Points clés
- La maîtrise des flux de données de santé entre établissements et systèmes repose sur une approche méthodique : inventaire, classification, sécurisation et supervision.
- Chaque flux doit être documenté, justifié par un besoin métier légitime, et sécurisé avec des mesures proportionnées à la sensibilité des données échangées.
- Les flux non justifiés ou non documentés sont des vulnérabilités potentielles — ils doivent être identifiés et supprimés ou maîtrisés.
- La maîtrise des flux est un processus continu, pas un projet ponctuel : les flux évoluent avec l'organisation et les systèmes.
Étape 1 : cartographier les flux existants
La première étape est la cartographie exhaustive des flux actifs. Cette cartographie doit identifier pour chaque flux : les systèmes source et destination, le protocole d'échange (HL7, FHIR, SFTP, API REST), les données échangées et leur sensibilité, la fréquence d'échange, les credentials utilisés, et les contrôles de sécurité en place. Cette cartographie révèle systématiquement des flux inconnus des équipes IT — mis en place directement par les équipes métiers, des partenaires, ou lors de projets anciens — qui constituent des angles morts potentiels.
Étape 2 : qualifier chaque flux par sa légitimité et sa sensibilité
Chaque flux identifié doit être qualifié selon deux dimensions. Sa légitimité : existe-t-il une justification métier documentée et toujours d'actualité pour ce flux ? Qui en est responsable ? Est-il couvert par les accords contractuels avec le partenaire concerné ? Sa sensibilité : quelles données sont échangées ? Quel est leur niveau de sensibilité (données de santé, données identifiantes, données anonymisées) ? Les mesures de sécurité en place sont-elles proportionnées à cette sensibilité ? Les flux sans justification ou sans responsable identifié doivent être suspendus dans l'attente d'une décision.
Étape 3 : sécuriser les flux selon leur niveau de sensibilité
Les mesures de sécurité à mettre en œuvre dépendent du niveau de sensibilité des données échangées. Pour les données de santé à caractère personnel : chiffrement TLS 1.3 en transit, chiffrement des données au repos, authentification forte des systèmes (certificats mutuels ou tokens OAuth2 de courte durée), validation des données entrantes, et journalisation exhaustive. Pour les données statistiques anonymisées : des mesures moins strictes peuvent être proportionnées, à condition que l'anonymisation soit vérifiée et non réversible.
Étape 4 : superviser les flux en production
La maîtrise des flux ne s'arrête pas à leur sécurisation initiale. Une supervision en production est nécessaire pour détecter les anomalies : volumes d'échange inhabituels, horaires d'accès hors plages normales, erreurs d'authentification répétées, accès à des ressources non habituelles. Cette supervision peut être implémentée via un SIEM avec des règles de corrélation spécifiques aux flux de santé, ou via un outil de surveillance des APIs avec des alertes configurées sur les seuils définis lors de la cartographie.
Maintenir la cartographie dans la durée
Les flux évoluent constamment : nouveaux projets, nouvelles intégrations, changements de partenaires, évolutions de SI. La cartographie initiale se dégrade rapidement si elle n'est pas maintenue. Un processus formel de mise à jour doit être défini : tout nouveau flux doit être enregistré avant sa mise en production, tout flux supprimé doit être documenté et fermé dans la cartographie. Des revues périodiques (semestrielles ou annuelles) permettent de détecter les flux apparus en dehors de ce processus et de régulariser la situation.