Points clés
- Une architecture d'échange sécurisée pour les données de santé repose sur des principes fondamentaux : défense en profondeur, moindre privilège, chiffrement de bout en bout, et surveillance intégrée.
- L'API Gateway est le composant central d'une architecture d'échange moderne — il centralise l'authentification, le filtrage, la journalisation et la limitation de débit.
- La segmentation des réseaux d'échange est indispensable pour éviter la propagation latérale en cas de compromission d'un composant.
- L'architecture doit être documentée, révisée périodiquement, et validée par une revue de sécurité externe avant chaque évolution majeure.
Les principes fondamentaux de l'architecture d'échange sécurisée
Une architecture d'échange sécurisée pour les données de santé repose sur plusieurs principes fondamentaux. La défense en profondeur : plusieurs couches de sécurité indépendantes, de sorte que la compromise d'une couche ne compromette pas l'ensemble. Le moindre privilège : chaque composant et chaque acteur n'a accès qu'aux ressources strictement nécessaires à sa fonction. Le chiffrement de bout en bout : les données de santé sont chiffrées depuis leur source jusqu'à leur destination, sans déchiffrement intermédiaire non justifié. La surveillance intégrée : chaque composant génère des logs exploitables pour la détection d'anomalies.
L'API Gateway : composant central
Dans une architecture d'échange moderne, l'API Gateway est le point d'entrée unique pour tous les accès aux ressources FHIR et aux APIs de santé. Il centralise plusieurs fonctions de sécurité : authentification des clients (OAuth2/SMART on FHIR), validation des tokens d'accès, filtrage des requêtes malformées ou malveillantes, limitation du débit (rate limiting) pour prévenir les attaques par force brute ou les extractions massives, journalisation de toutes les requêtes, et chiffrement TLS terminé à ce niveau. Un API Gateway correctement configuré centralise et homogénéise les contrôles de sécurité — évitant que chaque service implémente ses propres contrôles de manière inconsistante.
La segmentation réseau des échanges
La segmentation des réseaux d'échange est une mesure de sécurité architecturale fondamentale. Les systèmes qui échangent des données avec des partenaires externes doivent être isolés des systèmes internes critiques par des firewalls et des DMZ configurés avec des règles restrictives. Un attaquant qui compromet un serveur dans la DMZ d'échange ne doit pas pouvoir accéder librement aux bases de données internes des patients. Cette segmentation doit être documentée dans un schéma d'architecture maintenu à jour et validé périodiquement.
La gestion des certificats dans l'architecture d'échange
Les certificats TLS et les certificats client sont des composants critiques de l'architecture d'échange sécurisée. Leur gestion doit être automatisée autant que possible pour éviter les expirations non détectées (qui désactivent silencieusement les protections TLS). Un inventaire centralisé des certificats en production, avec alertes à 60 jours de l'expiration, est une pratique de base. Pour les accès inter-établissements, l'usage de certificats émanant de l'IGC Santé (Infrastructure à Gestion de Clés de la DGSI) garantit l'authenticité des systèmes communicants.
Les tests de sécurité de l'architecture
L'architecture d'échange doit faire l'objet de tests de sécurité réguliers. Un test d'intrusion annuel par un prestataire indépendant permet d'évaluer la résistance réelle de l'architecture aux attaques courantes et avancées. Des scans de vulnérabilités automatisés (hebdomadaires ou mensuels) permettent de détecter les nouvelles vulnérabilités sur les composants en production entre les tests d'intrusion. La revue de sécurité de l'architecture doit également être réalisée avant toute évolution majeure — nouvelle interface, migration de composant, ouverture d'un nouveau partenariat d'échange.