Étude: Sécurité de l’informatique en nuage pour les services de soins de santé

Le rapport de l’ENISA intervient alors que la Commission européenne progresse cette année dans le cadre de l’ initiative relative à l’espace européen des données de santé, qui vise à promouvoir l’échange en toute sécurité des données des patients et l’accès aux données de santé.

La pandémie de COVID-19 a mis en évidence un besoin accru de services de soins de santé numériques efficaces et sûrs. Les solutions en nuage permettent le déploiement flexible et rapide du stockage électronique des données et des communications électroniques telles que la télémédecine. Toutefois, la complexité des systèmes juridiques et des nouvelles technologies, ainsi que les préoccupations concernant la sécurité des données sensibles des patients, ont ralenti le secteur des soins de santé à adopter des services en nuage.

Le rapport répond à ces préoccupations en fournissant des orientations en matière de sécurité dans trois domaines principaux dans lesquels les services en nuage sont utilisés par le secteur des soins de santé, à savoir:

• Lesdossiers médicaux électroniques (DME), c’est-à-dire les systèmes axés sur la collecte, le stockage, la gestion et la transmission des données de santé, telles que les informations sur les patients et les résultats des examens médicaux;
• Lessoins à distance, c’est-à-dire le sous-ensemble de la télémédecine soutenant les consultations à distance entre le patient et le médecin;
• Lesdispositifs médicaux, c’est-à-dire les services en nuage qui soutiennent le fonctionnement des dispositifs médicaux, tels que la mise à la disposition des différentes parties prenantes des données relatives aux dispositifs médicaux ou la surveillance des dispositifs.

Pour chacun de ces cas d’utilisation, le rapport met en évidence les principaux facteurs à prendre en considération lorsque les organisations de soins de santé procèdent à l’évaluation des risques pertinente, par exemple en ce qui concerne les risques pour les données sensibles des patients ou la disponibilité d’un service médical. Ces lignes directrices ne constituent toutefois qu’une première étape pour permettre aux prestataires de soins de santé de s’adapter en toute sécurité au nuage. Un soutien accru est nécessaire, notamment en ce qui concerne les normes établies par le secteur en matière de sécurité de l’informatique en nuage, les orientations spécifiques données par les autorités nationales et européennes et d’autres lignes directrices des autorités chargées de la protection des données en ce qui concerne le transfert des données relatives aux soins de santé vers le nuage.

Le rapport propose également un ensemble de mesures de sécurité à mettre en œuvre par les organisations de soins de santé lorsqu’elles planifient leur passage à des services en nuage, telles que la mise en place de processus de gestion des incidents, la définition d’exigences en matière de cryptage des données et la garantie de la portabilité et de l’interopérabilité des données. Les mesures sont proposées en tenant compte du projet de système candidat de certification de cybersécurité de l’UE pour les services d’informatique en nuage (EUCS) afin de garantir la compatibilité et la cartographie des exigences. Le projet de schéma de l’Agence fait partie du cadre de certification de cybersécurité visant à renforcer la confiance dans les produits, services et processus TIC dans toute l’Europe. Le projet de régime est ouvert à la consultation publique jusqu’au 7 février 2021.