Les hôpitaux ont besoin de journaux d’audit dignes de confiance pour les organismes de régulation
Un hôpital peut généralement produire un journal d’accès sur demande. Mais bien peu peuvent répondre à une question plus délicate : une personne disposant d’un accès administrateur aurait-elle pu modifier discrètement ce journal avant de le remettre ? Si la réponse est oui, même en théorie, alors ce journal ne constitue pas une preuve. Il s’agit d’un document que toute personne disposant des bons identifiants pourrait rédiger pour y inscrire ce qu’elle souhaite sur l’accès aux dossiers patients.
Cet article analyse ce qui rend réellement une traçabilité d’audit fiable en tant que preuve pour un hôpital, et pourquoi la plupart des systèmes de santé échouent discrètement à ce test.
Résumé Exécutif
L’utilité d’une traçabilité d’audit pour un régulateur ou un enquêteur interne dépend entièrement de la confiance dans son intégrité, et cette confiance ne peut pas reposer uniquement sur la politique interne. Si l’accès administrateur au stockage sous-jacent du journal permet techniquement de le modifier, le fait que la politique l’interdise ne signifie pas que l’action soit impossible. Pour les responsables de la conformité, l’exigence est d’ordre architectural : une personne, même administrateur système, peut-elle effectivement modifier le journal ?
Résumé des points clés
- Un journal qu’un administrateur peut modifier ou supprimer n’est pas une preuve, quelle que soit sa précision.
- L’accès au stockage sous-jacent du journal doit être restreint par l’architecture, et non seulement par la politique.
- La séparation des tâches est aussi importante que la restriction des accès. La personne qui accède à un dossier patient et celle qui examine la traçabilité de cet accès ne doivent pas occuper le même rôle.
- L’exhaustivité et l’immédiateté font partie de la fiabilité, elles n’en sont pas dissociées.
- Les régulateurs demandent de plus en plus comment un journal est protégé, et pas seulement ce qu’il contient.
Pourquoi « Nous avons des journaux détaillés » n’est pas le bon point de départ pour les hôpitaux
La plupart des discussions sur les journaux d’audit portent sur la couverture. C’est important, mais cela ne répond pas à la question essentielle.
Un niveau de détail sans intégrité n’est qu’une belle histoire
Un journal très détaillé sur l’accès aux dossiers patients n’a de valeur que si l’on peut garantir que personne ne l’a modifié a posteriori.
La vraie question : qui aurait pu le modifier ?
La première question à se poser n’est pas ce que le journal enregistre, mais qui a la capacité technique de le modifier une fois rédigé.
Pourquoi l’intégrité d’un journal doit être architecturale et non procédurale
Une politique qui interdit aux administrateurs de modifier les journaux repose sur leur volonté de s’y conformer. Un contrôle architectural supprime la possibilité technique de faire autrement.
Aucun accès permanent au stockage sous-jacent du journal
La version la plus stricte de ce contrôle consiste à ce que ni les administrateurs IT de l’hôpital, ni le fournisseur de la plateforme, n’aient d’accès ordinaire au système d’exploitation ou à la base de données où sont stockés les journaux.
Les exceptions doivent rester des exceptions, pas des portes dérobées
Ce qui distingue une exception défendable d’une porte dérobée, c’est que cet accès soit temporaire, nécessite une double autorisation et soit lui-même entièrement journalisé.
La séparation des tâches comme deuxième garantie indépendante
Si le même rôle peut accéder à un dossier patient et examiner la traçabilité de cet accès, il existe un conflit d’intérêts évident.
Celui qui agit ne doit pas être celui qui audite
Une véritable séparation des tâches attribue la conformité, l’audit et la politique à des rôles distincts de l’administration opérationnelle.
Établir la norme avant que le régulateur ne l’exige
Le test pratique consiste à se demander, en toute honnêteté, qui pourrait techniquement modifier les journaux d’audit de l’hôpital, et si les rôles opérationnels et ceux d’audit sont réellement séparés.
Comment un Data Control Plane garantit l’intégrité probante dans l’architecture
Le Data Control Plane de Kiteworks fonctionne sur une architecture durcie où ni Kiteworks ni les administrateurs IT de l’hôpital n’ont d’accès ordinaire au système d’exploitation ou à la base de données sous-jacents, y compris au stockage du journal d’audit ; tout accès support est temporaire, nécessite une double autorisation et est lui-même entièrement journalisé. Les rôles dédiés Compliance et Auditor séparent l’administration opérationnelle des fonctions d’audit, et chaque action sur chaque canal est capturée de façon exhaustive et immédiate dans un journal d’audit infalsifiable et non limité alimentant directement les outils SIEM.
Les hôpitaux souhaitant vérifier si leur traçabilité d’audit résiste à la question « un administrateur aurait-il pu la modifier ? » peuvent réserver une démo personnalisée.
Foire aux questions
Un journal qu’un administrateur peut modifier ou supprimer ne constitue pas une preuve, quelle que soit sa précision, car une personne disposant des bons identifiants pourrait l’avoir modifié pour y inscrire ce qu’elle souhaite sur l’accès aux dossiers patients.
La confiance repose sur des contrôles architecturaux qui empêchent la modification des journaux, comme l’absence d’accès permanent au stockage sous-jacent pour les administrateurs IT ou les fournisseurs, et non sur la seule politique interne.
La séparation des tâches garantit que la personne qui accède à un dossier patient n’est pas celle qui peut examiner ou modifier la traçabilité de cet accès, évitant ainsi tout conflit d’intérêts.
L’exhaustivité et l’immédiateté font partie de la fiabilité, car les régulateurs demandent de plus en plus comment un journal est protégé et capturé en temps réel, et pas seulement ce qu’il contient, afin de s’assurer qu’il ne peut pas être modifié a posteriori.