PROJET DU BOOTCAMP
Transcript of PROJET DU BOOTCAMP
PROJET DU BOOTCAMP MISE EN ŒUVRE D’UNE ARCHITECTURE RESEAU
SECURISEE A HAUTE DISPONIBILITE POUR LE
CENTRE HOSPITALIER DE GUINGAMP
JOËL ASSOGO KOUNGOU
ELODIE POULIQUEN
ISMAIL SYLLA
ERIC WU
09/01/2021
RESEAU ET SYSTEME
ARCHITECTURE RESEAU DE CAMPUS
Le schéma de l’infrastructure proposé tente de respecter au maximum les exigences. Pour des raisons de sécurité, nous
avons décidé de segmenter le réseau afin d’isoler les serveurs sensibles. La segmentation se fait globalement par un
ensemble de service réuni par thème. Les réseaux sont alors découpés en sous-réseaux virtuels et la segmentation se fait
principalement grâce à des VLANs. Les VLANs nous offrent une augmentation du niveau de sécurité car ils nécessitent la
fonctionnalité de routage pour y accéder. Nous évitons de gaspiller la bande passante en limitant la diffusion aux machines
du réseau virtuel, et cela en cloisonnant nos machines avec des VLANs.
Afin de répondre aux attentes de haute disponibilité du réseau de l’hôpital, nous avons décidé dans un premier temps
d’appliquer la redondance au sein du réseau. Les routeurs et les commutateurs de cœur ont été multipliés par deux. Si un
commutateur ou une liaison tombe en panne le deuxième sera toujours en fonction et permettra de proposer une chemin
alternatif dans le réseau. Cette solution crée néanmoins un problème puisque que la redondance génère la présence de
boucle dans le réseau, ce qui engendre des tempêtes de diffusion qui peuvent paralyser tout le réseau. Pour répondre à ce
problème nous utiliserons le spanning tree protocole (et/ou ses extensions). Le protocole STP permettra donc de garantir
l’unicité d’un chemin entre eux point du réseau sans interdire le surnombre de câble. Les machines sauront automatiquement
par quel commutateur elles devront passer pour contacter une autre machine. Par défaut, le protocole désigne un
commutateur racine et des ports racines puis bloque les autres ports. Ainsi par défaut le chemin sera celui du chemin racine
et si la topologie change (liaison ou commutateur en panne) le chemin sera celui possible grâce aux autres commutateurs.
Afin de répondre à une demande de haute disponibilités nous avons choisis dans un second temps de pratiquer la redondance
sur les DMZ. Le serveur web lui a été isolé par souci de sécurité.
L’accès aux équipements présents dans la maison de retraite se fait par un tunnel VPN. Le tunnel permettra de sécuriser le
transfert de données et la communication entre les deux sites.
Il a 7 VLANs dédiés au différents services de l’hôpital désigné par « service x » sur le schéma. Les services qui sont représentés
dans cette appellation sont les services de médecine, maternité, urgence, radiologie, réanimation, personnes âgées et
pharmacie.
PLAN D’ADRESSAGE
CHOIX D’EQUIPEMENT RESEAU
Tous les routeurs déployés sur le réseau de l’hôpital seront des routeurs pare-feu. L’avantage des routeurs pare-feux est qu’il
n’est pas nécessaire d’acheter un pare-feu matériel en plus des routeurs, cela diminue le coût. De plus, chaque routeur sera
automatiquement sécurisé par un pare-feu et cela rendra le réseau plus difficilement accessible et plus sûr. Nous avons
décidé d’utiliser les routeurs pare-feux pfsense, qui grâce à des fonctions de routage et de NAT nous permettent de connecter
plusieurs réseaux informatiques entre eux. En plus du pare-feu les routeurs pfsense nous offrent la possibilité de configurer
des tunnel VPN selon 4 protocoles différents. Les routeurs pare-feux pfsense nous offrent donc de nombreuses
fonctionnalités qui nous sont utiles, présent dans un seul matériel, avec une interface graphique qui permet l’utilisation de
l’interface homme machine plus simple.
Les commutateurs d’accès et de cœur que nous avons choisis sont des commutateurs Cisco. En terme de réseau, la
technologie Cisco est la meilleure sur le marché, il est donc logique pour nous d’équiper l’hôpital avec le meilleur équipement
qui existe. De plus, les commutateurs Cisco sont extrêmement sécurisés, ce qui permet le renfort de l’infrastructure de
l’hôpital. Les imprimantes ont été sélectionnées selon les critères demandés. Nous préconisons 4 imprimantes par service
(1 laser et 3 à jet d’encre) dans l’infrastructure de l’hôpital.
Nom du réseau Adresse du réseau Maison de retraite 192.1.1.0
DMZ Flux entrant 192.2.1.0
DMZ Flux sortant 192.3.1.0
DMZ Flux entrant 2 192.4.1.0
DMZ Flux sortant 2 192.5.1.0
Web 192.6.1.0
Infra 192.6.2.0
Sécu 192.6.3.0
Serv 192.7.1.0
Serv2 192.7.2.0
Service médecine 192.7.3.0
Service maternité 192.7.4.0
Service urgence 192.7.5.0
Service pharma labo 192.7.6.0
Service radiologie 192.7.7.0
Service personnes âgées 192.7.8.0
Service réanimation 192.7.9.0
Equipement Référence Quantité Image
Routeur/Pare-feu
Routeur parefeu OMNIA
2G Wifi
(Pfsense est pré-
installé)
5
Commutateur
d’accès
Cisco Catalyst 9200
Series Switches 18
Commutateur de
cœur
Cisco Catalyst 9600
Series Switches 4
Imprimante
Imprimante jet d'encre
CANON PIXMA TS8350
NOIR
21
Imprimante
secrétariat
Imprimante Laser HP
LaserJet Pro MFP
M130fn
7
ARCHITECTURE RESEAU WI-F ET CHOIX DES EQUIPEMENTS
Vu la taille de site, il vaut mieux utiliser le mode infrastructure pour l’architecture. Le mode infrastructure se divise en deux
modes, le mode BSS (Basic Service Set) et le mode ESS (Extended Service Set). L’architecture ad-hoc est interdit à la demande
du client. Le mode BSS n’utilise qu’une seule borne d’accès. Le mode ESS utilise au moins deux bornes d’accès. C’est-à-dire
qu’on peut en avoir plus d’une centaine. Grâce au mode ESS, le client peut passer d’une borne à une autre sans que la
communication réseau se coupe.
On utilisera donc le mode ESS pour l’architecture WI-FI. Le protocole wifi utilisé sera le 802.11ax. Il permet un plus grand
débit et moins de latence. Il est demandé d’équiper 40 bornes. On pourra prendre la même marque que ceux déjà installé en
2008, c’est-à-dire Aruba, mais en prenant les nouvelles gammes. La série 510 par exemple. La série 510 prend en charge
IEEE. Pour la redondance, on peut rajouter des bornes.
Les prix sont aux alentours de 800€ par pièce, 40 x 800€, 32 000€ environ. En commutateur, on pourrait prendre la série
Aruba CX 8325.
Le commutateur coûte environ 20 000€. On pourrait en prendre 5. Ce qui ferait 100 000€. On rajoute un contrôleur pour
permettre la gestion centralisée des configurations de l'ensemble des bornes et des mises à jour évolutives. Le contrôleur
peut être de la marque Aruba. Contrôleurs de mobilité Aruba série 7200. Cette machine gère le chiffrement et
l’authentification aussi. Celui-ci coute 15 000€.
RESEAU : SOLUTION TOIP : ARCHITECTURE, PLAN DE NUMEROTATION
SERVICES A PROPOSES
Nous avons choisi un IPBX libre pour réduire les coûts. Nous conseillons Asterisk car il est modulaire, qu’il est très popula ire
et bien documenté. Que ce soit pour la mise en attente, les transferts d'appels ou la mise en place de boites vocales, Asterisk
est très complet, et nous assure donc une infrastructure qualitative.
On peut, par exemple, l’installer sur un serveur Debian, équipé d’une carte réseau pour la fibre, et ensuite installer d’autres
paquets, comme fail2ban pour assurer la disponibilité. Pour pouvoir passer et recevoir des appels depuis l’extérieur, on peut
enregistrer la ligne auprès d’un serveur OVH.
INFRASTRUCTURE
Il y avait 4 PABX, 3 sur le site principal et un sur le site de la Petite Montagne, donc pour garder la même disponibilité, on
propose 4 IPBX, dont les trois du bâtiment principal seront derrière un répartiteur de charge. Nous pouvons installer un
serveur Kamailio qui peut être utilisé comme répartiteur de charge pour Asterisk. Il est également envisageable de doubler
les serveurs Asterisk pour faire des serveurs de secours. Grâce à HeartBeat on peut passer sur un serveur si l’autre ne répond
plus.
PLAN DE NUMEROTATION
Dans le plan de numérotation, on peut mettre un début de numéro pour chaque service et ensuite pour chaque bâtiment
isolé sur le plan. Par exemple le service EHPAD est divisé en fonction de la résidence.
Index Service Numéro de bâtiment
sur le plan
01 xxx Accueil principal 3
02 xxx Pole médecine 10
03 xxx Urgences 1
04 xxx Pôle MCO 7
05 xxx Soins de suite et réadaptation 3
06 xxx Imagerie 5
07 xxx Laboratoire d’analyses médicales 6
08 xxx Rééducation fonctionnelle 10
09 xxx Pharmacie 6
10 xxx Stérilisation 12
11 xxx Administration 18
12 xxx Services techniques 16
13 xxx Internat 20
14 xxx EHPAD Résidence Ti Nevez 23
15 xxx EHPAD Résidence Les Hortensias 15 et 21
16 xxx EHPAD Résidence Petite Montagne 22
17 xxx Pôle chirurgie et clinique Clinique
+33 xxxxxxxxxx Extérieur France
INSTALLATION ET CONFIGURATION DES SERVICES DE L’INFRASTRUCTURE RESEAU
LDAP
Dans le cas de l’appel d’offre, concernant l’installation et la configuration des serveurs. On a décidé d’utiliser Acitve directory
qui est un servie d’annuaire LDAP pour satisfaire le besoin de centralisation. On s’est basé sur « l’active Directory Domain
Services Guide » de Microsoft pour réaliser la structure de notre active directory.
CHOIX DES PARAMETRES DE L’ACTIVE DIRECTORY
Notre première tâche sera d‘évaluer le nombre de forêt que l’on veut. En fonction des besoins du système d’information de
l’hôpital, la pratique recommandée est d’établir une seule forêt, puis en ajouter d’autres si besoins. La gestion d'une seule
forêt est moins compliquée en termes de ressources humaines et matérielles, et le coût est également plus faible. Par
conséquent, nous avons décidé de mettre en place une forêt. On applique la même méthode pour la création de domaine.
L'utilisation d'un domaine unique va permettre une bonne gestion tout en limitant les coûts matériels et logiciels. D’après le
guide Microsoft, il est conseillé d’utiliser plusieurs domaines pour réduire les problèmes de réplication lorsque l'infrastructure
réseau est lente ou que le nombre d'objets est trop important (plus de 100 000), ce que nous ne faisons pas. J'ai donc choisi
un domaine pour l’infrastructure de l’hôpital "chg.fr".
CHOIX DE L’ORGANISATION DE L’ACTIVE DIRECTORY
Pour une bonne organisation on a suivi la méthode AGDLP (Account, Global, Domain Local, Permissions) qui va permettre
d’avoir un Active Directory de qualité et de sécurité.
AVANTAGES
▪ Structurer correctement les accès
▪ Gestion simple et rapide des permissions à l’aide de groupes
▪ Gain de temps pour les administrateurs systèmes
▪ Sécurité accrue
PRINCIPE DE FONCTIONNEMENT
GROUPE GLOBAUX ET GROUPE DL EN FONCTION DU SYSTEME DE POLE
Global groups Domain local groups (permissions)
Pole administratif
direction Dossier personnel, Dossier archive
(lecture)
Service financier Dossier Personnel (lecture)
Personnel
Pôle Maternité, Chirurgie-Anesthésie,
& Obstetrique (MCO)
Maternité Dossier Maternité
Chir Générale et Ortho Consultation Ext Chir (Lecture)
Consultation Ext Chir Dossier chir G et Ortho + Bloc
opératoire (lecture)
Gestion information Service Technique Lecture, Ecriture, Exécution sur tout
Pôle Unité de Soins
Soin de suite Dossier soins de suite (Lecture)
Soin continu Dossier soins continus (Lecture)
Urgence Dossier soins de suite, Continus,
Urgences (Lecture)
Consultation Dossier soins de suite, Continus,
Consultation (Lecture)
Plateau Technique
Radiologie Dossier radiologie, Pneumologie
(lecture)
Pharmacie Dossier labo (lecture)
Laboratoire Dossier labo (lecture
Cardiologie Dossier Radiologie, Pneumologie
(lecture)
Pneumologie Dossier Cardiologie, Pneumologie
(lecture)
APPLICATION DE LA METHODE ADLP AUX POLE ADMINISTRATION
LISTE NON EXHAUSTIVES DES GPO ET HARDENIG
▪ Politique concernant la politique de mots de passe
▪ Restriction accès réseau pour l'administrateurs et les utilisateurs du domaine
▪ Ouverture de session pour l'administrateurs et les utilisateurs du domaine
▪ GPO pour l(installation de logiciel
▪ Interdire l'accès à l'invité de commande
▪ interdire l'accès au panneau de configuration
▪ Interdire l'utilisation de clefs
▪ USB Configuration de la veille au bout d'un certain moment d'inactivité
Pour une haute disponibilité l’AD sera répliqué dans un réseau séparé.
DNS
Le Domain Name System traduit essentiellement ces noms de domaine en adresses IP et oriente votre appareil dans la bonne
direction. Un nom de domaine et son adresse IP correspondante. C’est une élément clefs dans l’interaction de différents
système présents sur le SI.
On a déterminé que le serveur DNS est un serveur critique ainsi on a décidé d’intégrer le serveur primaire dans l’active
directory et pour le serveur secondaire on a décidé de choisir les directives de l’ANSSI qui indique que le DNS secondaire sera
installé hors l’infrastructure hébergé sur le cloud. Cette pratique va permettre la continuité de service si le premier serveur
tombe en panne.
DHCP
Le rôle du serveur DHCP est d'attribuer des adresses IP aux clients du réseau dans un délai fixe (bail DHCP). Il transmettra
automatiquement l'adresse en fonction de l'emplacement de la connexion.
SECURITE
Il faut limiter le service DHCP à une liste « fermée » de correspondances d'adresses MAC et IP. De cette façon toute requête
« étrangère » à cette liste est systématiquement rejetée. Les serveurs et imprimantes réseau auront des adresses fixes.
DISPONIBILITE
C’est un serveur qui ne doit pas se permettre de tomber en panne car des machines peuvent perdre l’accès. Si le serveur
DHCP s'arrête, plus aucun bail ne sera attribué et les ordinateurs de l’hôpital vont perdre progressivement l'accès au réseau.
Pour éviter cette situation on a décidé un deuxième serveur DHCP qui va permettre un partage de la plage IP. Pour ce faire
on appliquera la règle du 80/20 du guide de sécurité Windows Server de Microsoft. Cette règle permet d'équilibrer l'utilisation
des serveurs DHCP. Le premier serveur va allouer 80% du pool d'adresses, tandis que le second serveur est configuré pour
allouer 20% des adresses restantes. Si l'un des serveurs n'est plus en ligne, les poste client peuvent faire une demande au
second serveur DHCP. Lorsqu'elles sont configurées en mode d'équilibrage de charge, les demandes des clients seront
réparties entre les deux serveurs.
SERVEUR WEB
On a décidé d’installer apache qui est le logiciel de serveur web gratuit qui alimente aujourd’hui 50% des sites web. Pour un
hôpital de votre réputation on a fait le choix Apache car c’est l’un des serveurs web les plus anciens et les plus fiables avec
des mis à jour régulière qui va permettre d’augmenter le niveau de sécurité.
SECURITE
SECURITE DE L’ACCES AUX EQUIPEMENTS RESEAUX
La sécurisation de l’accès aux périphériques de l’entreprise est primordiale. Si une personne malveillante arrive à accéder à
la baie des serveurs et à se connecter sur les composants de l’hôpital, elle pourrait causer de graves dégâts. Il existe donc
plusieurs méthodes pour protéger les équipements d’une attaque par l’accès direct ou par accès distant.
CLOISONNEMENT
Dans le cas où un ou un attaquant réussirait à se connecter à un appareil du réseau de l’hôpital, si le réseau n’est pas
cloisonné ou segmenté, l’attaquant pourrait accéder à toutes les machines du réseau. Nous avons dans un premier temps
segmenté l’architecture du réseau lors de sa conception. Cette segmentation a été faite selon les différents serveurs et les
différents rôles sur le réseau.
NAC (NETWORK ACCESS CONTROL)
Les solutions de contrôle d’accès réseau permettent la visibilité sur une réseau d’entreprise ainsi que la gestion des accès
grâce à l’installation de politiques de sécurité au niveau des utilisateurs et des différents périphériques. L’hôpital sera exposé
à cause des nombreux terminaux mobiles qui pourront accéder à son réseau. Le contrôle d’accès au réseau permettra donc
de renforcer l’infrastructure de sécurité du réseau en termes de visibilités , contrôle d’accès et conformités. Le système de
contrôle des accès bloquera l’accès des périphériques non conformes au réseau. Il les placera en quarantaine ou ne leur
accordera qu'un accès très limité aux ressources conservant ainsi la sécurité du reste du réseau de la contamination des
nœuds non sécurisé.
Les principales fonctionnalités du control d’accès au réseau sont :
o La gestion du cycle de vie des politiques, en appliquant des politiques adaptés à tous type de scénario
opérationnelles sans même exiger de produit ou module complémentaire additionnel
o Le profilage et la visibilité, en établissant les profils des utilisateurs et des terminaux afin d’éviter l’intrusion de code
malveillant et de potentiel dommages.
o L’accès réseau invité, gérant les invités via un portail qui permet de les enregistrer, les authentifier et les gérer.
o Le contrôle de niveau de sécurité, évaluant que chaque utilisateur, périphérique ou système d’exploitation soit
conforme à la politique de sécurité.
o La réponse aux incidents, en éliminant les menaces qui pèsent sur le réseau à l’aide de politiques de sécurité qui
isolent, bloquent et corrigent tous les équipements non conformes sans nécessité l’intervention d’un administrateur.
Grâce à l’interaction bidirectionnelle les NAC peuvent être couplés avec d'autres solutions de sécurité et de réseau via une
API ouverte.
Nous proposons la solution, Cisco Medical NAC pour protéger l’hôpital. Ce contrôle d’accès réseau a été spécialement pensé
pour protéger les équipements médicaux et les dossiers des patients contre des menaces. Cette solution permet d’améliorer
le niveau de sécurité dans le secteur de la santé et ainsi de protéger les hôpitaux contre les ransomwares.
NORME 802.1X
Le 802.1X est un mécanisme d’authentification que l’on peut utiliser pour sécuriser l’accès au réseau ainsi que les données
conservées, en empêchant l’accès au réseau par des personnes non autorisées. Ce mécanisme permet donc de contrôler la
gestion des accès des employés sur le réseau de l’entreprise.
Dans ce standard, les logins et les mots de passe sont centralisés, ce qui permet une meilleure gestion des utilisateurs par
le responsable. Il est facile de donner ou de révoquer l’accès au réseau de l’entreprise, notamment lorsqu'un collaborateur
ne travaille plus dans l’entreprise ou quand une personne à un accès temporaire au réseau privé de l’entreprise. La norme
802.1X permet également de récupérer la durée de connexion des utilisateurs et de savoir s’ils se sont connectés durant les
heures de travail. Il est donc possible de révoquer l’accès à un utilisateur qui tente de se connecter en dehors de ses heures
de travail.
Nous pensons qu’il est important pour l’hôpital d’avoir des équipements conformes à la norme 802.1X. Avec ce standard
l’accès aux équipements peut être facilement contrôler et permet une meilleure sécurité de l’accès au réseau privé de
l’entreprise.
PROTECTION SSH
Le ssh est l’outil qui nous permet de gérer et administrer les serveurs linux à distance. Même si le ssh chiffre les échanges
pour les sécuriser, l’hôpital se doit de sécuriser l’accès au ssh rendant les attaques plus complexes. Dans un premier temps,
afin d’éviter les attaques de type « brute force », il est nécessaire de désactiver le login « root ». Ensuite, il est important de
changer le port d’accès au ssh standard (22) par un port non standard. Pour attaquer l’accès ssh il faudra d’abord retrouver
le bon port, de plus si un attaquant scan les ports il verra le port 22 fermé et pensera qu’il n’y a pas d’accès ssh. L’accès au
ssh doit se faire par une authentification par clé et l’accès est interdit à la DMZ en ssh.
SECURITE SUR LES PORTS
Tous les ports des commutateurs déployés sur le réseau de l’hôpital doivent être sécurisés. La méthode que nous allons
utiliser pour sécuriser les ports implémente une fonctionnalité appelée sécurité des ports. La sécurité sur les ports permet
de contrôler les adresses MAC autorisées sur un port. Les adresses MAC des périphériques connus se verront autorisées
tandis que les autres se verront l’accès refusé. Si une adresse non autorisée essaye d’accéder au port d’un commutateur de
l’hôpital, il commet une violation. Lors d’une violation, une action est prise afin de protéger le réseau (par exemple la fermeture
du port ou l’envoi de message trap SNMP au NMS). Grâce à cette fonctionnalité, il sera normalement plus compliqué à un
attaquant de s’introduire dans le local des serveurs de l’hôpital et de se connecter directement sur le réseau.
La configuration de cette fonctionnalités s’effectue de la manière suivante :
1. Activation de la fonction
(conf ig- if )#switchport port -securi ty
2. Définir le nombre d’adresses MAC autorisées sur le commutateur (10 par exemple)
(conf ig- if )#switchport port -securi ty maximum 10
3. Ajouter l’adresse MAC à la table d'adresses
(conf ig- if )#switchport port -securi ty mac -address 0050.5601.D71 3
4. Configurer l’action à entreprendre en cas de violation, dès qu’une “violation” est constatée, la fermeture du port est
ordonnée avec l’envoi d’un message de log.
(conf ig- if )#switchport port -securi ty v io lat ion shutdown
AUTHENTIFICATION WI-FI ET PORTAIL CAPTIF
Créer plusieurs noms de Wifi, par exemple NomDeL’Hopital_Patient, NomDeL’Hopital_Hospitalier.
Mettre en place un portail captif pour que chaque personne souhaitant se connecter au réseau wifi de l’hôpital puisse
s’identifier. Un ID et MDP est donné au patient lorsqu’il est inscrit dans l’hôpital. Un ID et MDP personnel par personne qui
travaille. Le protocole d’authentification choisie est le WPA2-entreprise. Il ne repose pas sur des phases secrètes qui sont
vulnérables aux attaques par dictionnaire. Le patient aura un Wi-Fi sécurisé, qui leur permettrait de naviguer sur internet,
visionner des vidéos ou de télécharger des documents. Le personnel aura quant à lui un accès privé du Wi-Fi ayant plus de
droit, qui leur permettrait de gérer les dossiers médicaux ou gérer le stock de médicaments. Active directory pour que l’admin
gère les ressources autorisées aux patients.
Un serveur Radius peut être utiliser pour couvrir ces besoins.
PAREFEUX, CONFIGURATION DES PROXYS ET SECURITE TOIP
SECURITE TOIP
Pour la confidentialité, on peut chiffrer le flux SIP pour la signalisation et le flux RTP pour la voix, avec un tunnel TLS, ou utiliser
SRTP. On va créer une autorité de certification sur le serveur Asterisk et installer les clés publiques sur les téléphones. Il est
également important de synchroniser les téléphones et les serveurs, avec le protocole NTP, pour la journalisation, les
facturations d’appel, et les protocoles qui utilisent des certificats.
Pour plus de sécurité, on peut mettre les IPBX dans un VLAN d’administration dédié, ou les administrer avec des ordinateurs,
qui ne sont pas reliés aux autres réseaux. On peut également installer un serveur radius pour authentifier les téléphones. Il
faudra alors choisir des téléphones compatibles avec 802.1X. On peut utiliser la méthodes EAP-TLS pour une authentification
avec un certificat. Les utilisateurs s’authentifient sur les téléphones grâce à leur code PIN. Le code PIN dois être généré
aléatoirement, et comporter au moins 5 caractères. Il faut également définir une fréquence de renouvellement du code PIN
et un nombre de tentatives avant verrouillage du compte.
Il faut choisir un téléphone sans interfaces de communications superflues ou les désactiver (sans fil, port Ethernet
additionnel, port USB) et ne pas utiliser de softphone. Si le téléphone se met à jour automatiquement, on peut le paramétrer
pour qu’il vérifie l’intégrité et qu’il accepte uniquement les fichiers signés par une autorité de certification de confiance. Il faut
installer la clé publique de cette autorité sur le téléphone. Le téléphone et le serveur doivent utiliser des protocoles sécurisés
pour communiquer. Utiliser HTTPS, SSH ou IPsec plutôt que Telnet, HTTP et FTP.
Les téléphones de la série 7800 de Cisco correspondraient à ces critères de sécurité. Ils sont compatible avec 802.1X, TLS
et SRTP.
Il y a 780 lignes analogiques donc on proposerait 780 téléphones IP (152 100 $ pour 780 téléphones Cisco UC Phone
7811)
RAPPEL ARCHITECTURE
REGLES DE PARE-FEU
Pare feu 1
Traffic du réseau externe vers la DMZ est autorisé (web, SIP si VPN, RTP si VPN ou SRTP, 802.1X si VPN, contrôle distant si
VPN)
Traffic de la DMZ 2 vers le réseau externe est autorisé (web, SIP si VPN, RTP si VPN ou SRTP 802.1X si VPN, contrôle distant
si VPN)
Pare-feu PM
Pare-feu 1
Pare-feu 2
Interface WAN
Numéro IP
source
Port
source Ip destination Port destination Protocol action
1 WAN any DMZ 80 (http), 53 (DNS),
443(https) UDP/TCP Pass
2 DMZ 2 any WAN 80 (http), 53 (DNS),
443(https) UDP/TCP Pass
3 WAN any DMZ 123 (NTP) UDP Pass
4 DMZ any WAN 25(SMTP) TCP Pass
5 DMZ any WAN any any Block
6 WAN any DMZ any any Block
Interface VPN
Numéro IP
source
Port
source Ip destination Port destination Protocol action
1 LAN PM any DMZ 80 (http), 53 (DNS),
443(https) UDP/TCP Pass
2 DMZ 2 any LAN PM 80 (http), 53 (DNS),
443(https) UDP/TCP Pass
3 WAN any LAN PM 123 (NTP) UDP Pass
4 WAN ou
LAN PM any DMZ 5060 (SIP) UDP Pass
5 DMZ 2 any WAN ou LAN
PM 5060 (SIP) UDP Pass
6 WAN ou
LAN PM any DMZ 10 000-20 000 (RTP) UDP Pass
7 DMZ 2 any WAN ou LAN
PM
10 000 – 20 000
(RTP) UDP Pass
8 LAN PM any DMZ 1645, 1812, 1813
(RADIUS EAP) UDP/TCP Pass
9 DMZ 2 any LAN PM 1645, 1812, 1813
(RADIUS EAP) UDP/TCP Pass
10 LAN PM any DMZ 389, 636, 3268,
3269 (LDAP) UDP/TCP Pass
11 DMZ 2 any LAN PM 389, 636, 3268,
3269 (LDAP) UDP/TCP Pass
12 DMZ any WAN any any Block
13 WAN any DMZ any any Block
Pare feu 2
Traffic du réseau interne vers la DMZ 2 autorisé. Traffic de la DMZ vers le réseau interne autorisé
Numéro IP
source
Port
source Ip destination Port destination Protocol action
1 LAN any DMZ 2 80 (http), 53 (DNS),
443(https) UDP/TCP Pass
2 DMZ any Serveur Web 80 (http), 53 (DNS),
443(https) UDP/TCP Pass
3 DMZ any Seveur NTP 123 (NTP) UDP Pass
4 Serveur
VoIP any DMZ 2 5060 (SIP) UDP Pass
5 DMZ any Serveur VoIP 5060 (SIP) UDP Pass
6 Serveur
VoIP any DMZ 2 10 000-20 000 (RTP) UDP Pass
7 DMZ any Serveur VoIP 10 000 – 20 000
(RTP) UDP Pass
8 Serveur
Radius any DMZ 2
1645, 1812, 1813
(RADIUS EAP) UDP/TCP Pass
9 DMZ any Serveur Radius 1645, 1812, 1813
(RADIUS EAP) UDP/TCP Pass
10 Serveur
LDAP any DMZ 2
389, 636, 3268,
3269 (LDAP) UDP/TCP Pass
11 DMZ any Serveur LDAP 389, 636, 3268,
3269 (LDAP) UDP/TCP Pass
12 DMZ 2 any any any any Block
13 any any DMZ any any Block
PROXY
Le proxy va être configurer en proxy transparent pour http et https, le proxy va analyser toutes les requêtes web, sans que
l’utilisateur s’en soucie. Le proxy doit déchiffrer le trafic HTTPS pour l’analyser, pour cela il faut installer un certificat interne.
L’autorité de certification interne est utilisée uniquement pour les certificats que le proxy montre aux navigateurs web de
l’entreprise. Les clés privées associées au certificat interne doivent être protégés. On peut installer un composant matériel
HSM sur le Proxy, pour assurer cette protection. Il faudra installer le certificat sur tous les postes client TLS.
Le proxy et les navigateurs doivent être mis à jour régulièrement, pour pouvoir utiliser les protocoles et algorithmes
cryptographiques les plus robustes. Le proxy doit refuser la connexion si la suite cryptographique du tunnel TLS n’est pas
assez robuste. L’usage de la compression TLS rend vulnérable le flux HTTPS, donc il doit être désactivé.
On peut créer une liste blanche, pour certains sites qui ne doivent pas être déchiffré, ou dont le changement de certificat va
empêcher le fonctionnement (comme des sites bancaires). Cela permet également d’accélérer la navigation car le proxy va
laisser passer le flux https sans le déchiffré.
Pour la liste noire on peut en télécharger automatiquement à partir du proxy. Si on utilise SquidGuard on peut entrer des URLs
comme :
▪ Université de Toulouse : http://dsi.ut-capitole.fr/blacklists/download/blacklists_for_pfsense.tar.gz
▪ MESD blacklists : http://squidguard.mesd.k12.or.us/blacklists.tgz
▪ Shalla’s Blacklists : http://www.shallalist.de/Downloads/shallalist.tar.gz
REVERSE PROXY
Le reverse proxy doit être positionné en coupure, pour analyser les flux https.
Le certificat utilisé pour les clients doit être reconnu publiquement. L’ANSSI propose une liste des Prestataires de Service de
Certification Electronique de confiance.
http ://www.lsti-certification.fr/images/liste_entreprise/Liste PSCe.pdf.
Comme le proxy le reverse proxy doit être mis à jour régulièrement et accepter une connexion TLS que pour les versions
récentes. Il doit aussi refuser la compression TLS. Par exemple autoriser TLS v1.1, peut-être TLS v1.0, et les versions
supérieures, mais pas SSL.
Il faut privilégier des fonctions de hachage robuste comme SHA256. Ne pas utiliser d’algorithmes de chiffrement symétriques
sauf ceux plus robuste qu’AES128. Pour analyser le trafic, on peut utiliser des mots clés (regex) pour détecter les injections
SQL ou les injections de scripts (JavaScript, Flash, ActiveX).
PROPOSITION
Pour le proxy et le reverse proxy, on peut installer une distribution Linux sur un serveur avec Squid et SquidGuard. Squid peut
fonctionner avec l’antivirus ClamAV. Avec Squid, on peut configurer un proxy-cache qui permet d’accélérer le chargement des
pages web fréquemment visitées.
SOLUTIONS VPN, GESTION DES ACCES DISTANT ET CHIFFREMENT DES DONNEES CLIENTS
VPN
Pour l’EPHAD qui est un site fixe on privilégie le protocole IPsec en mode tunnel de type Siteto-Site qui sera plus adapté si le
nombre de poste EPHAD venait à augmenter. En effet le protocole IPsec va agir sur la couche réseau et va permettre d’avoir
une meilleure bande passante qu’en utilisant OpenVpn.
FONCTIONNEMENT IPSEC
Le protocole utilisé par IPSec utilise deux protocoles de sécurité pour le trafic IP:
▪ AH (En-tête d'authentification): le principe de ce protocole est d’ajouter un bloc au datagramme I, cela a pour but de
permettre l'intégrité des données et la vérification de l'identité de la source du datagramme IP. Son principe est
d'ajouter un bloc au datagramme IP.
▪ ESP (Encapsulated Security Payload): en mode tunnel, en plus des fonctions assurées par AH, le protocole ESP assure
également la confidentialité des données et une protection partielle pour l'analyse du trafic.
Avantages
▪ Economie de la bande passante
▪ Authentification des données
▪ Confidentialité des données
▪ Intégrité des données
Cependant pour le personnel qui voudra se connecter en télétravail on installera OpenVpn pour que ces derniers puissent
travailler de chez eux.
HAUTE DISPONIBILITE
Enfin pour répondre au besoin de haute disponibilité on a décidé de répliquer un VPN pour alléger la charge et permettre une
continuité d’activité.
Fonctionnement
▪ CARP (Common Address Redundancy Protocol) est un protocole qui permet une haute disponibilité et le partage
d'adresses IP virtuelles. L’un des avantages majeures de ce protocole est qu’il est sécurisé( tous les échanges sont
cryptés) et c’est un protocole libre de droits.
▪ Pfsync est un protocole utilisé pour synchroniser la table mémoire du pare-feu primaire sur le parfeu secondaire pour
synchroniser l'état de la connexion sur différents hôtes.
▪ XML-RPC est un protocole utilisé pour copier la configuration d'un serveur vers un autre.
Référence : Annexe 6 POC-VPN, Annexe 7,8 POC-Redondance(Master)
AUTHENTIFICATION
Pour la sécurité en termes d’authentification on va utiliser le protocole Kerberos qui est la technologie la plus utilisé par
Microsoft pour un réseau local. L’avantage principal de Kerberos est la réduction de la circulation de mot de passe de qui
transite dans le réseau. Juste des empreintes (fonction de hachage) vont transiter dans le réseau.
FONCTIONNEMENT
1. Le client envoie une demande au serveur d'authentification (AS) en utilisant l'ID utilisateur en texte brut et demande l'accès
au serveur au nom de l'utilisateur. Cette demande est partiellement chiffrée à l'aide de la clé qui est le mot de passe de
l'utilisateur client.
2. Le serveur d'authentification (AS) récupère la clé secrète (mot de passe de l'utilisateur) de la base de données de
l'utilisateur en fonction de l'ID utilisateur et utilise son mot de passe comme clé pour déchiffrer la demande. C'est la manière
d'authentifier les utilisateurs. Ensuite, l'AS envoie un ticket d'octroi de tickets (TGT) chiffré avec une autre clé secrète, qui est
partagée entre l'AS et le serveur d'octroi de tickets (TGS).
3. Le client envoie le TGT chiffré au serveur d'octroi de tickets (TGS) pour demander l'accès au serveur.
4. Le serveur d'octroi de tickets (TGS) déchiffre le TGT en utilisant la clé partagée avec l'AS et émet un jeton Kerberos au
client, qui est chiffré par une autre clé partagée avec le TGS et le serveur.
5. Le client envoie une demande au serveur avec le jeton kerberos chiffré.
6. Ensuite, le serveur autorise l'accès aux ressources demandées au client pendant une certaine période de temps spécifiée
dans le jeton.
HAUTE DISPONIBILITE
Pour répondre aux besoins de la haute disponibilité dans le cas où Kerberos n’est pas disponible, on propose de mettre en
place une identification LDAP pour l’accès au serveur web. Pour des pages web qui contiendrait des données seuls les
utilisateurs enregistrés dans l’active Directory pourront y accéder.
Référence : Annexe 9 POC-Identification LDAP-Apache
CHIFFREMENT
Pour satisfaire le besoin de chiffrement des données des clients, on a décidé d’utiliser OpenSSL qui est un utilitaire de
cryptage qui implémente les protocoles et standards SSL / TLS. Le terme SSL est un acronyme pour Secure Socket Layer. Il
s'agit d'un protocole qui permet aux clients d'utiliser des applications réseau utilisant TCP / IP.
Le principe général du protocole de type SSL est qu'il est divisé en deux étapes :
1. Handshake : il s'agit d'une étape d’identification où le client et le serveur s'accordent sur le type de système de
cryptage et la clé qui sera utilisée dans le reste de la communication.
2. Communication : échange de données compressé, crypté et signé.
Avantages :
▪ Outil puissant
▪ Open source
▪ Portabilité
▪ Utilisation massive du public
▪ Fiabilité
▪ Nécessaire pour le chiffrement et le hachage
GOUVERNANCE DE LA SECURITE - PSSI
PSSI – PRINCIPES ORGANISATIONNELS – POLITIQUE DE SECURITE ET POLITIQUES A THEMES : POLITIQUE
DE SAUVEGARDE, POLITIQUE DE PROTECTION CONTRE LES LOGICIELS MALVEILLANTS, POLITIQUE DE
CONTROLE D’ACCES, ETC
ELEMENTS STRATEGIQUES
PERIMETRE DE LA PSSI
Dans cette section, nous allons mettre en place les différentes choses qui seront dans le périmètre d’application de la PSSI.
ACTIVITES METIER
▪ Gestion des systèmes d’informations
▪ Gestion des commandes (matériel de l’hôpital)
▪ Gestion des réseaux internes (serveur)
▪ Gestions des informations des patients et du personnel
▪ Gestion des utilisateurs (gestion des droits et accès des nouveaux et des anciens du personnel)
SUPPORT PHYSIQUE
▪ Serveur de l’hôpital
▪ Les postes du personnel
▪ Les postes de la salle techniques
▪ Système de sécurité (les caméras et la gestion d’accès dans les différents lieux)
▪ Les postes potentiellement ramenés par le personnel ou par un tiers
▪ Les technologies liées au domaine techno-médicale
ENJEUX ET ORIENTATIONS STRATEGIQUES
Le système d’information regroupe toutes les données de l’hôpital et des données liées aux patients. Donc cela doit garantir
la non-divulgation des données (information d’identification, données des de l’hôpital) et l’intégrité de celles-ci. Ces données
doivent être disponibles à tout moment, sans qu’une personne non habilitée y ait accès (haute disponibilité). Le système
d’information doit donc être sécurisé pour protéger toute l’infrastructure numérique de de l’hôpital. Et dans le cadre de
l’exercice de son activité le personnel peut être amenés à ajouter un nouvel appareil dans le réseau et donc celui-ci peut y
propager un virus.
ASPECTS LEGAUX ET REGLEMENTAIRES
Cette section présente la liste des différents textes juridiques et légaux qui obligent l’hôpital à suivre certaines règles lors de
la gestion du système d’information. Cette liste permet de donner des références aux personnels pour intégrer la sécurité
dans leur quotidien.
▪ Les textes suivants s’imposent à l’hôpital
▪ Le RGPD pour le traitement des données à caractère personnel
▪ Le code civil et le code pénal
▪ Le règlement intérieur de l’hôpital
▪ La réglementation CNIL
▪ norme HDS
POLITIQUE DE SECURITE
RESPONSABLE
Le Responsable de la Sécurité des Systèmes d’Information (RSSI) a les objectifs suivants :
▪ Elaborer une politique de sécurité acceptée par les autres employés ainsi que la direction de l’hôpital et la mettre en
œuvre.
▪ Veiller à la bonne mise en place de la politique ainsi qu’à son respect par ses collègues.
▪ Contrôler l’accès aux ressources de l’hôpital des autres utilisateurs.
Avant d’accéder à un système informatique, les utilisateurs doivent prendre connaissance des droits et des devoirs les
concernant lors de l’utilisation du dit système. Les utilisateurs doivent utiliser les systèmes d’information de manière
adéquate, en accord avec la politique déterminée par le Responsable de la Sécurité des Systèmes d’Information.
POLITIQUE SAUVEGARDE DES DONNEES
La sauvegarde des données et les logiciels de l'hôpital (tel que logiciel pour les patients, logiciel administratif, outils) installé
au préalable pour l'hôpital sont des activités essentielles de l’hôpital qui doivent garantir une grande disponibilité. En effet,
les catastrophes naturelles ou, plus communément, les problèmes sur les serveurs peuvent facilement détruire des données
importantes pour l'hôpital.
L'intervalle de sauvegarde des informations sensibles et critiques doit être proportionnel à son importance pour les activités
du l'hôpital. Selon le type de données, le cycle de sauvegarde doit être exécuté en 3 niveaux.
▪ Le premier niveau est la sauvegarde quotidienne sur un support réutilisé chaque semaine (la sauvegarde du lundi
écrasera la sauvegarde précédente du lundi).
▪ Le second sauvegarde est hebdomadaire, la période est de 4 à 5 semaines.
▪ Le troisième niveau est la sauvegarde mensuelle tous les ans.
Si la loi l'exige, la dernière sauvegarde annuelle sera archivée de manière définitive. Pour cette raison, les sauvegardes
hebdomadaires et mensuelles doivent être stockées dans une pièce dédiée spécialement à la protection des données et non
dans l'hôpital en lui-même.
Dans cette pièce, afin d'éviter le vol de données ou l'entrée illégale d'un tiers, les conditions de sécurité doivent être identiques
aux périmètres de sécurité. Tous supports (informatique, de papier autres) qui ne sont plus utilisés doivent être supprimés
ou détruits par un responsable agrée.
En cas d'erreur humaine, les sauvegardes de données doivent permettre de partir d'une situation précédente fiable. Dans
cette même optique un processus pour récupérer les données doit être mis en place qui devra être testé annuellement.
POLITIQUE PROTECTION DES DONNEES
Données du personnel
L’accès, le stockage et la transmission de données du personnel et des patients de l’hôpital sont interdits pour tous les
employés. Aucune sauvegarde des dites données ne doit être effectuée sans le consentement du patient.
Données personnelles
Les données personnelles du personnel et des patients sont considérées comme sensibles et doivent être protégées.
Chiffrement
Toutes les données sensibles de l’hôpital et de ses patients doivent être protégées par un chiffrement. Les clés permettant
de restituer les données en clair doivent être rangées dans un lieu sécurisé. La responsabilité de la sécurisation desdites clés
revient au Responsable de la Sécurité des Systèmes d’Information.
POLITIQUE DE LA SECURITE DU SI
Administrateur serveur et réseau
Un administrateur serveur et réseau a la responsabilité de l’administration du serveur de l’hôpital. Il possède aussi la
responsabilité du bon fonctionnement des postes de travail du personnel, ainsi que leur sécurisation.
Identification
Une identification est requise pour tout accès au système d’information de l’hôpital. Les identifiants doivent être donnés à
tout nouveau membre du personnel le jour de son arrivée et doit être révoqués dès lors qu’un employé quitte l’hôpital. Toute
entreprise extérieure devant gérer une partie informatique de l’hôpital se verra offrir des droits durant la durée de
l’intervention qui seront révoqués dès la fin de cette intervention.
Réseau
Le réseau de de l’hôpital doit être protégé de toute intervention extérieure. Dans cette optique, toutes les connexions
(entrantes et sortantes) doivent être filtrées. Les serveurs de l’hôpital se doit d’être particulièrement protégé. Des filtres
d’accès doivent donc aussi être installés afin de le protéger. Le serveur de l’hôpital n’est accessible que par le réseau de
l’hôpital. Toute connexion au réseau de l’hôpital avec un équipement informatique personnel est interdite pour éviter une
contamination du réseau par un logiciel malveillant. Le RSSI est responsable du maintien du niveau de sécurité et doit donc
veiller à la bonne application des mises à jour des anti-virus, des pare-feu…
Journalisation
Afin de pouvoir détecter des intrusions ou une mauvaise utilisation des systèmes ou d’identifier les causes d’un problème,
un système de journalisation centralisé doit être installé et protégé. Les informations obtenues grâce à ce système peuvent
être transmises aux autorités en cas de besoin.
CONTROLE D’ACCES
ASPECTS HUMAINS
Dans cette partie est expliquée la gestion des utilisateurs et de leurs droits. Il existe deux types de comptes pouvant se
connecter à un poste et au serveur : administrateur, membre. Chaque compte ayant des spécificités différentes. A la première
connexion, d’un compte membre, le système demande un nouveau mot de passe. Pour toutes les catégories de compte, les
mots de passe doivent contenir 7 caractères avec : Au moins une majuscule, une minuscule, un chiffre et un caractère spécial
Les mots de passe doivent être mis à jour tous les 6 mois pour les comptes administrateurs et tous les ans pour les membres.
Tous les 6 mois une revue des comptes est faites par l’administrateur réseau pour vérifier les comptes obsolètes et la mise
à jour des droits pour chaque type de compte.
Compte administrateur
Dans une session administrateur, doit être présent un système de gestion des droits pour les comptes membres. La
manipulation des bases de données sensibles est exclusivement possible à partir d’un compte administrateur. Les mots de
passe des administrateurs sont protégés dans une enveloppe dans un endroit tenu secret.
Un administrateur :
▪ Possède un compte administrateur avec un identifiant unique et un mot de passe personnel
▪ Possède un compte membre unique avec un identifiant unique et un mot de passe personnel
▪ Peut créer, supprimer, modifier un compte membre attribuer des droits associés
Compte d’un membre autre qu’administrateur
▪ Chaque membre possède un compte unique avec un identifiant et un mot de passe personnel
▪ Blocage du compte au bout de 3 tentatives d’authentification et réinitialisation par un administrateur
▪ Distribution initiale du mot de passe physiquement par un administrateur
ASPECTS PHYSIQUES ET ENVIRONNEMENTAUX
Au sein de de l’hôpital
Toute personne qui laisse son poste de travail sans surveillance, doit d’abord verrouiller sa session ou éteindre complétement
son ordinateur. A partir de 10 minutes d’inactivité un verrouillage de session automatique est mise en place. L’établissement
est doté d’un système d’alarme qui alerte le gérant dans le cas d’une intrusion de jour comme de nuit. Chaque pièce est
dotée d’un détecteur d’incendie et d’une caméra pour permettre la surveillance de l’ensemble du bâtiment et de détecter
tout incident, détérioration ou vol d’un équipement. Tous les équipements de surveillance de sécurité sont soumis à une
révision annuelle pour leur fonctionnement optimal.
Administration
▪ Gestion de visiteurs et validation des RDV
▪ Attribution de badges provisoires selon le profil de la personne
▪ Consigne compte au respect de la PSSI
Urgences
▪ Gestion des droits d’accès selon le profil
▪ Appel des ascenseur par badge (selon la personne)
▪ Badge longue portée pour les pompiers
Laboratoire et Pharmacie
▪ Authentification forte : badge + empreinte biométrique
▪ Armoire électroniques
Parking
▪ Entrée par badge
▪ Afficheur du nombre de place disponibles ➔ fluidifier
Hors de l’établissement, pour protéger les données il est formellement interdit de manipuler des données de l’hôpital dans
un lieux public.
GESTION DES RISQUES
Ce projet a pour but de mettre en place une architecture pour un hôpital. Qui dit hôpital dit données à caractère personnel
ainsi que des données médicales. Il faut donc protéger ces données. Sur ce contexte, le projet devra tenir compte des sources
de menaces. Les sources de menaces sont les organismes extérieur, sécurité du SI, vraisemblance, vulnérabilité exploitée,
ou risque environnementale.
Tous les scénarios de menaces et des risques sont classés selon les tableaux suivants :
Niveaux de menace Description
1 - Minime Peu ou très peu probable
2 - Significative Possible
3 - Forte Va probablement se produire
Et leur gravité sera défini comme tel :
Niveaux de risque Description
1 - Négligeable Surmontera les impacts sans aucune difficulté
2 - Conséquent Surmontera les impacts malgré quelques difficultés
3 - Critique Sérieuses difficultés
Evènement redouté
Evènement redoutés Mesures
existants ou prévues Gravité de l’évènement
Perte de données à caractère
personnel
Sauvegarder les
données en backup
3 – Critique
Sérieuses difficultés
Fuite de données à caractère
personnel
Sécuriser les
données
2- Conséquent
Surmontera les impacts
malgré quelques
difficultés
Logiciels hors d’usage Redondance sur les
machines
3 – Critique
Sérieuses difficultés
Hors service du SI
Règlement pour
sécuriser
efficacement leurs
SI
3- Critique
Sérieuse difficultés
Scénario de menaces
Scénario de menaces Sources de menaces Niveau de menaces
Menaces sur le réseau interne
causant une altération
-Employé peu sérieux
-Hacking
-Virus non ciblé
-Incendie des locaux
-Phénomène naturel (foudre,
usure…)
2- Significative
Menaces sur le réseau interne
causant une indisponibilité
-Employé peu sérieux
-Cybercriminalité
-Maintenance informatique
-Hacking
-Incendie des locaux
-Panne électrique
-Phénomène naturel (foudre,
usure…)
3- Fort
Risques
Scénario de menace Evénement redouté
Employé peu sérieux Fuite/Perte de données à caractère personnel
Hacking Indisponibilité des logiciels et plus
Virus non ciblé Indisponibilité des logiciels et plus
Comme montré ci-dessus, un employé peu sérieux peut causer la fuite ou la perte de données à caractère personne en
laissant son ordinateur ou sa tablette allumés par exemple. Un hacking peut causer des conséquences plus ou moins grave,
par exemple le Centre Hospitalier Universitaire CHU de Rouen. Un virus non ciblé peut causer les mêmes conséquences qu’un
hacking.
PLANIFICATION DE LA CONTINUITE DES ACTIVITES
DEFINITION DU PERIMETRE DU PLAN DE CONTINUITE
Nous réalisons notre plan de continuité par rapport aux services informatiques, et nous reprenons les risques résiduels de
l’analyse de risque. Les événements redoutés liées aux risques résiduels sont la perte ou la fuite de données et
l’indisponibilité des logiciels.
POSITIONNEMENT DES APPLICATIONS
Activités essentielles à maintenir
- Maintenance
▪ Mises à jour des logiciels
▪ Log et indicateurs
▪ Sauvegardes
- services employés
▪ Accès internet
▪ Accès au site web de l’entreprise et aux données
▪ Assurer le fonctionnement des logiciels
▪ Passer des appels
▪ Accès au réseau Hot spot
- services patient
▪ Accès internet
▪ Accès au site web de l’entreprise
▪ Passer des appels pour l’EHPAD
Activités critiques :
- Maintenance
▪ Log et indicateurs
▪ Sauvegardes
- Services employés
▪ Accès au site web de l’entreprise et aux données, RTO : 1h
▪ Assurer le fonctionnement des logiciels (imagerie), RTO : 30 min
▪ Assurer le fonctionnement des logiciels d’administration, RTO : 2h
▪ Passer des appels, RTO : 30 min
PLAN DE REPRISE
Indisponibilité des données aux employés
▪ Continuité 1h : Restauration de la sauvegarde, ou impression des données nécessaire sur papier s’il y a des
problèmes avec le SI
▪ Reprise 1 jour : Après dépannage, on évalue les données perdues, on essaye de les restaurer et on rebascule sur le
serveur de données
Indisponibilité des logiciels d'imagerie
▪ Continuité 30 min : Démarrage de postes de secours
▪ Reprise 1 jour : Après analyse et isolation si des postes sont contaminés, on peut connecter les postes de secours
au réseau pour transférer et sauvegarder les images.
▪ Reprise quelques jours : Après dépannage, on peut repasser sur le système normal
Indisponibilité des autres logiciels
▪ Continuité 2h : Utiliser une machine virtuelle en transférant les données
▪ Reprise 1 jour : Après dépannage, on peut repasser sur le système normal
MAINTENANCE OPERATIONNELLE DU PLAN
▪ mise en place d’un dispositif de sauvegarde, avec des tests de restauration
▪ mettre à jour et tester les postes de secours régulièrement
▪ effectuer des simulations d’incident pour évaluer la réaction de la personne responsable.
▪ Indicateurs à surveiller pour évaluer l’efficacité du PCA (taux de disponibilité des systèmes, temps de rétablissement
en cas d’incident, taux des sauvegardes et des tests de restaurations effectués, taux de test des systèmes de
secours, taux de simulation effectuées)
PRINCIPES DE MISE EN ŒUVRE – SENSIBILISATION
Nous savons tous qu’il est important de sécuriser au maximum l’hôpital afin d’éviter des attaques. Si un attaquant arrive à
accéder au réseau de l’entreprise il pourrait causer des dégâts très importants et paralyser l’hôpital pendant une durée
indéterminée. L’expression « mieux vaut prévenir que guérir » prend alors tout son sens, il est indispensable pour l’hôpital
d’adopter des méthodes de prévention avant de subir une attaque. L’hôpital se doit alors d'adopter une campagne de
sensibilisation.
L’hôpital a besoin d’une sensibilisation au niveau de ses systèmes d’informations car elle détient de nombreux fichiers
confidentiels. Le personnel de l’hôpital est nombreux, et la quasi-totalité des collaborateurs utilise du matériel électronique
connecté au réseau de l’hôpital. La sensibilisation est donc primordiale, les collaborateurs représente un danger pour les
systèmes d’informations de l’hôpital si ils utilisent les machines de manière non conforme. L’hôpital pourrait être la cible
d'attaques, et de ransomware. Il est important que les collaborateurs gardent en tête que l’hôpital détient les dossiers
médicaux de milliers de patients.
D’un autre point de vue, certains collaborateurs utilisent du matériel afin de soigner les patients, une mauvaise utilisation de
ces appareils électroniques pourrait avoir des conséquences désastreuses pour la vie des patients. La sensibilisation de
l’utilisation du matériel est nécessaire, le rappel des bonnes pratiques d’utilisation du matériel est déterminant.
Enfin, les collaborateurs utilisent de nombreux logiciels pour soigner les patients malades. La sécurisation des logiciels est
indispensable, car s’ils sont altérer les logiciels pourrait établir des mauvais diagnostics ou faire fuiter des données. La
sensibilisation de l’utilisation des logiciels de l’hôpital est un thème à aborder.
La sensibilisation a pour but de diffuser des messages sur un thématique et encourager les collaborateurs à s’engager dans
l’application de bonnes pratiques afin de rendre l’entreprise plus sûre. En adoptant un certain type de comportement, les
collaborateurs contribuent grandement à la sécurité du réseau de l’entreprise, la sensibilisation est donc le tout premier outil
contre les pirates informatiques.
Il y a différentes manières de sensibiliser les collaborateurs, le choix du type de sensibilisation doit être effectué avec grande
réflexion. En effet, selon la campagne sélectionnée, l’impact sur la vie en entreprise peut être plus ou moins important.
RSSI
Afin de prévenir l’ensemble des collaborateurs en termes de sécurité informatique dans l’entreprise, il est important
d’engager un responsable de la sécurité des systèmes d’informations (RSSI). Ce responsable sera chargé de définir la
politique de sécurité de l’information de l’entreprise, il doit la mettre en œuvre et assurer le suivi de celle-ci. Le responsable
de la sécurité des systèmes d’informations est également chargé de prévenir les employés des normes de sécurité de
l’entreprise par différents biais tels que la mise en œuvre d'outils (charte numérique) ou d’activités de communication
(journée de sensibilisation).
La grande partie du travail du RSSI est la « veille technologique », consistant à s’informer de manière régulière sur les
techniques les plus récentes. Ce travail permet d’avoir une vue complète sur les technologies émergentes ainsi que celle
mise en œuvre par les clients, fournisseurs, partenaires ou même concurrents.
Le responsable de la sécurité des systèmes d’informations doit établir une charte d’utilisation des systèmes d’informations
et des systèmes de sécurité de l’entreprise. Il doit également connaître ces chartes et connaître les différents processus à
adopter en cas de problème.
Le responsable de la sécurité des systèmes d'information doit connaître les lois et réglementations liées à la sécurité
informatique et à d'autres domaines liés aux systèmes d'information, en particulier les points juridiques concernant le RGPD.
Afin d’être à l’aise pour sensibiliser les employés, le responsable de la sécurité des systèmes d'information doit avoir une
expérience dans le domaine de la communication.
CHARTE D’UTILISATION DES SYSTEMES D’INFORMATIONS ET DES SYSTEMES DE SECURITE
La charte informatique est indispensable pour la prévention auprès des collaborateurs. Elle doit être rédigée rigoureusement
afin de leur dicter des règles de bonne conduite. Dès lors qu’un employé rentre dans l'entreprise, il doit lire et signer la charte
afin de s’informer du règlement en vigueur dans l’hôpital concernant la politique de sécurité informatique. Cette charte peut
comprendre des informations sur l’utilisation des machines médicales ou bien l’utilisation des ordinateurs ou téléphones mis
à disposition pour le personnel. Le non-respect de la charte entraîne donc des sanctions étant donné qu'il compromet la
sécurité de l’hôpital.
La charte informatique des systèmes d’information et de la sécurité informatique de l’hôpital doit mentionner les règles
d’utilisation de toutes les machines utilisées par l’hôpital. Le matériel étant sensible et indispensable, la charte doit détailler
les modes de fonctionnement des machines, les conditions d’utilisations de celles-ci et les conséquences en cas d’utilisations
non conformes.
La charte informatique des systèmes d’information et de la sécurité informatique de l’hôpital doit également détailler les
règles d'utilisation des logiciels médicaux. Les logiciels représentent une partie importante du système d’information de
l’hôpital, la charte doit mentionner le mode de fonctionnement de ces logiciels ainsi que les conditions d’utilisation.
La charte informatique des systèmes d’information et de la sécurité informatique doit être lue et signée par toutes personnes
interagissant avec le système d’information de l’hôpital. En signant cette charte les utilisateurs consentent à respecter les
règles décrites dans la charte et donc à adopter des gestes de bon usage envers le matériel et les logiciels.
JOURNEE DE SENSIBILISATION
Le moyen choisi par la direction afin de sensibiliser tous les collaborateurs de l’hôpital est d’organiser des journées de
sensibilisation. Une journée de sensibilisation permet par divers moyen de faire passer une idée à ses collaborateurs. Pour
cela il est nécessaire de réfléchir aux activités qui seront utilisées durant la journée pour sensibiliser les collaborateurs. Le
choix des activités est capital, s’il est difficile de mesurer l’efficacité des actions de sensibilisation, il est clair que si les
activités sont mal choisies le message à faire passer sera ignoré.
Parmi les journées de sensibilisation prévues, certaines seront obligatoires et d’autres optionnelles, en fonction des
thématiques abordées. Si le thème est indispensable pour les collaborateurs, la sensibilisation le sera aussi et les
collaborateurs seront invités à la suivre. Si le thème est une thème intéressant mais pas indispensable au maintien de la
sécurité des systèmes d’informations. Alors la sensibilisation sera facultative et les collaborateurs pourront choisir ou non de
s’inscrire pour suivre les activités proposées.
Les sessions de sensibilisation auront pour but de diffuser des informations clés aux participants. En fonction du type
d’activités, la session de sensibilisation expose des exemples ainsi que des cas concrets pour montrer l’attitude à adopter en
suivant le respect des normes. Les journées de sensibilisation ont également pour objectif de favoriser la mise en application
des bonnes pratiques auprès de tous les collaborateurs.
BROCHURES, NEWSLETTERS ET DEPLIANTS
L’un des meilleurs format de communication est la diffusion d’information via des brochures, newsletters ou dépliants. Ces
documents sont à distribuer aux collaborateurs, il est important de ne pas surcharger les collaborateurs d’information. La
lecture de ces documents doit être agréable afin qu’ils puissent transmettre des idées clés ou des bonnes pratiques à mettre
en place. Nous priorisons donc la création de document concis avec des informations claires, sans surplus d’écriture afin de
ne pas ennuyer le lecteur. Ces documents seront distribués durant les journées de sensibilisation et également en libre-
service dans les salles de repos.
AFFICHES ET FLYERS
Les affiches et flyers sont un excellent moyen de communication indirect, elle nous permettrons de diffuser l’information sans
que les collaborateurs se sentent agressés ou surchargés d'informations. Nous préconisons l’accrochage d'affiches dans
toutes les parties privées de l’hôpital, de tel manière à ce que les collaborateurs puissent avoir accès à de simples
informations sans fournir d’effort complémentaire. Nous préconisons le collage de flyer expliquant les règles de sécurité et
d’utilisation du matériel à côté de tout matériel électronique.
COMMUNICATION SUR LES RESEAUX D’ENTREPRISE
Il est important que l’hôpital ait un site intranet pour les collaborateurs. Le site intranet permet d’établir une communicat ion
entre la direction et les collaborateurs. Ainsi il est possible de sensibiliser le personnel à propos de la sécurité informatique
en diffusant des articles à travers le site intranet. Le site intranet sera également doté d’une rubrique de foire aux questions,
les collaborateurs peuvent trouver des réponses sur les questions courantes posées sur la sécurité des systèmes
d’information de l’hôpital.
PODCASTS OU OUTILS AUDIOVISUELS
La sensibilisation peut se faire via une vidéo, c’est un support qui semble plus efficace qu’une simple brochure. De toute
évidence la vidéo sera plus impactante si elle est assez courte afin de conserver l’attention des collaborateurs. En effet, si la
vidéo est trop longue ou aussi longue qu’un long métrage, les collaborateurs risquent de ne pas être intéressés et le message
risque de ne pas être transmis. Durant les journées de sensibilisation, des courtes vidéos seront montrées aux utilisateurs
afin qu'ils prennent conscience de l’importance de la sécurité de l’information et des conséquences possibles.
RENCONTRES OU REUNIONS D’INFORMATION
Lors de petite réunion d’un café ou d’un petit déjeuner, sensibiliser les collaborateurs pourrait permettre de partager les
bonnes pratiques à adopter concernant la politique de sécurité de l’entreprise. Ce format de proximité est utile pour créer
des liens dans un premier temps, puis de juger la bonne réception du message véhiculé par les collaborateurs. Il pourrait
également organiser des petits débats afin de pouvoir recueillir les différentes opinions au sein des équipes concernant la
politique de sécurité de l’hôpital.
CONFERENCES ET FORUMS
Ce format est beaucoup formel, nous proposons de rassembler un grand nombre de collaborateurs afin de partager un
moment d’échange et de réflexions sur les thèmes de la sécurité informatique. Durant ces sessions, il est possible d’interagir
avec des personnes expertes ou bien directement visé par le sécurité des systèmes d’information. Ce format se présente
sous forme de monologue de la part de professionnels partageant leurs savoir aux collaborateurs afin qu’ils puissent prendre
conscience du danger qu’ils peuvent représenter s’ils ne respectent pas les règles établies par le RSSI pour protéger le réseau
informatique de l’hôpital.
1 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
Projet du Bootcamp
Mise en œuvre d’une architecture réseau sécurisée à haute
disponibilité pour le centre hospitalier de Guingamp
Table des matières 1 Préambule .........................................................................................................................................................2
2 Présentation du contexte .............................................................................................................................2
2.1 Le CH de Guingamp .............................................................................................................................2
2.2 L’appel d’offre .........................................................................................................................................3
3 Description de l’environnement : ...............................................................................................................5
3.1 Présentation du SI .................................................................................................................................5
3.1.1 Logiciels pour patients .....................................................................................................................5
3.1.2 Logiciels administratifs et logistiques ...........................................................................................5
3.1.3 Outils ...................................................................................................................................................5
3.2 Environnement technique ...................................................................................................................5
3.2.1 Infrastructure technique ..................................................................................................................5
3.2.2 Parc de poste de travail ...................................................................................................................6
3.2.3 Serveurs ..............................................................................................................................................6
3.2.4 Parc d’impression ..............................................................................................................................6
4 Description du projet ....................................................................................................................................6
4.1 Objectifs ..................................................................................................................................................6
4.2 Existant ....................................................................................................................................................7
4.3 Résultats attendus .................................................................................................................................7
4.4 Fournitures et prestations attendues ...............................................................................................8
4.4.1 Equipements réseau .........................................................................................................................8
4.4.2 Accès sans fil ................................................................................................................................... 10
4.4.3 Mise en œuvre ................................................................................................................................ 13
5 Présentation de l’offre ................................................................................................................................ 14
5.1 Documentations ................................................................................................................................. 14
5.1.1 Dispositions générales .................................................................................................................. 14
5.1.2 Dossier d’architecture technique .............................................................................................. 14
6 Annexes : ....................................................................................................................................................... 15
6.1 Annexe 1 : VLAN ............................................................................................................................... 15
6.2 Annexe 2 : Schéma logique du réseau ........................................................................................... 15
6.3 Annexe 3 : Plan du site ..................................................................................................................... 16
7 Références ..................................................................................................................................................... 17
2 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
1 Préambule
Faut-il admettre les hôpitaux aux urgences ? La réponse est affirmative au regard de l’acuité du débat :
la sécurité informatique dans les établissements hospitaliers présente des vulnérabilités flagrantes. Les
hôpitaux sont, aujourd’hui, ciblés par les pirates informatiques et faute de protection fiable, ils ne sont
pas à l’abri d’intrusion virale [1] [2].
La cybercriminalité s’intéresse à la santé publique en France. L’objectif des hackers est de pouvoir
pénétrer dans les réseaux informatiques pour, entre autres, s’emparer des dossiers médicaux
confidentiels de chaque patient, ce qui constitut une atteinte grave à la vie privée [3]. D’après les
récentes informations, de nombreux établissements hospitaliers sont victimes de cyberattaques. La
dernière en date remonte au mois de novembre 2019 [4]. Les pirates ont frappé de plein fouet le
Centre Hospitalier Universitaire CHU de Rouen. L’attaque a été de grande ampleur, car elle a paralysé
l’ensemble du réseau informatique de cet hôpital normand : aucun mail, logiciels hors d’usage et
dossiers de patients devenus inaccessibles. Tous les ordinateurs de cet établissement ont été touchés
par cette agression. Ce grave incident a réduit à néant les activités de l’hôpital liées à Internet : rendez-
vous, stockage de dossier de chaque patient, documents administratifs et financiers, dossiers de
traitement des maladies [2].
Il a fallu attendre 48 heures pour que les techniciens reprennent le contrôle. Au bout de 10 jours, le
réseau était redevenu normal. La connexion Internet a été finalement restaurée après une semaine.
L’ANSSI a dépêché 50 experts sur site pour assister l’hôpital dans la gestion de cette crise. D’après
l’enquête, l’hôpital a bien été la victime d’un ransomware. Les premières informations laissent penser
qu’il s’agirait d’une version du ransomware CryptoMix Clop [5]. À la suite de cette attaque, l’ANSSI a
publié un guide de protection qui rappelle les bonnes pratiques de sécurité et les leçons enseignées
après cet incident [6].
Il est évident qu’aujourd’hui, le bon fonctionnement d’un hôpital dépend toujours de l’organisation et
des compétences de son personnel, mais plus seulement. Il dépend aussi des outils numériques utilisés
à tous les étages. Tous ces équipements connectés qui constituent l’hôpital moderne, désigné
officiellement par les pouvoirs publics comme l’hôpital numérique.
A l’accueil par exemple, c’est l’ordinateur qui permet de créer un dossier patient sur le système central
de l’établissement. C’est la borne interactive destinée à orienter les visiteurs. En salle d’opération, ce
sont les écrans d’aide à l’intervention chirurgicale, les moniteurs de suivi du patient. Dans le stock de
médicaments, ce sont les robots préparateurs en pharmacie. Dans les chambres, c’est le système de
divertissement et d’informations médicales consultable par le patient sur tablette tactile. C’est aussi le
réseau Wi-Fi local qui permet au personnel de consulter les dossiers médicaux à partir de n’importe
quelle pièce, de n’importe quel support, vers n’importe quelle source, interne ou externe...
La prise de conscience du milieu hospitalier après cette attaque a poussé le Centre Hospitalier de
Guingamp [7] à faire un appel d’offre pour repenser l’architecture et la sécurité de son réseau
informatique et de son système d’information. La mise en œuvre d’une architecture réseau sécurisée à
haute disponibilité l’objet de ce projet.
2 Présentation du contexte
2.1 Le CH de Guingamp Le Centre Hospitalier de Guingamp est un établissement hospitalier public de 584 lits, du secteur
sanitaire n°7 de la région Bretagne. Voici quelques chiffres :
• Pôle Médecine :
o 106 lits de médecine de spécialités
o 8 places d'hôpital de jour
• Urgences : 6 lits d'UHCD (Unité d'Hospitalisation de Courte Durée)
3 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
• Pôle Maternité, Chirurgie-Anesthesie, & Obstetrique (MCO)
o 37 lits de chirurgie conventionnelle
o 20 places de chirurgie ambulatoire
o 4 lits de surveillance continue
o 10 lits de maternité
• Pôle Soins de Suite et de Réadaptation
o 80 lits
o 20 places d'hôpital de jour
• Pôle Personnes Agées
o 258 lits d'EHPAD (dont 4 d'hébergement temporaire)
o 10 places d'accueil de jour
o 30 lits USLD (Unités de Soins de Longue Durée)
• Plateau Technique
o Service d'Imagerie (scanner, IRM, etc.)
o Laboratoire d'analyses médicales
o Rééducation fonctionnelle
o Pharmacie
o Stérilisation
Activité en 2019 :
• Hospitalisation/consultations
o 16 810 séjours de Médecine-Chirurgie-Obstétrique
o 23 205 passages aux urgences
o 63 101 consultations médicales
o 4 127 interventions chirurgicales
o 562 naissances
• Plateau technique
o 46 246 actes d'imagerie
o 8 573 160 Bilan en biologie
Au titre des moyens humains, le Centre hospitalier a rémunéré, au mois de Juillet 2019 :
• 930 personnels soignants, techniques et administratifs
• 73 médecins
2.2 L’appel d’offre
Le Centre Hospitalier de Guingamp à fait un appel d’offre pour repenser l’architecture et la sécurité
de son réseau informatique et de son système d’information qui est devenu obsolète et présente
plusieurs lacunes au niveau de la sécurité et des performances. En plus, l’hôpital souhaite centraliser la
gestion des antivirus et de mettre à jour la politique de sauvegarde des données.
Votre mission est de répondre à cet appel d’offre en proposant une architecture réseau sécurisée qui
répond au besoin de l’hôpital. Vous allez fournir des documents qui décrivent votre proposition, et
une maquette qui illustre au maximum la faisabilité de votre proposition. Avant de donner plus de
détails sur l’appel d’offre, voici les lots à considérer classifiés en trois thématiques :
RESEAU ET SYSTEME :
1. Architecture réseau de campus, choix d’équipement réseau, plan d’adressage, routage
2. Architecture réseau Wi-Fi et choix des équipements
3. Solution ToIP : architecture, plan de numérotation
4. Installation et configuration des services de l’infrastructure réseau : DNS, DHCP, LDAP,
serveur web de prise de rendez-vous, …etc.
4 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
SECURITE :
5. Sécurité de l’accès aux équipements réseaux.
6. Authentification Wi-Fi et portail captif
7. Parefeux, configuration des proxys et sécurité ToIP
8. Solutions VPN, gestion des accès distant et chiffrement des données clients.
GOUVERNANCE DE LA SECURITE :
9. PSSI – principes organisationnels – Politique de sécurité et politiques à
thèmes : politique de sauvegarde, politique de protection contre les logiciels malveillants,
politique de contrôle d’accès, etc.
10. PSSI – principes organisationnels – Gestion des risques SSI : expression des besoins
de sécurité, étude des menaces, mise en évidence des vulnérabilités, identification et appréciation
des risques
11. PSSI – Principes de mise en œuvre – Planification de la continuité des
activités : définition du périmètre du plan de continuité, élaboration d’un plan de reprise,
positionnement des applications dans le plan de continuité, mise en place de procédures de
sauvegarde et de restauration, tests réguliers des plans
12. PSSI - Principes de mise en œuvre – Sensibilisation : démarche de sensibilisation,
détermination des besoins de sensibilisation, identification des moyens de sensibilisation,
établissement du calendrier, évaluation et amélioration
Dans le contexte de traitement et de stockage des données médicales, il est utile de prendre
connaissance de la norme HDS (Health Data Secure) pour le traitement et le stockage des données
de santé.
Chaque étudiant prendra en charge trois tâches, une tâche dans chaque thématique. L’étudiant sera
évalué individuellement sur le travail rendu et les solutions proposées en réponses aux problématiques
concernant ces tâches.
Les sections suivantes sont issues du vrai appel d’offre de l’hôpital de Guingamp avec très peu de
modifications. Votre devis en réponse à cet appel doit être chiffré (coût du matériel, prestation de
maintenance, …etc). Certaines informations sont redondantes dans l’appel d’offre, c’est à vous d’en
extraire toutes les informations utiles.
5 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
3 Description de l’environnement
3.1 Présentation du SI Actuellement, le système d’information du CH de Guingamp est constitué des logiciels suivants :
3.1.1 Logiciels pour patients
CLINICOM SIEMENS Gestion administrative des patients
MEDIS DMC DIS BERGER LEVRAULT Dossier médical et PMSI dont modules spécifiques :
urgences, archives, SSR, obstétrique, imagerie
HEXALIS AGFA Gestion du Laboratoire
SRI AGFA Résultats de laboratoire
ARGOS Gestion de la dépendance en Gériatrie
CURSUS Guyot Walser Informatique Gestion du dépôt de sang
PHARMA Computer Engineering Circuit du médicament
TRACABILITE ATMB Gestion de la stérilisation
OSOFT Medibase Système Gestion de l’anesthésie
3.1.2 Logiciels administratifs et logistiques
MAGH2 SIB – filière Convergence Gestion économique et financière
CLINICOM SIEMENS Facturation en local
LOGI10 NEWACT Gestion portable de sortie de stock
AGIRH et AGIRH Planning SIB – filière Convergence Gestion des ressources humaines et des
plannings
GESFORM Gestion de la formation continue
MAGELLAN SIB – filière Convergence Analyse de gestion
PMSI PILOT PSIH Analyse de gestion activité médicale
SYGAL Gestion des alertes
ISODOC Gestion documentaire
GESQUAL Armure Gestion documentaire Laboratoire
APM Dépêches en Intranet
INFOSERV AGSCOM Gestion des communications PABX
ORISELF POINTECH Gestion du restaurant du personnel
3.1.3 Outils
OPEN LINK SIEMENS EAI associé à CLINICOM
ANTARES ENOVACOM Serveur de transfert sécurisé de données
VALET DICOM ETIAM Passerelle DICOM
3.2 Environnement technique
3.2.1 Infrastructure technique
Actuellement, les fichiers de base de données des applications sont stockés sur des serveurs applicatifs
dont certains sont virtualisés. Un système SAN a été mis en place en 2015. L’établissement souhaite
promouvoir l’utilisation de ces architectures.
Les applications clientes des logiciels sont accessibles à partir de postes de travail de type PC ou
terminal mobile. Certains praticiens privés sont équipés de Mac.
6 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
3.2.2 Parc de poste de travail
Le centre hospitalier dispose d’un système informatique constitué en majorité par des postes de travail
qui fonctionnent en environnement Windows (7, 8 et 10) et Linux. Le parc de postes de travail totalise
environ 400 unités au total.
Les orientations techniques en matière de constitution du parc de postes de travail sont les suivantes:
• Réduction de l’encombrement physique des postes de travail : les micro-ordinateurs sont
obligatoirement en format mini desktop ou mini-slim.
• Système d’exploitation des micro-ordinateurs : Windows 10 ou Linux.
3.2.3 Serveurs Le Centre Hospitalier de Guingamp dispose d'une majorité de serveurs au format rackable implantés
dans une baie 19" localisée au service informatique.
Lorsque cela est possible, les données serveurs sont stockées sur le SAN de l’établissement et la
sauvegarde est systématiquement intégrée dans la gestion centralisée de sauvegarde. Les principaux
systèmes d’exploitation utilisés sont, par ordre de préférence :
• Linux : Debian ou CentOS
• AIX
• Windows Server
Les principaux systèmes de gestion de base de données utilisés sont par ordre de préférence :
• MySQL
• Informix
• Oracle
3.2.4 Parc d’impression Le parc d’imprimantes est constitué à 70% de petits matériels jet d'encre. Seuls les secrétariats sont
équipés en laser 12 ou 20 pages/minutes monochromes en réseau.
4 Description du projet
4.1 Objectifs Face à la montée en charge de nouvelles applications médicales à criticité accrue et aux projets
gourmands en bande passante comme la mise à disposition d’imagerie médicale dans les services, les
besoins en capacité et qualité de service vont en croissant. Le Centre Hospitalier de Guingamp souhaite
faire évoluer son architecture réseau afin de la sécuriser et de proposer de nouvelles capacités en
termes de qualité de service et de transport de voix et d’images sur IP.
En plus, afin de répondre à des enjeux réglementaires et d'amélioration de la qualité des soins, le
Centre Hospitalier de Guingamp a planifié, dans son schéma directeur de l'information 2020-2024, le
déploiement d'un outil d'informatisation du circuit du médicament.
Cet outil prendra en compte la problématique du circuit du médicament dans son ensemble, de la
prescription à l'administration en passant par la dispensation. Les deux étapes que sont la prescription
et l'administration nécessitent pour les professionnels une accessibilité à l'information dans les unités
de soins au plus près des patients. Dans cette optique, le choix des postes de travail mobiles s'impose
de fait et, par conséquent, nécessite pour l'établissement, de déployer une infrastructure réseau sans-
fil dans les unités de soins concernées.
7 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
4.2 Existant Le LAN de l’établissement est un réseau Ethernet TCP/IP 10/100 Mb/s dont la création remonte à
1999. Le plan d’adressage est divisé en 5 sous réseaux. Une machine linux assure le routage entre les
différents sous réseaux. Plusieurs Vlan sont propagés.
Une maison de retraite extérieure au site est reliée au LAN par un tunnel VPN via une connexion
ADSL 8 M/s. Cette structure héberge une dizaine de prises informatiques.
L’ouverture du réseau vers le WAN est protégée par un routeur Cisco 2611. L’accès WAN 8 Mo
est réalisé au travers du réseau BIPS (Breizh IP Santé) [8].
CABLAGE ET REPARTITEURS :
Le réseau de données s’appuie sur une infrastructure principale composée de rocades inter bâtiment
en fibres optiques multi modes. Une partie de ces fibres optiques est dédiée à la connexion du PABX1
principal aux postes opérateurs du standard.
Dix répartiteurs permettent la distribution en paires torsadées (Cat 3 et Cat 5) d’environ 1000 prises
informatiques sur l’établissement. Ces dix répartiteurs abritent un ensemble de 31 commutateurs de
paquets de niveau 2 principalement de marque Cisco (modèles Catalyst 2900 à 2960).
RESEAU WIFI :
Depuis 2008 un réseau WiFi est déployé sur les services de MCO2. Ce réseau est constitué de :
• 54 bornes Aruba 65
• 5 commutateurs HP Procurve 2610 Ethernet PoE répartis dans différentes baies.
• 2 contrôleurs ARUBA 3400 situés Baie n°03 en salle informatique.
TELEPHONIE :
Le réseau téléphonique s’appuie sur un autocommutateur MATRA M6650-L principal et deux satellites
NEXSPAN XL interconnecté par de la fibre optique. Un troisième satellite est situé sur le site de la
Maison de retraite Petite Montagne. Seuls les postes opérateurs sont en IP. L’ensemble dessert 781
lignes analogiques et 32 lignes numériques.
Le passage vers la ToIP et la VoIP est envisagées dans un futur immédiat, le soumissionnaire devra,
dans son analyse et ses préconisations, prendre en compte l’orientation future de l’établissement vers
ces technologies et proposer une nouvelle infrastructure qui permet le passage vers la ToIP.
4.3 Résultats attendus Aujourd’hui, les principales lacunes du réseau sont les suivantes :
• Manque de sécurisation et de redondance des équipements et des liens.
• Bande passante limitée.
• Câblage hétérogène.
• Segmentation limitée.
• Pas de vision globale permettant une administration simplifiée.
Les besoins sont donc clairement établis en termes de :
• Disponibilité, robustesse et tolérance de panne (cœur de réseau en particulier). Par voie
de conséquence, sécurisation du système d’information.
• Débit et capacité à absorber les pics de surcharges ponctuelles ainsi que les évolutions
futures du système d’information.
o Qualité de service et maîtrise des flux.
o Normalisation du plan d’adressage et segmentation du réseau.
o Sécurisation de l’accès WAN.
1 Private Automatic Branch eXchange 2 Maternité, Chirurgie-Anesthesie, & Obstetrique
8 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
o Extension de la couverture WiFi.
o Facilité d’administration et de supervision.
o Maîtrise des coûts et réalisme de la solution en termes de déploiement dans le
temps.
• VPN et accès distant :
o La connexion vers la maison de retraite située hors site principal devra être
sécurisée. En plus, des praticiens devront accéder au dossier patient depuis leur
domicile. Cet accès critique devra être fait en utilisant une authentification
renforcée.
• ToIP :
o Proposer une solution de ToIP avec des précisions sur l’infrastructure réseau
nécessaire et les nouveaux services à implémenter, plan de numérotation, standard
téléphonique, …etc.
4.4 Fournitures et prestations attendues
4.4.1 Equipements réseau Les caractéristiques communes aux équipements réseau sont les suivantes :
• Spanning tree et rapid spanning-tree (IEEE 802.1d et 802.1w) : par appareil, par VLAN
et par port
• Agrégation de liens (PAGP et LACP 802.3ad)
• Diffusion des VLAN compatible avec la norme GVRP ou avec VTP
• Trafic multicast (IGMP au niveau 2, Diffserv au niveau 3)
• Gestion de la norme 802.1X
• Gestion des VLAN : protocoles 802.1Q, 802.1p ; possibilité de transporter sur un même
port un VLAN non taggué et d'autres VLAN taggués, avec un minimum de 255 VLAN
• Limitation des accès à un port à une adresse Ethernet, à une liste d'adresses Ethernet;
les adresses Ethernet autorisées devront être configurables sur chaque commutateur.
Celui-ci doit également pouvoir interroger un serveur afin d'habiliter une adresse
Ethernet à se connecter sur ce commutateur (exemple : VMPS).
• Gestion de la qualité de service (QoS) :
o Classification par type de flux, par port, par VLAN, au niveau 2, au niveau 3
ou plus
Les soumissionnaires préciseront les modalités de gestion de la QoS :
o Gestion de la politique de QoS sur l'ensemble du réseau
o Marquage des en-têtes de paquets aux niveaux 2, 3 et 4
o Correspondance des QoS niveaux 2 et 3 (mapping)
o Gestion des files d'attentes
• Supervision
o Mise à jour du système téléchargeable
o Configuration téléchargeable
o Sauvegarde sur machine distante et éditable
o Mirroring de port : sur un port du même commutateur et vers un port d'un autre
commutateur
o Les soumissionnaires indiqueront si des mécanismes d'export d'information sur les
flux sont disponibles (flux décrits sous la forme IP source, IP destination,
protocole source, protocole destination, nombre d'octets...)
o Journal exportable (Syslog)
o Gestion de toutes les fonctionnalités via un port console sur l'appareil et via le
réseau en SSH. Une interface http ou https devra aussi être disponible.
9 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
o Authentification des accès supervision en local.
o SNMP v1, v2c au minimum et v3 si possible, en lecture et écriture,
o Synchronisation de l'horloge par NTP,
Ces équipements devront également être compatible avec les commutateurs actuels (commutateurs
Cisco Catalyst 2950 et 2960) afin notamment de permettre la mise en place de liens agrégés.
Afin de simplifier l’administration et la gestion de parc, le CH attache une grande importance à
l’homogénéité dans l’exploitation de ses équipements. La notation technique tiendra en compte
l’adéquation des équipements proposés par le soumissionnaire avec ceux existants dans le réseau du
CH de Guingamp.
4.4.1.1 Commutateurs de cœur
Le Centre Hospitalier de Guingamp souhaite acquérir des équipements assurant la commutation de
cœur du réseau. Ces deux équipements seront reliés par un double lien fibre optique OM3 pouvant
supporter jusqu’à 10 Gbits/s.
Le CH souhaite mettre en place un système de commutation virtuel permettant de faire de ces
commutateurs de cœur un commutateur virtuel unique. Cela permettra entre autres d’agréger les liens
des commutateurs de distribution vers les deux commutateurs de cœur et de s’astreindre de
l’utilisation du protocole Spanning Tree. Le fournisseur devra donc expliciter quels sont les mécanismes
de haute disponibilité/clustering possibles pour les commutateurs de cœur, reliés par un double lien
fibre optique OM3 et doublement attachés aux commutateurs d’accès, à l’aide de liens
fonctionnellement agrégés.
Les exigences concernant ce type équipement sont les suivantes :
• Au minimum 12 ports Ethernet Gigabits/s de type fibre optique avec un débit minimum
de 1 Gigabits/s,
• Au minimum 2 ports Ethernet Gigabits/s RJ45 non-PoE au standard Gigabit Ethernet,
IEEE 802.3ab.
• La présence de ports RJ45 n’est pas obligatoire et pourra être remplacée par des ports
Ethernet Gigabits/s de type fibre optique avec un débit minimum de 1 Gigabits/s si
l’équipement proposé s’y prête mieux (auquel cas l’exigence précédente porterait sur 14
ports fibre minimums),
• Au minimum 2 ports Ethernet 10 Gigabit/s (standard 10GBASE-SR) via fibre optique
pour connecter les deux commutateurs de cœurs de façon redondante. Ces 2 ports
pourront être proposés sous la forme d’un slot d’extension qui pourra être acquis
ultérieurement (pour la mise en place du double cœur),
• Alimentations électriques redondantes,
• Espace disque/flash permettant de sauvegarder la configuration et au moins 2 versions d’OS
de l’équipement,
• Interconnexion des équipements de périphérie via des liens agrégés avec répartition de
charge et failover, pouvant évoluer vers du routage/commutation distribués,
• Support des protocoles IPv4 unicast et multicast,
• Support des protocoles IPv6 unicast et multicast.
4.4.1.2 Commutateurs d’accès Ces nouveaux équipements d’accès permettront d’offrir d'une manière banalisée un port 10/100/1000
Mbits/s commuté.
L’équipement proposé devra respecter les caractéristiques suivantes :
• 24 ou 48 ports 10/100/1000 Mbits/s afin de connecter les équipements terminaux,
10 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
• 2 interfaces Gbits/s montantes (cuivre et fibre) pour le raccordement au cœur de réseau,
• Empilage de commutateurs (stack)
4.4.2 Accès sans fil
Le S.I. couvre l'ensemble des besoins administratifs ainsi que le volet dossier médical minimum commun
du patient. Le laboratoire ainsi que le service d'imagerie sont équipés de logiciels métiers.
Le Centre Hospitalier souhaite déployer le dossier « circuit du médicament ». Dans cette optique, il
souhaite mettre en place une architecture technique permettant aux acteurs hospitaliers d'accéder,
depuis la chambre du patient, au S.I. via un poste de travail sans fil.
En option, la solution proposée devra permettre aux patients hospitaliers (via un portail
d'authentification) l'accès à Internet au travers du réseau de l'établissement tout en garantissant
l'étanchéité des flux (professionnels et privés).
4.4.2.1 Fonctionnalités attendues
4.4.2.1.1 Architecture fonctionnelle
Le Centre Hospitalier de Guingamp ne dispose pas d'infrastructure WiFi. La solution technique devra
impérativement s'intégrer dans l'architecture réseau du Centre Hospitalier de Guingamp. Le choix des
terminaux WiFi n'a pas encore été fait et ne doit pas être imposé par l'architecture WiFi.
La solution WiFi doit-être de type sécurisée, centralisée sur un ou plusieurs concentrateurs, en prenant
compte la redondance, avec des bornes WiFi passives. Elle doit permettre une gestion centralisée des
configurations de l'ensemble des bornes et des mises à jour évolutives. Le ou les concentrateurs
doivent être capables d'accepter un nombre de bornes WiFi plus importantes que le présent projet.
Les équipements devront respecter la législation française en matière d'émission d'ondes radios
relatives aux champs magnétiques générés par les émetteurs radio. Ces ondes ne devront pas
perturber le fonctionnement des équipements médicaux de l'établissement (imagerie, monitoring, . . .)
et les bornes téléphoniques DECT de l'établissement.
Une solution de secours, de redondance des concentrateurs WiFi devra être proposée.
Le système de configuration devra s’appuyer sur un contrôleur hébergeant l’ensemble des
configurations mais pouvant être déconnecté de l’installation en place sans provoquer une rupture de
service WIFI sur les points d’accès gérés.
Le cas d’une simple panne devra être complètement transparent pour l’ensemble des usagers du réseau
Wifi quel que soit leur état (authentifié ou en cours d’authentification). Chaque site devra bénéficier
d’une couverture fonctionnelle indépendante permettant de supporter l’indisponibilité du réseau sans
fil sur un site sans impacter les autres sites.
Le contrôleur proposé permettra de gérer le nombre de points d’accès nécessaire à la couverture
demandée (i.e 40) et permettra une évolution jusque 500 bornes par une licence /clé logicielle (pas de
changement hardware).
Dans le cadre de l’utilisation du réseau Wifi, on peut distinguer les services suivants :
• Service Internet pour les patients de type Hot Spot,
• Service de données pour les besoins propres aux établissements : accès au système
d’information, applications métier (utilisations de terminaux sans fils pouvant être des
Ordinateurs portables, smartphones, tablettes, des douchettes), etc…,
• Services de géolocalisation.
Ces usages fonctionneront sur une infrastructure Wifi commune avec des mécanismes de
cloisonnement permettant une cohabitation sans effets de bord.
11 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
Les bornes devront être fixées de manière sécurisée en respectant les contraintes inhérentes à un
environnement hospitalier.
En plus, et dans la mesure du possible, des outils de supervisions devront être disponibles comprenant :
• Un gestionnaire simple d'utilisation
• Une administration centralisée
• Des outils de cartographie
• De disposer d'une surveillance de l'aire
Voici le tableau des services à équiper :
Voici les services à équiper en option :
4.4.2.1.2 Caractéristiques générales :
La solution Wifi proposée devra être :
SECURISEE
• Sécurisation réseau : cloisonnement des différents flux transitant sur l’infrastructure Wifi
(flux de données interne, flux du grand public en hot spot etc…), interdiction des
communications poste à poste, ad-hoc,
• Sécurisation radio : détection des interférences, points d’accès pirates, intrusions…
• Sécurisation renforcée suivant les règles de l’art pour les connexions au système
d’information
MULTI-SERVICES
La solution Wifi mise en place sera utilisée pour des usages très différents en termes de fonctionnalités,
performances et exigences. La solution devra donc permettre la mise en place de mécanismes et
technologies permettant cette cohabitation sur une unique infrastructure Wifi.
Le service fournit devra permettre une utilisation séparée pour
• Les connexions internes au système d’information
• Les connexions des résidents
• Les connexions des patients
12 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
• Les connexions des visiteurs
Les accès autres qu’interne devront être authentifiés par un portail captif.
EVOLUTIVE
L’évolution du nombre de points d’accès devra être absorbée par les équipements en place, seules des
licences seront nécessaires. De plus, l’évolution de l’infrastructure Wifi sera facilitée par les outils mis
en place (administration centralisée, application de profil aux points d’accès etc…). La technologie mise
en œuvre devra pouvoir supporter la voix sur IP dans une implémentation ultérieure.
HAUTEMENT DISPONIBLE
Certains usages portés par l’infrastructure Wifi auront des contraintes fortes de production, la solution
Wifi devra donc être hautement disponible dans chaque établissement. Compatible avec un usage ayant
de fortes contraintes de mobilité : roaming et handover.
La solution mise en œuvre devra disposer de l’ensemble des licences et/ou clefs et/ou verrous logiciels
nécessaires pour :
• Gérer le nombre adéquat de points d’accès,
• Gérer des politiques de cloisonnement des flux,
• Gérer un usage de type hot spot pour le personnel et/ou les prestataires.
L’intégrateur indiquera clairement les limitations de la solution mise en œuvre.
4.4.2.1.3 Sécurité
L’intégrateur devra s’assurer que :
• Les flux entre points d’accès et contrôleurs seront sécurisés. Le contrôleur ne permettra
pas l’utilisation de points d’accès frauduleux. Une solution de détection automatique de
points d’accès ou réseaux Wifi frauduleux devra être mise en œuvre.
• Les communications poste à poste et ad-hoc pourront être interdites.
• Les usagers extérieurs (utilisateurs hot spot) n’auront en aucun cas accès aux ressources
informatiques du réseau IP interne.
• Les points d’accès sont correctement configurés de manière qu’aucune intrusion ne soit
possible.
• L’indisponibilité du réseau WIFI (interne, résidents, patients et visiteurs) d’un site
géographique n’impacte en aucun cas les accès WIFI des autres sites.
• Le matériel devra permettre d’interroger différentes bases externes telles que LDAP,
Active Directory, Radius (préciser les bases supportées par la solution). Afin de permettre
la création de comptes temporaires, type Hot spot, l’intégrateur précisera si la solution
permet de déléguer la création de compte temporaire à une personne tierce, et décrira
précisément cette fonctionnalité et les modalités de sa mise en œuvre.
• La solution Wifi devra disposer d’une solution d’administration et supervision centralisée.
Il permettra de configurer, superviser et effectuer certaines opérations d’analyse du
réseau.
4.4.2.1.4 Portail captif
Une solution de portail captif sera proposée dans l’architecture. La redirection devra être transparente
pour l’utilisateur dès l’ouverture d’un navigateur web. Tous les navigateurs web du marché seront
fonctionnels (Firefox, Internet Explorer, Chrome, Safari…).
Le trafic des utilisateurs Wi-Fi doit être journalisé. Le journal donnera les informations sur les
connexions utilisateurs, heure de connexion/déconnexion, services autorisés et services utilisés,
adresser IP, adresse MAC, etc. Une information de plus bas niveau (niveau paquet) sera également
appréciée.
Des plages horaires de connexion pourront être spécifiées pour une catégorie d’utilisateurs afin qu’ils
ne soient autorisés à se connecter qu’à certains moments de la journée.
13 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
Une conformité aux lois en vigueur sur la traçabilité d’un accès à Internet fourni à du public comme la
loi n°2006-64 par exemple est obligatoire. La solution devra pouvoir gérer un ou plusieurs portails
différents pour les populations concernées.
Le portail captif sera utilisé pour les besoins propres aux établissements, aux patients et au public.
La solution proposée devra intégrer une fonction d’accueil et de gestion des utilisateurs « Visiteurs ».
Les fonctions et capacités suivantes sont demandées pour l’accueil et la gestion des visiteurs :
• Création d’au moins un réseau radio (SSID) isolé ouvert pour l’accueil des visiteurs,
• Support de fonction de filtrages (ACL) spécifiques pour les visiteurs,
• Capacité de limiter la bande passante utilisée par un visiteur depuis l’Internet,
Le portail pourrait être une solution dédiée (non traitée par les contrôleurs). L’intégrateur proposera
une version gérée en interne et une version gérée en externe s’il le souhaite.
Cette solution devra supporter la traçabilité de l’usage des visiteurs conformément aux lois en vigueur.
Plusieurs portails doivent pouvoir être créés avec des visuels et des fonctionnalités différentes.
Il devra être possible de déléguer la création de compte en fonction du portail.
La gestion des comptes pourra se faire soit par :
• Activation d’un compte à la demande,
• Mise à disposition d’une API pour créer et supprimer le compte,
• Indication d’un temps de connexion, ….
L’intégrateur décrira précisément les possibilités offertes par la solution proposée en termes de
gestion de compte.
4.4.3 Mise en œuvre Le prestataire retenu assurera l’installation, la connexion aux câbles et la configuration des
équipements réseau.
4.4.3.1 Maintenance & support Le soumissionnaire présentera les dispositions mises en œuvre pour assurer la maintenance des
composants fournis et le support à leur mise en œuvre pendant la période de garantie et au-delà.
La maintenance attendue couvre non seulement les aspects curatifs, mais également les aspects
évolutifs des composants. Le soumissionnaire décrira précisément le système de prise en compte des
demandes de l’établissement et le processus mis en œuvre pour y répondre.
4.4.3.1.1 Maintenance curative
Une procédure de télémaintenance via nos équipements de sécurité, pourra être mise en œuvre pour
permettre au soumissionnaire de se connecter au système afin d’établir son diagnostic et procéder, en
coordination avec le service informatique de l’établissement aux modifications nécessaires.
Chaque intervention du soumissionnaire fera l’objet d’un compte rendu écrit indiquant la date, l’heure,
l’intervenant, la nature de l’intervention et les modifications effectuées.
4.4.3.1.2 Maintenance préventive
Afin d’éviter tout risque d’arrêt ou de perturbation du système le fournisseur devra indiquer dès la
mise en place puis de manière suivie les différents contrôles à effectuer :
• Fichiers de traces ou logs à surveiller,
• Précaution à prendre avant ou après un arrêt d’un matériel, …
Par la suite, les interventions du titulaire, dans le cadre des actions de maintenance préventive, devront
s'effectuer sans perturber le fonctionnement du service et suivant un calendrier négocié annuellement
avec le responsable du service. Elles donneront lieu à la signature d'une fiche d'intervention indiquant
le jour, le temps passé, les éléments vérifiés ou remplacés.
14 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
4.4.3.1.3 Support
Le soumissionnaire devra obligatoirement offrir un service de support aux utilisateurs avec un
engagement sur le délai de prise en charge des appels et sur l’apport de réponse en cas de
dysfonctionnement bloquant ou grave.
Le soumissionnaire devra présenter le processus mis en œuvre pour informer les utilisateurs sur
l’avancement du traitement de leur demande : délai, statut, etc…
Le soumissionnaire devra également expliciter le processus de diffusion de l’information concernant le
contenu des nouvelles versions, des patchs, etc…
4.4.3.2 Conditions de mise en œuvre Une réunion de lancement devra être organisée par le Centre Hospitalier conjointement avec le
titulaire afin de présenter à l’ensemble des acteurs majeurs du projet, son organisation, le système mis
en œuvre et le planning prévisionnel d’actions.
Le soumissionnaire devra assurer l’assistance au démarrage ainsi que le transfert de compétences qui
permettra à l’équipe du centre hospitalier d’administrer et de superviser la solution.
5 Présentation de l’offre Le soumissionnaire devra présenter :
• Le détail de l’architecture proposée, de son principe et de son déploiement (impacts sur la
continuité de service).
• Le détail des équipements proposés dans la solution
• L’adaptation de la configuration permettant de répondre aux attentes du Centre Hospitalier
exprimées dans le présent document.
• Le détail et les modalités du transfert de compétences à destination de l’équipe informatique
de l’établissement.
• Une période de garantie au moins égale à 1 an à partir de la date de passage en mode
opérationnel.
• Le support et la maintenance des composants mis en œuvre pour une durée de 4 ans après
la fin de la période de garantie.
5.1 Documentations
5.1.1 Dispositions générales L’intervenant remettra, au plus tard à la date de réception, tous les documents conformes à l'exécution.
Cette documentation, dont la composition est énumérée ci-après, sera livrée, sauf mention contraire,
au format numérique et en langue française.
Une maquette qui précisera des cas d’usage sera également présentée.
Elle restera la propriété du Maître d’Ouvrage qui pourra l'utiliser, la reproduire, la communiquer à
des tiers pour les besoins de l'exploitation.
5.1.2 Dossier d’architecture technique L’ensemble des documents suivants sera à remettre au maître d’ouvrage lors de la mise en service :
• Pour les éléments réseaux et les autres produits :
o Une documentation technique complète : une maquette représentant le plan
d’adressage, le câblage, les équipements, …etc.
o Une documentation de configuration,
o Une documentation d’utilisation et d’exploitation,
o Les recommandations d’installation.
• Spécifiques à l’installation :
15 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
o Les plans des locaux des équipements,
o Les schémas de fonctionnement.
6 Annexes :
6.1 Annexe 1 : VLAN
Le réseau du CH est segmenté en plusieurs VLAN :
• VLAN 1, VLAN par défaut
• VLAN 3, pour la Visio
• VLAN 4, pour le « routage » entre le routeur d’entrée et la passerelle « revw »
• VLAN 5, pour le trafic téléphonique des postes opérateurs (intégration entre les PC et
les postes téléphoniques
• VLAN 7, pour la radio
• VLAN 8, pour la Clinique (afin de transiter via une passerelle)
• VLAN 9, utilisé ponctuellement pour des tests
• VLAN 151, pour le réseau WiFi médical
• VLAN 152, pour le réseau WiFi des administratifs
• VLAN 200, pour l’administration des bornes WiFi
6.2 Annexe 2 : Schéma logique du réseau
16 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
6.3 Annexe 3 : Plan du site
17 Sujet du Bootcamp – Majeure Cybersécurité – M1 – janvier 2021
7 Références
[1] CNIL, «sante,» CNIL, 2020. [En ligne].
[2] L. rédaction, «CHU rouen,» 2019. [En ligne]. Available: https://www.sekurigi.com/2020/01/la-
securite-informatique-dans-les-hopitaux/.
[3] CNIL, «medical,» CNIL, 2013. [En ligne]. Available: https://www.cnil.fr/fr/lacces-au-dossier-
medical.
[4] L. . Lehaut, «La cyberattaque du CHU de Rouen serait bien d'origine criminelle le 15
novembre 2019 à Rouen - Annuaire #HealthTech,» , 2019. [En ligne]. Available: https://reseau-
healthtech.fr/la-cyberattaque-du-chu-de-rouen-serait-bien-d-origine-criminelle.html. [Accès le
20 12 2020].
[5] L. Adam, «rouenransom,» 03 mars 2020. [En ligne]. Available:
https://www.zdnet.fr/actualites/chu-de-rouen-un-ransomware-au-centre-de-l-attaque-
39894213.htm.
[6] ANSSI, «ransomware,» ANSSI, 09 2020. [En ligne]. Available:
https://www.ssi.gouv.fr/uploads/2020/09/anssi-guide-
attaques_par_rancongiciels_tous_concernes-v1.0.pdf.
[7] CH Guingamp, «chg,» 2020. [En ligne]. Available: http://www.ch-guingamp.fr/.
[8] BIPS, «BIPS,» 2020. [En ligne]. Available: https://www.esante-
bretagne.fr/services/infrastructures/bips-2-reseau-haut-debit/.