Points clés
- Les organisations de santé dépendent de plateformes d'échange (DMP, MSSanté, réseaux de soins) dont elles ne maîtrisent pas la sécurité — une dépendance qui crée des risques structurels.
- La sécurité d'une plateforme d'échange tiers est limitée par son niveau de maturité et ses propres vulnérabilités — indépendamment des mesures mises en œuvre en interne.
- La contractualisation de la sécurité avec les fournisseurs de plateformes est un levier clé : SLA de sécurité, droits d'audit, obligations de notification d'incident.
- La résilience face aux défaillances des plateformes tiers doit être planifiée : procédures dégradées, alternatives techniques, plans de continuité.
Les plateformes d'échange en santé : un écosystème de dépendances
Les organisations de santé dépendent d'un écosystème de plateformes d'échange : le DMP géré par la CNAM, MSSanté pour les échanges sécurisés, les plateformes d'échange biologique, les outils de télémédecine, les plateformes de partage d'imagerie (PACS cloud), et les réseaux de soins des assureurs. Chacune de ces plateformes est un tiers dont la sécurité n'est pas sous le contrôle direct de l'organisation utilisatrice. Leur compromission peut avoir des conséquences directes sur la confidentialité des données échangées.
Évaluer la sécurité des plateformes tiers
L'évaluation de la sécurité d'une plateforme d'échange doit être réalisée avant le déploiement et périodiquement pendant l'utilisation. Cette évaluation repose sur plusieurs sources : la certification HDS de la plateforme (obligatoire pour les hébergeurs de données de santé), les résultats des audits de sécurité (si partagés contractuellement), les certifications complémentaires (ISO 27001), et la politique de divulgation responsable de la plateforme. Pour les plateformes critiques, un questionnaire de sécurité détaillé et un droit d'audit contractuel sont des prérequis.
Contractualiser les obligations de sécurité
Les contrats avec les fournisseurs de plateformes d'échange doivent inclure des clauses de sécurité précises. Les SLA de sécurité définissent les engagements de disponibilité, les délais de correction des vulnérabilités critiques, et les procédures de maintenance. Les obligations de notification d'incident précisent les délais et les informations à communiquer en cas de compromission. Les droits d'audit permettent de vérifier le niveau réel de sécurité de la plateforme. Ces clauses sont souvent négociables — l'absence de négociation signifie l'acceptation implicite des conditions par défaut, souvent défavorables.
Planifier la résilience face aux défaillances
La continuité des soins ne peut pas dépendre uniquement de la disponibilité des plateformes d'échange. Des procédures dégradées — permettant de fonctionner en mode non numérique ou avec des alternatives locales lors d'une indisponibilité — doivent être définies, documentées et testées. Pour les données critiques à la continuité des soins (résultats biologiques urgents, prescriptions médicamenteuses), des circuits alternatifs doivent être disponibles immédiatement en cas d'indisponibilité de la plateforme principale. Ces procédures dégradées sont souvent les grandes oubliées des plans de continuité.
Surveiller la chaîne de dépendances
Les plateformes d'échange elles-mêmes dépendent de composants tiers — hébergeurs cloud, bibliothèques open source, services d'authentification. Une compromission dans cette chaîne peut affecter la plateforme d'échange et, par rebond, l'ensemble des organisations utilisatrices. La surveillance de la chaîne de dépendances — abonnement aux bulletins de sécurité des fournisseurs de composants, suivi des CVE applicables aux technologies utilisées — permet d'anticiper les vulnérabilités avant qu'elles ne soient exploitées.