Combler les lacunes de la gouvernance des données fragmentées dans les systèmes de santé

La plupart des hôpitaux ne disposent pas d’une seule politique de gouvernance des données. Ils en ont plusieurs : une pour le dossier patient informatisé, une autre pour les e-mails, une différente pour le partage de fichiers, et souvent aucune politique cohérente pour le canal le plus récent, les outils cliniques assistés par l’IA. Chaque politique a été élaborée par une équipe différente, à un moment différent, en réponse à des exigences différentes. Individuellement, chaque politique peut sembler raisonnable. Mais ensemble, elles laissent apparaître des failles involontaires, que peu de personnes perçoivent.

Ces failles ne restent pas théoriques bien longtemps. Un dossier patient classé comme sensible dans le DPI peut circuler librement en pièce jointe d’un e-mail dès qu’il est transféré, car la politique du DPI ne suit pas le fichier à l’extérieur. Un jeu de données bloqué dans un système peut sortir via une intégration non couverte. Cet article explique pourquoi la gestion séparée de chaque canal garantit l’existence de ces failles dans les systèmes de santé, et ce qu’il faut réellement faire pour les combler.

Résumé Exécutif

La gouvernance des données dans les systèmes de santé, construite canal par canal, aboutit inévitablement à une protection incohérente, car chaque canal repose sur des outils conçus et configurés indépendamment, souvent par des équipes différentes cherchant à résoudre des problèmes immédiats. Le résultat n’est pas une série de risques acceptables séparément. Il s’agit d’un risque global équivalent au canal le plus faible, car les données patient circulent régulièrement entre les canaux et une politique qui s’arrête à la frontière d’un canal ne protège plus rien une fois la donnée transférée. Pour les responsables conformité, cela signifie qu’un audit canal par canal ne permet pas de détecter ce risque. Il faut auditer ce qui arrive à un dossier patient précis lorsqu’il passe d’un canal à l’autre.

Résumé des Points Clés

1. Une gouvernance fragmentée signifie qu’un même dossier patient peut être protégé sur un canal et exposé sur un autre. Une règle de classification ou d’accès appliquée dans un système accompagne rarement la donnée lorsqu’elle circule ailleurs.
2. Les pièces jointes sont l’endroit le plus fréquent où une politique cesse silencieusement de s’appliquer. Un dossier bien protégé dans le DPI peut être envoyé en pièce jointe d’un e-mail, sans que les restrictions du système d’origine ne s’appliquent.
3. Chaque canal supplémentaire est un point de plus où une faille peut se cacher. DPI, e-mail, partage de fichiers et désormais outils cliniques IA nécessitent chacun une couverture, et une faille dans l’un d’eux suffit.
4. La classification doit être une propriété de la donnée, et non du système où elle se trouve. Un tag ou un label de sensibilité ne protège les données patient que s’il persiste lors des transferts entre canaux.
5. Un moteur de politique unique couvrant tous les canaux comble la faille que les outils par canal ne peuvent éviter. L’application de la politique doit être évaluée de la même façon, quel que soit le canal par lequel circule la donnée.

Pourquoi la Gouvernance par Canal Était la Norme, et Pourquoi Elle Ne Fonctionne Pas pour les Systèmes de Santé

La plupart des systèmes de santé ont abouti à une gouvernance fragmentée à la suite de décisions individuelles raisonnables, et non d’une mauvaise décision unique. Le DPI a été choisi et sécurisé, puis l’e-mail a été choisi et sécurisé séparément, chaque projet ayant son propre budget, responsable et définition de réussite.

Chaque Outil Résout Son Propre Canal, Pas le Parcours Complet de la Donnée

Les contrôles d’accès du DPI déterminent qui peut ouvrir, télécharger ou partager un dossier dans ce système. Ils n’ont aucune visibilité ni autorité sur ce qui se passe une fois le dossier envoyé en pièce jointe d’un e-mail, copié dans un autre système ou extrait via une intégration. Chaque outil a été conçu pour bien gouverner son canal. Aucun n’a été conçu pour suivre la donnée une fois sortie.

Les Politiques Sont Rarement Harmonisées Entre Canaux Après Coup

Une fois chaque canal doté de son propre outil de gouvernance et de ses propres administrateurs, harmoniser les politiques devient un projet sans propriétaire. Cela suppose de comparer des règles écrites dans des langages différents, appliquées par des systèmes différents, couvrant des catégories de données patient qui se recoupent sans être identiques. En pratique, cette harmonisation n’a quasiment jamais lieu dans son ensemble.

Où la Faille Se Manifeste Concrètement pour les Systèmes de Santé

Le risque théorique d’une gouvernance fragmentée devient bien réel à des points précis et prévisibles, lorsque les données patient franchissent la frontière d’un canal.

Le Problème des Pièces Jointes

Un dossier bien protégé dans le DPI est, du point de vue de la plupart des systèmes de messagerie, simplement un fichier qu’un utilisateur choisit de joindre. Les règles d’accès, de rétention et de partage du DPI ne suivent pas le fichier dans l’e-mail. Une fois envoyé, le fichier est soumis à la politique, souvent bien plus légère, du système de messagerie.

Le Problème des Intégrations et des Outils Cliniques IA

Les systèmes de santé connectent en permanence différents systèmes, via des intégrations et, de plus en plus, des outils cliniques IA qui lisent et résument les données patient pour le compte du clinicien. Chaque intégration constitue un canal potentiel pour la circulation de données sensibles, gouverné par sa propre configuration d’accès, souvent minimale, plutôt que par la politique de données du système de santé.

Pourquoi la Classification Doit Suivre la Donnée

Pour combler ces failles, il faut changer de point de départ : au lieu de demander à chaque canal d’appliquer sa propre version d’une politique, il faut évaluer la politique de la même façon, quel que soit le canal où se trouve la donnée.

Tags et Classification Comme Propriétés Portables

Lorsqu’un dossier est tagué comme sensible dès son entrée dans le DPI, cette classification doit le suivre partout où il circule ensuite, afin que la même restriction s’applique systématiquement, au lieu de revenir à la politique par défaut du canal suivant.

L’Application des Règles Doit Cibler le Passage de Relais, Pas Seulement Chaque Canal

Le moment le plus risqué pour un dossier patient est le passage d’un canal à l’autre, pas son stockage dans l’un ou l’autre. Une gouvernance qui applique bien les règles dans le DPI et dans la messagerie, mais ne dit rien sur le fait d’attacher un dossier à un e-mail, ne comble pas la faille.

Auditer la Fragmentation Plutôt que Canal par Canal

Le changement concret pour la fonction conformité d’un système de santé consiste à ne plus se demander séparément « notre DPI est-il sécurisé » et « notre messagerie est-elle sécurisée », mais à s’intéresser au parcours d’un dossier patient sensible lorsqu’il passe d’un canal à l’autre.

Comment un Data Control Plane Comble la Faille Entre les Canaux

Combler la fragmentation ne nécessite pas de remplacer tous les outils spécifiques à chaque canal sur lesquels un système de santé s’appuie déjà. Il s’agit d’ajouter une couche de gouvernance qui surplombe et englobe l’ensemble, en évaluant la même politique sur les mêmes données, quel que soit le canal par lequel elles transitent.

Le Data Control Plane de Kiteworks applique un ensemble unique de règles zero-trust sur tous les canaux par lesquels circulent les données sensibles, y compris l’e-mail, le partage de fichiers, les API et les agents IA. La classification appliquée automatiquement à l’entrée des données dans le système les accompagne tout au long de leur parcours, de sorte que la même restriction s’applique à un dossier dans le DPI, lors de sa tentative d’envoi par e-mail ou via une intégration. Chaque décision d’application, sur chaque canal, est enregistrée dans un journal d’audit infalsifiable et non limité qui s’intègre directement aux outils SIEM.

Les systèmes de santé souhaitant identifier leurs propres failles entre canaux peuvent réserver une démo personnalisée pour comparer l’application cohérente d’une politique unique sur tous les canaux à leur approche actuelle, segmentée par canal.