Groupement d'achat UNI-HA SSI: sécurisation pragmatique, efficiente et homogène des SI de Sante en partenariat avec l'asip Sante et les FSSI

Transcription

1 Groupement d'achat UNI-HA SSI: sécurisation pragmatique, efficiente et homogène des SI de Sante en partenariat avec l'asip Sante et les FSSI Colloque gouvernance sécurité des systèmes d information Marseille le 7 juin

2 Présentation d Uni-HA Créé en 2005, le Groupement de coopération sanitaire (GCS) Uni.HA se définit comme un réseau coopératif d achats groupés de 54 établissements hospitaliers publics français dont 32 CHU-CHR et 22 centres hospitaliers. Le GCS couvre aujourd hui un périmètre d achats d 1,3 milliard d euros en 2010 et représente des gains réalisés de 102 millions d euros en 1 an. Au total, 271 fournisseurs sont répartis sur 88 segments d achats. Aujourd hui, 60% des entreprises fournissent des médicaments et des dispositifs médicaux, les 40% restants concernant d autres prestations. 2

3 Segment uni-ha/ntic/ssih Un segment avant tout métier Projet métier et non pas NTIC/Infrastructure Fonction RSSI déconnectée de la filière NTIC/SSI Face aux injonctions de l état, la collaboration Uni-HA apporte un transfert de compétence réel sur les solutions à implémenter au regard des orientations techniques de l ASIP Santé Opportunité de bénéficier du support du club RSSI Modèle économique basé sur le lit (plafonné) Un comité de suivi d exécution du marché sera garant de la présence des conditions optimales à la réussite de chaque projet d établissement 3

4 Segment uni-ha/ntic/ssih Un segment avant tout métier Proposer non pas une solution unique mais des solutions qui soient réellement implémentables dans l ensemble des établissements adhérents et évolutives. Partage d expertise et d expérience via un groupe expert dynamique et spécialiste. +20 Participants et/ou contributeurs proactifs et complémentaires Astrid Lang (AP HP); Michel Moreton et Rosane Ferreux (CHU Dijon); Béatrice Berard (CHU Nancy); Julien Rousselle (CHU d Amiens); Hélène Sol (CH d Avignon); Gerard Thillard (CHU Rouen); Gael Aberlenc (CHU Nimes); Julien Martinez (AP-HM); Michel Leporchou (CH Le mans); Stalter Fabrice (CHU Strasbourg); Michel Fleckinger (CHU Lyon); William Grollier (CHU Nice); Eric.GROSPEILLER et Philippe LOUDENOT (Ministère de la santé) ; Christian Capelle (CHU Montpellier), J. Langlois (CH Clermont Ferrand), Dominique Bonnard (CH de Toulon), Luc Vaurette (Contributeur SIIH5962),etc 1 expérimentateur national (CHU de Nancy), 1 régional (SIIH 59 62) 2 référents nationaux complémentaires (CHU Strasbourg et CHRU de Lille) Support du Ministère - Service du HFDS au travers de ses FSSI Partenariat avec l ASIP Santé (Validation du cahier des charges) 4

5 Un cahier des charges répondant aux normes ISO 27 00x et de la certification HAS V2010 5a-5b Définir et prévoir SMSSI / PSSI Organiser, mettre en œuvre et contrôler Assistance Maitrise d Ouvrage Organisation IAM Prestations SSI sur bon de commande Sensibilisation des utilisateurs à la Sécurité du Système d Information Sécuriser, tracer et prouver SGT Service de Gestion des Traces SGS Service de Gestion des Signatures IAM (Identity access management) Conformité SSI du poste de travail Cartes (CPS ou d Etablissement), périphériques, accessoires et consommables 5

6 Centraliser la gestion de l identité, de l affectation et du métier, diffuser ces informations et prouver l identité! Annuaire d Etablissement de Santé et RPSS 6

7 Synopsis du périmètre fonctionnel du segment uni-ha/ntic/ssi Lot 1: Démarche SMSSI et réalisation d une PSSI (questionnaires auto-évaluation) Lot 2: Assistance Maitrise d Ouvrage Organisation IAM Lot 3: Prestations SSI sur bon de commande (Permet d aller vers un SMSI) Lot 4: Accompagnement à la mise en conformité avec le décret hébergeur de données de santé Lot 5: Sensibilisation des utilisateurs à la Sécurité du Système d Information Lot 6: IAM (Identity access management) SE1: Référentiel d identité (Identity Management) SE2: SGR Service de Gestion des Rôles SE3: Acquisition et assistance à la mise en œuvre d une solution logicielle de gestion de certificats SE4: SGC Service de Gestion des Cartes SE5: SGA Service de Gestion des Accès Lot 7 SGT Service de Gestion des Traces SE1: Traces systèmes SE2 : Corrélation logs système et applicative Lot 8 : Analyse trafique réseaux et utilisation du poste de travail Lot 9: SGS Service de Gestion des Signatures SE1: API de signature SE2: Service d horodatage SE3: Service d archivage légal Lot 10: Cartes d Etablissement, périphériques, accessoires et consommables SE1: Cartes d authentification professionnelle SE2: Périphériques, accessoires et consommables sur bon de commande Les lots 1, 2, 3, 4 et 6 seront multi-attributaires. Les lots 5, 7, 8, 9 et 10 seront mono-attributaires. 7

8 Des solutions reposant sur des briques logicielles et une organisation prédéfinie 1. Rendre la gestion de l identité agile 2. Implémenter le circuit de distribution via un Card Management System 3. Utiliser la Carte d Etablissement au sein du System d Information 4. La Carte, ses périphériques et accessoires Annuaire d Etablissement Synchronisation entre la RH, le CMS et l ASIP-Santé Gestion des cartes Gestion des certificats ACL SSO authentification Identification secondaire Surcharge login/mot de passe Carte multitechnologie à l état de l art Lecteurs contact et sans contact Imprimantes, Photographies Accessoires et consommables 8

9 Exemple d organisation fonctionnelle Gestion des identités et des droits DRH Le recrutement et la gestion de carrière garantissent le métier et le suivi de la carrière Matricule RPPS Délégation à la sécurité Le face à face formel garantie la cohérence des données identitaires (RGS 2.1 **) IAM IAM: Identity Access Management

10 Périmètre d adhésion et calendrier Plus de 30 adhérents parmi lesquels: Toulouse, Dijon, Caen, Mulhouse, Nîmes, Avignon, Sainte- Anne, Orléans, Amiens, Clermont-Ferrand, Rennes, Angers, Nantes, Nancy, SIIH5962, Strasbourg, Libourne, Toulon-La Seyne sur mer, Bordeaux, Limoges, Nice, Pontoise, Tours, Montpellier, AP-HP, AP-HM, Lille, Grenoble Une AMOA juridique accompagne la démarche marché Publication du dossier de consultation fin 09/2011 Marché opérationnel fin 2011 pour 4 ans 10

11 Remerciements HFDS/FSSI 11

12 Merci de votre attention! cartes au 01/03/2011 Guillaume Deraedt Responsable de la Sécurité du Système d Information Correspondant Informatique et liberté Guillaume.deraedt@chru-lille.fr