Vos systèmes d’information sont vulnérables face aux cyberattaques

Des attaques toujours plus sophistiquées.

Chefs d’entreprise, les cybercriminels sont embusqués derrière vos portes électroniques ! La révolution numérique a fait apparaître un nouveau type d’attaques: les attaques sur Internet qui, selon les statistiques, s’accroissent à un rythme exponentiel, tout autant que leur sophistication. C’est que la ressource électronique est considérable, voire inépuisable, qu’il devient facile techniquement d’y accéder, il suffit d’être connecté, que l’activité est particulièrement rentable et qu’elle s’effectue la plupart du temps en toute impunité.

Comme au temps des attaques de diligences, vous ne les voyez pas, mais ils vous guettent, ils cherchent à déceler vos vulnérabilités et le moment opportun pour dérober vos données sensibles et stratégiques; neutraliser votre système informatique, saboter votre site e-commerce ou votre entreprise; porter atteinte à son image; s’approprier vos innovations technologiques!

Ce sont les TPE-PME les plus vulnérables.

Selon les experts 14 millions de Français ont été les victimes de piratages informatiques en 2016, dans un récent rapport Symantec montre l’ampleur du phénomène en indiquant que 77% des PME ont fait l’objet d’attaques sur le territoire français cette année, et il précise que ce sont les TPE-PME qui sont les plus vulnérables. En effet, les grandes entreprises sont en général bien organisées contre ces nouvelles menaces grâce à la présence en leur sein de professionnels qui mettent en place un système optimum de sécurité numérique.

Les faits montrent, en revanche, que les TPE-PME, non seulement ne disposent pas d’une telle protection, mais surtout qu’elles ne sont pas informées sur la menace et, en conséquence, sur la nécessité de prendre urgemment des mesures d’organisation pour se protéger. En outre, faisant le plus souvent partie de l’écosystème de grandes entreprises, elles sont toujours les victimes collatérales des attaques informatiques régulières dirigées contre ces dernières.

Si votre entreprise était touchée, auriez-vous la capacité de tout reconstruire ? Que faire en cas d’attaque ? Et en cas de fuites de données confidentielles ? Comment gérer ce type de crise ?

Chefs d’entreprise de TPE et PME, comment vous protéger ?

Un exercice d’introspection préalable est nécessaire afin de déterminer ce que vous devez protéger, à quel degré, et dans quel ordre de priorité. C’est une évaluation des risques ou comme l’exige le RGDP un analyse d’impact.

eval-risques

Puis, en fonction des vulnérabilités constatées avec les spécialistes, il convient d’organiser votre espace et votre outil de travail. Une organisation efficace en terme de gestion de la sécurité des SI et de la qualité de ses processus opérationnels doit s’appuyer sur trois piliers : la Technologie, ses Processus et ses Ressources humaines.

L’objectif technologique est d’empêcher toute intrusion physique et électronique et garantir la résilience de l’entreprise, en agissant sur l’infrastructure et l’équipement des pièces, en définissant une architecture de réseau en fonction de vos besoins, et également en installant un arsenal défensif préventif (firewall, proxy, antivirus, antispam) ainsi que les outils permettant une sauvegarde professionnelle de vos données.

En parallèle de cette démarche technologique, il s’agira de mettre en place une politique de sécurité des systèmes d’information (SSI) pragmatique. Celle-ci devra spécifier la répartition des responsabilités SSI au sein de l’entreprise, l’ensemble des processus qui contribueront à maintenir la sécurité, l’organisation du site, des hommes et des réseaux, l’arsenal défensif préventif choisi, une charte informatique qui définisse l’usage professionnel et privé de l’entreprise avec des règles et des procédures de sécurité dont il faudra veiller à la stricte application, une stratégie de reprise après une attaque, fondée sur un arsenal défensif curatif (sauvegarde professionnelle, archivage, plan de reprise ou de continuité d’activité, …).

Finalement, il sera nécessaire de former et d’entraîner votre personnel afin de réduire les vulnérabilités et d’assurer un maîtrise des comportements en cas d’incident et des actions préventives.

A cet égard l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la CGPME présentent, dans leur Guide des bonnes pratiques de l’informatique, des règles essentielles et pragmatiques pour la sécurité des systèmes d’information des petites et moyennes entreprises que nous vous recommandons.

Services de consulting

Pour faire face aux dangers de la cybercriminalité et vous en prémunir, nous pouvons vous accompagner en vous apportant des conseils et des solutions adaptées et pragmatiques pour vous permettre d’assurer la sécurité de vos données sensibles et faire face aux menaces visant vos systèmes d’information, notamment en :

  • établissant un diagnostic personnalisé au sein de votre entreprise ou avec vos prestataires (audit),
  • organisant l’espace et les outils de travail pour une protection optimum,
  • élaborant une politique et des processus de sécurisation des systèmes d’information,
  • sensibilisant et en formant vos Managers et vos collaborateurs,
  • rééquilibrant les trois piliers au sein de l’organisation, en particulier sur l’axe humain, pour rendre la prévention des risques plus efficiente et pérenne.
Publicités

Le RGPD c’est quoi ?

Le contexte réglementaire est de plus en plus présent dans la sphère des systèmes d’information, suivant en cela l’importance grandissante que nous donnons par nos usages à ces systèmes.

C’est le cas du nouveau Règlement Européen pour la Protection des Données RGPD, GDPR en anglais. Ce texte publié en avril 2016 sera applicable le 25 mai 2018 dans tous les pays de la communauté européenne. Il apporte des évolutions importantes quant aux exigences de conformité et aux conséquences d‘une non-conformité. L’enjeu pour les organisation est donc de mettre en place les processus nécessaires à cette conformité au RGPD avant l’échéance de 2018.

Sécurité des données à caractère personnel

La cybercriminalité cause des préjudices importants, ce qui conduit à une réflexion sur le management de l’information. Une étude en 2017 a chiffré à 3 millions d’euros le coût moyen pour une entreprise victime de cyberattaques. Le plus intéressant consiste à déterminer les origines des failles ayant permis les cyberattaques. Dans 48% des cas, il s’agit d’une défaillance humaine, preuve que la sensibilisation des collaborateurs en matière de protection du cyberespace n’est pas acquise dans les entreprises.

Data protection
La protection des données, une affaire de sécurité.

Le texte européen expose un grand nombre d’exigences dont la finalité est d’assurer la sécurité des données personnelles de la « personne concernée ». L’examen de ces exigences montre qu’elles sont particulièrement structurantes. Il montre aussi qu’elles sont mutualisables avec des pratiques de gestion vouées à la sécurité des processus de l’organisation, par exemple l’analyse d’impact citée par le règlement qu’il convient d’aligner et de mutualiser avec l’analyse de risque SSI déjà en place dans beaucoup d’organisation comme le préconise l’ANSSI dans son Guide d’hygiène informatique (Mesure 41 – Mener une analyse de risques formelle).

Un autre point à prendre en compte vis à vis du règlement est la nécessaire implication d’un panel très étendu de parties prenantes, allant bien au-delà de la seule sécurité des systèmes d’information.

Pour répondre à ce besoin de conformité au meilleur coût global, il convient donc de mettre en place une démarche permettant d’identifier toutes les synergies possibles entre la conformité au règlement et la gestion des risques sécurité. Cette démarche permet notamment de valoriser les pratiques existantes et de développer des nouveaux processus fortement mutualisés pour les deux finalités.

Aspects économiques

Si la conformité au RGPD est indispensable, elle est aussi un centre de coût, autant lors de l’atteinte de la conformité que lors de son maintien.

eval-risquesDes amendes ou sanctions sévères sont prévues en cas d’infraction au règlement. L’amende maximale s’élèvera à 20 millions d’euros ou 4% du chiffre d’affaires mondial annuel, la valeur la plus élevée étant retenue, ce qui représente un coût colossal pour la plupart des organisations. Le RGPD confère au responsable de la protection des données un rôle beaucoup plus important en raison de l’impact des amendes ou sanctions potentielles en cas d’infraction.

Pour qu’un projet de mise en conformité soit bénéfique à l’entreprise, il est indispensable de maîtriser ses coûts, cette maîtrise repose sur :

  • des processus adaptés au plus juste à l’organisation,
  • une recherche systématique de synergies.

L’objectif, lors de l’élaboration du schéma d’évolution puis lors de la mise en oeuvre du plan d’action de mise en conformité, est de concevoir une organisation et des processus qui soient pertinents et réalistes dans le contexte, au moment du projet et au cours des années à venir.

Un nouveau rôle dans les organisations : DPO

La désignation d’un Data Protection Officer (DPO), successeur du CIL – Correspondant Informatique et Libertés, est obligatoire en mai 2018, notamment dès lors que les entreprises feront des traitements à grande échelle de suivi régulier et systématique des personnes ou de données sensibles. Le DPO sera également obligatoire pour le secteur public, quel que soit la nature du traitement.

Au sein de chaque organisme concerné, le DPO sera le chef d’orchestre de la conformité. Il devra être consulté sur tout traitement de données à caractère personnel. Il aura son mot à dire en termes de sécurité informatique et de sécurité juridique, il contribuera aussi à la valorisation de la donnée car c’est un vrai enjeu de business et d’innovation, il fera en sorte que cette donnée soit traitée dans des conditions de sécurité adéquates pour éviter les risques pour les personnes et pour l’image de l’entreprise.

Nous pourrions vulgariser en disant que le DPO a pour objectif de s’assurer de la conformité de l’entreprise au RGPD mais, en pratique, c’est un peu plus que ça.

qs-numeriqueUn DPO doit mettre en place un environnement de travail qui soit en phase avec le RGPD. Pour cela, il doit être en capacité d’identifier les traitements, applications, flux de données, sites internet et autres traitements de données à caractère personnel (DCP). Il doit également être en capacité d’expliquer des choses complexes de façon simple. Avant d’attaquer la phase d’audit nécessaire à l’exécution de ses missions, il doit d’abord expliquer le règlement, identifier et sensibiliser les différents acteurs qui sont concernés. Les personnes du service informatique, le marketing ou encore les ressources humaines, toutes ces personnes sont différentes, elles ne parlent pas forcément le même langage, au DPO de faire en sorte que ces derniers soient capables de se comprendre pour travailler ensemble.

Une fois cette phase de sensibilisation faite, le DPO peut commencer par faire un état des lieux de ce qui existe, des bonnes et des mauvaises pratiques, ceci afin de prioriser ses missions à venir. S’il ne fait pas cette distinction, il y a fort à parier qu’il passera du temps sur des points éventuellement importants, mais pas critiques.

Le DPO ne décide pas directement : il forme, informe, conseille, fait l’état des lieux, conduit les audits, produit les analyses d’impact, des rapports et des constats relatifs aux façons qu’a l’entreprise de travailler avec les DCP, puis il coopère avec les administrations, comme la CNIL. En pratique il peut être rattaché aux postes de direction, voire à la direction générale de l’entreprise, dans la mesure où c’est à elle que revient la tâche de mettre en place les moyens nécessaires : temps, budget, outils…

Une fois les moyens alloués et mis en place, le DPO suit et accompagne la mise en oeuvre des plans d’actions, il est le point de référence des autres métiers, des compétences et des directions reliées à ces plans. Il joue, ici, autant le rôle de chef de projet que celui de facilitateur.

Le règlement impose aux entreprises de tenir un registre des traitements relatifs aux DCP : qui est le responsable de traitement, quelles données sont collectées, pour quelles finalités, combien de temps… C’est au DPO de créer et maintenir ces registres, cela permet à l’entreprise de savoir ce qui est fait, par qui, quand, comment et pourquoi et ce à tout moment. Cela permet également, en cas de contrôle, de mettre à disposition une cartographie complète des traitements relatifs aux DCP.

L’indispensable outillage et de la méthode

Face aux multiples dispositions du RGPD, le projet de mise en conformité peut représenter un défi complexe. D’autant plus que les efforts et les procédures requis pour satisfaire aux exigences du référentiel peuvent varier selon la configuration des systèmes, des procédures internes et de la nature de l’organisation.

ProcessusLa méthode pour ce type de projet préconisée par la CNIL se déroule en 6 étapes clefs :

  1. Désigner un pilote pour le projet,
  2. Cartographier les traitements de données personnelles,
  3. Prioriser les actions à mener,
  4. Gérer les risques,
  5. Organiser les processus internes,
  6. Documenter la conformité.

Une première cartographie à l’aide d’un outil en ligne peut être établi, il sera utilisé comme guide de référence du projet pour mettre en oeuvre des politiques et des procédures adaptées à la situation et aux besoins de l’entreprise.

Nous traiterons très prochainement de la manière la plus simple et la plus efficiente d’offrir aux utilisateurs les dernières innovations technologiques et ergonomiques leur permettant un gain de temps maximal dans la gestion de leur conformité RGPD.

La protection des données médicales

Une protection des données médicales encadrée en France

La France possède un régime juridique particulier sur la protection des données médicales, ce dit régime étant particulièrement efficace. De plus, la CNIL assure une surveillance particulière des dites données et elle délivre régulièrement des informations pratiques destinées à renseigner les professionnels de la santé et les patients.

Un cadre juridique et réglementaire complet

La France s’est doté la première d’un régime juridique spécifique aux données personnelles et à l’utilisation des données personnelles en général. En effet, la loi dite Informatique et Liberté promulguée le 06 janvier 1978 a pour objet spécifique de protéger le traitement des données à caractère personnel.

Le caractère sensible de cette catégorie de données, qui permet ainsi de catégoriser les individus en fonction de différents critères (identité, ethnie, sexe, état de santé …) justifie à lui seul la mise en place d’une protection. Si cette loi s’attache à traiter de la protection de l’ensemble des données dites à caractère personnel, la loi dite « Kouchner » promulguée le 4 mars 2002 a pour objet de s’intéresser particulièrement aux données médicales ou données de santé à caractère personnel.

Ainsi, l’article L. 1111-7 du code de la santé publique met en place pour les patients les conditions d’accès à leurs données relatives à leur santé. Lorsqu’un individu souhaite avoir accès à n’importe quel document dont le contenu est relatif à son état de santé, par exemple une feuille de consultation ou une ordonnance médicale, ce dernier peut demander directement ou par le biais d’un professionnel de santé accès à ce document. Il est une fois de plus intéressant à noter que la loi rappelle le caractère à la fois informatique ou non d’une donnée dite médicale, l’interprétation de la loi ne peut ainsi pas permettre d’abus de langage allant dans le sens d’une stricte interprétation informatique du terme de donnée.

Cependant, l’article L. 1111-8 du code de la santé publique s’attache plus précisément à la licéité de l’hébergement et du traitement de données de santé. Ainsi, dans le cadre d’opérations de soins ou de diagnostic, les données de santé collectées peuvent uniquement être hébergées auprès de personnes physiques ou morales qui sont agréées à cet effet. Le décret n°2006-6 du 4 janvier 2006 définit, quant à lui, les conditions d’agrément des hébergeurs de données de santé sur support informatique. Ses dispositions ont été insérées aux articles R.1111-9 et suivants du code de la santé publique.

De plus, cet hébergement de donnée de santé ne peut être effectué qu’après consentement exprès de la personne concernée. Enfin, les dispositions du code de la santé publique rappellent que le traitement de telles données doit évidemment respecter les conditions posées par la loi Informatique et Libertés.

Ainsi, aux vues de tout ce qui a été énoncé, la France s’est progressivement dotée au fur et à mesure des années d’outils juridiques efficaces dans la protection et surtout dans la prévention des atteintes potentielles portées aux données médicales.

Les professionnels de la santé sont ainsi encadrés lorsqu’ils sont amenés à travailler avec des données médicales. Par exemple, un pharmacien stocke des données issues de la lecture d’une carte vitale d’un patient ou d’une ordonnance sur des serveurs spécialement habilités à recevoir des données à caractère personnel. De plus, le secret médical imposé par la déontologie des professions relatives au milieu de la santé interdit toute divulgation de donnée médicale à autrui sans accord de ce dernier ou au détriment des conditions posées par la loi.

A ce titre, même si la loi pose des interdictions et des conditions de traitement des données médicales qui sont claires, le rôle de la CNIL dans le traitement de telles données reste non négligeable puisqu’elle assure un suivi pratique dans le suivi des dites données.

Des recommandations pratiques de bon sens aux utilisateurs

La CNIL ou Commission Nationale de l’Informatique et des Libertés a pour objet spécifique de protéger les données personnelles ainsi que de préserver les libertés individuelles de chaque individu. À ce titre, la CNIL accorde une attention particulière à la manière dont sont effectués des traitements de données à caractère personnel. Pour se faire, la CNIL utilise souvent des recommandations faites aux entreprises ou aux professionnels concernés afin de rappeler les pratiques idéales à effectuer suivant la situation. Dans le cas de la protection des données médicales, la CNIL s’est prononcée sur les modalités optimales à adopter dans le cas où un professionnel de santé héberge ou traite des données médicales.

La CNIL commence par rappeler la nécessité première de maintenir le degré de confidentialité des données de santé au même rang que celui du secret médical. Pour se faire, la CNIL donne des indications d’ordre technique qui, si elles peuvent paraître acquises pour de plus en plus de gens aujourd’hui au regard de l’ouverture du milieu informatique au grand public, reste nécessaire, voire indispensables dans certains cas, pour s’assurer d’un minimum de sécurité sur les données hébergées.

Dans un premier temps, la CNIL donne des recommandations relatives à la sécurité informatique minimale à adopter : un mot de passe doit être mis en place sur l’ordinateur et ce dernier doit faire l’objet d’un arrêt complet à chaque absence du professionnel de santé. De plus, il est recommandé par la CNIL de ne jamais faire de copie de son mot de passe pouvant être lu ou intercepté par un tiers non autorisé à accéder au système informatique. A ce titre, rappelons simplement que la simple intrusion dans un système informatique sans autorisation constitue à lui seul un délit pénal.

De plus, la CNIL recommande pour le professionnel médical de disposer de supports de sauvegardes externes permettant d’éviter la perte de données, ceci est bien évidement rappelé dans le Guide des bonnes pratiques de l’informatique de l’ANSSI (Agence Nationale de Sécurité des Systèmes d’Information). En effet, si un client venait à vouloir consulter ses données médicales et que le professionnel est dans l’incapacité de lui fournir, il se rendrait coupable d’un acte illicite, et ce même si la perte de données est liée à un problème technique ou ne dépendant pas de sa volonté.

Si la CNIL prend la peine de rappeler ces points qu’elle considère elle-même comme étant des dispositions de sécurité élémentaires, elle s’attarde également sur le cas où un traitement de données médicales fait l’objet d’une mise en réseau.

Dans un tel cas de figure, la CNIL recommande alors une gestion plus poussée des mots de passe : ces derniers doivent être distincts suivant l’utilisateur qui utilise l’ordinateur, par exemple chaque pharmacien devrait, pour un unique poste informatique dans un office, avoir son propre identifiant et son propre mot de passe. De plus trois erreurs consécutives sur une accès par mot de passe doivent, à l’instar des erreurs lors de l’entrée d’un code PIN erroné, verrouiller le système suffisamment de temps pour freiner les intrus.

De plus, la CNIL ne recommande pas à ce qu’un compte d’un utilisateur puisse être ouvert sur plusieurs postes différents, le risque étant que le professionnel médical n’est pas présent devant l’un de ses postes, ce qui rend accessible les données à un tiers, sauf si les postes en question peuvent être verrouillés avec un système connu uniquement du professionnel de santé. De plus, les données médicales peuvent faire l’objet d’un chiffrement, parfois improprement appelé cryptage, c’est une recommandation forte pour les données personnelles lors d’une exposition sur les réseaux ou sur les appareils mobiles. Ainsi, outre une intégrité des données qui doit constamment être vérifiée au plan informatique, la confidentialité de ces dernières doit être assurée par un chiffrement total ou partiel des données nominatives en fonction des cas. Enfin, dans le cas où l’accès au réseau se fait via Internet, un système de protection comme un pare-feu est hautement recommandé pour prévenir de toute tentative d’interception des données médicales lorsque ces dernières font l’objet d’un flux de transmission.

Afin de garantir la sécurité et la confidentialité des données, il est recommandé aux responsables de structures traitant des données de santé de sensibiliser leur personnel aux bonnes pratiques à adopter. Cette sensibilisation passera par exemple, par des plans internes de sensibilisation à la sécurité informatique et l’adoption d’une charte informatique adaptée aux outils et autres moyens informatiques mis à la disposition du personnel. Par exemple l’ANSSI diffuse un passeport de conseils présentant des règles simples à mettre en œuvre sur sont smartphone, tablette ou ordinateur portable lors des déplacements pour réduire les risques liés au nomadisme des données et des équipements. Ou la CNIL donne des recommandations relatives à la sécurité informatique minimale à adopter comme un bon un mot de passe changer régulièrement pour protéger l’accès aux données ou aux applications.

Conclusion

Au regard de tout ce qui précède, la France dispose sur son territoire d’assistance et de conseils pour les professionnels et d’un arsenal protecteur conséquent pour assurer la confidentialité et l’intégrité des données médicales. Mais Internet n’a pas de frontières et certaines données peuvent être amenées à transiter dans des états étrangers, la protection des données médicales à l’international devient alors beaucoup plus incertaine selon le pays et sa réglementation.

Services de consulting

  • Assistance à la conception du dossier d’agrément hébergement de données de santé,
  • Assistance à maîtrise d’ouvrage pour le choix d’un hébergement agréé,
  • Sensibilisation des personnes aux risques et à la Politique de Sécurité (PSSI),
  • Réalisation d’audit tierce partie de référentiel de management de la sécurité,
  • Audit de conformité aux exigences du référentiel d’agrément, aux déclarations CNIL,
  • Audit d’amélioration des processus liés à la sécurité des données médicales.

Amélioration continue

Démarche d’amélioration continueamelioration

Mener une démarche d’amélioration continue ou de résolution de problème selon le cycle du « Plan-Do-Check-Act » ou PDCA permet d’avoir une méthode structurée pour mettre en oeuvre des solutions les plus adaptées et surtout pérennes.

Le PDCA est une démarche d’amélioration continue symbolisée par la roue de Deming.

Méthodes

Le PDCA se déroule en quatre grandes étapes.

Plan = Planifier ou Prévoir

La première étape est très importante, car elle consiste à bien définir le sujet ou le problème, on parle de périmètre ou de scope. Ceci afin d’identifier des solutions pérennes qui devront être évaluées et déployées. Cette étape est finalisée par un plan d’actions, incluant leur planification et les acteurs.

Do = Développer ou Réaliser

Cette étape consiste en la mise en oeuvre des actions définies précédemment. La rigueur dans le suivi du plan d’action au travers de mesures d’avancement et de jalons est un gage important de réussite.

Check = Contrôler ou Vérifier

Il s’agit de vérifier l’efficacité des actions menées. Ceci peut se faire par le biais de mesures, d’indicateurs, ou d’observations. Un délai peut-être défini selon la nature de l’action, un cas classique est d’évaluer les actions à 30,60 et 90 jours après le déploiement. Lorsque des actions se révèlent inefficaces suite aux vérifications, des ajustements pourront être réalisés, si nécessaire, en revenant à l’étape Plan dans une nouvelle itération.

Act = Ajuster, Assurer, Améliorer

Cette étape permet de finaliser la démarche afin d’assurer la pérennité des résultats des actions mises en oeuvre. Il s’agit le plus souvent d’élaborer ou mettre à jour des documents, tels que procédures, processus, guides de bonnes pratiques, ou formulaires.

Il s’agit également d’identifier des améliorations , en revenant à l’étape Plan dans une nouvelle itération pour les mettre en oeuvre. On peut ainsi exécuter plusieurs fois le cycle pour bien ancrer les changements.

Autres méthodes

Il existe d’autres méthodes d’amélioration continue des processus comme le DMAIC de Six Signa ou le Kaizen du Lean.

On peut aussi mettre en oeuvre des méthodes plus détaillées et expertes comme l’évaluation et l’étude d’impact, la résolution de problèmes ou un cycle de gestion de projet pour piloter des changements de grande échelle. Ou plus simplement des bonnes pratiques pour assurer le succès du changement.

Mission du responsable

Dans le cadre du déploiement d’un plan de progrès, la mission principale du responsable de l’amélioration consiste à piloter le projet et accompagner les managers opérationnels dans la mise en oeuvre et le suivi des chantiers de progrès avec des pilotes terrain, tout ceci en lien avec le programme global d’amélioration. Ceci est possible en :

  • en établissant le plan d’action correspondant et en suivant son exécution au travers des revues et à l’aide d’indicateurs,
  • en veillant au déploiement et à l’appropriation des objectifs de progrès,
  • en animant la communication sur les démarches de progrès et d’amélioration continue,
  • en rendant compte de l’efficacité des processus mis en place,
  • en faisant la promotion des bonnes pratiques entre entités.

Le sens du relationnel, l’autonomie et la rigueur sont des qualités essentielles pour cette fonction, complétées par :

  • Dynamique.
  • Curieux.
  • doté d’un bon sens de l’écoute.
  • Affirmé.
  • Force de conseil et de proposition.

Exemple de procédure d’Amélioration Continue

Cas du traitement des Actions Correctives et des Actions Préventives :

Services de consulting

  • Évaluation ou audit de processus opérationnels existants.
  • Assistance à la définition et au déploiement de plans d’action d’amélioration.
  • Définition du processus opérationnelle d’amélioration continue.
  • Coaching du responsable de l’amélioration.

Système de Management intégré

Les principes d’un Système de Management intégré

Pour une organisation, il est important de conduire ses activités métiers de manière responsable en assurant la qualité des produits et des services fournis et la conformité avec les réglementations applicables liées à la qualité et la sécurité des pays où elle opère.

Pour atteindre cet objectif, un système de management intégré des processus couvrant les aspects Qualité, Sécurité et Gouvernance de l’organisation peuvent être mis en place pour :

  • S’assurer de la conformité avec les réglementations applicables,
  • Fournir un référentiel conforme avec les exigences de ses clients,
  • Attribuer des rôles et des responsabilités clairs à toutes les parties prenantes,
  • Identifier, analyser et gérer tous les risques liés aux activités,
  • Fournir des outils de travail, des technologies appropriées et des procédures permettant la performance au service des clients,
  • Gérer et améliorer de manière continue le système de Management et sa performance, ceci incluant la réduction des impacts négatifs au travers d’une revue constante des objectifs, des cibles, des mesures, découlant sur la mise en œuvre d’action préventives et correctives.

Ces principes guident pour la réalisation des procédures opérationnelles pragmatiques et des accords commerciaux. Cette politique est applicable à tous les projets, opérations, contrats de sous-traitance, organisations et collaborateurs.

ISO 9001 la base du système de Management

Le système de Management des processus qui est embarqué dans toutes les normes ISO traitant de ce sujet est issu de la célèbre norme internationale qualité ISO 9001, voici une courte présentation qui vous explique les grands principes d’un SMQ ou Système de Management de la Qualité :

Cas pratique d’un modèle de processus générique

Un exemple, pour lequel j’ai géré la définition et le déploiement complet, concerne un système de gestion intégré de la qualité, en anglais c’est un QMS (Quality Management System) construit en s’inspirant des bonnes pratiques du référentiel international ISO 9001.

L’organisation à mis en œuvre ce QMS détaillé et très large pour la gestion de ses produits et services client : les bonnes pratiques d’ITIL / ISO 20000 pour la gestion des Services IT et Métiers, celles du référentiel CMMI pour la gestion des projets et le développement des solutions logicielles. Les aspects plus spécialisés de la gestion de la sécurité sont repris de la norme ISO 27001, sans oublier les processus d’amélioration continue.

history

Armé d’une longue expérience acquise dans ces domaines, les pratiques les mieux adaptées à ces opérations et les plus pragmatiques ont été intégrées dans un modèle de maturité des processus CpMM (Common process Maturity Model) qui s’adaptait parfaitement aux besoins de l’organisation. L’objectif étant de standardiser les pratiques sans uniformiser.

La cartographie complète de ce modèle est présentée ci-dessous :

CpMM-card

Ce qui donne en détails :

CpMM-full-card
Cliquez sur l’image pour agrandir

La mise en place et le déploiement de ce modèle et des processus opérationnels déclinés pour une DSI internationale a été complété par une organisation dont voici le modèle :

 

orga
Cliquez sur l’image pour agrandir

Si vous souhaitez développer ces principes et méthodes dans votre organisation ou évaluer leur déploiement, je peux vous apporter conseils et expériences pour formaliser votre projet en utilisant par exemple le modèle CpMM ou les référentiels standards.

Services de consulting

  • Définir et mettre en place un système intégré de Management couvrant tous les domaines opérationnels de l’organisation, déclinaisons des bonnes pratiques en processus opérationnels.
  • Mise en place d’une gouvernance des processus et du système d’amélioration continue, définir les objectifs, les méthodes de suivi et de reporting.
  • Définir les objectifs du plan de Démarche de Progrès en fonction des objectifs stratégiques.
  • Identifier les sources potentielles de progrès  en terme de qualité, coût, délai.
  • Déployer les pratiques d’amélioration continue, organiser l’audit interne, préparer aux méthodes d’audit et d’amélioration type Kaizen.

Principes du Management Équitable

logo-AFraMEConstruire un comportement homogène et éthique pour l’ensemble des acteurs de l’entreprise nécessite pour chacun une adhésion forte à des principes humains fondamentaux.

Valeurs

Aussi le Manager appliquant les principes du Management Équitable s’attache à développer une culture d’entreprise autour des valeurs suivantes :

Équité

Représente le sentiment naturel, spontané, du juste et de l’injuste. Il faut traiter chacun selon ce qui lui revient de droit, selon son mérite. Ceci spontanément et de façon égalitaire pour les hommes ou les idées en fonction de la justesse et du mérite.
C’est la volonté ferme et durable de reconnaître à chacun ses droits humains fondamentaux et de contribuer à les promouvoir.
Le manager fait preuve d’équité en particulier en replaçant l’humain au centre de ses pratiques de management.

Respect

Correspond au sentiment de considération, d’égard envers l’autre. Le souci de ne pas porter atteinte à l’autre. Il demande d’être à la hauteur et de ne pas porter atteinte aux hommes ou aux idées.
Le respect est la règle de base du comportement du manager dans tous ses actes : respect de soi, des autres collaborateurs, des clients, des tiers, des partenaires sociaux, de la société en général, des principes du groupe, des lois et des règlements, de l’environnement, de l’équité et de l’éthique au sens le plus large.

Partage

Littéralement c’est la division en plusieurs portions, réparties entre les participants. Le fait de partager, d’avoir quelque chose de commun avec quelqu’un.
Le manager est évidemment solidaire de son équipe et de ses collaborateurs mais il l’est également de l’entreprise. Il adopte une attitude résolument positive qui va de pair avec réalisme et courage, il favorise ainsi le développement de l’esprit d’équipe à  tous les niveaux.

Exemplarité

C’est la qualité de ce qui est exemplaire, de ce qui peut servir d’exemple, de modèle et qui peut être imité, répliqué. Ceci se traduit par donner le meilleur de soi-même, rechercher en permanence la qualité, faire preuve d’un professionnalisme exemplaire en exigence quotidienne.
Le manager doit être un responsable porteur de sens, en ayant une grande cohérence personnelle et en soutenant l’humanisation des règles. L’exemplarité est la condition nécessaire, indispensable, mais non suffisante, pour acquérir de la légitimité. A contrario, le manager illégitime fixe des règles qui ne sont valables que pour les autres.

Efficacité

Elle traduit le caractère de ce qui est efficace, de ce qui produit sont effet. C’est la capacité de produire le maximum de résultats avec le minimum d’efforts, et la plus grande valorisation des ressources.
Les leviers d’efficacité managériale sont d’associer des principes de comportement et des compétences, de gérer par des actes plutôt que des discours.

Audace

Mouvement de l’âme qui porte à des actions extraordinaires, au mépris des obstacles et des risques. Tendance à oser les actions difficiles.
Le bon manager est celui qui prend des risques, il sait être audacieux, dans la mesure où son destin individuel est la manifestation du destin collectif, il est celui qui prend le plus de risques pour le collectif. Ce n’est qu’à cette condition qu’il peut se prétendre manager et le prétendre aux autres.

Anticipation

Action de prévenir, de devancer. Il ne se dit que du Temps et, par ellipse, des Choses dont on prévient le temps.
Action de se représenter une chose future, considérée comme plus probable que le rêve en se basant sur le présent et plus proche de sa réalisation que le simple projet.
Le manager doit faire preuve d’anticipation en utilisant son expérience pour éviter de basculer dans la gestion de crise, mais aussi pour mieux informer, partager et impliquer. Associé à l’audace il doit être un bon gestionnaire de risques.

En synthèse

Les valeurs du Management Équitable privilégient la dimension humaine sans oblitérer la finalité de performance des organisations, elles se doivent d’être à la fois individuelles et collectives. Ces valeurs sont soutenues par des Managers forts d’une personnalité induite ou projetée de guide juste et sincère, qui mette en oeuvre ces principes afin d’instaurer une culture de Management exemplaire. La diffusion et le partage de cette culture commune et authentique constitue la clé de voûte des futurs succès de l’entreprise et de sa pérennité.

Ces valeurs sont celles de l’AFraME et de ses adhérents qui souhaitent les partager avec tous les Managers qui veulent les mettre en œuvre au travers de la Charte du Management Équitable dans leur organisation.

Si vous souhaitez développer ces valeurs dans votre organisation ou évaluer leur déploiement, je peux vous apporter conseils et expériences pour formaliser votre projet en utilisant la charte, le label et les bonnes pratiques du Management Équitable.

Services de consulting

  • Sensibiliser à la mise en place des nouvelles pratiques de Management équitables.
  • Animer des ateliers sur les bonnes pratiques de Management pour les ancrer.
  • Présenter les entretiens-clés de Management opérationnels : motivation, kick-off, pilotage, évaluation annuelle, briefing, suivi d’activité…
  • Définir des méthodes de priorisation de l’activité, de la gestion des risques.
  • Définir et mettre en place des indicateurs de performance opérationnels efficaces.
  • Préparer à l’évaluation régulière des pratiques de Management par un organisme spécialisé tel que l’AFraME.

Agrément pour l’hébergement de données de santé à caractère personnel

Définition

« Une entité est soumise à l’obligation d’être hébergeur agréé dès lors qu’elle conserve des données de santé de personnes pour lesquelles elle n’intervient pas dans la prise en charge médicale. »

La confidentialité des données de santé à caractère personnel : une exigence légale

Data protectionLe système d’information de santé est un support indispensable dans l’amélioration de la prise en charge des patients, le développement de nouveaux services et des travaux de recherche. Parmi les prérequis essentiels à la mise en oeuvre de ce support, figurent des fondamentaux de sécurité de l’information de santé dont la garantie de protection des données des patients. Le législateur a donc encadré le stockage et la manipulation de ces données sensibles afin de garantir leur pérennité et leur intégrité.

Depuis la loi du 4 mars 2002 relative aux droits des malades et à la qualité du système de santé, l’hébergement des données de santé nécessite l’obtention de l’agrément HADS (Hébergeur Agréé de Données de Santé). Celui-ci est délivré par le Ministère de la Santé selon un processus défini par le décret du 4 janvier 2006, et sur la base du référentiel publié par l’ASIP santé.

L’article L1111-8 du Code de la Santé Publique prévoit que les professionnels de santé, les établissements de santé ou la personne concernée ne peuvent externaliser le dépôt de données de santé qu’auprès d’un hébergeur agréé.

Le processus d’agrément

Pour obtenir l’agrément, la politique de confidentialité et de sécurité doit être particulièrement rigoureuse sur les sujets suivants : le respect des droits des personnes concernées par les données hébergées, la sécurité de l’accès aux informations, la pérennité des données hébergées, l’organisation et les procédures de contrôle interne.

Pour prétendre à l’agrément, les hébergeurs ont à démontrer leurs ambitions et les processus mis en place pour atteindre les exigences de sécurité nécessaires à la protection des données de santé. Cette activité doit répondre aux contraintes de redondance, d’authentification et bien sûr de confidentialité des données personnelles de santé.

concepts-de-planificationL’agrément est obtenu pour trois ans et doit être renouvelé ensuite. Il impose une démarche d’audit en auto-évaluation chaque année, de la réalisation d’un audit tierce partie pour obtenir le renouvellement et peut donner lieu à des contrôles par la CNIL et l’IGAS.

Les candidats à l’agrément doivent avoir à l’esprit que l’agrément prévu par la loi n’est pas une simple déclaration d’activité, mais une démarche importante, tant sur le plan du dossier de demande qu’une fois l’agrément obtenu. Le dispositif d’hébergement en projet doit être mis en cohérence avec les exigences du décret. La formalisation et la documentation de l’existant et la construction du dossier de demande d’agrément doivent être effectuées en conformité avec le référentiel publié par l’ASIP santé.

Services de consulting

  • Assistance à la conception du dossier d’agrément,
  • Assistance à maîtrise d’ouvrage pour le choix d’un hébergement agréé,
  • Conseil pour l’analyse de risque avant la définition d’une Politique de Sécurité (PSSI),
  • Conseil sur a mise en oeuvre du système de management de la sécurité (SMSI),
  • Formation à la réalisation des audits d’auto-évaluation HADS,
  • Réalisation d’audit tierce partie de renouvellement HADS,
  • Audit de conformité aux exigences du référentiel d’agrément, de la PGSSI-S,
  • Audit d’amélioration des processus support de l’hébergement.

Exemple de prestation d’évaluation d’un référentiel HADS.