Kiteworks détient la certification NEN 7510-1:2024 pour la protection des données de santé aux Pays-Bas
La norme NEN 7510-1:2024 impose aux prestataires de soins de santé néerlandais, aux établissements de santé et aux sous-traitants traitant des informations médicales protégées, notamment les hôpitaux, les établissements de soins de longue durée, les organismes de santé mentale et les praticiens exerçant en solo, de mettre en place et de maintenir un système de gestion de la sécurité de l’information certifié, tel que défini dans la norme officielle NEN 7510-1:2024.
Kiteworks détient déjà cette certification : Zivver, désormais intégré à Kiteworks, figure sur le certificat NL 3069.1.1, délivré par Brand Compliance B.V., accrédité par le RvA, et vérifié sur la page officielle de certification de la NEN, confirmant que son ISMS est conforme à la norme. La plateforme associe le double chiffrement, une architecture zéro trust et un moteur de règles de données appliquant des accès basés sur les rôles et les attributs, offrant ainsi aux organisations une voie certifiée vers la conformité.
Gouvernance des accès et chiffrement des données de santé sur chaque terminal
Les établissements de santé doivent contrôler qui accède aux informations médicales protégées à chaque point d’accès, qu’il s’agisse de connexions de praticiens ou de sessions à distance. Cette norme impose l’authentification multifactorielle pour tout système accédant aux données de santé, le chiffrement des supports amovibles et des sauvegardes, ainsi que la séparation stricte des rôles. Sans gestion centralisée du cycle de vie des identités et de la garde des clés de chiffrement, il devient difficile de maintenir le principe du moindre privilège tout en prenant en charge le SSO, les utilisateurs externes et la segmentation réseau zéro trust.
Prouver l’amélioration continue de l’ISMS sans preuves fragmentées
Prouver l’amélioration continue selon cette norme exige des objectifs de sécurité mesurables, des évaluations périodiques des risques, un suivi permanent des contrôles et une supervision des changements de fournisseurs, le tout étayé par des preuves documentées.
Les règles de gouvernance du cloud au titre de l’A.5.23 imposent également de localiser précisément où se trouvent les données de santé et qui y a accès.
Réunir ces preuves à partir de systèmes déconnectés et garantir la responsabilité au sein des équipes conformité et des fournisseurs met à rude épreuve les outils existants de la plupart des organisations.
Détecter, réagir, prouver les incidents dans des délais contraints
Respecter l’exigence de gestion des incidents de cette norme implique de détecter les événements de sécurité, d’y répondre selon des procédures documentées, de préserver des preuves recevables juridiquement et de suivre les vulnérabilités et la capacité, tout en synchronisant les horloges et en analysant les fichiers journaux conformément à l’A.8.15. Coordonner ces tâches à travers des outils de surveillance disparates, vérifier la recevabilité des preuves et offrir au personnel un canal de reporting fiable représente un défi pour les équipes dépourvues d’une plateforme unifiée de sécurité opérationnelle.
Gouvernance des accès Zero Trust avec clés de chiffrement détenues par le client
Le Data Policy Engine de Kiteworks applique des contrôles ABAC et RBAC avec des paramètres par défaut de moindre privilège, tandis que SCIM, LDAP/SAML SSO et la gestion des utilisateurs externes automatisent le cycle de vie des identités.
L’authentification multifactorielle s’appuie sur RADIUS, PIV/CAC et OTP.
Le double chiffrement au repos, les clés détenues par le client et l’intégration HSM garantissent la garde des clés par l’organisation, conformément à l’obligation de chiffrer supports amovibles et sauvegardes.
SafeVIEW, SafeEDIT et un périmètre zero trust avec pare-feu intégrés et détection d’intrusion basée sur l’IA séparent les rôles administrateur et utilisateur final.
Reporting consolidé de conformité et contrôle de la souveraineté des données
Le Data Policy Engine de Kiteworks met en œuvre la gouvernance des accès via ABAC et RBAC, tandis que les rapports de conformité couvrant les journaux d’audit, les menaces internes et externes, le RGPD et HIPAA fournissent des preuves mesurables de l’efficacité des contrôles. Les journaux d’audit associés aux flux SIEM normalisent l’activité dans un flux unique, et l’accès administrateur basé sur les rôles attribue une fonction conformité dédiée qui sépare les responsabilités. La souveraineté des données et le géorepérage stockent et routent les données dans le pays assigné à l’utilisateur, tandis que les clés détenues par le client et le cloud privé à locataire unique assurent la garde des clés.
Flux SIEM en temps réel et préservation légale des preuves
Les journaux d’audit associés aux flux SIEM agrègent chaque événement de sécurité dans un flux unique, non limité, transmis en temps réel à ArcSight, QRadar, Splunk et LogRhythm. La détection d’intrusion et d’anomalies basée sur l’IA identifie toute activité suspecte avant qu’elle ne devienne une faille. La mise sous séquestre légale et l’eDiscovery avec contrôles d’accès réservés aux administrateurs Data Leak Investigator préservent les preuves conformément à l’A.5.28. Les formulaires de données sécurisés offrent au personnel un canal de reporting, tandis que la synchronisation NTP et la surveillance SNMP permettent de suivre les horodatages, la capacité et les vulnérabilités.
Foire aux questions
Les organismes de santé doivent imposer l’authentification multifactorielle pour tout système manipulant des données de santé, chiffrer les supports amovibles et les sauvegardes, maintenir la séparation des tâches et mettre en œuvre une gestion centralisée du cycle de vie des identités avec la garde des clés de chiffrement afin de garantir le principe du moindre privilège, le SSO et la segmentation zéro trust.
Elles doivent définir des objectifs de sécurité mesurables, effectuer des évaluations de risques régulières, surveiller en continu les contrôles, superviser les changements de fournisseurs et conserver des preuves documentées, notamment en assurant la traçabilité précise des emplacements et des accès aux données de santé selon les règles de gouvernance cloud telles que l’A.5.23.
Les équipes doivent détecter les événements, suivre des procédures de réponse documentées, préserver des preuves juridiquement recevables, suivre les vulnérabilités et la capacité, synchroniser les horloges et analyser les journaux conformément à l’A.8.15, tout en coordonnant leurs actions sur des outils disparates sans plateforme unifiée d’opérations de sécurité.
Kiteworks s’appuie sur son Data Policy Engine pour appliquer des contrôles ABAC et RBAC avec des paramètres par défaut basés sur le moindre privilège, automatise la gestion du cycle de vie des identités via SCIM/LDAP/SAML SSO, prend en charge la MFA grâce à RADIUS/PIV/CAC/OTP, propose le double chiffrement au repos avec des clés détenues par le client et une intégration HSM, et impose la séparation des rôles via SafeVIEW, SafeEDIT et un périmètre zéro trust avec détection d’intrusion basée sur l’IA.