8715350 Questionnaire Gestion de La Securite ISO 27002

10917746.xls - Prambule

1/225

Ce questionnaire scurit est bas sur l'ISO 27002, cette norme dfinit un code de bonne pratique pour la gestion de la scurit de l'information. Cette norme dfinit les mesures qu'il convient de mettre en place pour maitriser les risques pesant sur un systme d'information. La norme ISO 27002 tant de porte gnrale, le questionnaire a t complt en prenant en compte des documents de rfrence spcifiques au secteur sant : * l'ISO 27799, complment de l'ISO 27002 relatif la sant * le dcret "confidentialit" pour la partie concernant l'obligation d'utilisation de la carte puce pour l'accs aux informations de sant et leur transmission par voie lectronique, * le dcret "hbergement" pour la partie concernant les exigences oprationnelles, les exigences concernant la dmarche d'agrment n'ont pas t prises en compte dans le questionnaire. L'objectif est de mesurer si le projet a pris en compte ces exigences oprationnelles en anticipation d'une dmarche d'agrment, ou si d'autres mesures particulires ont t prises.

Le squelette de ce questionnaire est l'ISO 27002. Il respecte la rpartition des mesures de scurit sur les 11 thmes de l'ISO 27002. Le questionnaire exhaustif ISO 27002 tant trs consquent, seuls ont t retenus les sous-thmes particulirement significatifs dans le contexte des projets concerns. Certaines problmatiques communes plusieurs sous-thmes ont t regroupes. Toutes les exigences critiques des rfrentiels cits prcdemment ont t insres dans les sous-thmes du questionnaire, ces exigences sont accessibles dans le questionnaire en dmasquant les lignes marques en colonne 1 par un + ou un - .

L'ISO 27002 est un guide de bonnes pratiques international, les termes utiliss sont par nature gnriques. On prcise ici la dfinition de certains termes ramens au contexte des projets. Le terme "organisme" dsigne dans notre cas toute la structure du projet et le systme d'information li au projet. Le terme "bien" dsigne l'ensemble du systme mis en uvre et les informations traites Le terme "tiers" dsigne l'ensemble des utilisateurs finaux ainsi que les sous-traitants du projet.

10917746.xls - Questionnaire SousN thme N Sous thme N article Thme Article thme 5 POLITIQUE DE SECURITE 5.1 1 Politique de scurit de l'information 5.1.1 Objectif : Apporter la scurit de l'information une orientation et un soutien de la part de la direction, conformment aux exigences mtier et aux lois et rglements en vigueur

2/225

Exigence

Questions poser

Constat

Document de politique de scurit de l'information Mesure : Un document de politique de scurit de l'information doit L'organisation et la gestion de la scurit sont-elles formalises tre approuv par la direction , puis publi et diffus auprs de dans un document chapeau couvrant l'ensemble du domaine pour l'ensemble des salaris et des tiers concerns. le projet ? (PSSI) Une dmarche de certification ISO 27001 a-t-elle t prvue pour le projet? Iso 27799 : Les organismes traitant des informations de sant, y compris des informations personnelles de sant, doivent possder une politique formelle de la scurit de l'information approuve par la direction, publie, puis communique l'ensemble des employs ainsi qu'aux tiers concerns Objectif : Grer la scurit de l'information au sein de l'organisme

6 ORGANISATION DE LA SECURITE DE L'INFORMATION 6.1 2 Organisation interne 6.1.1

Engagement de la direction vis--vis de la scurit de linformation Mesure : La direction soutient activement la politique de scurit au Quelle a t votre approche du management de la scurit dans le sein de lorganisme au moyen de directives claires, dun cadre de votre projet ? engagement franc, dattribution de fonctions explicites et dune Avez-vous appliqu une dmarche mthodologique d'analyse et de reconnaissance des responsabilits lies la scurit de gestion des risques SSI ? linformation. Iso 27799 : La direction d'un organisme de sant est responsable de la scurit des informations personnelles de sant et des autres donnes protges en lien avec la sant mises par l'organisme. Une coordination efficace constitue galement un lment essentiel la prservation de la scurit des informations. Ces deux notions requirent une infrastructure robuste et explicite en matire de gestion de la scurit de l'information. Il est d'une importance cruciale qu'elle soit conue et structure afin de faciliter l'accs des sujets de soins pour faciliter les comptes rendus au sein de la structure de l'organisme et pour garantir les dlais de dlivrance de ces informations. Iso 27799 : Les organismes traitant des informations personnelles de sant doivent : a - clairement dfinir et affecter les responsabilits relatives la scurit de l'information, b - avoir en place un forum de gestion de la scurit de l'information (ISMF) pour garantir l'existence d'une direction claire et d'un soutien visible de la direction en termes d'initiatives inhrentes la scurit concernant les informations personnelles de sant. Iso 27799 : Au minimum, au moins un individu doit tre responsable de la scurit des informations de sant au sein de l'organisme. Coordination de la scurit de l'information Mesure : Les activits relatives la scurit de l'information doivent L'organisation de la scurit est-elle formalise dans un document? tre coordonnes par des intervenants ayant des fonctions et des rles appropris reprsentatifs des diffrentes parties de Les rles et actions des diffrents acteurs de la SSI ont-ils t l'organisme. dfinis et ont-ils fait l'objet d'une communication? (RSSI, MOA, MOE, ...) Engagements de confidentialit Mesure : Les exigences en matire de confidentialit et de non divulgation de l'information sont elles clairement dfinies et rgulirement rvises . Une politique de confidentialit a-t-elle t labore dans le cadre de ce projet? Si oui, quels sont les sujets abords (accords de confidentialit)?

3

6.1.2

4

6.1.5

10917746.xls - Questionnaire Iso 27799 : les organismes traitant des informations personnelles de sant doivent tablir un accord de confidentialit qui prcise la nature confidentielle de cette information. L'accord doit tre applicable tout le personnel ayant accs aux informations de sant. Il convient que l'accord de confidentialit comprenne une rfrence aux sanctions encourues en cas d'identification d'une dfaillance dans la politique de scurit de l'information. Dcret hbergement : Une prsentation de la politique de confidentialit et de scurit, prvue au 2 de larticle R. 1111-9, doit tre fournie lappui de la demande dagrment conformment au 6o de larticle R. 1111-12. Elle comporte notamment les prcisions suivantes : 1 - En matire de respect des droits des personnes concernes par les donnes hberges 2 - En matire de scurit de laccs aux informations 3 - En matire de prennit des donnes hberges 4 - En matire dorganisation et de procdures de contrle interne en vue dassurer la scurit des traitements et des donnes 5 6.1.6 Relations avec les autorits Mesure : Des relations appropries doivent tre mises en place avec les autorits comptentes. Revue indpendante de la scurit de l'information Mesure : Des rexamens rguliers et indpendants de l'approche retenue par l'organisme pour grer et mettre en uvre sa scurit doivent tre effectus; de tels rexamens sont galement ncessaires lorsque des changements importants sont intervenus dans la mise en uvre de la scurit. Le projet a-t-il fait l'objet d'une dclaration CNIL?

3/225

6

6.1.8

Des rvisions priodiques de la mise en uvre de la gestion de la scurit sont-elles prvues? Ou bien, des rvisions ponctuelles sur vnement important sontelles prvues (volution fonctionnelle majeure) ? Objectif : Assurer la scurit de l'information et des moyens de traitement de l'information appartenant l'organisme et consults, traits, communiqus ou gr par des tiers

6.2 7

Tierces parties 6.2.1

8

6.2.3

Identification des risques provenant des tiers Mesure : Les risques pesant sur l'information et les moyens de L'implication de tiers (utilisateurs et sous-traitants) peut apporter traitement de l'organisme qui dcoulent d'activits impliquant des des risques au projet. Ces risques ont-ils t analyss? tiers doivent tre identifis, et des mesures appropries doivent tre Si oui, quels sont les lments mis en place par rapport ces mises en uvre avant d'accorder des accs. risques, en particulier sur les conditions d'accs au systme et aux informations sensibles? Iso 27799 : Les organismes traitant des informations de sant doivent valuer les risques associs l'accs possible par des tiers aux systmes et aux donnes qu'ils contiennent, puis mettre en place des contrles de scurit proportionnels au niveau de risque identifi et aux technologies employes. Iso 27799 : Les droits des sujets de soins doivent tre protgs, mme lorsqu'un tiers ayant un accs potentiel aux informations personnelles de sant se situe dans une juridiction diffrente de celle contrlant le sujet de soins ou l'organisme de sant. La scurit dans les accords conclus avec des tiers Mesure : Les accords conclus avec des tiers qui portent sur Si le projet fait appel de la sous-traitance, comment les aspects l'accs, le traitement, la communication ou la gestion de lis la scurit sont-ils pris en compte dans les contrats, l'information, ou des moyens de traitement de l'information de notamment avec les hbergeurs ? l'organisme , ou qui portent sur l'ajout de produits ou de services Un mdecin est-il prvu parmi le personnel en charge de l'activit aux moyens de traitement de l'information, doivent couvrir d'hbergement ? l'ensemble des exigences applicables en matire de scurit. En cas de problme, le mdecin est la seule personne ayant la possibilit d'accder aux donnes de sant. Iso 27799 : chaque fois qu'un organisme a recours aux services d'un tiers, il convient qu'un accord prcisant les contrles minimaux effectuer soit adopt Dcret Hbergement : Les informations concernant la sant des patients sont soit conserves au sein des tablissements de sant qui les ont constitues, soit dposes par ces tablissements auprs dun hbergeur agr

10917746.xls - Questionnaire Dcret Hbergement : L'hbergeur des donnes de sant doit se soumettre une demande d'agrment. Dcret Hbergement : L'hbergeur doit identifier les personnes en charge de lactivit dhbergement, dont un mdecin, en prcisant le lien contractuel qui les lie lhbergeur. Dcret Hbergement : Les modles de contrats devant tre joints la demande dagrment contiennent obligatoirement au moins les 9 clauses (description, modalits, contrat, etc.) dfinis l'article R1111-13 Dcret Hbergement : Lagrment est dlivr aux hbergeurs de donnes de sant caractre personnel pour une dure de trois ans. La demande de renouvellement doit tre dpose au plus tard six mois avant le terme de la priode dagrment. Dcret Hbergement : En cas de divulgation non autorise de donnes de sant caractre personnel ou de manquements graves de lhbergeur ses obligations mettant notamment en cause lintgrit, la scurit et la prennit des donnes hberges, le ministre charg de la sant peut, titre conservatoire, dans lattente quil soit statu dfinitivement sur le projet de retrait dagrment, prononcer la suspension de lactivit dhbergement. Dcret Hbergement : Le directeur de ltablissement veille ce que toutes dispositions soient prises pour assurer la garde et la confidentialit des informations ainsi conserves ou hberges. Dcret Hbergement : Le dossier mdical est conserv pendant une dure de vingt ans compter de la date du dernier sjour de son titulaire dans ltablissement ou de la dernire consultation externe en son sein Dcret Hbergement : A lissue du dlai de conservation mentionn lalina prcdent et aprs, le cas chant, restitution ltablissement de sant des donnes ayant fait lobjet dun hbergement en application de larticle L. 1111-8, le dossier mdical peut tre limin. La dcision dlimination est prise par le directeur de ltablissement aprs avis du mdecin responsable de linformation mdicale 7 GESTION DES BIENS 7.1 9 Responsabilit associe aux biens 7.1.3 Objectifs : Mettre en place et maintenir une protection approprie des biens de lorganisme

4/225

7.2 10

Utilisation correcte des biens Mesure : Des rgles permettant l'utilisation correcte de l'information Existe-t-il un inventaire des biens du projet? et des biens associs aux moyens de traitement de l'information Existe-t-il une classification des biens par rapport leurs critres doivent tre identifies, documentes et mises en uvre. de sensibilit (en termes de disponibilit, d'intgrit et de confidentialit)? Y a-t-il eu une campagne de diffusion ou de sensibilisation des Iso 27799 : Il convient : La conservation sur support informatique utilisateurs pour l'utilisation correcte des biens? Dcret Confidentialitque les organismes manipulant des informationsLe matrielque les organismes traitantconsigne des de sant aient des rgles pour prserver la Iso 27799 : Il convient mdical qui enregistretrois des informations des informations mdicales mentionnes aux ou premiers alinas prdominanceexiger par tout(par exemple la tout tablissements de donnes peut1110-4 des considrations particulires en termes et personnelles de sant biens professionnel, prdominance d'une de larticle L. de ces : baserendentde sant destout autre organisme intervenant dans le scurit liescompte mdicaments) informations de ces biensaux a - de donnes de ou biens dans l'intgrit de sant et (par tout rseau l'environnementdes etlequel elles oprent (c'est-exemple de sant est soumise qui respect de rfrentiels dfinis par missions lectromagntiques au surviennent lors de leur dire tablissent un fonctionnelle du matriel mdical qui enregistre systme l'intgrit inventaire de ces biens), ou - dsignent undonnes).de laces biens relatifs aux informations fonctionnement. Il gardien pour sant, pris aprs identifi la b consigne des charg arrts du ministreconvient qu'un tel matriel soit avis de de manire unique. de sant, Commission nationale de linformatique et des liberts. Ces Objectif : Garantir un niveau de protection appropri aux c - possdent des rgles identifies, transmission et ces rfrentiels Classification des informations simposent galement ladocumentes de mises en informations uvre en vue devoie lectronique entre ces biens. informations par la bonne utilisation de professionnels. 7.2.2 MarquageLes rfrentiels dterminent les fonctions de scurit ncessaires et manipulation de l'information la conservation ou la transmission des informations mdicales Le niveau de classification des supports d'informations est-il Mesure : Un ensemble appropri de procdures pour le marquage enla manipulation deniveau de scurit requis pour et mis en uvre indiqu de manire visible sur chacun des supports? et cause et fixant le l'information doit tre labor ces fonctions. conformment au plan de classification adopt par l'organisme.

10917746.xls - Questionnaire Iso 27799 : Toutes les informations de sant ne sont pas confidentielles et tous les systmes d'information de sant ne donnent pas aux utilisateurs l'accs aux informations personnelles de sant. Les utilisateurs des systmes d'informations de sant doivent savoir lorsque les donnes qu'ils sont sur le point de consulter contiennent des informations personnelles de sant. Iso 27799 : Il convient que les copies en sortie soient tiquetes comme confidentielles lorsqu'elles contiennent des informations de sant. Iso 27799 :pour des raisons pratiques il serait parfois ncessaire d'identifier les dossiers de sant des sujets de soins exposs un risque lev d'accs non autoris. Parmi ces individus se trouvent les employs de l'organisme lui-mme, les VIP... ISO 27799 : il est important de prendre en compte l'attention particulire qui doit tre porte aux sujets de soins ne souhaitant pas que leurs informations personnelles de sant soient accessibles aux employs mdicaux lorsque ceux-ci sont galement des voisins, des collgues ou des proches. Ces problmes constituent souvent une grande partie des plaintes de la part de personnes craignant pour la confidentialit de leurs informations personnelles de sant. Souvent, les membres du personnel ne souhaitent pas tre en contact, s'ils n'en n'ont pas besoin, avec les informations concernant leurs amis, leurs proches ou leurs voisins. Iso 27799 : Il convient que toutes les informations personnelles de sant soient unanimement classes confidentielles Il convient que les organismes manipulant des informations personnelles de sant classent ces donnes comme confidentielles et ce, unanimement. Iso 27799 : La classification en termes de disponibilit, intgrit et importance doit galement tre applique aux processus, au matriel informatique, logiciel, lieux et personnel Iso 27799 : Il convient que tous les systmes d'informations personnelles de sant traitant des informations personnelles de sant informent l'ensemble des utilisateurs de la confidentialit des informations personnelles de sant accessibles depuis le systme (lors de son dmarrage ou lors de la connexion au systme) 8 SECURITE LIEE AUX RESSOURCES HUMAINES Objectifs : - Garantir que les salaris, contractants et utilisateurs tiers connaissent leurs responsabilits et quils conviennent pour les fonctions qui leur sont attribues - Rduire le risque de vol, de fraude ou de mauvais usage des quipements. Des critres spcifiques par rapport la sensibilit des missions ont-ils t pris en compte lors du recrutement d'une personne pour le projet? Sont-ils spcifis dans les fiches de postes? (l'ISO 27799 prcise que des vrifications des casiers judiciaires sont possibles)

5/225

8.1

Avant le recrutement

11

8.1.2

Slection Mesure : Des vrifications des informations concernant tous les candidats (postulants, contractants ou utilisateurs tiers) doivent tre ralises conformment aux lois, aux rglements et l'tique. Elles doivent tre proportionnelles aux exigences mtier, la classification des informations accessibles et aux risques identifis. ISO 27799 : Il convient que tous les organismes dont les employs, les sous-traitants ou les bnvoles en contact (ou en futur contact) avec des informations personnelles de sant, vrifient, au minimum, l'identit, l'adresse actuelle et les emplois prcdents de ces employs, sous-traitants et bnvoles lorsque ceux-ci postulent ISO 27799 : Ds que possible, il convient que des vrifications du casier judiciaire soient entreprises. Retrait des droits d'accs

12

8.3.3

10917746.xls - Questionnaire Mesure : Les droits d'accs de l'ensemble des salari, contractants et utilisateurs tiers l'information et aux moyens de traitement de l'information doivent tre supprims la fin de leur priode d'emploi, ou modifis en cas de modification du contrat ou de l'accord. Avez-vous formalis des procdures de retrait des droits d'accs des utilisateurs ainsi que des sous-traitants? (Ces procdures doivent tre applicables aux sous-traitants s'ils grent les droits d'accs). Le personnel temporaire a-t-il des droits diffrents des droits des autres utilisateurs? La rvocation des droits est-elle prise en compte ds la cration des comptes? (exemple : la date de fin de contrat est prise en compte ds l'attribution des droits et le compte est supprim cette date) Les comptes sont-ils valables pendant une dure limite? (pour une personne en poste fixe, le compte doit-il tre actualis tous les 2 ans par exemple?)

6/225

ISO 27799 : Tous les organismes traitant des informations personnelles de sant doivent, ds que possible, mettre un terme aux privilges d'accs des utilisateurs relatifs ces informations et ce, qu'il s'agisse du dpart d'un employ en CDD ou en CDI, ou encore d'un sous-traitant ou d'un bnvole tant arriv aux termes de ses activits contractuelles, de sous-traitance ou de bnvolat. 9 SECURITE PHYSIQUE ET ENVIRONNEMENTALE 9.1 13 Zones scurises 9.1.1 Primtre de scurit physique Mesure : Les zones contenant des informations et des moyens de traitement de l'information doivent tre protges par des primtres de scurit (obstacles tels que des murs, des portes avec un contrle daccs par cartes, ou des bureaux de rception avec personnel daccueil). Objectif : Empcher tout accs physique non autoris, tout dommage ou intrusion dans les locaux et les informations de lorganisme. La plateforme matrielle du projet est-elle installe dans des locaux sensibles? Des mesures de protection (dtection incendie, dgts des eaux, dtecteur de fume, etc.) ont-elles t mises en uvre dans les locaux sensibles? Les locaux sensibles sont-ils accs restreint? Si oui, comment se fait le contrle d'accs?

ISO 27799 : Il convient que les organismes traitant des informations personnelles de sant utilisent des primtres de scurit pour protger les zones contenant des quipements de traitement de l'information constituant une aide aux applications mdicales. ISO 27799 : Il convient de protger ces zones scurises par des contrles adquats l'entre pour s'assurer que seul le personnel habilit est admis. ISO 27799 : Il convient que les mesures de scurit physique relatives l'information soit associes aux mesures de scurit physique et de sret relatives aux sujets de soins. Les organismes de sant ont le devoir d'assurer la protection de ces deux aspects 9.2 14 Scurit du matriel 9.2.1 Objectif : Empcher la perte, lendommagement, le vol ou la compromission des biens et linterruption des activits de lorganisme.

Choix de l'emplacement et protection du matriel Mesure : Le matriel doit tre situ et protg de manire rduire Les matriels sensibles de la plateforme du projet ont-ils t les risques de menaces et de dangers environnementaux et les stocks en fonctions des risques potentiels de menaces possibilits d'accs non autoris. extrieures et environnementales (vandalisme au rez de chausse, crue centennale, etc.) ISO 27799 : Il convient que les organismes traitant des informations personnelles de sant placent tout poste de travail permettant l'accs aux informations personnelles de sant d'une faon qui empche les regards non-attentionns ou l'accs aux sujets de soins et au public. ISO 27799 : Il convient que les organismes de sant et particulirement les hpitaux s'assurent que le choix de l'emplacement et les lignes directrices en matire de protection du matriel informatique rduisent le plus possible les expositions de telles missions.

10917746.xls - Questionnaire ISO 27799 : Le matriel mdical qui enregistre ou consigne des donnes peut galement exiger des considrations spciales en termes de scurit qui sont en relation avec l'environnement dans lequel elles oprent et avec les missions lectromagntiques qui surviennent lors de leur fonctionnement Services gnraux Mesure : Le matriel doit tre protg des coupures de courant et d'autres perturbations dues une dfaillance des services gnraux. Maintenance du matriel Mesure : Le matriel doit tre entretenu correctement pour garantir sa disponibilit permanente et son intgrit. Scurit du matriel hors de locaux Mesure : La scurit doit tre applique au matriel utilis hors des locaux de l'organisme en tenant compte des diffrents risques associs au travail hors site.

7/225

15

9.2.2

Le niveau de disponibilit du systme demande-t-il bnficier d'un secours lectrique? Si oui, comment est-il mis en place? Avez-vous pris en compte une gestion de la maintenance pour les matriels du projet? Le projet prend-il en compte des postes de travail nomades ou des PDA? Si oui, une tude a-t-elle t faite pour garantir un niveau de confidentialit optimum (durcissement de la configuration, systme d'authentification robuste, etc.)?

16

9.2.4

17

9.2.5

18

9.2.6

ISO 27799 : les organismes traitant des informations personnelles de sant doivent garantir que toute utilisation du matriel mdical enregistrant ou consignant des donnes a t autorise en dehors des locaux adquats ISO 27799 : Il convient que cela comprenne des quipements utiliss par des travailleurs distance, mme lorsque cette utilisation est perptuelle Mise au rebut ou recyclage scuris(e) du matriel Mesure : Tout le matriel contenant des supports de stockage doit Existe-t-il une procdure de gestion des supports d'informations? tre vrifi pour s'assurer que toute donn sensible a bien t Si oui, intgre-t-elle la mise au rebut des supports de stockage supprime et que tout logiciel sous licence a bien t dsinstall ou (avec procdure d'effacement dfinitif des donnes sensibles)? cras de faon scurise, avant sa mise au rebut. ISO 27799 : Les organismes traitant des applications contenant des informations de sant doivent craser de faon scurise ou bien dtruire tous les supports contenant des logiciels d'application d'informations de sant ou d'informations personnelles de sant quand l'utilisation du support n'est plus ncessaire.

10 GESTION DE L'EXPLOITATION ET DES TELECOMMUNICATIONS 10.1 Procdures et responsabilits lies l'exploitation 19 Objectif : Assurer lexploitation correcte et scurise des moyens de traitement de linformation

10.1.1 Procdures d'exploitation documentes Mesure : Les procdures d'exploitation doivent tre documentes, Avez-vous formalis les procdures d'exploitation de la plate tenues jour et disponibles pour tous les utilisateurs concerns forme? 10.1.4 Sparation des quipements de dveloppement, de test et d'exploitation Mesure : Les quipements de dveloppement, d'essai et Avez-vous prvu de mettre en place des plateformes diffrentes d'exploitation doivent tre spars pour rduire les risque d'accs pour la recette, la pr-production et la production? ou de changements non autoriss dans le systme d'information en Si oui, ce cycle de vie du projet est-il mis en place? exploitation. ISO 27799 : Les organismes traitant des informations personnelles de sant doivent sparer (physiquement ou virtuellement) les environnements de dveloppement et d'essai relatifs aux systmes d'information de sant traitant de telles oprations des environnements d'exploitation abritant ces systmes d'informations de sant. ISO 27799 : Les rgles relatives la migration des logiciels de l'tat de dveloppement l'tat d'exploitation doivent tre dfinies et documentes par l'organisme abritant l(es) application(s) concerne(s). 10.3 Planification et acceptation du systme Objectif : Rduire le plus possible le risque de pannes du systme.

20

21

10.3.2 Acceptation du systme

10917746.xls - Questionnaire Mesure : - Les critres d'acceptation doivent tre fixs pour les nouveaux systmes d'information, les nouvelles versions et les mises niveau, - Des tests adapts au systme doivent tre raliss au moment du dveloppement et pralablement leur acceptation ISO 27799 : Les organismes traitant des informations personnelles de sant doivent tablir des critres d'acceptation pour les nouveaux systmes d'information prvus, les mises jour venir et les nouvelles versions installer ISO 27799 : Ils doivent raliser des essais convenables du systme avant l'acceptation. ISO 27799 : Il convient que l'tendue et la rigueur de ces essais soit adapte au niveau correspondant aux risques identifis de la modification. 10.4 Protection contre les codes malveillants et mobiles 10.4.1 Mesures contre les codes malveillants Mesure : Des mesures de dtection, de prvention et de rcupration ainsi que des procdures appropries de sensibilisation des utilisateurs doivent tre mise en uvre afin de se protger des codes malveillants. ISO 27799 : Les organismes traitant des informations personnelles de donnes doivent mettre en place des contrles adquats de prvention, de dtection et de rponse afin de se protger des logiciels malicieux ISO 27799 : Ils doivent mettre en place des formations adquates de sensibilisation des utilisateurs. 10.5 Sauvegardes 23 10.5.1 Sauvegarde des informations Mesure : Des copies de sauvegarde des informations et logiciels doivent tre ralises et soumises rgulirement essai conformment la politique de sauvegarde convenue Lors de la rception des matriels et logiciels, des tests sont-ils effectus, notamment des tests spcifiques de scurit ? Toute modification de configuration ou de version fait-elle l'objet d'un plan de conduite de changement appliqu au systme?

8/225

Objectif : Protger lintgrit des logiciels et de linformation. Existe-t-il au sein du projet des mesures de dtection, de prvention et de rcupration afin de se protger des codes malveillants?

22

Objectif : Maintenir lintgrit et la disponibilit des informations et des moyens de traitement de linformation. Les donnes sont-elles sauvegardes de manire garantir leur niveau de confidentialit ? Les donnes sauvegardes et les supports de sauvegarde bnficient-ils des mmes moyens de protection que les donnes courantes (en intgrit et confidentialit particulirement) ?

ISO 27799 : Afin de protger leur confidentialit, il convient que les informations personnelles de sant soient sauvegardes sous un format chiffr. ISO 27799 : Les organismes traitant des informations personnelles de sant doivent sauvegarder les informations personnelles de sant et les stocker dans un environnement physique scuris pour garantir leur disponibilit future. 10.6 Gestion de la scurit des rseaux 24 Objectif : Assurer la protection des informations sur les rseaux et la protection de linfrastructure sur laquelle ils sappuient.

25

10.6.2 Scurit des services rseau Mesure : Pour tous les services rseau, les fonctions rseau, les Un niveau de disponibilit des moyens de tlcommunication a-t-il niveaux de service et les exigences de gestion doivent tre t dtermin dans le cadre de ce projet? identifis et intgrs dans tout accord sur les services rseau, qu'ils soient fournis en interne ou en externe ISO 27799 : Il convient que les organismes traitant des informations personnelles de sant prennent en compte avec prcaution les consquences que la perte de la disponibilit du service rseau aurait sur la pratique clinique Objectif : Empcher la divulgation, la modification, le retrait ou la destruction non autoris(e) de biens et linterruption des activits 10.7 Manipulation des supports de lorganisme. 10.7.1 Gestions des supports amovibles Mesure : Des procdures doivent tre mises en place pour la Des exigences de scurit ont-elles t dfinies pour la gestion des gestion des supports amovibles supports amovibles (comment ragir en cas de perte, de vol, etc.)? ISO 27799 : Il convient que les organismes traitant des informations Si oui, ont-elles fait l'objet d'une communication? personnelles de sant garantissent que toutes les informations personnelles de sant stockes sur des supports amovibles sont : a - chiffres lorsque leur support est en transit, b - protges du vol lorsque leur support est en transit.

10917746.xls - Questionnaire 10.8 Echanges des informations 26 10.8.1 Politiques et procdures d'change des informations Mesure : Des politiques, procdures et mesures d'change formelles doivent tre mises en place pour protger les changes d'informations transitant par tous types dquipements de tlcommunication. ISO 27799 : Les organismes doivent garantir que la scurit de tels changes d'informations est le sujet de l'audit de la politique de dveloppement et de conformit ISO 27799 : La scurit des changes d'informations peut tre assiste de manire trs efficace par l'utilisation d'accords sur les changes d'informations qui stipulent le minimum requis en matire de mise en place d'un ensemble de contrles. Doctrine de scurit : Tous les changes qu'ils soient raliss partir d'un logiciel de professionnel de sant (LPS) ou partir de l'ordinateur personnel du patient seront scuriss en terme d'intgrit et de confidentialit (mcanisme de construction d'un canal scuris SSL/TLS) 27 10.8.3 Supports physiques en transit Mesure : Les supports contenant des informations doivent tre Les supports en transit contenant des donnes de sant sont-ils protgs contre les accs non autoriss, le mauvais usage ou protgs? Si oui, par quels moyens (chiffrement par CPS, par l'altration lors du transport hors des limites physiques de certificats numriques, ...)? l'organisme. 10.8.4 Messagerie lectronique Mesure : Les informations transitant par la messagerie lectronique Un service de messagerie est-il utilis dans le cadre de ce projet? doivent tre protges de manire adquate. La confidentialit des mails stocks sur les serveurs de messagerie est-elle garantie, comment ? Comment la confidentialit des mails stocks sur les postes de travail fixes et nomades est-elle assure? La carte CPS est-elle utilise pour assurer la confidentialit et la non rpudiation des messages ? Si non, quelle est la solution mise en place? Comment assurez-vous la confidentialit des pices jointes? Sontelles stockes sur les serveurs ou bien les utilisateurs les suppriment-ils systmatiquement des serveurs? Un antivirus est-il dploy spcifiquement pour le serveur de messagerie? ISO 27799 : Il est important de remarquer que la scurit des courriers lectroniques et des messages instantans contenant des informations personnelles de sant peut impliquer des modes opratoires pour le personnel mdical qui ne peuvent pas tre imposes aux sujets de soins et au public. ISO 27799 : Il convient que les organismes transmettant des informations personnelles de sant par messagerie lectronique prennent des mesures pour garantir leur confidentialit et leur intgrit ISO 27799 et dcret Confidentialit: Il convient que les organismes transmettant des informations personnelles de sant par messagerie lectronique prennent des mesures pour garantir leur confidentialit et leur intgrit ISO 27799 et dcret Confidentialit: Il convient que les organismes transmettant des informations personnelles de sant par messagerie lectronique prennent des mesures pour garantir leur confidentialit et leur intgrit ISO 27799 : Il convient que les courriers lectroniques contenant des informations personnelles de sant soient chiffrs pour le transit. Une approche de cette directive implique l'utilisation de certificats lectroniques. 29 10.10 Surveillance 10.10.1 Rapport d'audit Objectif : Dtecter les traitements non autoriss de linformation. Objectif : Maintenir la scurit des informations et des logiciels changs au sein de lorganisme et avec une entit extrieure Existe-t-il des changes avec l'extrieur de la plate forme autre que les changes avec les PS ? Si oui, sont-ils protgs et comment?

9/225

28

10917746.xls - Questionnaire

10/225

Mesure : Les rapports d'audit, qui enregistrent les activits des utilisateurs, les exceptions et les vnements lis la scurit doivent tre produits et conservs pendant une priode pralablement dfinie afin de faciliter les investigations ultrieures et la surveillance du contrle d'accs.

Une politique de traabilit a-t-elle t labore au sein du projet? Si oui, fait-elle une diffrence entre les traces techniques et les traces mtier? Une tude a-t-elle t mene afin de dterminer quelles taient les traces conserver? Quelles sont les mesures de protection mises en place pour protger les traces en intgrit? Quelles sont les mesures de protection mises en place pour protger les traces en confidentialit? Quelle est la dure prvue pour la conservation des traces? Quels sont les moyens mis en place afin de s'assurer de la non rpudiation d'une action?

ISO 27799 : Il convient que les systmes d'information de sant traitant des informations personnelles de sant crent un compte rendu d'audit scuris chaque fois qu'un utilisateur accde, cre, met jour ou archive des informations personnelles de sant par le biais du systme. ISO 27799 : Il convient que le journal d'audit identifie de manire univoque l'utilisateur, le sujet des donnes (soit le sujet de soins), qu'il identifie la fonction exerce par l'utilisateur (cration d'un compte rendu, accs et mise jour entre autres) et qu'il identifie l'heure et la date auxquelles la fonction a t effectue. ISO 27799 : Lorsque les informations personnelles de sant sont mises jour, il convient qu'un compte rendu de l'ancien contenu des donnes et le compte rendu de l'audit associ (soit l'identit de la personne ayant entr les donnes et la date) soit effectu. ISO 27799 : Il convient que les systmes de messagerie utiliss pour transmettre des messages contenant des informations personnelles de sant gardent un journal des transmissions de messages (il convient qu'un tel journal contienne l'heure, la date, l'origine et la destination du message, mais pas son contenu). ISO 27799 : Il convient que l'organisme value et dtermine avec prcaution la priode de conservation de ces journaux d'audit, avec une rfrence particulire aux normes professionnelles cliniques et aux obligations lgales, dans le but de permettre la ralisation d'enqutes lorsque ncessaire et de fournir des preuves de mauvais usage si ncessaire. Doctrine technique : A tout document de sant dpos dans un DMP doit tre associ une signature lectronique du document par son auteur . La validit de cette signature est contrle avant l'intgration du document dans le DMP. Elle garantit l'imputabilit du document dans le temps. 10.10.2 Surveillance de l'exploitation du systme Mesure : Existe-t-il des outils de centralisation et de journalisation des - Des procdures permettant de surveiller l'utilisation des moyens fichiers de journalisation? de traitement de l'information doivent tre tablies. Si oui, existe-t-il un outil d'analyse de ces fichiers de journalisation? - Les rsultats des activits de surveillance doivent tre rexamins priodiquement. Une tude a-t-elle t mene afin de dterminer quels fichiers de journalisation sont analyss? Y a-t-il des mesures mises en place pour assurer l'intgrit de ces logs? Toutes les activits des exploitants du systme sont-elles traces? ISO 27799 : Il convient que les quipements relatifs au rapport d'audit du systme d'informations de sant soient toujours fonctionnels pendant que le systme d'information de sant en cours d'audit est disponible l'utilisation.

30

10917746.xls - Questionnaire ISO 27799 : Il convient que les systmes contenant des informations personnelles de sant soient pourvus d'installations permettant l'analyse des journaux et des traces d'audit qui : a - permettent l'identification de tous les utilisateurs systme qui ont accd ou modifi le(s) dossier(s) d'un sujet de soins donn sur une priode de temps donne, b - permettent l'identification de tous les sujets de soins dont les dossiers ont t visits ou modifis par un utilisateur systme donn sur une priode de temps donne. 10.10.6 Synchronisation des horloges Mesure : Les horloges des diffrents systmes de traitement de l'information d'un organisme ou d'un domaine de scurit doivent tre synchronises l'aide d'une source de temps prcise et pralablement dfinie. ISO 27799 : Les systmes d'informations de sant lis des activits de soins partags pour lesquelles le facteur temps est essentiel doivent fournir des services de synchronisation du temps afin d'aider la recherche et la reconstitution de l'emploi du temps de certaines activits si besoin est. 11 CONTRLE D'ACCES 32 11.1 Exigences mtier relatives au contrle d'accs Objectif : Matriser laccs linformation. 11.1.1 Politique de contrle d'accs Mesure : Une politique de contrle d'accs doit tre tablie, Avez-vous labor une politique de contrle d'accs? documente et rexamine sur la base des exigences dexploitation et de scurit. ISO 27799 : il est important de remarquer que, dans le but de ne pas retarder ni entraver la dlivrance des soins mdicaux, il existe des exigences plus fortes que d'habitude permettant en cas d'urgence, aprs autorisation, de passer outre les rgles normales de contrle d'accs, grce une politique et un processus clairs. ISO 27799 + Dcret confidentialit: Les organismes de sant sont encourags considrer la mise en place d'une solution de gestion de l'identit et de l'accs fdre car elle constituerait une aide potentielle supplmentaire et des cots d'administration moindres la politique de contrle d'accs. Cette solution permettra en plus de bnficier de processus d'accs la scurit renforce tels que des accs fonds sur des cartes puces et une capacit de connexion unique. ISO 27799 + Dcret Confidentialit : Les organismes traitant des informations personnelles de sant doivent possder une politique de contrle d'accs rgissant l'accs ces donnes. Il convient que la politique de contrle d'accs de l'organisme soit tablie sur la base de rles prdfinis de la part d'autorits associes qui conviendraient ce rle tout en se limitant ces fonctions. La politique de contrle d'accs doit reflter les exigences professionnelles, thiques, lgales et relatives au sujet de soins Il convient qu'elle tienne compte des activits effectues par les professionnels de la sant ainsi que du flux de travail des tches qui leur incombent. Dcret Confidentialit : En cas daccs par des professionnels de sant aux informations mdicales caractre personnel conserves sur support informatique ou de leur transmission par voie lectronique, lutilisation de la carte de professionnel de sant mentionne au dernier alina de larticle L. 161-33 du code de la scurit sociale est obligatoire Doctrine technique : L'identifiant de sant doit donc tre pris en compte par les professionnels de sant pour l'ensemble des dossiers mdicaux (professionnels, partags, mdical personnel). 11.2 Gestion de l'accs utilisateur Objectif : Matriser laccs utilisateur par le biais dautorisations et empcher les accs non autoriss aux systmes dinformation.

11/225

31

S'il y a plusieurs serveurs au sein de l'architecture du projet, sontils tous synchroniss sur la mme base de temps? (tous les serveurs doivent tre la mme heure pour des contraintes de cohrence et d'exploitation)

10917746.xls - Questionnaire 33 11.2.1 Enregistrement des utilisateurs Mesure : Une procdure formelle d'enregistrement de dsinscription des utilisateurs, destine accorder et supprimer laccs tous les systmes et services dinformation doit tre dfinie. Avez-vous mis en place une procdure d'enregistrement d'un nouvel utilisateur (PS, patient)? Tous les nouveaux utilisateurs sont-ils crs avec un profil par dfaut ? Comment sont grs les profils au sein du projet? Comment les utilisateurs ( patients et PS) ont-ils cr leur comptes au sein du systme?

12/225

ISO 27799 : L'accs aux systmes relatifs aux informations personnelles de sant traitant d'informations personnelles de sants doit tre soumis un processus officiel d'enregistrement de l'utilisateur. ISO 27799 + dcret confidentialit: Les modes opratoires d'enregistrement de l'utilisateur doivent garantir que le niveau d'authentification exig en matire d'identit dclare par l'utilisateur est cohrent avec les niveaux d'accs obtenu ensuite par ce mme utilisateur. ISO 27799 : Les dtails de l'enregistrement de l'utilisateur doivent tre rviss rgulirement afin de garantir leur contenu et leur exactitude mais aussi dans le but de vrifier que l'utilisateur a toujours rellement besoin de cet accs. Dcret Confidentialit : Le responsable du traitement est charg de veiller au respect du rfrentiel. Il lui appartient notamment de mettre en uvre les procds assurant lidentification et la vrification de la qualit des professionnels de sant dans les conditions garantissant la cohrence entre les donnes lidentification gres localement et celles recenses par le groupement dintrt public ISO 27799 : il convient qu'un intrt particulier soit port aux contrles techniques permettant l'authentification scurise d'un sujet de soins lorsqu'il accde ses propres informations (grce ces systmes d'information de sant qui permettent ces accs). Il convient galement de souligner la facilit d'utilisation de ces mesures, tout particulirement pour les sujets de soins handicaps et les dispositions d'accs pour des dcideurs de substitution. 34 11.2.2 Gestion des privilges Mesure : L'attribution et l'utilisation des privilges doivent tre restreints et contrls Avez-vous identifi le besoin de mettre en uvre un mode "brise glace"? Si oui, quels sont les moyens mis en uvre pour grer les autorisations dans des modes de type "brise glace" ? Ces oprations en mode "brise glace" font-elles l'objet d'un fichier de journalisation spcifique ? Comment la lgitimit d'accs au systme est-elle vrifie lors de la cration d'un compte ? Quels sont les moyens mis en uvre pour autoriser les accs aux dossiers patients par les PS? Le patient a-t-il fait l'objet d'une communication sur la stratgie d'accs ses donnes? ISO 27799 : il convient que les systmes d'information de sant traitant d'informations personnelles de sant soient pourvus d'un contrle d'accs spcifique selon le rle (RBAC, rle-based access ISO 27799 : Plusieurs des stratgies de contrle d'accs abordes control) capable d'attribuer un ou plusieurs rles chaque ci-dessous sont considres comme pouvant aider de manire utilisateur et chaque rle une ou plusieurs fonctions du systme. significative assurer la confidentialit et l'intgrit des informations personnelles de sant. Celles-ci sont : ISO 27799 : Un utilisateur d'un systme d'informations de sant a - un contrle d'accs en personnelles de sant doit avoir accs contenant des informations fonction du rle dfinit par les titres professionnels en les intituls un seul et unique rle (les utilisateurs ses services et endossant de fonction des utilisateurs tablis lors de ont t enregistrs avec plusieurs rles doivent prsenter un qui l'enregistrement en vue de restreindre les privilges d'accs des utilisateurs aux chaque session d'accs un systme seul rle lors deprivilges requis pour l'accomplissement d'un ou de plusieurs rles bien dfinis, d'informations de sant). b - un contrle d'accs spcifique au groupe de travail qui repose sur l'affectation des utilisateurs des groupes de travail (tels que des quipes cliniques) en vue d'tablir les dossiers auxquels ils peuvent accder, et c - un contrle d'accs discrtionnaire permettant aux utilisateurs des systmes d'information de sant qui ont une relation lgitime avec les informations personnelles de sant d'un sujet de soins (par exemple un mdecin de famille) d'accorder l'accs d'autres


13/225

Dcret Confidentialit : Le responsable du traitement est charg de veiller au respect du rfrentiel. Il lui appartient notamment de grer la liste nominative des professionnels habilits accder aux informations mdicales relevant de ce traitement et la tenir la disposition des personnes concernes par ces informations ISO 27799 : Il convient que les systmes d'information de sant associent les utilisateurs (y compris les professionnels de la sant et le personnel de soutien clinique, entre autres) avec les dossiers du sujet de soins en vue de permettre un futur accs fond sur cette association. 11.2.3 Gestion du mot de passe utilisateur Mesure : L'attribution de mots de passe doit tre ralise dans le cadre d'un processus formel. 11.2.4 Rexamen des droits d'accs utilisateur Mesure : La direction doit revoir les droits daccs utilisateurs intervalles rguliers par le biais dun processus formel.

35

Une procdure d'attribution des mots de passe a-t-elle t envisage? (transmission par courrier du mot de passe, par SMS, ...) La politique d'habilitation prend-elle en compte des rvisions des comptes? (vrifier que des comptes obsoltes ne soient pas conservs) Objectif : Empcher les accs utilisateurs non habilits et la compromission ou le vol dinformations et de moyens de traitement de linformation. Les bonnes pratiques d'utilisation de mots de passe ont-elles fait l'objet d'une sensibilisation des utilisateurs?

36

11.3 Responsabilits utilisateurs 37 11.3.1 Utilisation du mot de passe Mesure : Il doit tre demand aux utilisateurs de respecter les bonnes pratiques de scurit lors de la slection et de l'utilisation de mots de passe. 11.3.2 Matriel utilisateur laiss sans surveillance Mesure : Les utilisateurs doivent s'assurer que tout matriel laiss sans surveillance doit tre dot d'un dispositif de protection appropri. 11.4.2 Authentification de l'utilisateur pour les connexions externes Mesure : Des mthodes d'authentification appropries doivent tre utilises pour contrler l'accs des utilisateurs distants.

38

Les utilisateurs ont-ils t sensibiliss sur la protection des matriel sous leur responsabilit ? (poste de travail, protection de la carte CPS, ne pas donner le code PIN, ...) Existe-t-il au sein de ce projet, des connexions depuis l'extrieur (patient, PS, tltravail)? Si oui, comment sont-elles tablies et protges? Les PS peuvent-ils accder la plateforme depuis l'extrieur? Si oui, des moyens ont-ils t mis en place pour l'authentification du matriel du PS?

39

40

11.4.5 Cloisonnement des rseaux Mesure : Les groupes de services d'information, d'utilisateurs et de Est-il prvu que des entits externes puissent accder des systmes d'information doivent tre spars sur le rseau rseaux partags situs sur la plateforme du projet? Le rseau sur lequel est implant la plateforme du projet bnficient-ils de protection particulire? Si oui, de quelles natures sont ces protections? Y a-t-il un pare-feu entre le rseau interne et le rseau de la plateforme?

10917746.xls - Questionnaire Le projet fait-il intervenir un hbergeur externe? Dcret Hbergement : Si oui, existe-t-il un contrat particulier pour l'hbergeur? Toute personne physique ou morale souhaitant assurer Le serveur d'hbergement est-il ddi aux donnes mdicales? lhbergement de donnes de sant caractre personnel, Existe-t-il une politique de confidentialit avec l'hbergeur? mentionn larticle L. 1111-8, et bnficier dun agrment ce Connat-il toutes les contraintes le liant des donnes mdicales? titre doit remplir les conditions suivantes : 1 - Offrir toutes les garanties pour lexercice de cette activit, notamment par le recours des personnels qualifis en matire de scurit et darchivage des donnes et par la mise en oeuvre de solutions techniques, dune organisation et de procdures de contrle assurant la scurit, la protection, la conservation et la restitution des donnes confies, ainsi quun usage conforme la loi ; 2 - Dfinir et mettre en oeuvre une politique de confidentialit et de scurit, destine notamment assurer le respect des exigences de confidentialit et de secret prvues par les articles L. 1110-4 et L. 1111-7, la protection contre les accs non autoriss ainsi que la prennit des donnes, et dont la description doit tre jointe au dossier dagrment dans les conditions fixes par larticle R. 111114 ; 3 - Le cas chant, identifier son reprsentant sur le territoire national au sens de larticle 5 de la loi du 6 janvier 1978 ; 4 - Individualiser dans son organisation lactivit dhbergement et les moyens qui lui sont ddis, ainsi que la gestion des stocks et des flux de donnes ; 5 - Dfinir et mettre en place des dispositifs dinformation sur lactivit dhbergement destination des personnes lorigine du dpt, notamment en cas de modification substantielle des conditions de ralisation de cette activit ; 6 - Identifier les personnes en charge de lactivit dhbergement, dont un mdecin, en prcisant le lien contractuel qui les lie lhbergeur 11.5 Contrle d'accs au systme d'exploitation 41 Objectif : Empcher les accs non autoriss aux systmes dexploitation.

14/225

11.5.1 Ouverture de sessions scurises Mesure : Laccs aux systmes dexploitation doivent tre soumis Les accs au SI sont-ils soumis des procdures scurises? une procdure scurise d'ouverture de session. Les exploitants sont-ils authentifis par des mcanismes d'authentification forte ? Quels sont les moyens mis en uvre pour grer les autorisations d'accs au systme ?

42

11.5.5 Dconnexion automatique des sessions inactives Mesure : Les sessions inactives doivent tre dconnectes aprs une priode dinactivit dfinie. 11.6 Contrle d'accs aux applications et l'information

Est-il prvu que les sessions inactives aient une dure limite? Objectif : Empcher les accs non autoriss aux informations stockes dans les applications.

43

11.6.1 Restriction d'accs l'information Mesure : Laccs aux informations et aux fonctions applicatives doit Les professionnels de sant utilisent-ils la CPS comme moyen tre restreint pour les utilisateurs et le personnel charg de d'authentification? lassistance technique, conformment la politique de contrle Avez-vous men une tude sur la gestion des identifiants au sein daccs. du projet? A partir de quoi sont-ils crs? Sont-ils facilement prdictibles? Est-il prvu que les patients puissent accder leur dossiers? Si oui, quels sont les moyens mis en place pour que les patients puissent accder leur dossier? (serveur web, client lourd, etc.) Quels sont les principes d'identification et d'authentification des patients ? 12 ACQUISITION, DEVELOPPEMENT ET MAINTENANCE DES SYSTEMES D'INFORMATION 12.2 Bon fonctionnement des applications Objectif : Empcher toute erreur, perte, modification non autorise ou tout mauvais usage des informations dans les applications.

44

12.2.1 Validation des donnes d'entre

10917746.xls - Questionnaire Mesure : Les donnes entres dans les applications doivent tre valides afin de vrifier si elles sont correctes et appropries. 45 Si des lments sont rapatris depuis l'extrieur, quelles sont les mesures permettant de garantir l'authenticit et de l'intgrit des informations?

15/225

46

47

48

12.2.4 Validation des donnes de sortie Mesure : Les donnes de sortie dune application doivent tre Quelles mesures permettraient un utilisateur de vrifier valides pour vrifier que le traitement des informations stockes l'authenticit et l'intgrit des informations mises disposition? est correct et adapt aux circonstances. ISO 27799 : Les systmes d'information de sant traitant des informations personnelles de sant doivent fournir des informations personnelles d'identification pour aider les professionnels de la sant confirmer que le dossier mdical lectronique correspond bien au sujet de soins sous traitement. ISO 27799 : Il convient que les systmes d'information de sant donnent la possibilit de vrifier que les impressions lectroniques sont compltes ((par exemple page 3 de 5) Objectif : Protger la confidentialit, lauthenticit ou lintgrit de 12.3 Mesures cryptographiques linformation par des moyens cryptographiques 12.3.1 Politique d'utilisation des mesures cryptographiques Mesure : Une politique dutilisation des mesures cryptographiques Avez-vous men une rflexion sur les moyens cryptographiques doit tre labore et mise en uvre en vue de protger mettre en uvre? Existe-il une politique de gestion de cls linformation (responsabilits, procdures)? Objectif : Garantir la scurit du logiciel et des informations 12.5 Scurit en matire de dveloppement et d'assistance technique dapplication. 12.5.1 Procdure de contrle des modifications Mesure : La mise en uvre des modifications doit tre contrle Lorsque des modification de code ou de configuration doivent avoir par le biais de procdures formelles. lieu, des procdures formelles sont-elles appliques afin d'en contrler le bon droulement? 12.5.4 Fuite d'informations Mesure : Toute possibilit de fuite dinformations doit tre Avez-vous pris en compte les risques de vol / fuite d'information ? empche. Si oui, quels sont les moyens mis en uvre? 13 GESTION DES INCIDENTS LIES A LA SECURITE DE L'INFORMATION 13.1 Signalement des vnements et des failles lis la scurit de l'information Objectif : Garantir que le mode de notification des vnements et failles lis la scurit de linformation permette la mise en uvre dune action corrective, dans les meilleurs dlais.

49

13.1.1 Signalement des vnements lis la scurit de l'information Mesure : Les vnements lis la scurit de linformation doivent Existe-t-il une cellule de veille d'alerte de scurit? Si oui, qui les tre signals, dans les meilleurs dlais, par les voies hirarchiques rapport de veille sont-ils destins? appropries. En cas d'incident de scurit, des fiches d'incident sont-elles cres? Si oui, qui sont destines ces fiches? ISO 27799 : il convient que les organismes manipulant des informations personnelles de sant tablissent les responsabilits et les procdures en termes de gestion des incidents en vue de : a - garantir une rponse rapide, efficace et ordonne aux incidents de scurit, b - garantir l'existence d'une communication efficace hirarchise en matire d'incidents de telle sorte que les plans de gestion des crises et de continuit de l'activit peuvent tre invoqus en des circonstances appropries et au bon moment, c - regrouper et prserver les donnes relatives aux incidents tels que les traces d'audit, les journaux d'audit et autres preuves. Il convient que la politique soit rvise aprs l'apparition d'un incident de scurit important. ISO 27799 : Il convient que les organismes informent les sujets de soins chaque fois que des informations personnelles de sant ont t involontairement divulgues. ISO 27799 : Il convient que les organismes informent les sujets de soins chaque absence de disponibilit des systmes d'information de sant ayant des rpercussions sur l'efficacit des soins qui leur ont t apports.


16/225

50

51

ISO 27799 : il convient qu'une valuation de la scurit soit effectue soit sur la totalit des incidents, soit sur le plus reprsentatif, pour :valuer au mieux l'efficacit des contrles tablis Mesure de Sant Les incidents relatifs la scurit de et de l'apprciation du risque divulgation involontaire ou corrompue l'information comprennent la qui a conduit leur mise en place. des informations personnelles de sant ou l'absence de disponibilit des systmes d'information de sant, dans des cas o 13.1.2 Signalement des faillesa des rpercussions sur les soins apports aux cette absence de scurit Mesure ou sur les vnements cliniques. Est-il prvu que les utilisateurs du systme fasse remonter les patients : Tous dessalaris, contractants et utilisateurs tiers des systmes et services dinformation doivent noter et signaler toute informations sur les failles de scurit? faille de scurit observe ou souponne dans les systmes ou services Objectif : Garantir la mise en place dune politique cohrente et efficace pour la gestion des incidents lis la scurit de 13.2 Gestion des amliorations et incidents lis la scurit de l'information linformation. 13.2.1 Responsabilits et procdures Mesure : Des responsabilits et des procdures permettant de Avez-vous formalis une procdure de gestion des incidents? Si garantir une rponse rapide, efficace et pertinente en cas dincident oui, a-t-elle fait l'objet d'un plan de sensibilisation auprs des li la scurit de linformation doivent tre tablies. acteurs? 14 GESTION DU PLAN DE CONTINUITE DE L'ACTIVITE Objectif : Neutraliser les interruptions des activits de lorganisme, protger les processus mtier cruciaux des effets causs par les principales dfaillances des systmes dinformation ou par des 14.1 Aspects de la scurit de l'information en matire de gestion de la continuit de l'activit sinistres et garantir une reprise de ces processus dans les meilleurs dlais 14.1.1 Intgration de la scurit de l'information dans le processus de gestion du PCA Mesure : Un processus de continuit de lactivit dans lensemble La sensibilit du projet doit-elle prvoir un plan de reprise de de lorganisme qui satisfait aux exigences en matire de scurit de service/d'activit? linformation requises pour la continuit de lactivit de lorganisme Si oui, un plan ou une procdure de continuit d'activit a-t-il t doit tre labor et gr. formalis? Quelles sont les principales caractristiques dcrites (les responsables contacter, les matriels critiques, etc.)? ISO 27799 : En rponses aux rigoureuses exigences de disponibilit dans le secteur sant, un effort majeur doit tre fourni dans les dispositifs de rcupration et de renouvellement, non seulement en matire de technologie mais aussi de formation du personnel mdical. Les organismes de sant doivent tre srs que leurs plans de gestion de la continuit des activits comprennent des plans de gestion des crises de sant. ISO 27799 : Les organismes de sant doivent galement garantir que les plans dvelopps sont rgulirement mis l'essai sur la base d'un programme. Il convient que les essais inclus dans ce programme soient imbriqus les uns dans les autres, effectuant des essais sur les ordinateurs de bureau, mais aussi des essais modulaires et des synthses du temps probable de rcupration et finalement des rptitions compltes. Un tel programme est donc risque faible et procure une amlioration certaine du niveau gnral de sensibilisation de la population utilisatrice. 15 CONFORMITE 15.1 Conformit avec les exigences lgales Objectif : Eviter toute violation des obligations lgales, statutaires, rglementaires ou contractuelles et des exigences de scurit.

52

53

15.1.1 Identification de la lgislation en vigueur Mesure : Toutes les exigences lgales, rglementaires et contractuelles en vigueur, ainsi que la procdure utilise par lorganisme pour satisfaire ces exigences doivent tre explicitement dfinies, documentes et mises jour.

Quels sont les moyens mis en uvre pour garantir que les obligations lgales sont bien prises en compte au sein du projet?

54

Des moyens techniques sont-ils mis en uvre pour rpondre aux obligations lgales? Avez-vous pens mettre en place une cellule de veille pour les obligations lgales? 15.1.5 Mesure prventive l'gard du mauvais usage des moyens de traitement de l'information


17/225

Mesure : Les utilisateurs doivent tre dissuads de toute utilisation Un message de mise en garde indiquant un accs des donnes de moyens de traitement de linformation des fins illgales. sensibles est-il montr l'cran de l'ordinateur avant de se connecter ? L'utilisateur doit-il accepter cette mise en garde avant de se connecter ? ISO 27799 : Si possible, il convient que le consentement des sujets de soins vis--vis de leurs informations soit obtenu avant que toute information personnelle de sant ne soit envoye lectroniquement, faxe ou communique lors d'une conversation tlphonique ou divulgue d'une quelconque faon des personnes externes l'organisme de sant. ISO 27799 : Avant qu'une analyse gntique soit effectue, la personne concerne devrait tre informe des objectifs de l'analyse et de l'ventualit de dcouvertes inattendues. La personne soumise une analyse gntique devrait tre informe des dcouvertes inattendues si les conditions suivantes ont t remplies: a. le droit interne n'interdit pas une telle information b. la personne a fait la demande explicite de cette information c. l'information n'est pas susceptible de porter une atteinte grave: i. la sant de la personne ii. un parent consanguin ou utrin de la personne, un membre de sa famille sociale, ou une personne ayant un lien direct avec la ligne gntique de la personne, moins que le droit interne ne prvoie d'autres garanties appropries d. Sous rserve de l'alina a, la personne devrait galement tre informe si ces dcouvertes revtent pour elle une importance thrapeutique ou prventive directe. 15.2 Conformit avec les politiques et normes de scurit et conformit technique 55 15.2.1 Conformit avec les politiques et les normes de scurit Mesure : Les responsables doivent sassurer de lexcution correcte de lensemble des procdures de scurit places sous leur responsabilit en vue de garantir leur conformit avec les politiques et normes de scurit. ISO 27799 : Une attention spciale est porte la conformit dans le but de l'interoprabilit technique, tant donn que les systmes d'information de sant des grands organismes consistent en gnral en plusieurs systmes interoprables. Dcret Confidentialit : Le responsable du traitement est charg de veiller au respect du rfrentiel. Il lui appartient notamment de porter la connaissance de toute personne concerne par les informations mdicales relevant du traitement les principales dispositions prises pour garantir la conformit au rfrentiel correspondant. 15.3 Prises en compte de l'audit du systme d'information 56 15.3.2 Protection des outils d'audit du systme d'information Mesure : Laccs aux outils daudit du systme dinformation doit tre protg afin dempcher tous mauvais usage ou compromission ventuels. Objectif : Optimiser lefficacit et rduire le plus possible linterfrence avec le/du processus daudit du systme dinformation. Des contrles (audits) rguliers du projet sont-ils mis en uvre (afin de vrifier que l'application rpond bien aux exigences de la MOA)? Les rapports sont-ils accs restreints? Quelles sont les actions mises en uvre suite ces contrles? Objectif : Sassurer de la conformit des systmes avec les politiques et normes de scurit de lorganisme. L'hbergeur des donnes de sant est-il certifi ISO 27001 ? L'hbergeur des donnes de sant est-il certifi ISO9001, CMMI (quel niveau), ITIL ? Un processus d'agrment de l'hbergeur a-t-il t initi ?


18/225


19/225


20/225


21/225


22/225


23/225


24/225


25/225


26/225


27/225


28/225


29/225


30/225


31/225


32/225


33/225


34/225


35/225


36/225


37/225


38/225


39/225


40/225


41/225


42/225


43/225


44/225


45/225


46/225


47/225


48/225


49/225


50/225


51/225


52/225


53/225


54/225


55/225


56/225


57/225


58/225


59/225


60/225


61/225


62/225


63/225


64/225


65/225


66/225


67/225


68/225


69/225


70/225


71/225


72/225


73/225


74/225


75/225


76/225


77/225


78/225


79/225


80/225


81/225


82/225


83/225


84/225


85/225


86/225


87/225


88/225


89/225


90/225


91/225


92/225


93/225


94/225


95/225


96/225


97/225


98/225


99/225


100/225


101/225


102/225


103/225


104/225


105/225


106/225


107/225


108/225


109/225


110/225


111/225


112/225


113/225


114/225


115/225


116/225


117/225


118/225


119/225


120/225


121/225


122/225


123/225


124/225


125/225


126/225


127/225


128/225


129/225


130/225


131/225


132/225


133/225


134/225


135/225


136/225


137/225


138/225


139/225


140/225


141/225


142/225


143/225


144/225


145/225


146/225


147/225


148/225


149/225


150/225


151/225


152/225


153/225


154/225


155/225


156/225


157/225


158/225


159/225


160/225


161/225


162/225


163/225


164/225


165/225


166/225


167/225


168/225


169/225


170/225


171/225


172/225


173/225


174/225


175/225


176/225


177/225


178/225


179/225


180/225


181/225


182/225


183/225


184/225


185/225


186/225


187/225


188/225


189/225


190/225


191/225


192/225


193/225


194/225


195/225


196/225


197/225


198/225


199/225


200/225


201/225


202/225


203/225


204/225


205/225


206/225


207/225


208/225


209/225


210/225


211/225


212/225


213/225


214/225


215/225


216/225


217/225


218/225


219/225


220/225


221/225


222/225


223/225


224/225


225/225

Documents

8715350 Questionnaire Gestion de La Securite ISO 27002