Rapport explicatif

analyse de risque, il sert de base pour la définition des mesures de sûreté de l’information et de protection des données. Le concept SIPD indique quels sont les risques ré- siduels liés à l’exploitation du système informatique et à l’organisation.

L’analyse des risques porte sur la phase de la plateforme SpiGes pour le relevé pilote (fonctionnalités limitées). Le concept SIPD et l’AIPD seront adaptés à la fin 2024, avant la mise en production de la plateforme pour tous les hôpitaux au début 2025. Ils seront encore être mis à jour à l’entrée en vigueur du présent projet.

L’analyse des risques effectuée par l’OFS a identifié trois risques résiduels. Le tableau ci-dessous présente le risque, le scénario envisagé et les mesures relatives aux risques résiduels qui justifient la décision de maintenir le projet malgré ces risques :

Risque Scénario Motifs et mesures

Violation de la confi- Attaque sur une faille Dès son lancement en 2025, l’apdentialité, par exemple de l’application plication SpiGes sera intégrée via des failles dans le SpiGes : dans le contrôle périodique par système, une utilisa- scanning de l’OFIT (repérage des tion abusive des infor- Accès aux deux fi- failles).

mations ou une at- chiers XML fournis ou

taque aux bases de données La participation à un programme SpiGes. de primes aux bogues contri-

buera également à la sécurité (fin 2024/début 2025, sous réserve de la décision de la direction de l’OFS).

Ces mesures réduisent la probabilité des failles dans l’application SpiGes, mais n’écartent pas tous les risques.

Remarque pour le relevé pilote (2024, SIPD V1.0) :

Partiellement implémenté (contrôle de sécurité de l’OFIT effectué avant le relevé pilote)

Nous recommandons d’accep-

ter les risques résiduels.

Violation de la confi- Attaque sur une faille Fondamentalement identique au dentialité, par exemple de l’application risque précédent

via des failles dans le SpiGes :

système, une utilisa- La probabilité est plus grande tion abusive des infor- Accès uniquement à que pour le risque précédent, car mations ou une at- un des deux fichiers le transfert des données est plus taque XML fournis (données fréquent, mais l’impact est plus médicales). faible, car il n’y a pas de numéro AVS.

Nous recommandons d’accep-

ter les risques résiduels.