L’essentiel

« Être dans le cloud » ou manipuler une information médicale ne suffit pas à qualifier un périmètre HDS. Il faut documenter la nature des données, les circonstances de leur recueil, le service rendu, le rôle de chaque acteur et les activités effectivement opérées.

1. Décrire le service avant le fournisseur

La première fiche de périmètre doit suivre le parcours de la donnée : collecte, transmission, conservation, administration, sauvegarde, accès support et restitution. Elle nomme l’entité à l’origine des données et celle pour le compte de laquelle chaque activité est réalisée.

2. Vérifier le certificat dans son détail

Le logo HDS d’un prestataire ne suffit pas. Il faut contrôler la validité du certificat, son titulaire, ses sites et services couverts, les activités certifiées et l’adéquation avec l’architecture réellement consommée. La même vérification s’applique aux sous-traitants en chaîne.

Une responsabilité ne disparaît pas dans la sous-traitance.

Le contrat doit rendre lisibles les rôles, les lieux, les mesures de sécurité, les notifications, les contrôles, la continuité, la réversibilité et les changements de sous-traitant.

3. Relier conformité et exploitation

La preuve attendue naît du fonctionnement réel : revues d’habilitations, journaux exploitables, correctifs, tests de restauration, gestion des incidents et exercices de continuité. Un dossier documentaire sans ces résultats opérationnels reste fragile.

4. Préparer les décisions d’architecture

  • Cartographier composants, flux, accès d’administration et localisations.
  • Isoler les responsabilités entre éditeur, infogérant et hébergeur.
  • Évaluer chiffrement, gestion des clés, identité et traçabilité.
  • Tester sauvegarde, reprise, export et effacement.
  • Organiser la surveillance des certificats et des changements de périmètre.

5. Livrable attendu d’un cadrage

La sortie utile est une matrice activités–acteurs–certificats, accompagnée des écarts contractuels et techniques, des hypothèses à confirmer et d’une trajectoire priorisée. Elle permet ensuite de consulter un hébergeur ou d’auditer un service sur un périmètre stable.

Évaluer votre situation HDS Qualifier un périmètre HDS