ISO 27001 · Santé
ISO 27001 pour santé : le certificat en ligne pour votre structure
Hôpitaux, assurances et groupes de cabinets demandent à leurs prestataires de prouver comment ils protègent les données de santé. L'ISO 27001 est le référentiel qu'ils citent le plus. Avec Zertify, vous passez une évaluation en ligne et obtenez un certificat vérifiable publiquement.
01: Demande
Pourquoi le secteur de la santé demande l'ISO 27001
Un éditeur de logiciel de cabinet, un laboratoire d'analyses ou une plateforme de téléconsultation reçoivent tous le même document de leurs clients : un questionnaire fournisseur sur la sécurité de l'information. Hôpitaux, cliniques, groupes de cabinets et assurances veulent savoir où sont stockées les données, qui y accède et ce qui se passe en cas d'incident.
Les données de santé comptent parmi les plus sensibles qu'une entreprise puisse traiter. Une fuite touche des patients identifiables, pas un simple fichier d'adresses. Le service achats d'un établissement préfère donc un référentiel reconnu à une série de réponses libres.
Dans certains appels d'offres, la certification figure comme critère d'éligibilité ou comme point de notation. Sans elle, vous remplissez chaque questionnaire à la main, et chaque client vous audite à sa manière. Un certificat ISO 27001 répond à la plupart de ces questions d'un seul coup, avec un numéro que le client peut contrôler.
02: Risques
Quels risques propres à la santé la norme ISO 27001 couvre-t-elle ?
Au centre de la norme se trouve l'appréciation des risques. Vous recensez ce qui peut mal tourner avec vos informations, puis vous choisissez les mesures de l'Annexe A qui y répondent. Voici des situations que connaissent les structures de santé.
- Accès au dossier patient
- Une collaboratrice de l'accueil ouvre des dossiers dont elle n'a pas besoin. Réponse : droits d'accès par fonction et journal des consultations.
- Envoi de résultats
- Un rapport de laboratoire part par e-mail non chiffré vers une mauvaise adresse. Réponse : canal d'envoi sécurisé et règle de vérification du destinataire.
- Sous-traitants informatiques
- Le logiciel métier est hébergé dans le cloud et son éditeur intervient à distance. Réponse : exigences écrites envers le fournisseur et contrôle de ses accès.
- Appareils mobiles
- Une tablette utilisée lors de visites à domicile est perdue dans un train. Réponse : chiffrement du disque, verrouillage et effacement à distance.
- Panne ou rançongiciel
- Le système de planification et les dossiers ne sont plus accessibles un lundi matin. Réponse : sauvegardes testées et plan de reprise.
03: Exigences
Comment une structure de santé remplit les exigences clés
Les exigences de la norme sont les mêmes pour toutes les organisations. Ce qui change, c'est la forme qu'elles prennent dans un cabinet de groupe, un laboratoire ou un éditeur de logiciel médical.
| Exigence | Exemple dans une structure de santé |
|---|---|
| Évaluer les risques liés à la sécurité de l'information | Liste des systèmes qui contiennent des données patients, avec pour chacun la menace la plus probable et son impact. |
| Définir une politique et des objectifs de sécurité | Une politique d'une page signée par la direction, avec un objectif mesurable, par exemple zéro envoi de résultats non chiffré. |
| Mettre en oeuvre les mesures de sécurité (Annexe A) | Authentification renforcée sur le logiciel de cabinet, chiffrement des postes portables, règles pour les prestataires externes. |
| Établir une déclaration d'applicabilité (DdA) | Tableau qui indique pour chaque mesure de l'Annexe A si elle s'applique, pourquoi, et où elle est documentée. |
| Sensibiliser et former les collaborateurs | Séance annuelle pour le personnel médical et administratif sur l'hameçonnage et le traitement des supports de données. |
| Gérer les incidents de sécurité | Procédure pour signaler une erreur d'envoi ou un poste perdu, et registre des incidents avec les mesures correctives. |
04: Zertify
Obtenir l'ISO 27001 pour la santé avec Zertify
Zertify délivre le certificat à partir d'une auto-évaluation en ligne, sans audit sur site. Le questionnaire compte 48 questions auxquelles on répond par oui ou par non. Treize d'entre elles reprennent des exigences obligatoires de la norme : toutes doivent recevoir un oui. Parmi les 35 autres, au moins 24 oui sont nécessaires pour réussir.
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Vous le recevez dans les 4 heures après la réussite et le paiement. Il porte un numéro et un code QR : un client ou un service achats peut le contrôler sur la page de vérification publique.
Le prix est de 849 CHF (849 €) la première année, puis de 569 CHF (569 €) par an, nouvel audit en ligne annuel inclus. Le certificat est valable 3 ans. Vous n'avez pas besoin de compte pour acheter.
05: Déroulement
De l'évaluation au certificat, étape par étape
Voici comment se déroule la démarche pour une structure de santé qui dispose déjà de règles de base.
Répondre aux 48 questions
La personne qui connaît le mieux vos systèmes répond, en général le responsable informatique ou la direction. Les questions portent sur vos pratiques réelles.
Combler les écarts
Si une exigence obligatoire reçoit un non, vous la mettez en place, par exemple en rédigeant la politique de sécurité, puis vous refaites l'évaluation.
Payer en ligne
Le paiement se fait sans création de compte. Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein.
Recevoir le certificat
Le PDF avec numéro et code QR arrive dans les 4 heures. Vous pouvez le joindre à une offre ou à un questionnaire fournisseur.
Confirmer chaque année
Un court audit en ligne confirme chaque année que votre situation correspond toujours aux réponses données.
L'abonnement annuel se renouvelle automatiquement. Vous le résiliez à tout moment dans votre espace client pour la fin de l'année en cours, et le certificat prend alors fin avec l'année payée. Si vous visez plusieurs normes, le rabais est de 20 % pour deux normes et de 30 % pour trois ou plus, également sur la redevance annuelle.
06: Comparaison
Audit sur site ou évaluation en ligne : que choisir ?
La voie classique passe par un audit sur site réalisé par un organisme de certification. À titre indicatif, elle demande plusieurs mois de préparation et un budget de plusieurs milliers de francs, selon la taille de l'entreprise. Pour un grand hôpital qui impose cette démarche à ses fournisseurs, elle peut rester nécessaire.
L'évaluation en ligne convient aux petites et moyennes structures qui doivent présenter rapidement une preuve claire à leurs clients : un éditeur de logiciel pour cabinets, un laboratoire régional, un prestataire de facturation médicale. Lisez le texte de l'appel d'offres avant de choisir. S'il exige expressément un audit sur site, vous le verrez à la première page des conditions.
07: FAQ
Questions fréquentes sur l'ISO 27001 pour la santé
08: Guide
Pages associées
Vérifiez où en est votre structure
L'auto-évaluation de 48 questions vous montre en quelques minutes si vous atteignez le seuil de l'ISO 27001.
Gratuit et sans inscription.