« La certification ISO 27001 améliore la confiance dans le système d’information de l’AP-HM »

Docteur imago / Qu’est-ce que la certification ISO 27001 pour le management de la sécurité de l’hébergement des données de santé ?

Philippe Tourron / C’est l’équivalent de la certification ISO 9001, mais pour la sécurité. C’est une certification de système de management. C’est-à-dire que l’organisme est certifié ISO 27001 s’il remplit un certain nombre de critères et d’exigences dans la façon dont il organise la sécurité de l’hébergement de ses données de santé et dont il protège les données et traitements confiés. Cette certification garantit que son détenteur dispose d’un système d’information qui correspond aux besoins en disponibilité, en confidentialité et en intégrité des données.

D. I. / Comment avez-vous mis en œuvre ce système de management ?

P. T. / Nous nous sommes appuyés sur une première certification ISO 9001 de la direction du système d’information. Le système de management de la sécurité a été mis en place sur la base d’une analyse des risques et de leur gestion de manière continue. Les acteurs et décideurs du système d’information disposent ainsi des éléments pour savoir que des risques sont pris, réduits, transférés à quelqu’un d’autre ou évités. Des revues régulières permettent d’identifier les points à améliorer. La certification se fait au travers d’audits internes et d’audits réglementaires par une société externe. Nous ajoutons, améliorons ou renouvelons alors des procédures, des organes de sécurité, etc., pour protéger les données des attaques (virales, cyber, etc.) ou des défaillances.

D. I. / Quel est l’impact pour les radiologues ?

P. T. / Maintenant, lorsque nous voulons mettre en place un nouveau système d’imagerie, il faut mener une analyse de risques. Pour l’arrivée d’une IRM, par exemple, nous nous posons des questions sur son interconnexion avec le réseau, l’interface du système de demandes de radiographies, le dossier patient informatique (DPI), etc., et les risques qu’elle peut créer. L’impact majeur est l’augmentation de la confiance dans le système d’information grâce à la réduction des risques. Nous avons l’un des Picture Archiving and Communication System (PACS) les plus importants d’Europe avec un niveau élevé de sécurité pour protéger les données de l’AP-HM, mais aussi d’autres établissements du territoire au travers de notre agrément hébergeur.

D. I. / Le système va-t-il encore évoluer ?

P. T. / Nous allons ouvrir le système d’information vers la ville en mettant en place une messagerie sécurisée de santé, un portail patients et un portail praticiens. Leurs niveaux de sécurité sont essentiels, là aussi pour garantir et assurer la confiance de nos patients et de nos médecins. La protection des accès, la disponibilité des données sont à prendre en compte de la conception à l’exploitation, notre certification ISO 27001 conduit chaque acteur à être responsable de la sécurité dans son périmètre pour que la sécurité globale soit cohérente et adaptée.