SSI (Sécurité des Systèmes d'Information)
La Sécurité des Système d’Information (SSI) est l'ensemble des mesures de protection techniques ou organisationnelles à mettre en place afin de prévenir et résister aux incidents de sécurité.
Votre établissement détient des informations nécessaires à la réalisation de son activité. Ces données sont sensibles par nature (données confidentielles : personnelles, médicales, bancaires...). Les menaces contre vos informations sont multiples et en très forte progression : erreurs, accidents, dysfonctionnements, vulnérabilités, mais surtout actes de malveillance, attaques...
Tout incident de sécurité, c'est à dire tout événement qui porte atteinte à la disponibilité, la confidentialité ou l’intégrité des ressources d’un organisme (par exemple, utilisation illégale d’un mot de passe, vol d’équipements informatiques, intrusion dans un réseau ou une application, etc.) doit être identifié, traité sans délai et déclaré sur le Portail de signalement des événements sanitaires indésirables.
â–º Pour vous guider : procédure en Région Centre-Val de Loire
Communauté régionale des référents SSI et délégués à la protection des données (DPO)
Le GIP e-Santé Centre-Val de Loire a créé, en lien avec l’Agence régionale de santé, un réseau de référents en sécurité des systèmes d’information (SSI) et en protection des données (DPO).
Reposant sur les principes de coopération et de mutualisation, cette communauté régionale animée par le GIP e-Santé Centre-Val de Loire vise à partager les expériences, diffuser les bonnes pratiques, relayer les informations utiles et définir des axes de travail communs (par exemple : la sensibilisation des utilisateurs). Elle a également vocation à aider les acteurs de santé en cas d’incident de sécurité.
Un espace collaboratif est mis à la disposition des référents SSI des établissements, sur le kiosque applicatif du GIP e-Santé Centre-Val de Loire. Il permet d’échanger des informations, de partager des documents et d’animer des groupes de travail sur des besoins identifiés.
Vous souhaitez rejoindre le réseau des référents SSI et DPO ?
Vous souhaitez accéder à l'espace collaboratif dédié ?
Demandez vos accès via notre formulaire d'inscription
SSI : par où commencer ?
La prise en compte de la sécurité des systèmes d'information s'appuie sur la mise en place de mesures concrètes :
- Désigner un Référent SSI indépendant vis à vis de l'informatique
- Réaliser une analyse de risque et une cartographie des systèmes essentiels à l'activité
- Mettre en oeuvre une politique SSI adaptée à la structure
- Rédiger une Charte de la protection de l'information et de la sécurité numérique et sensibiliser tous les acteurs
- Organiser la gestion des droits d'accès et des habilitations (identification, authentification, gestion des mots de passe)
- Sécuriser l'infrastructure (filtrage, cloisonement, correction des vulnérabilités...)
- Gérer les incidents de sécurité (signalement des incidents graves)
- Prévoir la continuité des activités essentielles suite à un sinistre ou un incident (mise en place d'un PCA - Plan de continuité d'activité)
- ...
Ressources
Plusieurs référentiels de sécurité existent et sont applicables, en fonction du type d’acteur et de la sensibilité des informations à protéger.
- La Politique de Sécurité des Systèmes d’Information pour les Ministères Chargés des Affaires Sociales : politique socle à destination des organismes publics sous tutelle du Ministère des Solidarités et de la Santé.
- La Politique générale de sécurité des systèmes d’information de santé de l’Agence du Numérique en Santé : déclinaison de la Politique de Sécurité des Systèmes d'Information de l'Etat "PSSIE" pour les acteurs des secteurs de la santé, du médico-social et du social.
- Le programme HOP’EN : feuille de route à destination des établissements de santé pour leur transformation numérique et leur modernisation afin de répondre aux nouveaux enjeux de décloisonnement du système de santé et de rapprochement avec les patients.
- La Directive NIS (Network and Information Security) :dispositif de cybersécurité pour les Opérateurs de Services Essentiels (OSE).
Différentes instructions ministérielles relatives à la SSI ont été publiées :
- Instruction du 4 novembre 2016 relative aux mesures de sécurisation dans les établissements de santé
- Guide d’aide à l’élaboration d’un plan de sécurisation d’établissement (instruction du 4 novembre 2016)
- Instruction relative au dispositif de traitement des signalements des incidents de sécurité
- Instruction relative aux mesures de sécurisation dans les établissements et services sociaux et médico-sociaux
- Instruction relative à la mise en œuvre du plan d’action sur la sécurité des systèmes d’information
De nombreuses ressources, en accès libre, sont disponibles afin de vous aider à la mise en oeuvre de la démarche SSI :
- L'Agence du numérique en santé met à disposition dans l'espace de publication de la Politique Générale de Sécurité des Systèmes d’Information de Santé (PGSSI-S) les référentiels et les guides nécessaires à la mise en oeuvre d'une PSSI.
- Le Mémento de cybersécurité à l’usage du directeur d’établissement de santé est disponible sur le site du Ministere des Solidarités et de la Santé.
- Un plan d’action SSI (fiches Action) permet la prise en compte de l'instrruction
- Le Guide d’hygiène informatique de l’ANSSI propose 42 mesures de sécurité incontournables.
- L’ANAP propose un kit de ressources « Boîte à outils pour l’atteinte des prérequis du programme HOP’EN »
- L'APSSIS a publié début 2019 un Ouvrage collectif sur la SSI Santé, reccueil de 40 témoignages de professionnels de la SSI du domaine de la santé.
Informations, veille, sensibilisation et formations SSI :
- Portail d'Accompagnement Cybersécurité des Structures de Santé fournit une veille SSI, des guides de bonnes pratiques, des fiches reflexe et des supports de sensibilisation
- Plateforme de formation e-santé de l’ANS
- Malette pédagogique CyberEdu de l'ANSSI
- Kit de communication sur le dispositif Cybermalveillance.gouv.fr
- Campagne nationale #TousCybervigilants de l'ANS
