Préambule.

Le développement croissant des moyens informatiques de toutes natures au sein des organismes du service de santé des armées et leur utilisation de plus en plus répandue sont la source de problèmes nouveaux et complexes en matière de protection des informations et des matériels.

Dans un tel contexte, la sécurité informatique a pour objet de préserver les informations transmises, conservées et traitées dans les systèmes informatiques de toute tentative de destruction, de falsification, de détournement ou d'utilisation frauduleuse et de s'opposer aux tentatives d'altération du fonctionnement normal des applications et des systèmes supports.

Volet particulier de la sécurité générale du service de santé des armées, elle relève de la responsabilité du commandement à tous les échelons et doit être prise en considération dès le stade de la conception des systèmes informatiques.

La sécurité informatique concerne tous les organismes du service mettant en œuvre des systèmes informatiques, les centres de traitement de l'information du service et leurs équipements d'extrémités, les responsables fonctionnels (maîtres d'ouvrage) et les réalisateurs (maîtres d'œuvre) d'applications et de programmes informatiques, ainsi que les voies et réseaux de télécommunications qui relient entre eux les organismes et personnels du service.

Elle s'applique à l'ensemble des éléments du système d'information, c'est-à-dire aux procédés destinés à élaborer, traiter, stocker, acheminer, présenter ou détruire l'information (applications informatiques, ordinateurs, micro-ordinateurs portables, imprimantes, centraux et postes téléphoniques, serveurs, réseaux, télécopieurs, photocopieurs, minitel, ondes hertziennes et tout autre système de communication de données).

Elle s'applique aux informations ne relevant pas du secret défense, mais dont la destruction, la falsification, le détournement ou l'utilisation frauduleuse porterait atteinte aux intérêts du service, à son patrimoine scientifique et technique, ou à la vie privée ou professionnelle des individus qui font appel à lui. Elle concerne notamment les données relevant de la mention de protection « confidentiel spécifique » (données médicales, de gestion de personnel, de fournisseurs, etc.) mais aussi, par extension, toutes les applications informatiques du service traitant directement ou indirectement des informations nominatives.

Dans cette perspective, la présente instruction expose dans un premier temps les règles d'organisation de la sécurité informatique au sein du service de santé des armées (titre Ier), avant d'aborder dans un second temps les règles relatives à ses modalités concrètes (titre II) et d'examiner enfin quels en sont les principaux procédés d'évaluation (titre III).

1. L'organisation de la sécurité informatique.

1.1. L'organisation de la sécurité informatique centralisée.

  I. LA COMMISSION DE L'INFORMATIQUE, DES SYSTEMES D'INFORMATION ET DE COMMUNICATION.

Présidée par le directeur adjoint du service de santé des armées et composée :

• des sous-directeurs de la direction centrale du service de santé des armées (DCSSA) ;

• du chef de bureau systèmes d'information et de communication ;

• du commandant du centre de traitement des informations médicales des armées ;

• de tout membre du personnel dont le président juge la participation opportune.

La commission de l'informatique, des systèmes d'information et de communication (CISIC) est chargée d'examiner les questions de sécurité informatique.

A cet effet, chacune de ses séances comporte un volet sécurité informatique et un volet sécurité des réseaux. Elle formule toutes propositions utiles qui sont soumises à la décision du directeur central du service de santé des armées.

  II. LE BUREAU DES SYSTÈMES D'INFORMATION ET DE COMMUNICATION.

Le bureau des systèmes d'information et de communication (BSIC) est chargé du contrôle de l'exécution des décisions en matière de sécurité informatique et de sécurité des réseaux prises par le directeur central du service de santé des armées sur proposition de la CISIC.

Lors de chaque séance de la CISIC, sur la base des rapports annuels transmis par les établissements du service, le BSIC rend compte des événements et contrôles survenus depuis la précédente séance, fait la synthèse de l'évaluation des risques, évalue les besoins en formation et propose toute mesure nécessaire en matière de sécurité informatique et de sécurité des réseaux.

  III. LE CENTRE DE TRAITEMENT DES INFORMATIONS MÉDICALES DES ARMÉES.

Le centre de traitement des informations médicales des armées (CeTIMA) exerce les missions ci-après définies sous le contrôle de la DCSSA.

Le CeTIMA est chargé de la mise en œuvre et de l'exploitation des moyens de liaison entre les différents établissements du service. Il peut être amené, sur décision de la DCSSA, à prendre en charge les accès vers d'autres réseaux des secteurs défense, publics ou parapublics (réseau santé social).

Dans le cadre du réseau spécifique au service de santé, il a la charge des lignes de transport et des équipements d'extrémité des réseaux inter-établissements. Il veille à assurer la sécurité spécifique de ces dispositifs de liaison, des données qui y transitent et de leur sauvegarde.

Il met en œuvre des dispositifs permettant de surveiller en permanence le fonctionnement des installations et d'apporter par télémaintenance, en cas de besoin, son aide technique aux établissements demandeurs.

Il assure, en liaison avec les organismes spécialisés des armées, une veille technologique des différents dispositifs de sécurité disponibles sur le marché, procède à leur évaluation et en rend compte à la DCSSA.

Lorsqu'il est chargé de la diffusion par télédistribution de logiciels du commerce et de ceux issus de développements, il utilise des procédures agréées en liaison avec les établissements destinataires, que ceux-ci soient ou non en connexion permanente avec le centre.

Lorsqu'il assure des opérations de télémaintenance sur ces logiciels à la demande des établissements ou sur avis motivé du BSIC, son personnel doit respecter les mêmes règles de confidentialité et de sécurité que les utilisateurs tels que définis à l'article 2, I, 3^o. Ce personnel ne peut intervenir à distance qu'après avoir averti le responsable local concerné, avoir obtenu son accord et pris avec lui les mesures nécessaires.

1.2. L'organisation de la sécurité informatique dans les établissements.

  I. RÈGLES D'ORGANISATION APPLICABLES À TOUS LES ÉTABLISSEMENTS.

  1. Le responsable local de la sécurité informatique.

L'adjoint au chef d'établissement, nommé responsable local, est chargé de la sécurité informatique au sein de l'établissement. Pour l'accomplissement de ses missions, il est aidé des chefs de service, du correspondant local de sécurité informatique et des techniciens assurant le support des équipements et des applications. Il rend compte de ses actions au chef d'établissement et en obtient approbation.

Il fixe, conformément aux textes généraux en vigueur en la matière, les règles locales appropriées au contexte particulier de l'établissement (missions, applications, matériel…) ; il prend les mesures nécessaires au respect des règles de sécurité des systèmes d'information, veille à leur application et signale au chef d'établissement les manquements éventuellement constatés.

En application des décisions de la DCSSA, il initie et organise toutes les actions de conseil et de formation en matière de sécurité des systèmes d'information auprès des utilisateurs. Il adapte à chaque catégorie de personnel la formation relative aux procédures de sécurité et à leurs évolutions, modifications ou suppressions. Une attention toute particulière est portée à la formation du correspondant local de sécurité.

Il est chargé de l'information du personnel ainsi que, dans les hôpitaux des armées et les services médicaux d'unité, de celle des patients conformément aux directives de la commission nationale de l'informatique et des libertés.

Il définit la politique locale en matière de sauvegardes.

Il octroie et gère les droits d'accès aux diverses ressources informatiques de l'établissement. Dans les établissements hospitaliers, il octroie et gère ces droits d'accès en tenant compte des directives émises par le comité d'éthique et des expérimentations cliniques de l'établissement ; il transmet, temporairement et jusqu'à la mise en place d'une nouvelle architecture, la grille d'habilitation validée par ledit comité au CeTIMA pour exploitation.

Après approbation par le chef d'établissement, il transmet à la DCSSA (BSIC) le rapport annuel élaboré par le correspondant local de sécurité informatique. Cette transmission doit intervenir dans les délais compatibles avec les dates retenues pour les réunions de la CISIC.

  2. Le correspondant local de sécurité informatique.

Le correspondant local de sécurité informatique est désigné, après approbation de la DCSSA, par le chef de l'établissement en fonction de ses compétences techniques.

Il évalue les menaces et risques qui pèsent sur les informations, les équipements et les réseaux de l'établissement, adapte les mesures qui lui paraissent nécessaires et en rend compte au responsable local.

Il constitue le dossier de sécurité informatique de l'établissement et est chargé de sa tenue à jour et de sa conservation dans une zone protégée, sous le contrôle du responsable local. Il tient également les registres de maintenance et de dépannage et les registres relatifs aux sauvegardes du système d'information.

Il consulte régulièrement les journaux ou « mouchards » des différentes transactions effectuées dans les systèmes informatiques et en fait la synthèse pour le responsable local.

Annuellement, il rédige à l'attention du responsable local un rapport de sécurité informatique qui comporte une partie « sécurité informatique » et une partie « sécurité des réseaux ».

  3. Les utilisateurs.

Les utilisateurs sont les membres du personnel de l'établissement susceptibles d'utiliser les éléments du système d'information tels que définis en préambule.

Avant d'avoir le droit d'accéder aux ressources informatiques, tout utilisateur doit prendre connaissance des règles de sécurité informatique en vigueur dans l'établissement et signe la charte correspondante.

Chaque utilisateur veille à la bonne utilisation du matériel qui lui est confié et des données qu'il peut être amené à manipuler au travers des outils informatiques ; il veille à la mise à jour de son mot de passe ou de sa carte d'accès ; il veille à la protection des supports magnétiques amovibles de sauvegarde locale et à la diffusion des différents documents qu'il peut produire depuis son poste de travail.

En cas d'absence inopinée ou en présence d'un personnel non habilité, il fait en sorte que les informations affichées sur l'écran ne soient pas visibles. En dehors des heures ouvrables, son bureau doit être net de tout document, les portes fermées et les corbeilles à papier exemptes de tout document confidentiel.

Il tient le répertoire exact de la composition de sa configuration sur le plan du matériel et des logiciels (type d'équipement, numéro de série, nombre et nature des moyens de connexions extérieures) à destination du correspondant local de sécurité ; cet inventaire peut être une copie de celui fait par la cellule spécialisée de l'établissement. Il ne doit pas introduire dans sa configuration des données ou programmes étrangers à l'exécution de ses tâches habituelles.

Il lui est interdit, lorsqu'il dispose d'un poste de travail relié au réseau de l'établissement de se connecter à des réseaux externes à l'organisme sans autorisation écrite du responsable local. La connexion d'un poste isolé relève d'une autorisation identique. Il lui est interdit d'effectuer des copies des logiciels bureautiques ou d'exploitation, mis en place par l'organisme.

Lors des opérations de maintenance, tant matérielles que logicielles, il doit veiller à ce que les données confidentielles ne soient pas accessibles aux intervenants et en tout état de cause s'assurer qu'un personnel qualifié de l'établissement soit en permanence présent lors de ces opérations.

  4. Le personnel technique.

Le personnel technique est une catégorie particulière d'utilisateurs tels que le responsable d'exploitation, l'administrateur système, le gestionnaire de réseau, les administrateurs et programmeurs des applications informatiques.

Le personnel technique veille au bon fonctionnement technique des postes de travail, du réseau, des serveurs de fichiers, de communication, d'impression qui y sont connectés.

Pour les configurations collectives (serveurs divers, supports des systèmes gestionnaires de base de données…) et les équipements du réseau commun de l'établissement, il est chargé de l'exécution régulière des sauvegardes des données communes.

En tant qu'utilisateur, il est astreint aux mêmes contraintes de sécurité informatique que le reste du personnel de l'établissement.

Il signale au correspondant local de sécurité, en fonction des relevés pratiqués sur les différents postes de travail lors de ses interventions, l'existence éventuelle des logiciels non autorisés qui y seraient implantés.

Il tient à jour en permanence l'inventaire des équipements, dispositifs réseaux et logiciels installés sur toutes les configurations de l'établissement. L'utilisation de logiciels spécialisés de télésurveillance locale est organisée et tracée conformément à la réglementation spécifique en la matière (journal des accès).

Il rend compte régulièrement de ses actions et constatations au correspondant local de sécurité.

  II. RÈGLES PARTICULIÈRES APPLICABLES A CERTAINS ÉTABLISSEMENTS.

Le CeTIMA, le centre de recherches du service de santé (CRSSA), le service de radio-protection du service de santé (SPRA) et tous établissements du service de santé des armées qui sont amenés à traiter des informations classifiées, appliquent les directives générales du ministère de la défense dans ce domaine.

Ils sont tenus de désigner un officier de sécurité informatique chargé :

• d'établir et tenir à jour le dossier de sécurité informatique de l'établissement ;

• de participer et de préparer le travail de la commission d'homologation des centres informatiques du ministère de la défense ;

• d'évaluer en permanence les variations des risques et de déterminer les mesures à prendre pour y faire face.

Lorsqu'ils supervisent ou procèdent à des développements en tant que maîtres d'œuvre, ils doivent proposer aux maîtres d'ouvrage toutes les mesures qui pourront permettre d'assurer le fonctionnement en toute sécurité des applications en cours de réalisation afin de faciliter ultérieurement les tâches des utilisateurs dans le domaine de la sécurité informatique.

2. Les modalités de la sécurité informatique.

2.1. Contenu

La sécurité informatique comprend trois objectifs essentiels qui sont la disponibilité, la confidentialité et l'intégrité du système et qui doivent être intégrés dès la phase d'achat et/ou de conception des éléments d'un système d'information et plus particulièrement en matière d'applications informatiques.

La disponibilité est l'aptitude du système à remplir une fonction dans des conditions définies d'horaires, de délais et de performance. Elle représente la continuité du service. A cet effet, la duplication du matériel sensible doit, dans toute la mesure du possible, être réalisée.

La confidentialité est la caractéristique du système d'information permettant l'accès à ses données aux seules personnes dûment autorisées. Sa mise en œuvre est réalisée grâce aux deux moyens que sont le contrôle d'accès et le chiffrement. Le contrôle d'accès comprend un ensemble de procédures d'identification, d'authentification et d'habilitation portant sur des utilisateurs, des matériels et des logiciels. Le chiffrement a pour but de rendre les données inintelligibles à toute personne ne possédant pas une clé convenue d'avance.

L'intégrité est la caractéristique qui garantit que les données n'ont pas subi d'altération et qu'elles ont conservé toute leur pertinence. Dans cette perspective, les sauvegardes permettent de pallier aux risques d'altération des données dont l'origine peut résider dans des erreurs de saisie, des malversations, des problèmes de logiciels, de matériels ou de réseaux.

La poursuite de ces objectifs se concrétise par des mesures de sécurité physique, des mesures de contrôle du personnel et enfin des mesures de protection des données.

2.2. Mesures de sécurité physique.

  I. LOCAUX.

Outre les moyens de protection contre les risques d'incendie, de survoltage, de variation de l'intensité du courant, des températures extrêmes, des fumées, de l'électricité statique…, les systèmes traitant des informations confidentielles doivent respecter les consignes suivantes :

• pendant l'absence du personnel, les locaux où se trouvent les postes de travail doivent être fermés à clé ; dans l'impossibilité, le poste de travail inutilisé au-delà d'une durée définie par le responsable local doit être mis hors tension ;

• les différentes clés des locaux ou des armoires à protéger doivent être tenues dans un endroit lui-même protégé, accessible aux seules personnes autorisées. Toute sortie de clé doit être contrôlée et les personnes autorisées doivent être désignées par le responsable local ;

• les locaux de plus grande vulnérabilité doivent être contrôlés par un système anti-intrusion et éventuellement équipés d'un système d'alarme ;

• les alarmes doivent être régulièrement vérifiées et testées, un rythme mensuel est souhaitable, un procès-verbal consignera les constatations ;

• les procédures de mise en et hors service des dispositifs d'alarme doivent être définies et connues d'un nombre restreint de personnes ;

• les procédures de réaction à une alarme (arrêt et remise en service, intervention, réparation, information du correspondant local de sécurité…) doivent être définies et régulièrement testées ;

• pour limiter les risques de compromission par rayonnement ou conduction parasites des informations confidentielles, il convient d'utiliser des matériels respectant les normes de compatibilité électromagnétique en vigueur et de les installer selon leurs recommandations spécifiques. Les postes de travail, les unités de traitement, les terminaux connectés ou non, les imprimantes doivent notamment être situés le plus loin possible des lieux ouverts au public.

  II. EMPLACEMENTS.

Les emplacements où sont installés les postes de travail, ceux des serveurs de communication et de fichiers et ceux où sont conservés les supports de données et de programmes doivent être différents et séparés.

Ces différentes zones doivent être protégées en fonction de la confidentialité des données et de la valeur stratégique des matériels et des applications (serveurs, supports de sauvegarde et autres éléments-clés du réseau tels que modems, répartiteurs, routeurs…).

  III. MATÉRIEL.

Tous les éléments matériels du système d'information doivent être identifiés et cette identification doit être unique. Tous les fichiers d'informations confidentielles doivent être répertoriés. Un inventaire complet des éléments du système d'information doit être réalisé une fois par an ; si un matériel a disparu, le correspondant local de sécurité en est immédiatement averti.

  1. Installation, branchement.

L'installation, le branchement et la première mise en route de l'équipement s'effectuent en présence du correspondant local de sécurité.

Les imprimantes et les unités centrales peuvent être pourvues de scellés placés de façon telle qu'une intervention physique soit immédiatement apparente.

Afin d'éviter le vol, les claviers peuvent être verrouillés en cas de non-utilisation, les postes de travail peuvent être fixés à la table et la mise sous tension verrouillée. Certains micro-ordinateurs peuvent être équipés de cadenas incorporés afin d'éviter une ouverture du boîtier de l'unité centrale. Ces mesures prennent davantage d'importance si un disque non amovible est utilisé.

Les écrans des postes de travail doivent, dans la mesure du possible, être disposés de telle sorte qu'ils ne puissent être vus par des personnes non habilitées. En particulier, il convient d'éviter que les écrans soient positionnés face à une fenêtre ou une porte. En la présence de personnes non habilitées, les écrans sont effacés, mis en veille ou éteints.

  2. Maintenance et dépannage.

La maintenance préventive est une opération qui doit être prévue dès l'achat de tout élément du système d'information. Les travaux de maintenance doivent s'effectuer en présence de l'utilisateur du poste de travail et sous la surveillance d'un personnel technique ; ces travaux sont consignés dans un registre spécifique tenu par le correspondant local de sécurité.

Le recours à la télémaintenance est soumis à autorisation particulière du responsable local, qui en définit les modalités par écrit.

La mise en place d'un système de surveillance informatique contrôlant en permanence le réseau est préconisée.

Toute panne et toute opération de dépannage (déclenchement, intervention, remise en route) doivent être consignées sur un registre spécifique et propre à l'installation, tenu par le correspondant local de sécurité. Les travaux de dépannage doivent s'effectuer en présence de l'utilisateur du poste de travail et sous la surveillance d'un personnel technique.

Lors d'une intervention de dépannage, l'utilisateur doit prendre toutes mesures utiles telles que l'effacement des mémoires, la mise en sécurité des fichiers, l'effacement des informations confidentielles, etc. Si le retour en usine s'impose et que des informations confidentielles ou classifiées ne peuvent pas être effacées d'un support fixe, le personnel technique chargé de surveiller le dépannage doit détruire le support.

2.3. Mesures de contrôle du personnel.

  I. L'IDENTIFICATION.

Tout le personnel de l'établissement doit être répertorié dans un annuaire. Le responsable local octroie et contrôle les droits d'accès aux informations du système, c'est-à-dire dresse la liste nominative des personnes ayant le droit d'accéder à telle zone protégée, à telle catégorie de données et délivre les postes de travail en conséquence. Par ailleurs, il établit, tient à jour et diffuse la liste des membres du personnel de l'établissement autorisées à accéder au système en dehors des heures normales de service.

Outre les utilisateurs de l'établissement, il y a lieu de prendre en considération diverses personnes extérieures à l'établissement telles que les prestataires de services informatiques, les vacataires, les stagiaires, le personnel de maintenance et de dépannage, le personnel de nettoyage et enfin les visiteurs.

Ces personnes doivent être dûment informées des contraintes inhérentes à la sécurité informatique et des sanctions encourues. Compte tenu des risques liés à leur présence, le responsable local ne leur délivre que des autorisations d'accès temporaires, éventuellement renouvelables. En principe, l'accès de ces personnes aux zones protégées est interdit, sauf autorisation expresse du responsable local ; en ce cas, l'accès aux zones protégées requiert l'accompagnement d'un membre du personnel de l'établissement habilité par le responsable local et le port d'un badge distinctif.

  II. L'AUTHENTIFICATION.

  1. Modalités.

L'authentification permet de garantir que la personne ayant déclaré une identité est bien celle qu'elle prétend être. Elle peut être obtenue à partir de plusieurs moyens, résumés en trois méthodes de base, allant de la plus vulnérable à la plus solide :

• la méthode relative à ce que connaît la personne (mot de passe, code confidentiel…) ;

• la méthode relative à ce que détient la personne (carte à piste magnétique, carte à puce…) ;

• la méthode relative à ce qu'est la personne (caractéristiques biométriques…).

La protection par mot de passe est d'une efficacité limitée mais doit néanmoins être systématiquement utilisée dans l'attente de la mise en œuvre de solutions plus fiables (carte de professionnel de santé « CPS »…). Le mot de passe doit être secret, difficile à reconstituer par un tiers (6 caractères alphanumériques au minimum), limité dans le temps, non réutilisable et modifiable par l'utilisateur. Il ne doit pas être inscrit dans les scripts de connexions automatiques et ne doit pas être transféré sans nécessité sur les lignes de transmission. Il doit être changé régulièrement selon une périodicité si possible imposée par le système. Une périodicité mensuelle est acceptable.

  2. Précautions d'usage.

Dans le cas d'un poste de travail connecté à un réseau et d'une demande d'accès à des ressources distantes, les deux interlocuteurs doivent être authentifiés, même si l'un des deux est un serveur. Le terme « interlocuteur » est ici entendu largement : il peut s'agir d'un individu, d'un logiciel, d'un matériel, d'un serveur… Cette authentification doit être mutuelle et garantie de bout en bout à travers le réseau. Dans le cas d'un poste autonome, seule l'authentification de l'utilisateur local est nécessaire.

Les systèmes d'exploitation comportent généralement des procédures d'accès privilégiés utilisées notamment pour le démarrage du système. La protection des accès à ces procédures doit faire l'objet d'une vigilance particulière, notamment en personnalisant fortement le mot de passe.

Il est souhaitable que tous les postes de travail connectés à un même système utilisent les mêmes procédures d'authentification.

La seule authentification en début de session ne suffit pas à garantir l'absence d'intrusions. En effet, l'utilisateur peut être amené à quitter son poste de travail en oubliant de clore la session et laissant ainsi l'accès à une tierce personne. En ce cas, il y a lieu de prévoir une déconnexion automatique après temporisation, une détection de l'enlèvement du support d'authentification et éventuellement une réauthentification périodique du support voire de l'utilisateur afin de parvenir à une authentification continue.

  III. L'HABILITATION.

L'habilitation est le procédé permettant d'accorder à une personne le droit d'effectuer une action précise (création, consultation, modification, suppression…). Accordée par le responsable local, elle ne peut en aucun cas être définitive.

Deux niveaux d'habilitation se superposent : l'accès aux éléments matériels et logiciels du système d'information et l'accès aux données.

  1. L'accès aux éléments matériels et logiciels.

Une habilitation est nécessaire pour l'accès aux éléments du système d'information traitant d'informations confidentielles ainsi qu'aux éléments stratégiques du système (serveurs, routeurs, répartiteurs, autocommutateurs) de même que pour l'accès aux comptes « systèmes » des serveurs et routeurs. Les commandes « systèmes » ne doivent pas être accessibles aux utilisateurs. Les modems doivent être fermés en dehors des connexions.

Il est recommandé de ne proposer à l'utilisateur que l'environnement correspondant aux ressources (matériels, modules logiciels) pour lesquelles il a reçu une habilitation. Les personnes extérieures à l'établissement intervenant sur le système d'information doivent être habilitées.

Au niveau des autocommutateurs ou des serveurs de communication, il doit être fait appel si possible à des procédures logiques de déconnexion automatique au bout de quelques tentatives d'accès infructueuses.

Il est conseillé d'utiliser les facilités offerts en termes de sécurité par les réseaux, par exemple les groupes fermés d'abonnées du réseau TRANSPAC.

En cas d'interconnexions de réseaux, il est conseillé d'utiliser de préférence des passerelles de niveau 3 selon le modèle « open system interconnexion » (OSI).

  2. L'accès aux données.

Les utilisateurs sont répartis en catégories leur autorisant diverses opérations sur des données préalablement classées par nature (confidentiel médical, confidentiel personnel…). Tout accès non autorisé doit être impossible. Il est interdit d'utiliser les connexions et droits d'accès attribués à un autre utilisateur, même s'il appartient à la même catégorie de droit d'habilitation.

Les utilisateurs ne peuvent demander que les habilitations qui leur sont nécessaires. Ils ne doivent pas tenter de naviguer sur des fichiers qui ne les concernent pas ou de s'octroyer des droits d'accès privilégiés. En cas d'accès involontaire à des domaines étrangers à leurs fonctions, ils doivent terminer la session inutile et en alerter le correspondant local de sécurité.

L'accès du personnel technique de l'établissement ou de prestataires de services informatiques aux bases réelles doit être exceptionnel et rigoureusement contrôlé par le responsable local.

L'utilisation d'un système de messagerie à l'intérieur d'un établissement doit correspondre à son objet, faciliter la diffusion de l'information et améliorer la communication. Elle ne doit pas être déviée vers des besoins personnels ni vers l'échange de données confidentielles. A ce titre, une politique de contrôle est définie par le responsable local et mise en œuvre par le correspondant local de sécurité assisté du personnel technique.

Les systèmes qui mettent en liaison plusieurs établissements et qui entrent dans le cadre dit de « groupware » ne peuvent être mis en œuvre qu'après désignation par le responsable local d'un personnel technique chargé de son bon fonctionnement.

2.4. Mesures de protection des données.

  I. LE CHIFFREMENT (où sécurité cryptographique).

Compte tenu de la grande vulnérabilité aux intrusions qu'offrent en particulier les circuits téléphoniques, les lignes spécialisées, NUMERIS ou TRANSPAC et nouvellement les réseaux mondiaux de type INTERNET, il convient de sécuriser le système par le moyen du chiffrement.

Les informations confidentielles ne peuvent être transmises « en clair » que sur des circuits approuvés au niveau considéré. On appelle « circuit approuvé » un circuit dont les extrémités ainsi que les éventuels points de coupure sont maîtrisés, et dont le parcours est entièrement en zone contrôlée.

Le niveau d'approbation accordé au circuit dépend essentiellement du niveau de sécurité le plus faible sur tout son parcours. En règle générale, les circuits internes à un établissement peuvent être approuvés pour transmettre des informations confidentielles.

En l'absence de tels circuits, la protection des informations confidentielles doit être assurée par un moyen de chiffrement, sauf dérogation explicite et précise de l'autorité habilitée à cet effet.

L'acquisition de ces équipements de chiffrement doit faire l'objet pour les organismes de l'administration, d'une demande d'avis adressée au service central de la sécurité des systèmes d'information. Cette procédure pour le service de santé est mise en œuvre par le BSIC.

Les autres informations n'exigent pas la mise en œuvre de mesures de sécurité cryptographiques, sauf éventuellement en ce qui concerne les procédures d'authentification et de contrôle d'intégrité.

Les moyens de chiffrement, qu'ils soient autonomes ou intégrés aux équipements, doivent faire l'objet d'une gestion spécifique. Les clés de chiffrement sont à protéger tout particulièrement.

  II. LES SAUVEGARDES.

  1. Supports de sauvegarde.

Les supports contenant des informations confidentielles doivent être signalés par un moyen propre défini par le responsable local. Par exemple, les disquettes et bandes magnétiques sont repérées par une pastille de couleur dont la signification ne doit pas être divulguée, les éditions portent une mention « DIFFUSION RESTREINTE », « CONFIDENTIEL MEDICAL », « CONFIDENTIEL PERSONNEL »…

Il est recommandé de ne pas conserver de fichiers contenant des données confidentielles sur disques fixes, mais d'utiliser des supports amovibles.

Il est également recommandé de ne pas mélanger sur un même support des informations de niveaux de protection différents ; dans le cas contraire, le support portera un repère correspondant à la protection maximale des informations contenues.

Tous les fichiers sur supports magnétiques transmis à l'extérieur de l'établissement doivent être enregistrés sur des supports neufs.

Etant fragiles et sensibles à la poussière, aux éraflures, aux sources magnétiques, les supports doivent être rangés dans des boîtes appropriées, elles-mêmes stockées dans un endroit sûr, conforme à leur niveau de protection :

• les supports d'information non en cours d'utilisation (disquettes de logiciels de base, sauvegardes) doivent être conservés dans une armoire fermée à clé.

• les supports des données confidentielles doivent être stockés dans une zone spécifique et protégée, séparée du poste de travail.

Les documents en cours d'élaboration doivent être protégés de la même manière que ceux en exploitation.

Toutes les éditions d'informations confidentielles (exemplaires excédentaires, états erronés,…) doivent être détruits selon la procédure définie par le responsable local.

Sur les supports fixes et amovibles, les fichiers périmés contenant des données confidentielles doivent être effacés. Cette destruction ne doit pas être uniquement logique (suppression dans la liste des fichiers) mais doit être accompagnée d'un effacement physique pour prévenir toute lecture des secteurs non réalloués.

Les supports magnétiques amovibles contenant des données confidentielles et/ou classifiées doivent être effacés dès qu'ils ne sont plus utilisés ou lorsqu'ils vont être jetés. Le procédé d'effacement doit aller en cas de nécessité jusqu'à interdire la reconstitution de l'information initiale par analyse des résidus.

  2. Procédures de sauvegarde.

Les procédures de sauvegarde (réalisation, conservation, centralisation) sont définies par le responsable local en fonction des particularismes propres à chaque établissement et dans le respect des principes énoncés ci-après.

Généralités. Toutes les sauvegardes doivent être planifiées, leur réalisation mentionnée dans les registres tenus par le correspondant local de sécurité et leur conservation effectuée dans un local distinct de ceux contenant un poste de travail.

Durant leur manipulation, les supports de données confidentielles sont sous la surveillance de la personne habilitée et leurs mouvements doivent faire l'objet d'un enregistrement afin d'identifier à tout moment les détenteurs.

Chaque utilisateur doit tenir à jour et contrôler périodiquement l'inventaire des supports dont il a la charge.

La périodicité des sauvegardes est directement liée au rythme de modification du fichier. L'objectif à viser est que, en cas d'indisponibilité définitive du fichier en cours, le fichier sauvegardé ait une utilité significative pour la reprise des travaux.

Logiciels. Dès leur acquisition ou leur conception, le responsable local veille à la sauvegarde des logiciels (programmes d'application et systèmes d'exploitation).

Par la suite, une nouvelle sauvegarde est faite à l'issue de toute modification du logiciel, et au moins une fois par an.

Les règles d'accès aux fichiers sauvegardés se conforment à celles précédemment énumérées à l'article 4 point III supra de la présente instruction.

Pour garantir leur qualité, les sauvegardes doivent être testées régulièrement. En cas de panne, des tests d'intégrité des fichiers doivent être effectués. En cas d'incident réel ou présumé sur un fichier, celui-ci est reconstitué à partir des sauvegardes.

En cas de catastrophe (inondation, incendie…), les conditions de remise en route du système d'information dépendent de l'état constaté des installations, comprennent la reconstitution du système à partir des logiciels et fichiers sauvegardés, vérifiés et validés et dépendent surtout des procédures de fonctionnement en mode dégradé et de reprises définies dans le schéma directeur de sécurité informatique évoqué à l'article 7 infra.

  III. LES ATTAQUES LOGIQUES.

Les attaques logiques ont pour effet l'introduction d'informations parasites mettant en péril les données, voire l'ensemble du système d'information (virus…).

  1. Généralités.

Quelle que soit leur nature (système d'exploitation, logiciel d'application spécifique…) et sauf s'ils sont créés par l'utilisateur lui-même, les logiciels ne doivent être approvisionnés qu'auprès de fournisseurs agréés après approbation par le responsable local. Ils doivent être testés avant leur mise en service.

Un poste de travail ne doit jamais être utilisé à des fins autres que prévues. Les logiciels publicitaires ou de jeux sont interdits.

  2. Fonctionnement anormal.

En cas de fonctionnement anormal, l'utilisateur en rend compte immédiatement au correspondant local de sécurité et prend les mesures suivantes :

• déconnexion du poste de travail et de ses périphériques immédiats de toutes liaisons sur le réseau et éventuellement de toutes liaisons vers l'extérieur sans coupure de l'alimentation électrique ;

• contrôle par un personnel technique des sauvegardes réalisées sur ce poste de travail.

Le travail ne peut reprendre sur ce poste qu'après accord du responsable local.

  IV. CONTROLE D'INTÉGRITÉ.

La gestion de la configuration d'un système ou d'un réseau informatique consiste à identifier, contrôler, enregistrer et vérifier toutes les modifications apportées au cours des phases de la conception, du développement, de la maintenance et de l'amélioration. Il est à noter que cette gestion doit englober tous les éléments du système y compris ceux de l'exploitation et de l'application ainsi que les matériels, micrologiciels et logiciels qui ont un rapport avec la sécurité.

Le contrôle d'intégrité doit entre autres englober les contrôles suivants :

• contrôles applicables aux modifications relatives à la spécification, à la conception, à la documentation de mise en œuvre, aux dispositifs d'essais,… ;

• contrôles applicables à la comparaison d'un système nouvellement créé, y compris les programmes utilitaires et les logiciels, avec la version précédente, afin de vérifier que seuls les changements prévus ont été effectués ;

• contrôles destinés à assurer que la version actuelle du système correspond toujours à la documentation et au programme associé ;

• contrôles applicables à la protection contre toute modification ou destruction non autorisée, de l'original ou de copies de tous les éléments servant à créer le système, y compris les programmes utilitaires et les logiciels.

3. Procédes d'évaluation de la sécurité informatique.

3.1. La traçabilité.

A tout moment, le responsable local doit être en mesure de connaître si les objectifs de disponibilité, de confidentialité et d'intégrité ont bien été atteints et quelles ont été les actions susceptibles de nuire au système d'information qui ont été menées. A cet effet, les informations recueillies signalent l'identité de l'auteur et les moyens utilisés pour réaliser ces actions.

Les journaux doivent être adaptés aux besoins et, par l'intermédiaire de filtres et de seuils d'alerte, mettre en évidence les informations significatives.

Pour les applications informatiques, le niveau de détail doit permettre de différencier les actions de création, de consultation et de modification.

Tous les événements « réseau » et en particulier les connexions externes doivent être journalisées. Les actions réussies (sessions établies, transferts réussis) tout comme les échecs (refus de connexion, échec d'authentification) et les tentatives d'accès sont enregistrées.

3.2. Le schéma directeur de sécurité informatique.

Le dossier de sécurité informatique, constitué par le correspondant local de sécurité, est élaboré à partir du schéma directeur de sécurité informatique. L'élaboration du schéma directeur de sécurité informatique consiste à analyser en premier lieu les moyens de sécurité actuels de l'établissement, en second lieu les risques auxquels il peut être confronté et enfin les moyens à mettre en œuvre pour limiter, voire annihiler ces risques.

L'analyse concrète des moyens de sécurité existants est conditionnée par l'environnement spécifique à chaque établissement ; il n'est pas possible de la retracer dans un texte à portée générale tel qu'une instruction. En revanche, la présente instruction se propose d'établir une méthode d'analyse des risques potentiels utilisable quel que soit l'établissement concerné.

  I. ANALYSE DES RISQUES POTENTIELS.

L'analyse des risques se traduit par la détermination de scenarii types représentant un lien de causalité entre un fait générateur et un résultat préjudiciable potentiel. Un même scénario type doit, pour chaque établissement, être décliné en fonction de ses moyens propres (entités, sites, locaux, domaines techniques…).

  1. Définition du risque.

Le risque représente un danger ou un inconvénient plus ou moins probable pour le système d'information. Il est le résultat de la combinaison d'une part des vulnérabilités du système et d'autre part des menaces auxquelles ce système peut être confronté. Il peut avoir des répercussions directes ou indirectes (pertes financières, image de marque, perte de fiabilité, poursuites pénales…).

Les vulnérabilités sont des faiblesses, des failles intrinsèques au système d'information et pouvant porter sur chacun de ses éléments (le personnel, le matériel, l'organisation, les traitements et les télécommunications).

Les menaces sont des phénomènes extrinsèques, intentionnels ou accidentels, ayant pour cible le matériel ou les données.

  2. Détermination d'un scénario type.

Le point de départ du raisonnement est la description du résultat préjudiciable, car il est le phénomène le plus aisé à constater. Ce préjudice peut revêtir la forme d'une détérioration concrète ou d'un dysfonctionnement.

Le second temps du raisonnement est la description du fait générateur du préjudice, c'est-à-dire de l'événement qui en a déclencé la réalisation immédiate. Enfin, il est souhaitable dans un troisième temps d'affiner encore l'analyse en remontant jusqu'à l'origine du fait générateur lui-même.

Exemple :

Le résultat préjudiciable « Altération des données d'un fichier » est constaté.

La seconde étape de l'analyse conduit aux hypothèses causales suivantes :

• « Erreur de saisie. »

• « Erreur de transmission. »

• « Dégradation du support des données. »

• « Erreur de programmation. »

Si la cause du dommage est, par exemple, la dégradation du support des données, la troisième étape conduit aux origines suivantes :

• « Vieillissement ou pollution. »

• « Dégradation physique pendant un transport. »

• « Dégradation physique pendant l'exploitation. »

• « Réécriture partielle sur un support. »

Si l'origine est, par exemple, la dégradation physique pendant un transport, on aboutit ainsi au scénario type suivant :

• « Altération des données d'un fichier » =>

• « Dégradation du support des données » =>

• « Dégradation physique pendant un transport ».

  II. UTILISATION DES SCENARII TYPES.

La méthode d'utilisation des scenarii-types s'inspire des techniques utilisées dans des secteurs aussi divers que la défense nationale ou les assurances (MELISA, MARION, AROME-Q…).

Tous les scenarii types susceptibles d'intéresser l'établissement doivent être rassemblés, pondérés, puis classés en fonction de leur degré de nuisance. Ce classement permet de déterminer quels sont les risques majeurs pour l'établissement et, parmi eux ou à travers leur accumulation, le risque maximal admissible.

Le risque majeur est celui qui est susceptible de mettre l'établissement dans l'incapacité d'accomplir sa mission.

Le risque maximal admissible, c'est le niveau de perte, le seuil en-deçà duquel l'établissement peut encore continuer à accomplir cette mission.

  III. DÉTERMINATION DES MESURES DE SÉCURITÉ À PRENDRE.

Les mesures de sécurité à mettre en œuvre sont celles permettant de maintenir les risques constamment en dessous du seuil maximale admissible. Ces mesures sont sélectionnées en fonction de l'audit des moyens dont dispose l'établissement et de ses contraintes propres.

En tout état de cause, en cas de survenue d'un sinistre majeur, le fonctionnement du système d'information en mode dégradé et les solutions de reprise (changement de matériel, doublement des équipements) doivent toujours être intégrés, ainsi que le plan d'évacuation et de destruction d'urgence (documents à conserver, à détruire…).

L'analyse globale des risques et des mesures de rétroaction est retracé dans le schéma directeur de sécurité informatique aboutissant ainsi à la définition de la politique de sécurité de l'établissement.