A l’origine de ce projet d’envergure, la fin de l’agrément HADS (Hébergeur Agréé de Données de Santé) qui habilitait les hébergeurs de données à stocker des données de santé à caractère personnel (DSCP), jugées particulièrement sensibles ! Délivré par l’ANS (Agence du Numérique en Santé), il fixait des règles spécifiques pour assurer un service d’hébergement sûr. Mais en 2018, l’ANS a souhaité renforcer la sécurité et la fiabilité des hébergeurs de données de santé en créant une nouvelle norme : la certification HDS (Hébergeur de Données de Santé). L’agrément HADS étant délivré pour 3 ans, les derniers dossiers ont été renouvelés jusqu’en mars 2021. La certification HDS devient donc obligatoire en 2021 pour les entreprises qui, comme Ma-Sauvegarde, traitent des données de santé !

D’une formalité administrative, on passe à une norme internationale dont l’attribution est basée sur des audits d’organismes certificateurs indépendants et dont les exigences reposent sur la norme ISO 27001, qui devient un préalable à la certification HDS (Hébergeur de Données de Santé).

Notre cœur de métier, c’est la sauvegarde de données et nous comptons parmi nos partenaires et leurs clients finaux, beaucoup de professionnels de santé. Pour continuer à protéger les données de santé avec toujours plus de sécurité, nous avons choisi de préparer, dès le mois de septembre 2019, non pas 1 mais 2 certifications : ISO 27001 et HDS.

Pour commencer, il faut mettre en place un Système de Management de la Sécurité de l’Information (SMSI) conforme aux exigences de certification.

Comme beaucoup de petites entreprises, nous avions peu de procédures écrites. Tout était donc à produire : politiques, procédures, modes opératoires, outils de pilotage et de suivi. Car le maître mot, c’est la traçabilité ! Être accompagné par un cabinet indépendant, spécialisé en cybersécurité, représente un coût important mais aussi un facteur clé de réussite. Leurs conseils et leurs modèles nous font gagner un temps précieux mais cela ne se fait pas tout seul. Sans l’adhésion d’une équipe convaincue et sans l’engagement de la direction générale, l’audit est voué à l’échec.

La première étape a donc été de choisir la société qui allait nous accompagner vers la certification.

Ensemble, nous avons commencé par une étude de faisabilité et une étude détaillée des pratiques existantes qui ont permis d’évaluer la maturité du Système d’Information de l’entreprise par rapport aux exigences de la norme. Une analyse de risque menée avec la méthode EBIOS est venue compléter le premier cycle de la roue de Deming (Plan-Do-Check-Act), la phase PLAN. Tout ceci a permis de déterminer les actions à réaliser couvrant les mesures de sécurité du référentiel de la norme et dont l’objectif est de réduire les risques et de formaliser la politique du SMSI.

Mais avons-nous les ressources nécessaires pour ce projet ? C’est l’étape de l’identification des besoins humains et techniques.

La norme ISO 27001 portant sur le management de la sécurité et de l’information, notre Responsable technique est devenu aussi Responsable Sécurité du Système d’Information (RSSI) et a piloté le projet avec une équipe composée du Directeur Général, un Responsable des Ressources Humaines, un RSSI suppléant et de tous les collaborateurs spécialisés et concernés par le périmètre de l’ISO 27001.

Pour les besoins techniques, nous avons recensé les mesures de sécurité et les outils nécessaires, comme un bastion, un SIEM (Security Information and Event Management), un système de mise à jour automatisé…

Une fois la politique du Système de Management de la Sécurité de l’Information (SMSI) choisie, les risques identifiés, les actions planifiées, il faut mettre en œuvre les objectifs fixés dans le SMSI, nous entrons dans la phase DO du PDCA, celle liée à l’implémentation du SMSI.

Vient ensuite la phase CHECK du plan qui consiste à mettre en place des moyens de contrôle pour s’assurer de l’efficacité et de la conformité du Système de Management de la Sécurité de l’Information : contrôles, audits internes, revues de direction, COPIL, CODIR sont autant d’outils qui nous permettent de repérer les non-conformités et de les corriger avant la certification.

Et pour finir, tout ce qui est identifié comme dysfonctionnement, ou qui pourrait l’être, doit être traité par des actions correctives, préventives ou d’amélioration. C’est la phase ACT du PDCA, la dernière partie du cycle, celle qui vise à l’amélioration et la mise à jour du SMSI.