Hôpital Numérique : assurer l'auditabilité du Système d'Information en maîtrisant les identités et habilitations

Pour assurer les processus de gestion des comptes et des habilitations de qualité, le Centre Hospitalier (CH) de Bourg-en-Bresse a mis en place avec l'aide d'ENOVACOM Identity Manager, un annuaire de ses personnels.
 
Le Directeur des Systèmes d’Information et de l’Organisation (DSIO) Florent Séverac et le Responsable de la Sécurité Informatique (RSI) Thomas Plantard dévoilent les caractéristiques essentielles d'un tel projet qui mènera les personnels vers un authentique Single Sign-On (SSO).

Afin d'en assurer une qualité de déploiement, il a été décidé de créer un annuaire centralisé des agents et de procéder par étapes.
 
« Le projet d'automatisation des habilitations est aujourd'hui en cours sur trois applications, témoigne Thomas Plantard. Nous avons tout d'abord assuré la consolidation des données, puisque l'annuaire des agents que nous avons réalisé recherche automatiquement leurs informations personnelles, identité, type de contrat, métier et lieu d'affectation notamment, dans le logiciel des Ressources Humaines ».
 
Ces nouvelles dispositions relèvent d'un changement radical des pratiques, puisque les comptes étaient auparavant saisis manuellement par la DSI pour les applications, par le DIM pour le dossier patient ou le logiciel de prescriptions, ou par les services.




« Nous avons mis en production également, dans un deuxième temps, le flux Active Directory, qui permet de se connecter, sur un PC de l'hôpital, à une boîte mail, à certains logiciels métiers et aux ressources partagées des unités fonctionnelles, poursuit-il. Ce couple UF/Métier est selon nous très important pour obtenir des habilitations pertinentes. Enfin, le dernier flux opérationnel aujourd'hui est celui des contrôles d'accès physiques aux nouveaux bâtiments ».
 
Cette première phase réalisée, d'autres applications vont bénéficier des paramétrages issus de l'annuaire. « Au premier trimestre 2016, nous devrions mettre en place les accès et les habilitations vers les logiciels de prescription Pharma, de gestion administrative Convergence qui donne accès au dossier patient et à Bluemedi, le logiciel de gestion de la qualité », annonce Thomas Plantard.



Cette nouvelle philosophie nécessite la prise en compte de nombreux paramètres afin d'obtenir des informations exhaustives sur les activités des agents.
 
« Il est important de bien gérer la façon de renseigner les identités, en relation avec les affaires médicales et la responsable des Ressources Humaines, remarque-t-il. Il faut désormais saisir les données en temps réel et nous avons, par exemple, planifié une mise à jour de l'annuaire trois fois dans la journée pour bien suivre les mouvements de personnels ».
 
L'un des objectifs majeurs de la création de cet annuaire est de centraliser les données d'agents exerçant dans des lieux différents. À terme, cette gestion centralisée de l'annuaire pourrait être étendue à l'ensemble de la CHT/GHT.



Un autre objectif de taille est de simplifier l'accès des agents aux applications et de sécuriser leurs habilitations.
 
« Le Single Sign-On (SSO) reste un but à atteindre, l'annuaire étant la base de celui-ci, remarque Thomas Plantard. Il s'agit de proposer aux agents un code d'authentification unique et complexe pour accéder à toutes les applications pour lesquelles ils sont autorisés. Un utilisateur doit aujourd'hui retenir 8 à 10 mots de passe pour le faire. Il y a une vraie volonté de simplifier ce processus, en lien d'ailleurs avec les recommandations d'Hôpital Numérique. Le SSO, qui est très attendu des personnels d'ailleurs, sera effectif lorsque toutes les applications essentielles auront été paramétrées, je pense en 2017 ».
 
L'annuaire est donc la clé de voûte du système. Mais comment procéder pour qu'il soit pertinent et exhaustif ?

« Les étapes clés d'un tel projet relèvent de plusieurs domaines, conclut Thomas Plantard. Il faut tout d'abord une vraie qualité d'échanges entre la DSI, la RH et les autres services comme le DIM. La variété des paramètres qui entrent en jeu, comme les caractéristiques métiers, les affectations dans les services, la réglementation, nécessitent de bien communiquer et de réfléchir en amont aux informations qui seront présentes dans l'annuaire pour une précision maximale de celles-ci. Sans compter sur les cas particuliers relatifs aux intérimaires ou aux stagiaires. Il faut ensuite créer une matrice des habilitations. Nous avons élaboré, pour cette opération, un fichier Excel de 700 lignes et 20 colonnes répertoriant, selon les couples métier/UF, les accès à tel répertoire, telle boîte mail, tel logiciel métier, etc.
 
Nous avons travaillé plusieurs semaines entières avec la RH et le DIM pour finaliser cette matrice. C'est un passage obligé pour limiter au maximum les exceptions qui pourraient se faire jour et assurer une information exhaustive ».

La société ENOVACOM, créée en 2002, s'appuie aujourd'hui sur une équipe de plus de 95 experts afin de répondre aux enjeux de tous les établissements de santé.
 
Près de 1 500 établissements de santé lui font actuellement confiance, et 93% d'entre eux se déclarent très satisfaits par ses services.
 
http://www.enovacom.fr