Politique de gestion des incidents de sécurité
1. Objectif
Le Centre Hospitalier de Blois met en œuvre une politique de gestion des incidents de sécurité visant à :
détecter rapidement tout incident de sécurité des systèmes d’information ou de fuite de données personnelles ;
limiter les impacts éventuels sur la confidentialité, l’intégrité et la disponibilité des données ;
respecter les obligations réglementaires de notification auprès de l’Autorité de contrôle (CNIL) et, le cas échéant, des personnes concernées.
2. Définition d’un incident de sécurité
Constitue un incident de sécurité tout événement :
compromettant la confidentialité, l’intégrité ou la disponibilité des systèmes d’information ou des données traitées (incluant les données médicales) ;
résultant d’un acte malveillant (cyberattaque, rançongiciel, intrusion…) ou accidentel (erreur humaine, panne matérielle, défaillance logicielle, divulgation involontaire).
3. Organisation et acteurs
La gestion des incidents de sécurité relève :
du Responsable de la Sécurité des Systèmes d’Information (RSSI), également Délégué à la Protection des Données (DPO) : M. Hugues Duroir ;
de la cellule de crise interne en cas d’incident majeur, associant la Direction générale, la Direction des Systèmes d’Information, la Direction des Affaires Juridiques et l’ensemble des parties prenantes concernées.
4. Processus de traitement des incidents
a. Détection
Mise en place de systèmes de supervision, de détection d’intrusion et de monitoring des systèmes critiques.
Sensibilisation des utilisateurs à signaler immédiatement tout comportement anormal ou suspicion d’incident.
b. Qualification
Analyse rapide de l’incident : nature, ampleur, gravité, périmètre impacté.
Qualification selon la typologie d’incident (mineur, majeur, critique).
c. Contention et remédiation
Mise en œuvre immédiate de mesures de confinement : isolement des systèmes impactés, suspension temporaire d’accès si nécessaire.
Correction des vulnérabilités et restauration des systèmes.
Vérification de l’intégrité des sauvegardes avant tout redémarrage.
d. Notification
En cas de violation de données personnelles : notification à la CNIL dans un délai de 72 heures après la découverte de l’incident (conformément à l’article 33 du RGPD).
Information des personnes concernées lorsque l’incident est susceptible d’engendrer un risque élevé pour leurs droits et libertés (article 34 du RGPD).
e. Documentation
Tenue d’un registre interne de tous les incidents de sécurité recensés.
Élaboration d’un rapport d’incident détaillant : la chronologie des faits, les actions menées, les impacts constatés et les mesures correctives appliquées.
f. Retour d’expérience
Analyse post-incident pour renforcer les dispositifs de prévention.
Mise à jour des procédures internes en fonction des enseignements tirés.
5. Mesures préventives complémentaires
Politique de sauvegardes régulières et tests de restauration.
Audits de sécurité réguliers.
Mise à jour des systèmes et correctifs de sécurité (patch management).
Sensibilisation et formation continue du personnel aux risques cyber et aux bonnes pratiques.
6. Confidentialité
Toutes les informations relatives aux incidents de sécurité sont strictement confidentielles et ne peuvent être communiquées qu’aux autorités légalement habilitées et aux personnes concernées.