Déclinaison du Cadre Interopérabilité Sécurité dans le domaine de la Santé

1. Déclinaison du Cadre Interopérabilité Sécurité dans le domaine de la Santé Guide de mise en œuvre de la méthode – Introduction

2. Sommaire du Guide 0. Introduction I. La méthode II. Dérouler la méthode (Partie Guide) II.1 Utiliser Nuxeo en l’état II.2 Créer de nouvelles bases de règles à partir de nouveaux référentiels Nom du document

3. 0. Introduction • 0.1 Le GMSIH • 0.2 La démarche d’analyse des référentiels • 0.2 Les référentiels • 0.3 Pourquoi une méthode d’analyse • 0.4 Quelques définitions • Sécurité • Interopérabilité Nom du document

4. 0.1 Introduction / Le GMSIH (1) • La mission du Groupement pour la Modernisation du Système d’Information Hospitalier (GMSIH) • est définie par l’article 2 de l’arrêté ministériel du 23 février 2000 • a été étendue par la Loi de financement de la Sécurité Sociale (LFSS) de 2006 • Dans le cadre général de la construction du SIS, le GMSIH est chargé de concourir • à la mise en cohérence, à l'interopérabilité, à l'ouverture et à la sécurité des SI utilisés par les établissements de santé (ES), • ainsi qu'à l'échange d'informations dans les réseaux de soins entre la médecine de ville, les ES et le secteur médico-social , afin d'améliorer la coordination des soins 202 / Guide de Mise en Œuvre METHODE

5. 0.1 Introduction / Le GMSIH (2) • Comme contributeur à l’interopérabilité, le GMSIH prend en compte la normalisation dans ses études et dans ses travaux sur les échanges électroniques d’information • La DGME et le SGDN ont défini les référentiels généraux d’interopérabilité et de sécurité (RGI/RGS) (ordonnance n° 2005-1516 du 8 décembre 2005) • Courant 2007, le GMSIH a lancé un projet de déclinaison de ces référentiels pour les établissements de santé et les réseaux de santé, 202 / Guide de Mise en Œuvre METHODE

6. 0.1 Introduction / Le GMSIH (3) • Courant 2008, le GMSIH a prolongé le projet de 2007 avec les objectifs suivants • poursuivre les travaux entrepris en 2007, en appliquant la méthode définie alors • pour élaborer des référentiels de sécurité susceptibles d’être appliqués par les ES et les réseaux de santé • valider définitivement la méthode • tout en l’affinant par sa mise en pratique sur un cas concret et réaliste 202 / Guide de Mise en Œuvre METHODE

7. 0.2 Introduction / La démarche d’analyse / Sommaire • La méthode d’analyse des référentiels • Pourquoi des référentiels • Pourquoi une méthode d’analyse • Les objectifs de la méthode 202 / Guide de Mise en Œuvre METHODE

8. 0.2 Introduction / Les référentiels dans le domaine de la santé (1) • Les référentiels répondent au besoin de cohérence entre • les enjeux métier • L’accroissement de la complexité de l’environnement • Evolution de l’organisation • de santé vers le décloisonnement • des pratiques médicales : •  Réseaux de santé •  Patients à domicile •  Patients mobiles •  Qualité des soins •  Technicité des actes •  Répartition de l’offre de soins •  Vieillissement de la population •  Contraintes budgétaires 202PLANGT v01

9. 0.2 Introduction / Les référentiels dans le domaine de la santé (2) • Objectifs du domaine de santé • Plus de communication et d’échanges entre les professionnels de santé • Le patient devient partie prenante de sa prise en charge • Les outils techniques deviennent plus performants ou accessibles par tous • Internet • Téléphone mobile • Autres dispositifs de santé … 202PLANGT v01

10. 0.2 Introduction / Les référentiels dans le domaine de la santé (3) • La Problématique • Pour communiquer et partager entre acteurs de l’information, il est nécessaire disposer des modes d’organisation qui soient compatibles entre elles basés sur des concepts standardisés et de l’information reconnue (par tous) • Pour cela, des référentiels communs ou connus apportent un cadre permettant d’assurer la convergence des points de vue 202PLANGT v01

11. 0.2 Introduction / Les référentiels dans le domaine de la santé (4) • Définition d’un référentiel • Selon le niveau d’abstraction défini en urbanisation, il existe de nombreuses définitions • Les quatre niveaux d’abstraction sont • Métier • Système fonctionnel • Système applicatif • Technique 202PLANGT v01

12. 0.2 Introduction / Les référentiels dans le domaine de la santé (4) • Exemples de description sur les 4 niveaux d’abstraction • Niveau métier (Pourquoi) • Cas d’utilisation du processus de prescription médicamenteuse, carte d’environnement (des acteurs), diagramme de processus, diagramme de fonctions, dictionnaire de données (métier) • Niveau fonctionnel (Quoi) • fonction de prescription dans un système d’information (prescription, validation, préparation, délivrance, gestion des stocks, gestion des informations …) avec un modèle conceptuel de données • Niveau architecture (Comment) • Architecture applicative, modèle logique de données, dictionnaire de données (système), interfaces, messages, infrastructure (poste, serveur) supportant l’application • Niveau technique (Avec quoi) • modèle de données physiques, SGBD, transactions 202 / Guide de Mise en Œuvre METHODE

13. 0.2 Introduction / Les référentiels dans le domaine de la santé (5) • Définition d’un référentiel (niveau métier) • «Un référentiel regroupe un ensemble de règles , élaborées selon une méthode visant le consensus, et considérées comme nécessaires et suffisantes pour atteindre un objectif donné (sécurité, interopérabilité...) pour un domaine d’applicationdéfiniCes règles doivent être différenciées et classéesselon leurs origines (référentiels existants) et les préoccupations (interopérabilité, sécurité, etc.) auxquelles elles répondent Le référentiel qui les récapitule reprend donc dans sa structure, les critères de différenciation et de classement retenus comme pertinents pour le domaine d’application considéré : Ces critères représentent la taxinomie intrinsèque au référentiel et à son domaine d’application » 202PLANGT v01

14. 0.2 Introduction / Les référentiels dans le domaine de la santé (6) • Exemples de référentiels • Le Code de la Santé Publique (CSP) • Le RGI Référentiel Général d’Interopérabilité de la DGME composé de trois volets • Sémantique • Organisationnel • Technique • Le RGS Référentiel Général de Sécurité orienté authentification et confidentialité • Référentiel d’homologation des Outils de Sécurisation de Messagerie : OSM • Les normes et standards • DICOM • Les profils IHE … 202PLANGT v01

15. 0.2 Introduction / Les référentiels dans le domaine de la santé (7) • Définition au niveau architecture du SI • Ensemble d’informations cohérentes qui s’imposent à toutes les applications du Système d’Information qui en ont besoin • Le Référentiel est une composante logique qui permet de gérer ces informations, de garantir leur qualité, leur cohérence, leur unicité … Il représente ainsi la source de «confiance» concernant ces informations • Exemples  • Référentiel Produits, Référentiel Clients, … 202PLANGT v01

16. 0.2 Introduction / Les référentiels dans le domaine de la santé (8) • Notion de règle • Les règles métier sont des déclarations structurées de haut niveau, permettant de contraindre, contrôler et influencer un aspect du métier. • Une règle est composée de deux parties • une condition (aussi appelée fait) • et une action (aussi appelée conséquence ou inférence) • Quand la condition est remplie, l’action est exécutée • Un exemple de construction d’une règle est proposé par la suite dans ce document 202 / Guide de Mise en Œuvre METHODE

17. 0.2 Introduction / Les référentiels dans le domaine de la santé (9) • Dans la santé • Il existe de nombreux référentiels et cadres d’interopérabilité généralement construits pour répondre à un besoin particulier, pour un domaine ou champ d’application (établissements de santé, plateformes de service de santé, DMP, Assurance Maladie, …) • Le système d’information de santé ne se conçoit plus en îlots mais comme une architecture globalement cohérente de modules • C’est pourquoi il est nécessaire de définir une organisation pour faire converger les cadres appliqués aux différents champs d’application, et qu’elle soit supportée par des méthodes 202PLANGT v01

18. 0.2 Introduction / Les référentiels dans le domaine de la santé (10) • Pré-requis à la définition de référentiels • Mettre en place des forums • permettant des échanges • et assurant le consensus dans le choix des référentiels et de leur pertinence • Définir ou connaitre les processus et les architectures qui utiliseront les référentiels définis • Mettre en place une expertise reconnue dans le domaine de la santé  Etablir le consensus 202PLANGT v01

19. 0.2 Introduction / Besoin d’une organisation pour établir le consensus Groupe d’experts du domaine étudié Acteurs du champ d’application Comité d’Arbitrage Critères de construction des taxinomies des architectures et des règles Décision sur le champ Validation Critères de caractérisation des référentiels Critères de caractérisation des champs d’application Analyse des règles Validation en commun « Confrontation» des règles aux besoins et sélection» des règles Validation en commun Validation finale des règles sélectionnées Présentation

20. 0.3 Introduction / Etablir une méthode d’analyse (1) • Quelques recommandations • Réduire la complexité • S’appuyer sur les « méthodes-standards » d’urbanisation • Harmoniser les référentiels en les adossant à des « taxinomies » • Maintenir les taxinomies 202PLANGT v01

21. 0.3 Introduction / Etablir une méthode d’analyse (2) • Réduire la complexité des référentiels par une granularité judicieuse • Analyser et énoncer une règle • pas trop complexe, portant sur des notions maitrisées • Synthèse d’un référentiel • adaptée au champ d’application • Définir des notions communes à tous les référentiels • S’appuyer sur les « méthodes-standards » d’urbanisation • Zachman, Togaff,… 202 / Guide de Mise en Œuvre METHODE

22. 0.3 Introduction / Etablir une méthode d’analyse (3) • Harmoniser les référentiels • les adosser à des «taxinomies» (concepts d’architecture sous-jacents) applicables à plusieurs champs d’application avec des niveaux de granularité homogènes • Procéder par étapes, sur des champs d’application connus et selon les besoins réels des partenaires (maîtrises d’ouvrage, industriels) • Maintenir les taxinomies pour maîtriser leurs impacts sur la structure des référentiels • par un processus concerté d’analyse et de génération des règles, entre champs d’application connexes 202 / Guide de Mise en Œuvre METHODE

23. 0.3 Introduction / Etablir une méthode d’analyse (4) • Quelle méthode d’analyse ? • Une structuration commune basée sur des notions ou concepts partagés Présentation

24. 0.3 Introduction / Etablir une méthode d’analyse (5) • L’objectif de ce document est de • Proposer une démarche permettant aux acteurs du SI de Santé de prendre des décisions d’une manière méthodique et objective sur les règles applicables à un ou plusieurs champs d’application • Définir une méthode et un ensemble de critères pour • 1/ Analyser les référentiels et construire une base de connaissance • 2/ Argumenter et sélectionner les règles applicables à un champ d’application Nom du document

25. 0.4 Introduction / Rappels de définition (1) • Les caractéristiques de sécurité • Confidentialité • Propriété des éléments essentiels de n'être accessibles qu'aux utilisateurs autorisés • Intégrité • Propriété d'exactitude et de complétude des éléments essentiels • Disponibilité • Propriété d'accessibilité des éléments essentiels au moment voulu par les utilisateurs autorisés Cette propriété peut aussi être exprimée sous la forme d’un niveau de service attendu dans un contrat de service (SLA) • Preuve • Propriété assurant que l’action d’une entité peut être attriobuée de manière unique à cette entité (ISO 7498-2:1989) 202 / Guide de Mise en Œuvre METHODE

26. 0.4 Introduction / Rappels de définition (2) • Exigence de sécurité • Spécification fonctionnelle ou d'assurance sur le système d'information ou sur son environnement, portant sur les mécanismes de sécurité à mettre en œuvre et couvrant un ou plusieurs objectifs de sécurité • Qualification d'un produit de sécurité • Acte par lequel la DCSSI atteste de la capacité d’un produit à assurer, avec un niveau de sécurité donné, les fonctions qu’il prend en charge. Le niveau de sécurité effectivement atteint est évidemment conditionné par l’adéquation des conditions d’utilisation du produit, conditions dont l’autorité administrative fait son affaire 202 / Guide de Mise en Œuvre METHODE

27. 0.4 Introduction / Rappels de définition (3) • Interopérabilité • source "European Interoperability Framework“ • ability of information and communication technology (ICT) systems and of the business processes they support to exchange data and to enable the sharing of information and knowledge • Capacité des systèmes des technologies de l’information et de la communication et des processus métier qu’ilssupportent à échanger des données et à partager de l’information et des connaissances • AFNIC • Compatibilité des équipementsou des procédurespermettant à plusieurssystèmesouorganismesd’agir ensemble 202 / Guide de Mise en Œuvre METHODE

28. 0.4 Introduction / Rappels de définition (4) • Lien entre interopérabilité et sécurité • Les normes gouvernant au plan législatif les référentiels des SI de Santé sont codifiées dans le CSP (Articles L. 1110-4, L. 1111-8) • La loi n° 2007-127 du 30 janvier 2007 (article 25), s'appuie sur le CSP (lois de 2002 et 2004), et a apporté cet élément nouveau consistant à associer les exigences de sécurité et d'interopérabilité • "La détention et le traitement sur des supports informatiques de données de santé à caractère personnel par des professionnels de santé, des établissements de santé ou des hébergeurs de données de santé à caractère personnel, sont subordonnés à l'utilisation de systèmes d'information conformes aux prescriptions adoptées en application de l'article L. 1110-4 (i.e. décret "Confidentialité") et répondant à des conditions d'interopérabilité arrêtées par le ministre chargé de la santé • Cette loi fait apparaître le besoin de cohérence entre les deux ensembles de référentiels • référentiels généraux (ex. RG* de la DGME) • référentiels impliqués par les dispositions législatives et réglementaires spécifiques applicables aux S.I. du système de santé 202 / Guide de Mise en Œuvre METHODE

29. La Méthode / SOMMAIRE • .1 Objectifs de la méthode • .2 Les étapes de la méthode • .3 Les grands principes • .4 Analyse des référentiels • .5 Analyse de risque • .6 Documentation de la méthode • Structure du guide 202 / Guide de Mise en Œuvre METHODE

30. I.1 Objectifs de la méthode • La méthode vise à répondre aux enjeux de partage et de mutualisation des informations de santé, de mise en place d’architectures de communication de qualité entre les acteurs du système de santé dans un contexte réglementaire complexe (Arrêté confidentialité, T2A, DMP, RGS, programmes nationaux , …) • Définir d’une manière unique les concepts de référence à utiliser • Permettre à l’organisation de consensus (décrite précédemment) de disposer des éléments de décision sur les règles applicables à un champ d’application, établis de manière méthodique, objective et reproductible 202 / Guide de Mise en Œuvre METHODE

31. I.1 Objectifs de la méthode • Notion de concept • Représentation abstraite d'un objet, d'une idée • Dans le cas des référentiels et des règles • Représentation des «objets» cités dans les règles • Le terme «objet» est pris ici au sens «modélisation objet» • Dans la règle ci-dessous, les concepts sont notés en gras • ARRETE CONFIDENTIALITE §3.2.1 • Le système authentifie les utilisateurs avant tout accès à des informations médicales à caractère personnel  ou à toute ressource critique 202 / Guide de Mise en Œuvre METHODE

32. I.2 Etapes de la méthode • 1/ Analyser les règles des référentiels • identifier les concepts sur lesquels portent ces règles • 2/ Analyser les risques sur le champ d’application • identifier les concepts sensibles aux menaces • 3/ Rechercher, dans les référentiels, les règles portant sur les concepts les plus sensibles • 4/ Sélectionner les règles selon des critères définis (dont la confrontation coût / bénéfice) 202 / Guide de Mise en Œuvre METHODE

33. I.2 La Méthode / Etapes 1/ Référentiels 2/ Champ d’application Analyse des règles Analyse de risques Concepts Concepts Sensibles 3/ Rechercher les règles portant sur le concept sensible 4/ Confronter le coût de mise en œuvre de la règle / Bénéfices pour le concept sensible Nom du document

34. I.3 La Méthode / Grands principes (1) • Analyse des référentiels • L’analyse s’appuie sur une démarche d’urbanisation • et sur les niveaux d’abstraction correspondent aux niveaux d’urbanisation des systèmes d’information • Métier • Système Fonctionnel • Système Architecture • Technique • Ces niveaux ont été déduits des travaux de la méthode Zachman (diapositive suivante) Nom du document

35. I. 3 La Méthode / Grands principes (Zachman) Nom du document

36. I.3 La Méthode / Grands principes (CONCEPTS) • Les concepts utilisés pour l’analyse des règles dans les référentiels sont • «QQQOCP» • QUOI : Objets sur lesquels s’appliquent les contraintes • QUI : Acteurs impliqués dans la règle • QUAND : Stabilité dans le temps et l’espace de la règle et du Champ d’application • Où : périmètre géographique • Comment : moyens et méthodes employés • POURQUOI : Objectif / bénéfice de la règle • + COMBIEN : Coût de mise en œuvre / Bénéfice attendu Nom du document

37. Constats Entre plusieurs référentiels, des termes différents désignent le même concept (XUA Identity Assertion, X-User Assertion) Le même terme peut désigner plusieurs concepts Au sein d’un même référentiel, selon le niveau d’abstraction (niveau d’urbanisation) de la règle, le terme employé pour désigner un même concept peut varier: Ex: le terme certificat est utilisé dans le RGS pour des concepts différents à différents niveaux Certificat, certificat serveur, cachet serveur, certificat cachet serveur D’une règle à l’autre, plusieurs termes désignent le même concept Besoin de définir un concept correspondant à un ensemble de synonymes Besoin d’organiser les concepts en chaînes selon le niveau d’abstraction I.3 La Méthode / Grands Principes / Concepts clés Nom du document

38. I.3 La Méthode / Grands principes • Notions de Concepts-Racine • Les principaux concepts identifiés portent sur • Le QUOI (Identité, authentifiant, certificats, etc.) • Le QUI (Patient, PS, Etablissement) • Il est nécessaire d’identifier les concepts-clés, abstraction de concepts similaires • Le QUOI : Identité, Identifiant, Identifiant numérique … • Le QUI : Organisation, Personne (Métier), Acteur (Système) • Les concepts-clés sont structurés en chaînes de concepts sur les 4 niveaux d’abstraction, dont le concept-racine est de niveau Métier 202 / Guide de Mise en Œuvre METHODE

39. Fichier des Chaînes de concepts I.3 La Méthode / Grands principes/ Exemple de chaînes de concepts Métier Réglementation Organisation Fonction Equipe Garantie d’Id. Personne Accès Information Procédure de face à face Identité Habilitation Rôle Autorisation Système d’Information Identification Acteur Système / Fonctionnel Authentification Id. numérique Système / Architecture Authentifiant Profil Identifiant Attestation Contrôle d’Accès Contrôle de profil Certificat électronique Ressources informatiques Droit d’accès Pièce d’Identité Mécanismes d’authentification Ex. Access List Données Identifiant unique et exclusif Mot de Passe Identité numérique Certificat Système Caractéristique biométrique Assertion Technique Autres Mécanismes d’authentification Nom du document

40. Un concept-clé peut avoir plusieurs synonymes Exemple : Information CSP Informations nécessaires Information concernant la personne informations concernant la santé [de la personne] informations relatives à une même personne prise en charge Arrêté confidentialité informations médicales informations à caractère médical  informations  médicales  à  caractère  personnel   Dossier médical I.3 La Méthode / Concepts clés et Synonymes ²202 / Guide de Mise en Œuvre / METHODE

41. I.3 La Méthode / Grands principes / Scenario global Référentiels Champ d’application Critères Qualité des règles Analyse de risques Analyse Zach N Niveaux d’abstraction à considérer Concepts de chaque niveau d’abstraction Objets (QUOI) Biens Sensibles QUI Vulnérabilités QUAND Où COMMENT * menaces Sensibilité COMBIEN COMBIEN & POURQUOI Critères (COMBIEN, POURQUOI, QUAND, Où) Probabilité * Impact Bénéfices (POURQUOI) Risques Coûts Confrontation Coûts vs Risques Objectifs et contre-mesures 202_CR_CP_08072008

42. I.4 La Méthode / Analyse des référentiels Référentiels Critères Qualité des règles Analyse Zach N Concepts de chaque niveau d’abstraction Objets (QUOI) QUI Où COMMENT COMBIEN Bénéfices (POURQUOI) Coûts Nom du document

43. Choix des référentiels Réglementaires français DGME : Référentiel Général de Sécurité / d’Interopérabilité (RGS / RGI) Ministère de la Santé CSP Arrêté Confidentialité Décret Hébergeur CNIL Autres réglementaires HIPAA I.4 La Méthode / Les référentiels analysés (1/2) Nom du document

44. Référentiels Normatifs Généraux ISO 27799 Métier GIP CPS : Référentiel d’Homologation des Outils de Sécurisation de Messagerie (OSM) IHE : XUA, ATNA, DSG DICOM – Security I.4 La Méthode / Les référentiels analysés (2/2) Nom du document

45. L’analyse des référentiels passent par plusieurs étapes .1 Le classement du référentiel dans sa globalité selon Le(s) niveau(x) d’abstraction concerné(s) Le degré de généricité / degré d’adaptation au métier de la santé .2 L’analyse qualité des règles Principes du Business Rules Group .3 L’identification des concepts selon les travaux de Zachman .4 L’estimation du coût des règles .5 Résultats de l’Analyse du Référentiel I.4 La Méthode / Analyse des référentiels 202 / Guide de Mise en Œuvre METHODE

46. I.4.1 La Méthode / Les référentiels étudiés Générique Métier ISO 27799 CSP/ Arrêté Confidentialité RGS HIPAA Métier Etude sécurité (GMSIH) Décret hébergeur RGI Réf. «Confidentialité» (GMSIH) Système Fonctionnel Ref. Homologation des OSM IHE DICOM Architectures de sécurité (GMSIH) Architecture Technique

47. Qualifier les règles contenues dans le référentiel en utilisant les critères qualité définis par le Business Rules Group Atomicité Déclarative Contrainte plutôt que permission Exprimée en langage naturel Traçable Structurée I.4.2 La Méthode / Critères qualité des règles Nom du document

48. I.4.2 La Méthode / Critères qualité des règles • Atomicité • Une règle ne peut être subdivisée, ou décomposée dans une version plus simple sans perte d’information • Déclarative • Décrire les buts de la logique métier à atteindre (QUOI, POURQUOI) plutôt que les actions à faire pour atteindre ces buts (COMMENT) • Ex. SI A ALORS B • Exprimée en langage naturel Nom du document

49. I.4.2 La Méthode / Critères qualité des règles • Contrainte plutôt que permission • l’usage de la RFC 2119, qui fixe les conditions d’emploi des termes MUST (NOT) et SHOULD (NOT), oriente et structure l’expression des contraintes • Traçable • L’insertion de la règle métier dans le SI peut être tracée tout au long des étapes de construction du SI jusqu’à sa mise en œuvre • Structurée • Facilité de lecture et de compréhension, voire dans un objectif d’automatisation Nom du document

50. Objectif Identifier les concepts-clés ciblés par la règle Mode d’emploi Décomposer la règle pour extraire les concepts en s’ appuyant sur la principes du QQQOCCP La page suivante fournit un exemple de texte d’une règle et des concepts clés qu’elle emploie I.4.3 La Méthode / Analyse Zachman Nom du document