Confronté comme tous les établissements de santé à l’application du Décret Confidentialité, le Centre Hospitalier Psychiatrique de Montperrin (13) procède actuellement au remplacement de son parc de 500 cartes d’établissement par des Cartes de Professionnels de Santé (CPS). La plateforme IAM d’Ilex International et la solution CMS de Credentiel ont permis d’assister cet établissement dans son projet de migration et répondent parfaitement à ses exigences en termes de contrôle des accès et de sécurité.
Les solutions mises en œuvre :
- Sign&go Global SSO : Authentification forte, contrôle d’accès logique, global SSO (Web Access Management et entreprise SSO) et fédération d’identité
- IDen Park Santé de Credentiel : CMS (Card Management System) spécialement élaboré pour répondre aux spécificités du secteur de la santé
Les enjeux
- Être en conformité avec le Décret confidentialité (2007)
- Gérer un parc de cartes « mixtes » (CPS et Carte d’établissement)
- Simplifier et fluidifier l’usage de cartes CPS au sein d’une population médicale éloignée des préoccupations informatiques
La sécurité : un enjeu clé
pour le CH de Montperrin
Établissement public des Bouches-du-Rhône spécialisé en Psychiatrie, le Centre Hospitalier Montperrin a développé en 2006 une solution d’authentification par carte à puce d’établissement. Cependant, en raison de l’évolution technique de l’informatique et du cadre légal relatif à la protection des données médicales, cette solution était dépassée et la DSI se devait de faire évoluer son Système d’Information.
« Depuis 2 ans, la solution par carte à puce d’établissement que nous avions mise en place ne répond plus à l’évolution technique de l’informatique car elle n’est plus compatible avec les architectures 64 bits, ni avec le décret Confidentialité de 2007 (authentification avec une CPS). Nous avons donc décidé de faire évoluer notre architecture vers une solution qui soit à la fois conforme aux décrets, « DMP compatible » et autorisant une migration vers le 64 bits. »
La modernisation de son système d’information permettra, à terme, au CH Montperrin de se conformer au décret confidentialité, en remplaçant l’ensemble des cartes d’établissement par une solution mixte de carte CPS pour les soignants et login/mdp fort pour le personnel non soignant. Cependant, afin de mettre en œuvre son projet, la DSI doit prendre en compte un certain nombre de spécificités propres au CH Montperrin. En effet, le parc de cartes à gérer est composé de personnes référencées aux ressources humaines de l’établissement. En parallèle, l’établissement gère un annuaire médical pour les soignants et un annuaire administratif pour les non-soignants, ainsi que des personnes externes. Il s’agit en clair de répondre à des problématiques d’accès internes (‘enterprise SSO’) et externes (‘Web Access Management’), tout en s’intégrant dans l’environnement Citrix existant.
Credentiel et Ilex International : deux éditeurs spécialistes de la sécurité dans le secteur de la Santé
Éditeur de logiciels spécialisé dans la gestion des identités et des accès (IAM), Ilex International intervient depuis 1996 sur le secteur de la santé. Partenaire technologique de l’ASIP (Agence des Systèmes d’Information Partagés de Santé) Ilex International occupe une place déterminante dans l’infrastructure des établissements de santé et des réseaux de soin. Fort de cette expérience, Ilex International a été choisi par le Centre Hospitalier de Montperrin pour mettre en place Sign&go Santé. En partenariat avec Credentiel, éditeur de solutions de gestion des identités numériques et des supports d’authentification mobiles, Ilex International a proposé au responsable du SI d’adopter une CPS via une identification unique, permettant ainsi une authentification sur l’ensemble de l’architecture 64 bits.
Sign&go Santé, solution développée par Ilex International et déjà adoptée par de nombreux établissements de santé, a été retenue car elle répondait en tout point aux exigences de sécurité de l’établissement. Solution complète d’authentification, de contrôle d’accès logique et de Single Sign-On (SSO), Sign&go Santé a été conçue pour sécuriser les usages des professionnels de santé tout en se conformant à la législation en vigueur. Credentiel a complété le dispositif par son outil de gestion des cartes (CMS).
Une offre souple et évolutive parfaitement adaptée aux enjeux de sécurité des établissements de santé
La force des deux éditeurs a été de proposer une offre suffisamment souple pour prendre en compte les problématiques internes du centre hospitalier et son existant complexe, tout en répondant de manière concrète à sa volonté d’évolution et aux nouvelles cinématiques envisagées.
Les deux éditeurs ont apporté une valeur ajoutée aux utilisateurs comme aux gestionnaires de la solution. Pour les premiers, le déblocage de la carte à distance en cas d’oubli du code PIN par son porteur est désormais possible, avec la mise en place immédiate d’une procédure de substitution en cas d’indisponibilité temporaire. Pour les seconds, l’enrôlement et le renouvellement des cartes sont assurés, permettant la propagation d’informations utiles dans différents référentiels de données, avec un haut niveau de traçabilité des affectations et révocations.
« Le plus difficile a été de définir la cible finale à mettre en oeuvre avec la carte CPS. Comme nous avons décidé de connecter tous les praticiens hospitaliers de santé, nous avons procédé par étapes en commençant par une phase de maquettage qui a duré plus d’1 an car nous avons dû lever tous les obstacles techniques. Nous avons ensuite mené des tests sur un site pilote afin de valider l’ensemble de cette maquette. Nous allons maintenant réaliser un deuxième site pilote afin de vérifier tout le cycle de vie de la carte. »
En cas de perte ou de vol de carte, tous les protocoles de secours ont été établis avec IDen Park de Credentiel. Ces procédures seront conservées mais le support sera remplacé par la CPS. Pour se conformer à la nouvelle politique de certification instaurée par l’ASIP, un process permettant le remplacement rapide de cartes est actuellement à l’étude. Les professionnels qui perdront leur carte ou les nouveaux entrants se verront transmettre une procédure login/mot de passe.
Concernant l’accès au SI du personnel externe, il est prévu de mettre en place un système d’authentification avec un nom d’utilisateur et un mot de passe fort. En parallèle, des solutions sont également mises en oeuvre afin de permettre aux médecins de ville et aux praticiens à domicile de se connecter. Pour ces différents accès externes, un site pilote a également été conçu.
En choisissant IDen Park et Sign&go Santé, le Centre Hospitalier de Montperrin a investi dans une offre assurant la gestion de son parc actuel de cartes mais s’est surtout doté d’un socle évolutif permettant d’intégrer dans les meilleurs délais les nouvelles dispositions de l’ASIP dans le cadre de la Politique Générale de Sécurité des Systèmes d’Information en cours.
La technologie au service des usages
Maximilien Intartaglia tire les premières leçons de cette collaboration :
« Pour être réussie, une telle migration doit nécessairement être précédée par l’identification de la cible concernée et des données à protéger d’une part, puis celle des accès numériques et physiques à préserver d’autre part. L’analyse des solutions peut avoir lieu dans un second temps. C’est à une réflexion globale sur l’usage de la carte qu’on souhaite mettre en place qu’il convient de procéder. »
Les bénéfices
- Sécurité et confidentialité des données
- Possibilité de capitaliser sur les services contacts et sans contacts disponibles sur les nouvelles cartes CPS
- Gestion des accès interne et externe au sein d’une même infrastructure
