Connexions sécurisées pour le secteur de la santé

La connexion aux applications électroniques et services connexes doit être simple mais sécurisée. En Suisse, c’est l’objectif que poursuivent en particulier deux entreprises. HIN et Nevis sont impliquées à la fois dans le dossier électronique du patient et dans l’application SwissCovid, tout en veillant en arrière-plan à garantir une authentification sécurisée. L’auteur: Stephan Schweizer, CEO de Nevis.
Cet article est paru le 7 juillet 2021 dans la publication spécialisée medical design.

Le secteur de la santé a des exigences de sécurité spécifiques pour les droits d’accès aux données confidentielles des patients, en particulier en ce qui concerne le dossier électronique du patient (DEP), lequel sera introduit progressivement en Suisse dans le courant de 2021. Tout comme son homologue allemand, le dossier médical électronique, le DEP contient des données relatives à la santé des patients que les patients et les médecins peuvent consulter. L’accès aux données est sécurisé par le fournisseur suisse d’identités Health Info Net (HIN), qui attribue pour ce faire des identités personnelles.Dans le système de santé suisse, HIN constitue la norme en matière de communication sécurisée et assume, entre autres, le rôle de fournisseur d’identités électroniques (IDP) auprès des professionnels et des établissements de santé. À ce titre, HIN délivre des identités électroniques certifiées qui permettent aux professionnels de la santé de se connecter à des applications métier telles que des portails de référence et le DEP. En 1996, année de la création de la société, sa clientèle était composée principalement de médecins établis et elle s’est considérablement élargie depuis. Aujourd’hui, outre des professionnels de la santé de plus de vingt groupes professionnels, des hôpitaux, établissements de soins ambulatoires (Spitex), homes, pharmacies, services cantonaux et communaux, et caisses-maladie, sont également raccordés à HIN.

Ces institutions font partie de la communauté HIN dès qu’elles optent pour un produit de raccordement. Avec celui-ci, elles reçoivent une ou plusieurs identités HIN. Le raccordement leur permet d’utiliser des services HIN pour une communication et une collaboration sécurisées au sein de la communauté et accéder en toute sécurité à des applications Web. Pour se raccorder, elles disposent de plusieurs possibilités, par exemple des abonnements basés sur client – le type de connexion le plus répandu chez les médecins établis – ou, pour les clients institutionnels, une solution Gateway qui ne requiert pas l’installation d’un logiciel sur les différentes stations de travail.Accès sécurisé à des applications WebL’utilisation des identités HIN s’est généralisée au sein du système de santé suisse et il est donc avantageux, pour les fournisseurs d’applications Web, de raccorder celles-ci à la plate-forme via Access Control Service (ACS) ou Federation Service (FS). Les participants peuvent ainsi accéder aux applications en toute sécurité avec leur identité via Single Sign-on. Un hôpital, par exemple, peut demander à utiliser l’identité HIN comme moyen d’authentification pour son portail de référence. Outre des applications externes diverses et variées, l’entreprise propose aussi différents services développés par ses soins. Par exemple des applications qui permettent de garantir une communication entièrement sécurisée. La plus connue est HIN-Mail, un service de cryptage automatique des e-mails. Celui-ci permet aux hôpitaux et aux médecins établis de communiquer entre eux, et une intégration complexe dans le logiciel de messagerie n’est alors pas nécessaire. Le portefeuille comporte également une messagerie instantanée, un outil de collaboration, une solution Endpoint-Security adaptée aux besoins des médecins, ainsi que des formations de sensibilisation à la sécurité informatique et un portail de sensibilisation.

Fonctionnement du processus d’authentification L’exemple d’une collaboratrice fictive du système de santé – médecin – permet de retracer le chemin parcouru de l’identification de la personne et son enregistrement à la connexion aux applications. Elle contacte HIN pour s’enregistrer en tant que médecin et obtenir l’accès à des applications protégées par HIN. Le fournisseur d’identités doit alors s’assurer que les informations fournies par la demandeuse sont exactes. HIN le fait par le biais de deux procédures:

• Contrôle des pièces d’identité: lors de son inscription, la médecin doit fournir ses documents d’identité scannés, lesquels sont ensuite vérifiés par HIN.
• Identification vidéo: dans le chat vidéo, la médecin entre directement en contact avec un collaborateur de HIN, qui lui pose des questions pour vérifier son identité et qui procède à son identification à l’aide d’un document d’identité.

À la fin des deux procédures, le collaborateur a la garantie que toutes les informations sur la personne sont correctes. HIN peut alors délivrer une identité. Celle-ci est dotée des caractéristiques médicales pertinentes pour la médecin dans sa pratique professionnelle. Si elle indique être médecin, HIN vérifie cette information dans les registres médicaux et sources similaires avant de délivrer l’identité. Une fois les vérifications effectuées, le fournisseur octroie un moyen d’authentification. La médecin peut désormais utiliser celui-ci pour s’authentifier dans les applications raccordées. Elle utilise d’abord un moyen d’authentification «classique» que tous les fournisseurs d’identité connaissent. Mais au nom d’utilisateur et au mot de passe vient s’ajouter un deuxième facteur. Celui-ci peut être un SMS, une application Authentificateur qui se charge de la validation et de la génération de mots de passe uniques, ou un token matériel. La procédure nom d’utilisateur / mot de passe est certes prise en charge par HIN, mais elle ne constitue qu’un moyen d’authentification alternatif, parallèlement aux deux procédures principales. Il s’agit d’un logiciel client qui doit être installé sur la station de travail concernée et qui est généralement utilisé par les médecins établis. L’authentification se fait au moyen d’un certificat client ou – variante la plus récente et désormais la plus importante – via une procédure défi-réponse: le serveur HIN envoie un défi au client, lequel renvoie une réponse signée.En revanche, pour les grandes organisations, il ne serait pas envisageable d’installer le client sur des milliers de stations de travail. Le HIN Access Gateway permet de résoudre le problème. Il est installé une seule fois dans le réseau de l’organisation et permet ensuite, comme le client, l’authentification via une procédure défi-réponse.

Protéger de manière fiable les données des patients Les procédures d’authentification décrites sont utilisées, entre autres, pour le dossier électronique du patient, lancé en Suisse à la fin de l’année 2020. Les médecins et autres professionnels de la santé peuvent stocker dans celui-ci des documents relatifs au patient. Pour les deux parties, cela doit faciliter l’accès aux données de santé; le patient, en particulier, peut consulter en toute simplicité ce que le médecin sait à son sujet. Les patients peuvent déterminer qui est autorisé à accéder aux données, par exemple en octroyant ou en retirant le droit d’accès à son médecin de famille.

La base légale pour cette procédure est la loi fédérale suisse sur le dossier électronique du patient. Pour HIN, deux articles en particulier sont importants:

• Art.7: Les personnes souhaitant accéder au dossier doivent disposer d’une identité électronique.
• Art.11: Les éditeurs de moyens d’identification doivent être certifiés.

D’une part, HIN veille à ce que les exigences énoncées à l’article 7 relatives à l’identification et à l’authentification des personnes autorisées soient respectées. D’autre part, l’entreprise a été certifiée en tant que fournisseur d’identité pour le dossier électronique du patient (DEP).

Identity et Access Management avec Nevis Pour l’Identity et Access Management (IAM), à savoir la vérification des autorisations d’un utilisateur, HIN a recours à des solutions de Nevis. La collaboration entre les deux entreprises a débuté fin 2013, lorsque HIN était à la recherche d’une nouvelle base logicielle pour l’IAM. Nevis, à l’époque encore sous l’égide de la société mère AdNovum Informatik, a remporté l’appel d’offres. Le facteur décisif a été que Nevis a démontré que les problèmes avec la solution précédente ne se reproduiraient plus si celle-ci était remplacée. Cela concernait en particulier la flexibilité relative aux nouvelles procédures d’authentification à introduire.Aujourd’hui, toutes les applications proposées par HIN sont protégées par l’IAM de Nevis. Une comparaison automatisée est effectuée entre les données du système ERP et celles de l’Identity Management, lequel crée des utilisateurs et attribue des rôles. En fonction des applications que l’utilisateur a acquis via HIN, différentes autorisations lui sont attribuées dans l’Identity Management. Cette comparaison entre l’ERP (= Enterprise Resource Planning) et l’IAM a lieu en temps réel.

La sécurisation des applications est effectuée via différents mécanismes, entre autres une Web Application Firewall. L’extraction de données par injection SQL ou Cross Site Request Forgery (attaques via canal Internet) est donc impossible. Les mots de passe sont stockés uniquement sous forme hachée, et les politiques de mot de passe définissent à la fois la longueur requise des mots de passe et leur intervalle de changement. Les solutions ont été contrôlées et certifiées par KPMG selon la norme eHealth Suisse – y compris le centre de données en Suisse, lequel garantit que les données sensibles ne franchissent pas les frontières du pays.Processus d’authentification de l’application SwissCovidUn autre exemple actuel de protection des données de santé sensibles est l’application SwissCovid. Similaire à la Corona-Warn-App utilisée en Allemagne, elle permet de retrouver les contacts avec des personnes infectées par le Covid-19 et de faciliter ainsi l’interruption des chaînes de contamination. Ce système de traçage est constitué de deux composants: l’application pour smartphone et l’application Web Covidcode. Mais HIN n’est directement impliqué que dans l’application Web. Lorsque la maladie est diagnostiquée chez un patient, le médecin peut se connecter à l’application Web Covidcode en s’authentifiant avec son identité HIN. Le médecin génère alors un code qu’il transmet au patient. Celui-ci saisit le code dans sa propre application, et tous ses contacts sont automatiquement informés qu’ils ont eu un contact avec une personne infectée. Le mécanisme permet d’éviter l’envoi de fausses notifications. Le processus d’authentification est déclenché dans le navigateur – par exemple dès qu’un médecin accède à Covidcode comme mentionné plus haut. L’accès est enregistré sur le Nevis Proxy, lequel lance alors l’authentification avec «Nevis Auth». Un connecteur http permet alors de passer à une application tierce développée par HIN, dans laquelle le défi est demandé. Le composant tiers génère le défi et l’envoie au navigateur de l’utilisateur via Nevis Auth et le proxy raccordé. La page de défi déclenche deux processus parallèles dans le navigateur. D’une part, la page de défi contacte le client HIN via un gestionnaire de protocole. Celui-ci affiche alors une boîte de dialogue Connexion. Pour déverrouiller le matériel de chiffrement, l’utilisateur doit saisir sa phrase de passe. Dès que cela est fait, le client génère une réponse signée avec le matériel de chiffrement déverrouillé. Celle-ci est envoyée au Nevis Proxy, lequel la transmet au composant tiers. D’autre part, une demande avec ID de session est envoyée au Nevis Proxy. L’ID de session est transmis par le proxy à Nevis Auth d’où il est acheminé vers l’application tierce. Dès que la réponse signée et l’ID de session correct sont parvenus à l’application tierce, les deux informations sont regroupées. La signature permet à l’application tierce d’identifier l’utilisateur qui vient de se connecter. Cette information est renvoyée à Nevis Auth, et le proxy transmet alors un cookie de session au navigateur de l’utilisateur correspondant. Une session authentifiée est établie dans le navigateur, et l’utilisateur peut accéder à toutes les applications protégées par HIN sans avoir à saisir de nouveau le nom d’utilisateur et le mot de passe ou autres données d’authentification. Ce moyen d’authentification est utilisé en particulier avec l’Access Gateway pour de grandes organisations.