Section 3 Exigences en matière de sécurité de l’information pour les laboratoires médicaux

I. Conditions environnementales

  1. Des documents de procédure doivent être établis pour assurer la maintenance des systèmes d’information utilisés pour la collecte, le traitement, l’enregistrement, la communication, le stockage ou la récupération des données et informations d’examen, afin de garantir leur fonctionnement normal et de fournir les conditions environnementales et de fonctionnement nécessaires. L’intégrité des données et des informations doit être préservée et consignée ; les installations et équipements informatiques doivent être maintenus propres, et leurs emplacements d’implantation ainsi que leurs environnements doivent être conformes aux dispositions pertinentes (telles que la ventilation, l’électricité statique, la température et l’humidité).

  2. L’implantation des ordinateurs doit être conforme aux exigences de sécurité incendie.

  3. Des mesures de protection doivent être mises en place pour les fils électriques et les câbles informatiques situés dans les zones de circulation.

  4. Des alimentations sans coupure (UPS) doivent être fournies pour les serveurs du LIS et les ordinateurs participant au traitement des données, afin de prévenir l’endommagement ou la perte de données du LIS causés par des coupures de courant soudaines.

  5. Des dispositions et des mesures doivent être établies pour empêcher les personnes non autorisées d’accéder aux installations d’information.

II. Manuels de procédures

  1. Des manuels de procédures des systèmes d’exploitation informatiques et des instructions de travail doivent être établis ; ils peuvent se présenter sous forme électronique pour faciliter l’utilisation par tous les utilisateurs informatiques autorisés, et doivent être disponibles sur le lieu où les activités sont réalisées.

  2. L’objectif des programmes informatiques, leur mode de fonctionnement et leur interaction avec d’autres programmes informatiques doivent être clairement décrits. Le niveau de détail doit être suffisant pour aider les administrateurs de systèmes d’information informatiques à réaliser le dépannage associé et à effectuer des modifications du système ou, le cas échéant, des modifications de programmes autorisées.

  3. Les manuels de procédures des systèmes informatiques et les instructions de travail doivent être périodiquement examinés et approuvés par le directeur du laboratoire ou le personnel autorisé ; les manuels de procédures des systèmes informatiques et les instructions de travail en cours d’utilisation doivent être à jour et effectifs.

  4. Des procédures doivent être établies afin que, en cas d’incendie ou d’endommagement de logiciel ou de matériel, des mesures soient en place pour protéger les données, les informations et les équipements informatiques.

III. Sécurité du système

  1. Les utilisateurs du LIS doivent être autorisés. L’autorisation d’accès au LIS doit être détaillée, et une autorisation doit être accordée au personnel qui accède aux données des patients, saisit les résultats des patients, modifie les résultats, modifie les factures ou change les programmes informatiques.

  2. Toutes les personnes autorisées à accéder au LIS du laboratoire doivent préserver la confidentialité des informations des patients sur l’ensemble des ordinateurs et systèmes d’information. Le laboratoire et le centre de gestion du réseau doivent garantir que : (1) des procédures sont établies et mises en œuvre pour protéger en permanence l’intégrité des données sur tous les ordinateurs et systèmes d’information ; (2) les programmes informatiques et autres méthodes sont suffisants pour protéger la collecte, le traitement, l’enregistrement, la communication, le stockage ou la récupération des données et informations d’examen, en empêchant l’accès, la modification ou la destruction accidentels ou non autorisés.

  3. L’installation illégale de logiciels sur les ordinateurs du laboratoire est interdite, de même que l’utilisation de clés USB et d’autres dispositifs de transcription de données.

  4. Si des informations provenant d’autres systèmes informatiques (tels que les systèmes de pharmacie ou de dossiers médicaux) peuvent être consultées via le système informatique du laboratoire, des mesures de sécurité informatique appropriées doivent être mises en place pour empêcher l’accès non autorisé à ces informations.

  5. Des mesures de sécurité informatique appropriées doivent être mises en place pour empêcher l’accès non autorisé et la modification non autorisée de toute information de laboratoire d’un patient via d’autres systèmes informatiques (tels que les systèmes de pharmacie ou de dossiers médicaux).

  6. Les données transmises sur les réseaux, tant à l’intérieur qu’à l’extérieur de l’établissement, doivent être protégées contre l’interception ou la réception illégales.

IV. Saisie des données et communication des rapports

  1. La cohérence entre les résultats des rapports d’examen finaux dans le LIS et les données d’entrée originales doit être vérifiée périodiquement, et les documents de procédure et les enregistrements visant à prévenir les erreurs de transmission de données doivent être conservés. Les données doivent être vérifiées périodiquement afin de détecter les erreurs survenant lors de leur traitement et de leur stockage. Par exemple : (1) La cohérence entre les données des systèmes de consultation des résultats d’examen, tels que les postes de travail des médecins et des infirmiers, et les données originales doit être vérifiée périodiquement. (2) Lorsqu’un nouvel instrument est connecté au LIS, un certain nombre de comparaisons entre les données de l’instrument et les données du LIS doivent être effectuées.

  2. Les copies multiples des tableaux conservés dans différents systèmes (par exemple, les tableaux d’intervalles de référence biologiques du système d’information de laboratoire et du système d’information hospitalier) doivent être vérifiées périodiquement afin de garantir la cohérence de toutes les copies pendant leur utilisation. Des procédures de réplication ou de comparaison appropriées doivent être disponibles, et des vérifications périodiques doivent être réalisées.

  3. Le laboratoire doit auditer périodiquement le processus et les résultats du traitement informatique des données des patients, et en conserver un enregistrement. Remarque : le processus et les résultats du traitement des données des patients désignent toute modification apportée aux dossiers des patients sur la base des données saisies, y compris les calculs numériques, les fonctions logiques, la vérification automatique des résultats et l’ajout de remarques.

  4. Lorsque des données sont saisies dans un ordinateur ou un autre système d’information par des méthodes manuelles ou automatisées, l’exactitude des données saisies doit être vérifiée et validée avant l’examen et le rapport informatiques finaux. Dans la mesure du possible, la saisie des résultats doit être vérifiée par rapport à la plage numérique prédéfinie pour l’examen concerné, afin de détecter les résultats déraisonnables ou impossibles avant l’examen et le rapport finaux.

  5. Le directeur du laboratoire doit examiner et approuver le contenu et le format des rapports de laboratoire dans le LIS, et doit recueillir l’avis du personnel clinique.

  6. Le LIS doit disposer d’une procédure d’examen des rapports en fonctionnement normal. La direction du laboratoire ou le personnel désigné est chargé de transmettre de manière précise et efficace les résultats d’examen aux destinataires autorisés, et doit approuver toute modification apportée à un système d’information susceptible d’affecter la prise en charge médicale des patients.

  7. Le LIS devrait disposer d’une procédure capable de détecter les résultats déraisonnables ou impossibles avant que l’ordinateur n’émette un rapport ; après modification des données des patients, les données originales doivent rester affichables. Le LIS doit être capable d’afficher les données historiques des patients, afin que le personnel d’examen puisse comparer les données de test lors de l’examen des rapports.

  8. Le format des rapports dans le LIS doit proposer la fonction d’ajout de remarques telles que la qualité des échantillons et l’interprétation des résultats.

  9. Le LIS doit être capable d’identifier et d’enregistrer les informations relatives au personnel ayant accédé à ou modifié les données des patients, les documents de contrôle ou les programmes informatiques.

  10. Le LIS doit disposer d’une procédure capable de détecter les résultats de valeurs critiques et de déclencher une alerte précoce avant que l’ordinateur n’émette un rapport, et doit informer la partie clinique en temps utile par le biais de procédures pertinentes (par exemple, le clignotement d’écran sur les postes de travail des médecins et des infirmiers) et conserver des enregistrements (comprenant la date et l’heure auxquelles la partie clinique a reçu le résultat de valeur critique, le résultat de valeur critique, le destinataire du résultat de valeur critique, le notificateur, ainsi que la date et l’heure de la notification).

  11. Le LIS doit disposer de fonctions de sélection des méthodes de contrôle qualité interne, d’analyse des données, de création de graphiques, de déclenchement d’alertes et d’alarme en cas d’état hors contrôle, ainsi que de fonctions de conservation des données après la mise hors contrôle et des données originales, et de réalisation d’analyses et de statistiques rétrospectives.

  12. Le LIS doit disposer de fonctions permettant de consigner les enregistrements temporels, l’état de fonctionnement, les situations d’urgence et d’autres éléments, depuis le prélèvement, le transport et la livraison des échantillons au laboratoire jusqu’à l’examen et l’émission des rapports.

  13. Le système d’information de laboratoire (LIS) doit disposer de fonctions rendant compte de l’entreposage, de la délivrance, de l’utilisation et de l’inventaire des consommables de laboratoire, et doit émettre des messages d’alerte précoce lorsque les consommables viennent à manquer.

V. Récupération et stockage des données

  1. Les données de résultats des patients et les informations d’archivage stockées dans les systèmes d’information doivent pouvoir être facilement récupérées pour des requêtes. Le laboratoire doit déterminer la durée de conservation des données de résultats des patients et des informations d’archivage dans ses systèmes d’information. Cette durée de conservation doit être conforme aux exigences nationales en matière de délais applicables aux dossiers médicaux électroniques. Les méthodes de récupération et de requête doivent être définies en concertation avec le personnel clinique.

  2. Le LIS doit être en mesure de restituer intégralement les résultats d’examen archivés ainsi que toutes les informations complémentaires nécessaires, notamment l’incertitude de mesure, les intervalles de référence biologiques, ainsi que les alertes, notes de bas de page ou remarques explicatives associées aux résultats d’examen.

  3. En l’absence d’autre moyen, les données des patients et du laboratoire doivent pouvoir être récupérées « en ligne » dans un délai déterminé.

  4. Des documents procéduraux doivent être établis afin d’étiqueter correctement et de conserver de manière appropriée les supports de stockage de données, et d’empêcher leur utilisation par des personnes non autorisées.

  5. Le LIS doit sauvegarder les données de résultats des patients.

VI. Matériel et logiciels informatiques

  1. Une procédure doit être établie pour assurer la maintenance préventive de l’ensemble du matériel informatique et conserver des enregistrements consultables à tout moment.

  2. Après chaque sauvegarde ou restauration de fichiers de données, le système doit faire l’objet d’un contrôle visant à détecter d’éventuelles modifications non intentionnelles, et ce contrôle doit être enregistré.

  3. Toute modification apportée au matériel et aux logiciels du système doit être identifiée avec précision et enregistrée. Ces modifications doivent être vérifiées afin de garantir qu’elles sont acceptables.

  4. Toutes les modifications du LIS susceptibles d’affecter la prise en charge médicale des patients, telle que le réexamen des rapports, doivent être soumises à examen et à approbation, et faire l’objet d’un enregistrement.

  5. Lors de la première installation d’un programme, ou après que celui-ci a été modifié ou adapté, son bon fonctionnement doit être vérifié et enregistré.

  6. Des documents procéduraux doivent être établis pour permettre au personnel autorisé de tous les niveaux de réaliser des opérations de dépannage, de modification du système ou de programmation.

  7. Les utilisateurs informatiques doivent suivre une formation leur permettant de maîtriser l’utilisation des nouveaux systèmes ainsi que des systèmes existants ayant fait l’objet de modifications.

  8. Une personne dédiée doit être désignée pour signaler rapidement toute panne manifeste d’un ordinateur à sa hiérarchie et conserver un enregistrement de cet incident.

VII. Maintenance du système

  1. Le laboratoire doit établir une procédure visant à tester périodiquement l’ensemble du matériel informatique. Un calendrier de maintenance périodique doit être disponible.

  2. Le laboratoire doit mettre en place des mesures de sauvegarde efficaces afin de prévenir la perte de données des patients résultant de défaillances matérielles ou logicielles. L’efficacité des sauvegardes doit être contrôlée périodiquement.

  3. Le laboratoire doit définir précisément le cycle de sauvegarde et la durée de conservation.

  4. Les erreurs détectées lors de la sauvegarde du système ainsi que les mesures correctives adoptées doivent être enregistrées et signalées au responsable du laboratoire.

  5. Le système d’alarme informatique (généralement la console informatique principale, qui surveille les performances du matériel et des logiciels) doit faire l’objet d’une surveillance et de tests périodiques afin de garantir son bon fonctionnement.

  6. Des documents procéduraux doivent être établis pour préciser les exigences relatives à l’arrêt et au redémarrage de tout ou partie du système, afin de garantir l’intégrité des données, de minimiser l’impact sur les services fournis par le laboratoire et d’assurer le fonctionnement normal du système après redémarrage.

  7. Des enregistrements des opérations de maintenance périodique, d’entretien et de réparation doivent être conservés afin que les opérateurs puissent retracer l’ensemble des travaux réalisés sur n’importe quel ordinateur.

  8. Une documentation doit être établie relative à la mise en œuvre de mesures correctives face aux pannes informatiques et à leurs causes, et des enregistrements doivent être conservés.

  9. Un plan d’intervention écrit doit être élaboré pour faire face aux situations d’urgence affectant les systèmes informatiques.

VIII. Validation des systèmes d’information

  1. Lorsque des ordinateurs sont utilisés pour collecter, traiter, enregistrer, communiquer, stocker ou récupérer des données d’examen, le laboratoire doit s’assurer que les logiciels informatiques, y compris les logiciels à usage général utilisés dans la construction d’instruments ou de systèmes (tels que les applications de traitement de texte ou de tableur), sont validés.

  2. Lors de la première installation, ainsi qu’après des changements ou modifications planifiés, les programmes doivent être validés avant toute mise en service normal.

  3. Toute modification du matériel ou des logiciels du système doit faire l’objet d’une validation d’adéquation afin de confirmer que tous les changements sont réalisables, et des enregistrements doivent être conservés. Les informations relatives à l’ensemble du personnel qui ajoute ou modifie des logiciels doivent être consignées.

IX. Récupération des données

  1. Des procédures doivent être établies pour faire face aux temps d’arrêt d’autres systèmes (tel que le système d’information hospitalier) afin de garantir l’intégrité des données des patients. Des procédures doivent être mises en place pour vérifier la reprise des autres systèmes ainsi que le remplacement ou la mise à jour des fichiers de données.

  2. Tous les arrêts non planifiés, les périodes de dégradation du système (tels que les temps de réponse ralentis) et les autres problèmes informatiques, y compris les causes des pannes et les mesures correctives prises, doivent être enregistrés. Le laboratoire doit signaler sans délai toute panne informatique grave au personnel désigné.

  3. Un plan d’urgence écrit doit être élaboré pour répondre à certains événements et garantir que les rapports de résultats des patients puissent être émis rapidement et efficacement en cas de panne des ordinateurs ou d’autres systèmes d’information.

X. Protection classée de la sécurité des systèmes d’information

1. Contexte de l’élaboration

Avec le développement continu de l’informatisation hospitalière, la conduite de tous les types d’activités hospitalières s’appuie sur des systèmes d’information en réseau à des degrés divers, et le rôle des systèmes d’information au sein des hôpitaux devient de plus en plus important. Le développement et la construction des hôpitaux modernes sont désormais intégrés à l’informatisation ; lorsque la sécurité du système d’information hospitalier est attaquée ou endommagée, ce qui empêche l’hôpital de mener normalement l’ensemble de ses activités médicales, il est très facile de déclencher des incidents sociaux de masse, tels que la fuite d’informations privées personnelles des patients (maladies graves), ou des troubles dans l’hôpital provoqués par le mécontentement des patients suite à l’interruption du système d’inscription. Par conséquent, la préservation de la sécurité du système d’information hospitalier est également devenue un enjeu nécessitant une attention particulière dans le cadre de l’informatisation hospitalière.

Pour améliorer davantage la protection de la sécurité de l’information hospitalière, le ministère de la Santé, compte tenu de l’état actuel des différentes filières médicales en Chine au stade actuel, a publié les « Avis directeurs sur le travail de protection classée de la sécurité de l’information dans le secteur de la santé » (n° 85 [2011]), qui ont clarifié le lien entre la protection classée de la sécurité de l’information et la protection de la sécurité de l’information dans le secteur médical. Conformément à l’esprit directeur de ce document, les systèmes d’activité cœur des hôpitaux de troisième niveau de classe A doivent être construits et protégés selon le niveau 3 de la protection classée de la sécurité de l’information.

2. Processus de construction

La mise en œuvre des travaux de protection classée de la sécurité de l’information hospitalière se divise principalement en les processus suivants :

2.1 Examen de classification des systèmes d’information hospitaliers

Conformément aux dispositions relatives à la protection classée de la sécurité de l’information, lorsqu’un système d’information est attaqué ou endommagé, les conséquences qui en résultent doivent être classées en fonction du degré de préjudice causé à la sécurité nationale, à l’ordre social et aux intérêts publics, ainsi qu’aux intérêts légitimes des citoyens et des particuliers.

2.2 Dépôt des systèmes d’information hospitaliers

Après l’examen de classification d’un système d’information hospitalier, l’hôpital doit soumettre le « Formulaire de dépôt de la protection classifiée de sécurité des systèmes d’information », le « Rapport de classification de la protection classifiée de sécurité des systèmes d’information » et les documents associés au service de santé compétent local. Le service de santé doit en informer l’organe de sécurité publique de niveau municipal ou supérieur pour procéder au dépôt et à l’enregistrement ; la classification du système d’information est achevée une fois le récépissé de dépôt obtenu.

2.3 Test et évaluation de la protection classifiée des systèmes d’information hospitaliers

Après avoir achevé la classification et le dépôt du système d’information, il convient de sélectionner un établissement professionnel de test et d’évaluation agréé par le service de sécurité publique local et disposant de la qualification pour le test et l’évaluation de la protection classifiée de sécurité des systèmes d’information, afin de réaliser une évaluation globale du système d’information hospitalier. L’objectif de cette évaluation est de porter un jugement objectif sur la capacité de protection de sécurité du système d’information hospitalier. À travers des inspections de sécurité portant sur la sécurité physique, la sécurité réseau, la sécurité des applications, la sécurité des données, la sécurité des hôtes et la gestion de la sécurité, et en prenant les exigences de base de la protection classifiée nationale de sécurité de l’information comme ligne de base de sécurité, une détermination objective de conformité est effectuée afin de mieux mesurer la capacité de protection de sécurité actuelle du système ainsi que les menaces et risques auxquels il est confronté, fournissant une base solide pour la rectification de sécurité et les futures constructions de sécurité.

2.3.1 Indicateurs et méthodes d’évaluation

Les systèmes métier centraux de l’hôpital sont des systèmes de protection classifiée de niveau 3. Les indicateurs d’évaluation de sécurité doivent inclure la catégorie d’indicateurs généraux de niveau 3 (G3), la catégorie d’indicateurs de sécurité des informations métier de niveau 3 (S3) et la catégorie d’assurance des services métier de niveau 3 (A3), définis dans la section 7.1 « Exigences techniques » des « Exigences de base pour la protection classifiée de sécurité des systèmes d’information ».

Trois types de méthodes, à savoir les entretiens, les inspections et les tests, sont mis en œuvre dans le cadre des travaux d’évaluation sur site. L’entretien est une méthode par laquelle le personnel d’évaluation recueille des éléments de preuve à travers des activités telles que l’échange de points de vue et les discussions avec le personnel lié au système d’information. L’inspection est une méthode par laquelle le personnel d’évaluation recueille des éléments de preuve à travers des activités telles que l’observation, l’examen et l’analyse des objets d’évaluation. Le test désigne les activités dans lesquelles le personnel d’évaluation amène les objets d’évaluation à produire des réponses spécifiques selon des méthodes/outils prédéfinis, puis recueille des éléments de preuve en examinant et en analysant les sorties des réponses. L’outil principal utilisé pour les entretiens est la liste d’entretien. Le personnel d’évaluation aborde les questions de la liste d’entretien une par une en échangeant des points de vue et en menant des discussions avec le personnel lié au système d’information, et il découvre et confirme la situation de protection de la sécurité du système d’information en fonction des réponses des personnes interrogées. L’outil principal utilisé pour les inspections est la liste de vérification. Le personnel d’évaluation aborde les questions de la liste de vérification une par une par le biais d’activités telles que l’observation, l’examen et l’analyse. Selon les différents objets d’inspection, les inspections peuvent être divisées plus avant en examen de documents, observation sur site et vérification de configuration. Selon les différents outils et processus de mise en œuvre, les tests peuvent être subdivisés plus avant en collecte d’informations, scan de vulnérabilités, test de pénétration et analyse cryptographique. La collecte d’informations consiste à obtenir des informations telles que les noms des hôtes/équipements actifs, les adresses IP, les systèmes d’exploitation, les ports de service ouverts et les paquets de données spécifiques ; le scan de vulnérabilités consiste à utiliser des équipements de scan de vulnérabilités pour sonder automatiquement les équipements cibles et découvrir les mauvaises configurations et les vulnérabilités de sécurité connues sur chaque port réseau ouvert de ces hôtes/équipements ; le test de pénétration simule les techniques d’attaque que les pirates informatiques sont susceptibles d’utiliser, en tentant de s’introduire dans le système d’information ou d’obtenir davantage de ressources sur celui-ci, afin d’évaluer directement l’état de sécurité du système d’information. La réalisation de scans de vulnérabilités et de tests de pénétration sur le système d’information à partir de différents points d’accès permet de refléter l’état de sécurité du système d’information sous différents angles et perspectives.

2.3.2 Évaluation par unité

La combinaison des indicateurs d’évaluation et des méthodes d’évaluation avec les objets d’évaluation spécifiques du système d’information constitue des unités de travail pouvant faire l’objet d’une évaluation spécifique. L’organisme d’évaluation réalisera séparément des évaluations par unité portant sur la sécurité physique, la sécurité réseau, la sécurité des systèmes hôtes, la sécurité des applications, la sécurité des données et la sauvegarde/restauration, l’organisation de gestion de la sécurité, les systèmes de gestion de la sécurité, la gestion de la sécurité du personnel, la gestion de la construction du système et la gestion de l’exploitation et de la maintenance du système.

2.3.3 Évaluation globale

Une fois que les contrôles de sécurité d’un système d’information sont intégrés à ce dernier, des relations corrélatives telles que la connexion, l’interaction, la dépendance et la coordination apparaissent au sein des couches, entre les couches et entre les zones, de sorte que la fonction de sécurité globale du système d’information est étroitement liée à sa structure et présente une caractéristique intégrée à l’échelle de l’ensemble. Ces caractéristiques intégrées ne sont pas pleinement reflétées dans les unités de travail des contrôles de sécurité. Par conséquent, sur la base de l’évaluation des contrôles de sécurité, il est nécessaire de procéder à une évaluation globale du système intégré et de son environnement d’exploitation.

L’évaluation de sécurité entre les contrôles de sécurité prend principalement en compte les effets corrélatifs, tels que le renforcement fonctionnel, la complémentarité ou l’affaiblissement, qui existent entre différents contrôles de sécurité d’une même couche. Par exemple, l’authentification d’identité et le contrôle d’accès au niveau de la couche hôte sont étroitement liés, et il convient de prêter attention à leurs effets corrélatifs et complémentaires.

L’évaluation de sécurité entre les couches prend principalement en compte les effets corrélatifs, tels que le renforcement, la complémentarité et l’affaiblissement fonctionnels, qui existent entre différentes couches au sein d’une même zone. Par exemple, la couche réseau, la couche système hôte et le volet gestion de l’exploitation et de la maintenance du système relevant de la gestion de la sécurité sont étroitement liés, et il convient de prêter attention à leurs effets corrélatifs et complémentaires.

L’évaluation de sécurité entre les zones prend principalement en compte les effets corrélatifs, tels que le renforcement, la complémentarité et l’affaiblissement des fonctions de sécurité, qui existent entre différentes zones interconnectées et interopérables (y compris l’interconnexion physique et logique), en particulier deux zones distinctes entre lesquelles des données sont échangées.

L’évaluation de sécurité de la structure du système prend principalement en compte la sécurité de la structure globale du système d’information et la rationalité des mesures de sécurité globales. L’évaluation de sécurité de la structure globale doit s’appuyer sur l’aménagement physique, la topologie réseau, la logique métier (flux de données métier), la mise en œuvre du système et l’approche d’intégration du système d’information ; en tenant compte des menaces auxquelles différents emplacements peuvent être confrontés et des vulnérabilités susceptibles d’être exposées, elle doit déterminer de manière complète si l’aménagement global du système d’information est rationnel et s’il est sûr et efficace dans son ensemble.

Après avoir examiné les méthodes de mise en œuvre spécifiques et le déploiement des mesures de protection de sécurité du système d’information, et analysé, en combinaison avec son flux de données métier, la relation entre les différentes zones et les différentes frontières d’une part et les mesures de protection de sécurité d’autre part, ainsi que la relation entre les activités métier importantes et les informations clés d’une part et les mesures de protection de sécurité d’autre part, il convient de se référer aux exigences de la défense en profondeur pour vérifier si les mesures de sécurité du système d’information mettent en évidence les points clés et s’approfondissent couche par couche, afin de déterminer de manière exhaustive si les mesures de sécurité globales du système d’information sont appropriées et rationnelles.

2.4 Communication des résultats des tests et rectification

Une fois l’évaluation du système d’information hospitalier achevée, l’organisme d’évaluation délivre un « Rapport d’évaluation classifiée du système d’information ». L’hôpital doit soumettre le rapport d’évaluation à l’organisme local de sécurité publique aux fins d’archivage. Conformément aux résultats d’évaluation figurant dans le rapport d’évaluation, au regard de normes telles que les « Exigences de base pour la protection classifiée de la sécurité des systèmes d’information », et à la lumière du travail réel de l’hôpital, ce dernier doit organiser et mener les travaux de construction de sécurité et de rectification pour la protection classifiée, affecter les tâches de rectification à des personnes spécifiques et achever la rectification dans les délais prévus.

2.5 Élaboration du système de gestion de la protection classifiée des informations de l’hôpital

L’hôpital construira son système de gestion de la protection classifiée de la sécurité des informations en se référant aux exigences de gestion en matière de protection classifiée de la sécurité des informations et en tenant compte de sa situation propre, et ce à travers les aspects suivants : organisation de la gestion de la sécurité des informations, systèmes de gestion de la sécurité des informations, sécurité du personnel chargé des informations, gestion de la construction des systèmes, et gestion de l’exploitation et de la maintenance des systèmes.

De manière générale, le système de construction de la protection classifiée de la sécurité des informations doit partir des besoins réels et vérifier périodiquement la conformité et la rationalité de la construction. La conformité consiste à construire le système complet de sécurité des informations de l’hôpital sous la direction des exigences politiques : mettre en œuvre les normes nationales de protection classifiée ; répondre à l’esprit directeur du Ministère de la Santé dans la promotion de la construction de la protection classifiée ; réussir l’évaluation nationale de la protection classifiée ; et servir de projet pilote et de démonstration pour la construction du système de sécurité des informations et les travaux de protection classifiée dans le secteur médical. Les besoins réels consistent à mener une construction systématique en tenant compte des exigences de développement des activités propres de l’hôpital et à améliorer réellement son propre niveau de protection de la sécurité des informations : mettre en place une défense active contre les menaces d’intrusion externes et prévenir les effets néfastes engendrés par des opérations internes irrégulières ; réduire la difficulté du travail quotidien de gestion des informations et améliorer l’efficacité de l’exploitation et de la gestion des systèmes d’information complexes et hétérogènes, afin de parvenir à « des règles à respecter et des techniques disponibles » ; et planifier rationnellement et normaliser la construction des systèmes d’information déjà construits, nouvellement construits et dont la construction est prévue.