Rapporto esplicativo

Selon la let. a, chaque communauté doit désigner un responsable de la protection et de la sécurité des données qui jouit d’une indépendance technique et organisationnelle. Cette personne doit posséder les compétences requises et disposer des ressources nécessaires pour accomplir ses tâches. Il lui incombe de concevoir, de mettre en œuvre et de contrôler les mesures visant à assurer la protection des données et la sécurité de l’information ainsi que d’appliquer des actions correctives (cf. ch. 4.3 CTO).

La let. b impose la mise en place d’un système de détection et de gestion des incidents de sécurité (cf. ch. 4.4 CTO). Comme il est impossible d’assurer une sécurité totale a priori, il est d’autant plus important de pouvoir au moins détecter rapidement les éventuels incidents de sécurité a posteriori et y réagir en recourant à des mesures et à des processus préétablis, avec des règles de compétence claires. A cet effet, les communautés doivent se doter d’un système SIEM (Security Information and Event Management System), qui détecte les anomales dans le système et dans les schémas de traitement et garantit qu’elles sont traitées de manière appropriée sur le plan organisationnel et technique. Le SIEM, dont la structure est adaptée à la communauté, détecte et traite au minimum les cyberattaques ainsi que les hausses inhabituelles du nombre d’accès en écriture ou en lecture aux lieux de stockage des documents, au registre des documents ou à l’index des patients, qui laissent supposer une utilisation abusive ou une attaque automatisée. Le système doit en outre repérer et traiter les mutations inhabituelles et critiques de droits d’accès dans la fonction de gestion des autorisations ou dans le système de gestion des identités et des accès (Identity and Access Management IAM). Les CTO comportent d’autres prescriptions à respecter par exemple en ce qui concerne la protection contre les logiciels malveillants ou la détection et la gestion des failles de sécurité (cf. ch. 4.6 et 4.7 CTO).

Concernant la gestion des incidents de sécurité détectés, les CTO formulent des prescriptions concrètes pour les procédures de déclaration et de traitement des événements pertinents pour la protection et la sécurité des données (ch. 4.5). Il faut, par exemple, que des interlocuteurs soient désignés pour recevoir les déclarations au sein des communautés et dans les organisations d’exploitation et que des procédures d’urgence soient établies pour que, lorsque les conditions définies sont réunies, les systèmes concernés puissent être isolés des autres systèmes (stratégie d’endiguement ou containment). Il est indispensable, en effet, de pouvoir limiter l’étendue potentielle des dommages ou de ne pas mettre en danger d’autres parties du système qui seraient vulnérables. Afin de respecter l’obligation que leur impose l’art. 11, al. 2, ODEP, les communautés doivent en outre disposer de procédures d’escalade pour notifier à l’OFSP et à leur organisme de certification les événements particulièrement critiques pour la protection ou la sécurité des données et il leur incombe d’exiger et de contrôler le respect de ces procédures (cf. ch. 4.13 CTO).

Selon la let. c, il faut répertorier tous les éléments d’infrastructure informatique que la communauté utilise pour le dossier électronique du patient (cf. ch. 4.8.3 CTO). Le registre des systèmes primaires affiliés visé à la let. d a pour utilité de donner une vue d’ensemble de tous les systèmes primaires qui échangent des données avec les dossiers électroniques des patients (cf. ch. 4.8.3.8 CTO).

En application de la let. e, les communautés doivent imposer des règles de protection et de sécurité des données aux institutions de santé qui leur sont affiliées et donc, indirectement, aux professionnels de la santé qui y travaillent et aux éventuels autres membres du personnel, comme par exemple, le personnel du service informatique hospitalier (cf. ch. 4.9 CTO). Les communautés doivent, par exemple, astreindre les institutions de santé qui leur sont affiliées à informer les professionnels de la santé ayant accès au dossier électronique du patient sur leurs tâches, droits et obligations liés au traitement des données correspondantes ainsi que sur les risques et les mesures destinées à garantir la protection et la sécurité des données. Les institutions de santé doivent être tenues par les communautés de garantir une configuration sûre des terminaux utilisés par les professionnels de la santé pour accéder au dossier électronique du patient (p. ex. en utilisant des logiciels contre les programmes malveillants et des systèmes de protection des réseaux) (cf. ch. 4.9.3 CTO). Les institutions de santé doivent à leur tour imposer ces exigences aux professionnels de la santé qui travaillent pour elles.