Elle y apprend différemment qu’à l’APSSIS, car elle collabore au quotidien avec ce groupement, mais elle y entretient son réseau.

Salons généralistes, clubs locaux et canaux en ligne : un réseau à plusieurs étages

D’autres salons, plus généralistes, élargissent ce cercle. Gérard Gaston Ladrech participe également, dès qu’il en a la possibilité, aux Assises de la cybersécurité, à Monaco, et à InCyber Forum (ex-FIC), à Lille. Il participe aussi à un club nantais de responsables de la sécurité des SI, dont les membres échangent par mail et se réunissent en présentiel une fois par trimestre, ainsi qu’au canal de discussion que l’ANS a ouvert aux RSSI de santé, en lien direct avec le CERT Santé.

Sandrine Chipot envisage quant à elle de découvrir prochainement InCyber Forum, quitte à se répartir les événements avec son directeur. Par ailleurs, elle répond parfois aux invitations de fournisseurs, comme Orange Cyberdefense, autour du programme CaRE (Cybersécurité, accélération et résilience des établissements). Son salon favori est SantExpo, qu’elle fréquente depuis 2006. Elle y retrouve notamment d’anciens collègues d’un secteur qu’elle décrit comme « un petit monde ».

Une respiration pour des professionnels sous pression

Après les retours d’expérience et la veille, les événements professionnels remplissent enfin une fonction plus personnelle. Ils offrent une respiration à des professionnels qui cumulent plusieurs responsabilités au sein de la DSI et prennent rarement le temps de rencontrer leurs homologues d’autres établissements.

« À l’hôpital, notre quotidien s’organise en permanence autour des urgences. Chaque journée réserve son lot d’imprévus : nous éteignons des incendies et devons rétablir le service au plus vite lorsqu’une panne survient. Un événement professionnel offre l’occasion de s’extraire de ce rythme, de prendre de la hauteur et de voir autre chose », ajoute Sandrine Chipot.

En guise de conclusion, Gérard Gaston Ladrech adresse un message aux RSSI des petites structures, souvent isolés : « Il est nécessaire de se libérer quelques journées par an pour se constituer un réseau. En cas d’incident, ces contacts peuvent se révéler précieux. »