Discussion :

[Stéphane le calme]

NHS : les hôpitaux britanniques ont reçu le feu vert pour stocker les données des patients sur le cloud public,
avec certaines recommandations

Le NHS (National Health Service) a donné aux hôpitaux le feu vert pour stocker des dossiers sensibles des patients sur le cloud.

NHS Digital, la division du NHS qui conseille les hôpitaux et les médecins sur les questions techniques, a publié des recommandations sur l'utilisation des services de cloud computing par les organisations de soins de santé et de services sociaux.

« NHS et les organisations de soins sociaux peuvent en toute sécurité mettre des données sur la santé et les soins, y compris des données non personnelles et des informations confidentielles sur les patients, dans le cloud public », indique le rapport de NHS Digital. « De nombreuses organisations du NHS et des départements gouvernementaux ont déjà pris cette décision sur la base d'évaluations de la gestion des risques et ont mis en place des sauvegardes appropriées. »

Le NHS détient de vastes quantités de données de santé extrêmement sensibles sur presque tout le monde au Royaume-Uni. Permettre que ces informations soient stockées dans le cloud constitue donc un énorme vote de confiance dans cette technologie.

Le NHS Digital a déclaré que les avantages de l'utilisation des services cloud incluent des économies de coûts associées à l'absence d'achat et de maintenance du matériel et des logiciels, ainsi qu'à la disponibilité de la sauvegarde et à la restauration rapide du système.

« Ensemble, ces fonctionnalités réduisent le risque que des informations sur la santé ne soient pas disponibles en raison d'une défaillance matérielle locale », indique le rapport.

Cependant, NHS Digital a également noté les inconvénients du stockage dans le cloud, notamment le recours à Internet, les changements de budget et la nécessité de faire appel à des experts externes pour faciliter la mise en œuvre.

Le gouvernement britannique a mis en place une politique « cloud first » pour les technologies de l'information du secteur public en 2013, selon le guide fourni par NHS Digital. D’ailleurs, des services tels que NHS Choices et le projet Code4Health de NHS England utilisent déjà le cloud avec succès.

Le passage au cloud et la disponibilité de sauvegardes peuvent aider à mieux protéger le NHS contre des incidents tels que WannaCry, l'attaque ransomware qui a fait tomber les systèmes de santé en Angleterre l'année dernière.

« Il appartient à chaque organisation de décider si elle souhaite utiliser la dématérialisation des données et le cloud, mais cela présente de nombreux avantages, notamment une plus grande protection des données et une réduction des coûts de fonctionnement lorsqu'elle est mise en œuvre efficacement », a déclaré NHS Digital. « Les lignes directrices publiées aujourd'hui permettront de mieux comprendre comment ces technologies peuvent être utilisées et comment les données, y compris les informations confidentielles sur les patients, peuvent être gérées de manière sécurisée. »

NHS a également averti que faire migrer des services essentiels vers le cloud va augmenter l'importance de l'accès Internet à ces organisations. « Si votre accès à Internet est perturbé ou n'est pas fiable, vous risquez de perdre l'accès à vos données et services », a prévenu NHS Digital.

Le rapport avertit également les organisations de santé qu'elles peuvent avoir besoin de changer leur façon de budgétiser leurs dépenses en technologie, car les services de cloud fonctionnent généralement selon un modèle pay-as-you-go.

« L'utilisation du cloud accroît la portabilité des données, ce qui signifie que les données peuvent être distribuées sur plusieurs appareils à l'intérieur et à l'extérieur de votre organisation, et que la bonne compréhension et les bons comportements culturels doivent être en place pour gérer ces risques. »

NHS Digital prie également d'examiner attentivement l'emplacement des fournisseurs de cloud. « Pour bénéficier d'une résilience supplémentaire, il est fortement recommandé que, pour les données que vous considérez comme les plus à risque, vous envisagiez une approche multirégionale, où, par exemple, les données sont stockées à l'intérieur et à l'extérieur du Royaume-Uni. »

Mais il est également possible que de nombreuses juridictions s'appliquent aux données détenues dans les services cloud (par exemple, si le fournisseur de cloud est non britannique ou a une société mère non britannique).

« En outre, les prestataires de services utilisent parfois le personnel technique et de support offshore, qui peut accéder à des données depuis un autre site. Plusieurs fournisseurs de services mondiaux ont un modèle de support global qui ne limite pas l'endroit où le personnel peut opérer, ce qui doit être pris en considération dans votre décision », a expliqué NHS Digital.

NHS Digital recommande que les données soient hébergées dans l'Espace économique européen, un pays jugé adéquat par la Commission européenne ou aux États-Unis.

Source : NHS Digital

Et vous ?

Que pensez-vous de cette décision ?

Voir aussi :

Des hackers pourraient avoir volé les données médicales de la moitié de la population norvégienne, les autorités essayent de rassurer

[Luckyluke34]

Je pense que l'aspect sécurité du dossier est jugé selon de mauvais critères, car l'argument de l'économie de coûts à court terme rentre en ligne de compte alors qu'il ne devrait pas dès lors il s'agit de la santé des citoyens et de données aussi sensibles, et qu'il est non avenu à long terme.

On compare uniquement l'état actuel des systèmes d'informations hospitaliers britanniques, de vraies passoires, avec celui d'une infrastructure de cloud opérée par un spécialiste, beaucoup plus protégée. Mais ne devrait-on pas aussi étudier l'option de bon sens, à savoir de donner aux établissements la capacité de se sécuriser suffisamment eux-mêmes pour héberger chez eux les données médicales ?

Si des infrastructures locales peu sécurisées représentent un danger, la centralisation à outrance en est un autre, différent mais tout aussi menaçant. En témoignent les fuites de données massives de ces dernières années chez des géants du net pourtant normalement dotés d'une force de frappe IT conséquente : Yahoo, Adobe, Sony, etc. D'ailleurs, la tendance de pointe est aujourd'hui à la décentralisation (cf la blockchain), pas au regroupement massif de données au même endroit.

Personnellement, je préfère savoir mes informations médicales stockées localement sur une petite infrastructure bien sécurisée que chez un gros acteur privé qui se balade telle une bonne grosse cible vivante et va facturer ses services de plus en plus cher à mesure qu'il rendra ses clients captifs - il est en effet très difficile de changer de fournisseur de cloud une fois la techno choisie. La facilité à partager mon dossier médical vient après, c'est tout à fait dispensable (en plus de représenter un point faible supplémentaire pour la sécurité).

[VivienD]

L'exemple norvégien aurait, au contraire, dû inciter tout ce beau monde à ne pas stocker des données aussi sensibles sur un cloud public.

[MiaowZedong]

Pour le contexte, il faut savoir que le NHS est en pleine désintégration, forcé de donner un maximum de contrats au privé et affamé de fonds en même temps. Les hôpitaux ont massivement échoué à suivre la demande cet hiver. Le gouvernement actuel espère à terme l'achever et privatiser les restes. Il n'y a pas forcément les moyens d'envisager d'autres solutions, malheureusement.