Projets

Médisupport abrite ses données médicales avant l'ouverture de leur accès

Francis Perrelet, DSI de Médisupport, martèle qu’il est inenvisageable de risquer une compromission de données médicales.

Le réseau de 21 laboratoires d'analyses médicales en Suisse Médisupport a choisi de sécuriser son SI avec BIG-IP de F5 en ajout aux autres sécurités. L'architecture du SI a été également profondément revue, à base d'hyper-convergence HPE Simplivity, sans aucun serveur externalisé.

PublicitéDans toute la Suisse, Médisupport fédère 21 laboratoires d'analyses médiacles. Chacun est une société, filiale du groupe, mais avec sa marque propre et surtout son propre site extranet. Le système d'information est par contre commun, le système de gestion de laboratoires étant lui dupliqué avec une configuration en Romand et une autre en Alémanique. Pour des raisons de sécurité des données médicales traitées, le SI est entièrement contrôlé en interne. Dans le cadre d'un projet d'ouverture de l'extranet aux patients afin qu'ils consultent leurs propres résultats, une évolution de la sécurité et de l'architecture IT était indispensable.

« Contrairement à la France, en Suisse et en Allemagne, les laboratoires d'analyses médicales sont B2B : les prélèvements sont opérés par les médecins traitants et les résultats leur sont communiqués » indique Francis Perrelet, DSI de Médisupport. De plus, il n'existe pas en Suisse d'identification normalisée universelle des patients, comme le numéro de sécurité sociale français. L'association des différents éléments d'identité (noms, prénoms, dates de naissance...) n'étant pas nécessairement univoque, le médecin a aussi un rôle de contrôle de l'identité des patients. Mais rendre directement accessibles les résultats (plus de 100 000 par jour) par les patients est un véritable service différenciant. Cette visibilité se fera sans doute via une application web dédiée. Mais l'apparition de ce service va rendre plus visible, donc plus tentant pour un pirate, le SI de Médisupport. Un renforcement préalable de la sécurité s'imposait donc.

Une situation standard à renforcer

Auparavant, Médisupport avait une architecture assez classique, avec une DMZ où se situait le serveur Internet qui dialoguait avec les applications du SI interne. Le projet a consisté à rebasculer tous les serveurs en zone LAN (y compris le serveur de mails) et à ne laisser en DMZ qu'une nouvelle couche de sécurité, celle-ci dialoguant avec le SI pour gérer les identifications. La sécurité existante, notamment un firewall Palo Alto, a été maintenue, il s'agissait bien d'ajouter de la sécurité, pas de la remplacer. « Si on adopte un double système de protection, il est évidemment nécessaire de recourir à deux fournisseurs différents, le nouveau système ne pouvait donc pas être du Palo Alto » juge Francis Perrelet.

Après un appel au marché, un petit nombre de solutions a été étudié parmi celles répondant correctement au cahier des charges. Par exemple, il était indispensable que la solution puisse être pilotée par API. Les informaticiens généralistes internes se sont appuyés sur des consultants externes pour mettre en place la nouvelle sécurisation. Au final, c'est BIG-IP de F5 qui a été choisie en mode « try & buy ». Francis Perrelet le justifie : « il nous fallait valider l'intégration complexe avec notre coeur de SI. » Ce qui ne pouvait être fait qu'en réalisant l'intégration pour de bon...

PublicitéUne architecture revue

Les deux datacenters hébergés sont désormais en 100 % hyperconvergés sur technologies HPE Simplivity. L'hyperconvergence est liée à une réplication matérielle mais celle-ci a été doublée avec une réplication logicielle grâce aux différentes bases de données utilisées (Oracle Dataguard, SQLserver, etc.). Avec un décalage temporel d'au plus dix minutes, les données existent donc en quatre exemplaires.

Big-IP dispose de plusieurs modules qui ont chacun en charge une des tâches de sécurité comme la protection anti-DdoS, le load-balancing, le contrôle de disponibilité (APM), etc. La solution gère l'identification à deux facteurs selon diverses technologies en lien avec les annuaires internes. Pour les professionnels de santé, le deuxième facteur est un certificat électronique. Pour le grand public, ce sera dans un premier temps le SMS mais le recours à d'autres moyens (application mobile dédiée, Google Key, etc.) sont étudiés. En cas de pluralité d'échecs d'identification, Big-IP est capable de prendre l'initiative de bloquer un compte avec une remontée d'alerte. La licence et la maintenance sont concédées en fonction des volumes de données traitées. L'intégration a, elle, été menée en interne avec des consultants en appui. En coût direct, le budget a été d'environ 80 000 euros auxquels s'ajoutent 30 000 euros de consulting et six mois.homme en interne.