20171129-4 colloque ssi-plan d'action ssi

download 20171129-4 colloque ssi-plan d'action ssi

of 28

Embed Size (px)

Transcript of 20171129-4 colloque ssi-plan d'action ssi

  1. 1. P. Tourron Tous droits rservs 1 Philippe TOURRON RSSI-APHM 3me COLLOQUE SSI - 29 novembre 2017 Application de linstruction DSSIS 309 Pour grer les risques numriques (en sant) Plan daction SSI : mise en uvre lAP-HM
  2. 2. P. Tourron Tous droits rservs PLAN Contexte Pourquoi protger les donnes de sant ? Comment protger les donnes de sant ? Enjeux venir Dbat questions Application de linstruction DSSIS 309 Grer les risques numriques (en sant)
  3. 3. P. Tourron Tous droits rservs CONTEXTE Nous sommes tous S.I. dpendants
  4. 4. P. Tourron Tous droits rservs Contexte : Scurit numrique Enjeux majeurs : protger les patients Leurs soins, leur sant Leurs donnes Freins la scurisation : 30% budget, 30% absence de prise de conscience des risques, 40% (divers : applications, htrognit, ) Le primtre ? Les logiciels (du DPI au portail patient) Les infrastructures (des postes aux serveurs en passant par le pilotage de llectricit), cloud Les moyens mdicaux techniques (de lECG la lIOT de sant) -> dans ltablissement/lentreprise -> Et au-del Dfinitions : aspect
  5. 5. P. Tourron Tous droits rservs POURQUOI PROTEGER LES DONNEES DE SANTE ?
  6. 6. P. Tourron Tous droits rservs Pourquoi protger : Scurit numrique de la sant Un systme dinformation conditionnant la qualit de soin Un systme dinformation pour louverture et la mobilit : Lattractivit pour les patients, les professionnels de sant, le lien ville-hpital, lintgration du numrique au quotidien Le mariage difficile de la disponibilit et de la confidentialit devient ainsi un enjeu stratgique. Un contexte de cybermenaces en hausse (ranon, revente, ) Etre attaqu cest comme tomber malade : il faut pouvoir se soigner vite et bien Minimiser les causes et les impacts des risques SI : manager le scurit
  7. 7. P. Tourron Tous droits rservs La logique de Systme de Management SECURISER Cest MANAGER donc GOUVERNER Et au final DECIDER LA PRISE DE RISQUE au bon niveau de responsabilit Manager : revue rgulire SSI et SDSI, sanctuariser des budgets Les propritaires de risques sont ceux qui peuvent les traiter (prendre, viter, rduire, transfrer) cf ISO 27001:2013 7
  8. 8. P. Tourron Tous droits rservs COMMENT PROTEGER LES DONNEES DE SANTE ?
  9. 9. P. Tourron Tous droits rservs PLAN INSTRUCTION DSSIS 309 dclinaison APHM : en synthse Toutes les mesures organisationnelles : intgres dans nos dmarches et certifications ISO 27001, 9001 (ITIL) et agrments HDS : analyse de risques, prise en compte par la direction car intgre au SDSI, RSSI et CSSI, CIL/DPD, PCA, gestion de crise (intgrant le signalement) Passer en mode HDS pour les nouvelles applications mme internes Dmarche dhomologation RGS organise (commission, analyse, audit, dcision) Sensibiliser les utilisateurs : e-learning (conduite du projet national via CAIH : 50 activits cibles sant), sensibilisation scurit aux nouveaux arrivants, formation SSI pour le Biomed, gestions des risques SI au plan de formation Charte au RI (instruction= acclrateur) Inventaire (outils indispensables) intgrant le biomed et gestion des incidents et des changements associs (ITIL) Augmenter le niveau et la finesse de filtrage avec les rseaux externes (ou interconnects) et le partage de lidentification/filtrage des menaces (wildfire paloalto, anti DDOS via service chez les FAI) Protection des accs externes : mainteneurs (bastion dadministration WAB) et utilisateurs (portail dauthentification forte CPS et OTP : WAM) Segmentation rseaux : commencer par les zones sensibles (HDS, GTC, plateaux techniques biomed, composants non maintenus ou administrs par des tiers, ), ajuter des composants de filtrage (botiers stormshield) liminer les systmes obsoltes (ou les protger en priphrie : botiers stormshield, logiciels malwarebyte, trend, paloalto, )
  10. 10. P. Tourron Tous droits rservs La pdagogie SSI : Sensibiliser tous les acteurs
  11. 11. P. Tourron Tous droits rservs Sensibiliser la SSI
  12. 12. P. Tourron Tous droits rservs La gestion des risques : 2 roues motrices 12 FIM FASSI (FIL Fiche dIncident Majeur intgrant la recherche des causes) (FAASI : Fiche dAnalyse de la Scurit du SI intgrant le besoin de PIA/RGPD) ACHAT
  13. 13. P. Tourron Tous droits rservs Comment protger : Scurit numrique en synthse Et si finalement tout convergeait vers ? une vision de la cible atteindre, un cadre prt et relativement constant , une lgitimit : la gestion par les risques Un systme de management de la scurit du SI : conformit/certification ISO27001 Menaces agiles : apprendre grer des crises ISO 27001 - RGPD ITIL, HDS, paliers PGSSI ) Sensibilisation e- learning, mthode - Ebios
  14. 14. P. Tourron Tous droits rservs Comment protger : AGIR Les Freins : Changer Cots prioriser Les leviers : La rglementation/lois : HDS volution vers une certification Les incidents (lactualit) et La prise de conscience de la criticit du SI de sant sous tous ses angles (DIC A) Les soutiens des structures nationales (HFDS/FSSI, ASIP, ANSSI, ) et des autres La prise de conscience de la criticit/valeur du SI et de la donne personnelle Des label, normes Les basics : Sauvegarde, chiffrement, protection/privacy by design Authentification renforces, cloisonnement et filtrage des rseaux internes ET externes Scurit physique La gestion de lobsolescence/maintenance
  15. 15. P. Tourron Tous droits rservs EXERCICE EXERCICE EXERCICE CELLULE DE CRISE Responsable de crise : ANALYSER DECIDER Responsable de la communication : (faire) COMMUNIQUER Chef des oprations : SCENARIOS ORGANISER Experts : ETAT DES LIEUX ACTIONS POSSIBLES - REALISATION Responsable de la main courante : MEMOIRE de la crise pour PILOTAGE et RETEX (preuve)
  16. 16. P. Tourron Tous droits rservs ALERTE BLITZ CRISE 16 CONTEXTE EVENEMENTS REDOUTES SCENARIOS DE MENACES RISQUES MESURES PREVENTION RECUPERATION PROTECTION DICT ANALYSE RISQUES Les Etbs des participants attaqus en saturation DOS Corruption dannuaire INDISPONIBILITE ACCES EXTERNE SI DES ETBS ACCES INTERNET E/S PLUS DACCES DEPUIS/VERS INTERNET PLUS DACCES INTERNE/USURPATION ? IMPACTS : HDS ?/APPLI SAS?/COM IMPACTS : AUCUNE APPLI ACCESSIBLE/VOL DISPO CONSERVER ANNUAIRE SAIN ISOLER NEUTRALISER AVEC FNS ACCES RESTAURER SAUVEGARDE AD ANNUAIRES INDISPONIBILITE ACCES INTERNES INTEGRITE ! ALERTER ! TRACES/PL AINTE ISOLER NEUTRALISER Ph. Tourron
  17. 17. P. Tourron Tous droits rservs FIN EXERCICE Grer les crises = Grer les risques grande vitesse Se prparer limprvu Sorganiser pour dcider Sorganiser pour (r)agir vite Des rles, un entrainement, des reflexes, des procdures Permet de rendre pragmatique et oprationnel les PCA/PRA
  18. 18. P. Tourron Tous droits rservs Quelques conseils Extrait article Gestion Hospitalire avril 2017, P.Tourron cf rfrences en fin de prsentation
  19. 19. P. Tourron Tous droits rservs ENJEUX A VENIR Au-del du plan SSI
  20. 20. P. Tourron Tous droits rservs ENJEUX venir : Scurit numrique de sant = des opportunits, une valeur ajoute La signature numrique, le chiffrement, lauthentification forte La scurit numrique : valeur ajoute pour la confiance numrique Rends possible (conformit/fiabilit) : Lidentit numrique (pour laccs aux donnes et aux dispositifs) pour les personnes, pour les logiciels, pour les appareils mdicaux La dmatrialisation : la preuve numrique La communication scurise (IOT, cloud, ) Les soins/tlmdecine distance Tout en veillant
  21. 21. P. Tourron Tous droits rservs DETAIL DES MESURES DU PLAN Instruction DSSIS 309
  22. 22. P. Tourron Tous droits rservs Mesures de priorit 1 mettre en place dans les 6 mois Gestion des ressources humaines [RH] un RSSI (Responsable Scurit du Systme dInformation) Complment : Des CSSI par directions et domaines techniques, des rfrents SSI par etbs du GHT : une quipe transverse forme lanalyse de risques des veilleurs et relais Charte utilisateur annexe au rglement intrieur Solution : adaptation fiche HN en GT passage par les instances : opposable, communique Organisation [ORG] Cartographie /inventaire jour de votre tablissement (postes de travail, serveurs, quipements rseaux, quipements biomdicaux) Solution : des outils (GLPI, OCS, ..) souvent diffrents DSI/Biomed/DT. Avoir a minima accs tous en gestion de crise/incident. Mise jour la plus automatise possible Une procdure de signalement et de traitement des incidents de scurit SI article L. 1111-8-2 du code de la sant publique Solution :Intgre la gestion incident (ITIL) escalade/gestion de crise (manuel /fiche reflexe)
  23. 23. P. Tourron Tous droits rservs Mesures de priorit 1 mettre en place dans les 6 mois Gestion du poste de travail [PC] Tous les postes de travail sont protgs par un antivirus, les postes nomades tant, quips dun pare-feu local Solution: masters conformes, chiffrement des postes nomades Difficults : Biomed : complexe (incompatibilit, maintenance/exploitation externalises) solutions : protections primtriques matriels et logiciels (botier rseau filtrage attaques et virus, logiciel anti-exploit, FW niveau 7o, ) Gestion des comptes utilisateurs [USER] Mots de passe utiliss robustes (respectent les recommandation de la CNIL) et sont renouvels priodiquement. Solution : 8 car 4 familles chgt /6 mois; CPE ou 12 car/3 mois pour administrateurs. Intgration de la CPS / Carte pro quand facilite la scurit (Urgences, Ra, DIM, DSI) Difficult : mot de passe initial/perte/des cas de besoins gnriques encadrer et limiter : modes dgrads, blocs, machines de monitoring . Solutions : questions secrtes, sms pour rinitialisation, limitation cptes gnriques aux postes ddis, droits restreints, gestion scurise pour la communication du mot de passe Gestion des sauvegardes [SAUV] Plan de sauvegardes rgulirement testes. Difficults : Exhaustivit impossible en allant jusquau test fonctionnel lourd Solutions : plan de test tournant pour