Points clés
- La traçabilité des accès aux données de santé dans des systèmes interconnectés est à la fois une exigence réglementaire et un outil indispensable de détection des incidents.
- La qualité d'une traçabilité se mesure à sa complétude, son intégrité, son accessibilité, et sa capacité à être exploitée pour détecter des comportements anormaux.
- Dans un environnement multi-systèmes, la corrélation des logs de sources différentes est le défi principal de la traçabilité — elle nécessite une infrastructure centralisée.
- La traçabilité doit être maintenue même en mode dégradé — un incident qui désactive la journalisation laisse l'organisation aveugle sur ses propres systèmes.
Les exigences de traçabilité dans les référentiels santé
La traçabilité des accès aux données de santé est explicitement exigée par plusieurs référentiels. Le référentiel HDS impose la journalisation des accès aux données hébergées, avec une conservation d'au moins 3 ans. Le référentiel PGSSI-S (Politique Générale de Sécurité des Systèmes d'Information de Santé) précise les événements à journaliser : authentifications réussies et échouées, accès aux données patients, modifications des droits d'accès, et actions d'administration. Ces journaux doivent être intègres (non modifiables a posteriori), disponibles, et exploitables dans des délais raisonnables lors d'une investigation.
La corrélation des logs dans un environnement multi-systèmes
Dans un environnement d'échange multi-systèmes, la corrélation des logs de sources différentes est indispensable pour détecter des incidents complexes. Un attaquant qui utilise un compte légitime pour accéder à plusieurs systèmes successivement ne sera détecté que si les logs de chaque système peuvent être mis en relation. Un SIEM (Security Information and Event Management) centralise les logs de l'ensemble des sources — API Gateway, serveur FHIR, DPI, pare-feux, VPN — et permet d'appliquer des règles de corrélation qui détectent les patterns d'attaque traversant plusieurs systèmes.
Les événements prioritaires à journaliser
Dans les systèmes d'échange de données de santé, les événements prioritaires à journaliser sont : les authentifications (succès et échecs), les accès aux ressources de données patients (avec l'identifiant du ressource FHIR, l'identité du demandeur, et la finalité déclarée si disponible), les modifications des configurations de sécurité, les erreurs systèmes pouvant signaler une tentative d'exploitation, et les activités d'administration des comptes et des droits. Ces événements doivent être horodatés avec une référence temporelle sûre (NTP synchronisé) pour permettre la reconstruction de chronologie lors d'une investigation.
L'intégrité des journaux : une exigence fondamentale
Des journaux qui peuvent être modifiés par un attaquant n'offrent aucune garantie de traçabilité. L'intégrité des journaux doit être assurée par des mécanismes techniques : envoi des logs en temps réel vers un serveur de journalisation central séparé (auquel les systèmes sources n'ont pas d'accès en écriture), signature cryptographique des entrées de log, et détection des lacunes de journalisation (plages temporelles sans entrée). Un attaquant qui ne peut pas modifier les logs sait que ses actions sont traçables — ce qui a un effet dissuasif et facilite l'investigation post-incident.
Exploiter les journaux pour la détection préventive
La journalisation n'a de valeur que si elle est exploitée. Des règles de détection configurées dans le SIEM permettent de détecter des comportements anormaux en temps réel : volume d'accès à des ressources patient anormalement élevé, accès à des ressources hors du périmètre habituel d'un compte, connexions depuis des plages IP inhabituelles, ou séquences d'accès correspondant à des patterns d'exfiltration documentés. Ces règles doivent être adaptées au contexte de santé — les patterns normaux y diffèrent significativement d'autres secteurs.