Discussion :

[laurentSc]

Bonjour,

demain après-midi, je dois rencontrer un médecin qui sollicite mes compétences informatiques pour développer un logiciel. Comme celles-ci tournent depuis quelques années surtout autour du web, je pensais développer ça en PHP avec une bdd MySQL. Mais vu la confidentialité (données médicales), un hébergement sécurisé est indispensable ; pensez-vous que c'est suffisant et si oui, existe-t-il une offre chez OVH?

[ABCIWEB]

La sécurité du serveur est assurée par les administrateurs du serveur, évidemment il faut faire appel à des personnes qualifiées.

Concernant la sécurité des données c'est la façon dont tu organiseras ton code qui permettra ou non leur confidentialité en fonction d'un système de droits. Pour renforcer la protection des sessions qui permettent de gérer les droits, on peut utiliser une connexion sécurisée de type SSL.
Mais cela n'empêche pas pour autant d'avoir une organisation des fichiers protégés qui interdit leur accès directement depuis une adresse internet. Par exemple un fichier .jpg protégé ne devra pas pouvoir être affiché en rentrant simplement son adresse via un navigateur.

[laurentSc]

Merci pour ta réponse, mais tous comptes faits, mon idée est d'abandonner le web et de faire ça en Excel (même si je suis moins compétent, j'ai quand même des connaissances)

[laurentSc]

Je reviens vers toi ; tous comptes faits, vu la complexité du cahier des charges, j'opte pour le web ; mais es-tu sûr qu'une connexion type SSL suffise ? (chez OVH, ça existe : https://www.ovh.com/fr/hebergement-web/) ; on m'a recommandé par ailleurs un accès par VPN...

[kOrt3x]

Si il doit y avoir des informations médicales qui doit transiter sur internet, sache qu'il est illégale de transiter des informations médicales confidentielles en clair sur internet.
C'est pour cela que les professionnels de santé utilisent en grande majorité des messageries cryptées comme par exemple "Apicrypt" : www.apicrypt.org.

[laurentSc]

Merci pour ta réponse ; elle m'intéresse beaucoup, et de fait, j'ai contacté la société Apicrypt pour qu'ils détaillent un peu leur offre :

Bonsoir,

des professionnels de la santé m'ont contacté pour la réalisation d'un logiciel qui manipulerait des informations médicales. J'ai cru comprendre que dans ce cas, on avait fréquemment recours à du cryptage, et que vous aviez une offre à faire dans ce sens. Pourriez-vous la préciser ? Logiciels, coûts ?

[laurentSc]

Bonjour,

sachant qu'il est préférable de faire un cryptage, ne suffirait-il pas d'un cryptage md5 ?

[kOrt3x]

Attention, le système Apicrypt est une messagerie cryptée, c'est à dire que ce sont les emails entre professionnels de santé qui sont cryptés, mais sont décryptés à la réception sur la poste client du médecin.
Le message ensuite reste en clair sur la machine.

Le tout est de savoir si les données du médecin seront stockés en local sur le poste du médecin ou stocké sur un serveur distant.

[laurentSc]

En fait, il n'y aurait pas d'e-mail, puisqu'en fait il s'agirait juste de faire des formulaires qui serviraient à saisir des observations effectuées lors d'un examen clinique puis stockées. Mon idée pour effectuer le stockage est d'utiliser une bdd MySQL (donc sur un serveur distant), d'où l'idée de crypter les données au préalable (et les décrypter à la lecture bien sûr). Comme il y aurait plusieurs postes, je préfère éviter un stockage en local.

[kOrt3x]

Donc pas besoin de messagerie cryptée, mais une connexion sécurisé avec le serveur distant.
Le plus sur, serait un serveur en local.

[laurentSc]

C'était aussi une idée, d'où cette discussion : http://www.developpez.net/forums/d13...ocal-intranet/ ; peut-être, as-tu une réponse ?

[Bovino]

Laurent, il y a quand même certaines choses qu'il faut te dire...

Tu commences à partir sur une idée Web pour (je te cite) "développer un logiciel". Passons...
Puis tu passes à une idée "de faire ça en Excel" en précisant toutefois "même si je suis moins compétent".
Donc en gros, tu essayes à chaque fois d'adapter la solution (et donc un hypothétique cahier des charges...) à la technologie adaptée... en général, c'est plutôt l'inverse qu'il convient de faire.
La question que tu devrais commencer par te poser est : "en quoi ce projet nécessite-t-il d'être interfacé sur le Web ?"

Surtout que pour ceux qui te connaissent un peu, quand on connait tes compétences en développement Web, désolé de te le dire, mais te voir prendre en charge un projet pour lequel la sécurité est primordiale, ça fait très peur pour tes futurs clients !
Sincèrement, je crois qu'il vaudrait mieux que tu aies un peu d'humilité et que tu te rendes compte que tu n'as aucune des compétences requise pour mener un tel projet !

[laurentSc]

Sincèrement, je crois qu'il vaudrait mieux que tu aies un peu d'humilité et que tu te rendes compte que tu n'as aucune des compétences requise pour mener un tel projet !

Je suis conscient que ce n'est pas facile, mais j'ai quand même l'intention d'essayer afin de rendre service...

[Bovino]

Ah... parce que selon toi, livrer "un logiciel" qui est en fait une page Web, qui est supposée sécurisée mais dont tu n'es absolument pas capable de le garantir car tu ne maitrises aucune notion de sécurité Web, c'est rendre service à son utilisateur ?

Rien que le fait de parler de crypter en MD5 et d'afficher le MD5 décrypté est particulièrement éloquent...

[laurentSc]

Rien que le fait de parler de crypter en MD5 et d'afficher le MD5 décrypté est particulièrement éloquent...

Effectivement...et je n'en avais pas pris conscience...donc je vois ces 2 solutions :
1) accès au site par un mot de passe ;
2) réseau local : http://www.developpez.net/forums/d13...ocal-intranet/

[Bovino]

Décidément tu ne veux rien comprendre...

Le plus gros problème dans ce projet, ce n'est pas la technologie, c'est toi car tu n'as pas les compétences pour le faire !
Tu n'y connais rien au développement Web et tu t'y connais encore moins en sécurité Web...
Ce n'est pas parce que tu as réussi, grâce à l'aide (on peut même dire l'assistanat) de plusieurs membres du forum sur des discussions de plusieurs pages à réaliser des choses niveau grand débutant !
Ce n'est pas parce que je sais changer une roue, une ampoule et une plaquette de voiture que je vais me lancer dans le remplacement d'une courroie de distribution sous prétexte de "rendre service" ! Car au final, ce n'est pas rendre service du tout !

Ensuite, question techno, si on en croit les différentes discussions ouvertes sur le forum concernant ce projet, et partant du fait que tout ce qui est inutile est dangereux, les vraies questions à se poser avant même de commencer à penser au projet sont :

• La demande nécessite-t-elle de passer par le Web ?

Réponse : à priori non puisqu'une simple feuille Excel semblait pouvoir répondre aux attentes !

• Tes futures victimes clients ont-ils besoin d'un logiciel ?

Réponse : oui, puisque c'est le préambule de ton premier message.

• Sais-tu développer un logiciel ?

Réponse : non, sinon, passer par une appli Web te semblerais tout aussi incongru qu'à moi...

• Es-tu la personne qu'il faut pour ce projet ?

Réponse : NON ! Pire, te le confier serait la garantie que le projet ne sera absolument pas sécurisé !

[laurentSc]

• Es-tu la personne qu'il faut pour ce projet ?

Réponse : NON ! Pire, te le confier serait la garantie que le projet ne sera absolument pas sécurisé !

Je réponds à ce vieux post afin de clore cette discussion : la difficulté (et donc le délai, mais il paraît qu'il faut pas en parler ) ne vont pas m'empêcher d'essayer (toujours en cours et reste ma seule occupation (et d'ailleurs, très formateur)).

[Invité]

sache qu'il est illégale de transiter des informations médicales confidentielles en clair sur internet.

Bonjour Laurent,
tu ne devrais pas le prendre à la légère, et t'informer sérieusement :
SECURISER LES ECHANGES ELECTRONIQUES DE DONNEES MEDICALES (PDF)
(extrait) :

Evaluation des risques

En cas d'échanges non sécurisés de données médicales, une violation du secret médical (interception des données par exemple), voire l'altération des données elles-mêmes, peut donner lieu à des sanctions de diverses natures.

- Des sanctions pénales :
l'article 226-13 du Code pénal établit que « La révélation d'une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d'une fonction ou d'une mission temporaire, est punie d'un an d'emprisonnement et de 15000 euros d'amende. »

- Des sanctions professionnelles :
concernant les médecins notamment, les sanctions du Conseil de L'Ordre peuvent aller de la suspension provisoire à une radiation définitive.

En clair : tu n'as pas le droit à l'erreur.

Le plus gros problème dans ce projet, ce n'est pas la technologie, c'est toi car tu n'as pas les compétences pour le faire !
Tu n'y connais rien au développement Web et tu t'y connais encore moins en sécurité Web...

Bovino a parfaitement raison.
On ne se lance pas dans une telle aventure la bouche en coeur et la fleur au fusil...

Pour ma part...
Une bonne partie de ma famille bosse dans le secteur médical.
De plus, je pense être "un peu" plus compétent que toi en programmation.
Mais je ne m'engagerais JAMAIS dans un tel projet sans des connaissances solides, une recherche approfondie et des CERTITUDES quant à mes compétences.

Il faut savoir admettre et accepter ses limites.
("limites"à un instant T donné, puisqu'on peut à tout moment progresser...)

[laurentSc]

Non, je ne compte pas jouer avec la sécurité et c'est pourquoi dans le post du 21/11 13h47, j'avançais l'idée de réseau local et ça reste mon idée (donc rien sur internet).

[Sakukun]

Bonjour,

Pour information, sur internet ou pas, des données de santés doivent être stockées chez des établissements agrées données de santés tu as une liste ici : http://esante.gouv.fr/services/refer...ergeurs-agrees

Je ne rajouterais pas grand chose, mis à part qu'on ne fait pas n'importe quoi avec des données de santé, le risque est gros que ce soit pour toi ou pour tes clients.

Mais j'ai envie de dire que c'est à tes clients de savoir cela car ils sont du métier de la santé.

A bon entendeur.