Droits d’accès en clinique et compte bris de glace

Quand on parle de sécurité de l’information dans une clinique, l’imagination va vers une intrusion venue de l’extérieur. En pratique, la plupart des incidents que rencontrent les cliniques sont bien plus simples : un employé qui a consulté un dossier qu’il n’aurait pas dû consulter. Un voisin, un membre de la famille, une personne connue. Il n’y a pas là d’intention malveillante sophistiquée, il y a un droit d’accès trop large et une curiosité humaine.

Les droits d’accès ne sont donc pas un sujet technique mais un outil de gestion. Ils déterminent ce qu’il est possible de faire, et donc déterminent à l’avance quels incidents peuvent se produire.

Partir des rôles, non des personnes

L’erreur fréquente est de définir des droits pour chaque employé séparément. C’est commode au début et impossible à maintenir au bout d’un an : personne ne se souvient pourquoi telle personne a tel accès, et personne n’ose le restreindre. La bonne approche est de définir un ensemble réduit de rôles, de fixer pour chaque rôle ce qui est autorisé, et de rattacher les personnes aux rôles.

Une clinique typique s’en sort avec six rôles :

Rôle	Ce qui est permis	Ce qui ne l’est généralement pas
Administrateur système	Paramètres, utilisateurs, droits d’accès, journal d’audit	Pas nécessairement la consultation de la documentation clinique
Médecin ou soignant prescripteur	Dossier complet, visites, ordonnances, demandes et résultats	Modification des paramètres système
Soignant ou infirmier	Documentation clinique, indicateurs, exécution des prescriptions	Ordonnances, données financières
Équipe d’accueil	Agenda, données du patient, accueil, paiement	Documentation clinique complète, résultats de laboratoire
Comptabilité	Facturation, paiements, rapports financiers	Contenu clinique détaillé
Compte d’urgence	Accès large temporaire, sous réserve de justification et de traçabilité	Usage courant

La distinction que beaucoup manquent

Un droit d’accès n’est pas une question de oui ou non, mais de type d’action. Il y a une différence entre savoir qu’un enregistrement existe, en voir le contenu, en créer un nouveau, modifier et supprimer. L’équipe d’accueil doit savoir que le patient a une visite aujourd’hui et qui est le soignant, sans lire le compte rendu clinique. La comptabilité doit savoir qu’un soin justifiant une facturation a été réalisé, sans lire le détail.

Un système qui ne permet qu’un accès complet ou un blocage complet vous poussera vers l’accès complet, car autrement il est impossible de travailler. C’est un bon test lors de l’évaluation d’un système : demander à voir l’écran des droits d’accès et compter combien de types d’actions on peut définir.

Qu’est-ce qu’un compte « bris de glace »

Le terme vient de l’armoire d’urgence dont on brise la vitre pour atteindre ce qu’elle contient : possible, mais laissant une trace qu’on ne peut pas dissimuler. Dans le contexte des systèmes d’information médicale, c’est un mécanisme qui autorise un accès dérogatoire en situation d’urgence, au prix d’une traçabilité complète.

Pourquoi c’est nécessaire. Parce qu’une politique de droits d’accès trop stricte se brise au moment de vérité. Un soignant de garde qui doit voir le dossier d’un patient qui n’est pas le sien, à une heure où il n’y a personne pour l’autoriser, trouvera un moyen : il demandera le mot de passe d’un collègue, utilisera un compte partagé, contournera. Tout cela est pire qu’un mécanisme en bonne et due forme.

Un mécanisme correct ressemble à ceci :

1. L’utilisateur demande un accès dérogatoire et doit le justifier en texte libre. Pas de valeur par défaut ni de liste commode à sélectionner.
2. L’accès est accordé immédiatement — sinon le mécanisme est sans valeur en urgence — et limité dans le temps.
3. L’événement est journalisé clairement, et apparaît dans une liste distincte sans se noyer dans le journal général.
4. Quelqu’un de désigné passe en revue la liste régulièrement, par exemple une fois par semaine, et valide ou vérifie.

La règle : la dissuasion vaut mieux que le blocage, lorsque le blocage risque de nuire au soin. Une personne qui sait que son accès figurera dans une liste que quelqu’un lit se comporte autrement qu’une personne qui suppose que nul ne vérifie.

Un journal d’audit utilisable

Un journal d’audit existe dans presque tout système. La question est de savoir si l’on peut lui poser des questions. Trois questions dont il vaut la peine de vérifier qu’on peut y répondre en quelques minutes : qui a consulté le dossier d’un patient donné au cours des six derniers mois ; qu’a consulté un utilisateur donné à une date donnée ; et quels enregistrements ont été modifiés après avoir été signés.

Il vaut aussi la peine de vérifier deux points techniques. Premièrement, que le journal inclut aussi la consultation et non seulement la modification — une fuite est une consultation. Deuxièmement, que les lignes du journal sont protégées contre la modification, par exemple par une signature d’intégrité pour chaque ligne, de sorte que même celui qui a accès à la base de données ne puisse effacer discrètement des traces.

Cas sensibles à l’intérieur de la clinique

Chaque clinique soigne de temps à autre des personnes que l’équipe connaît : un employé, un membre de la famille d’un employé, une personne connue dans la communauté. Ce sont précisément les dossiers qui attirent la curiosité. Deux façons courantes d’y faire face. La première est de marquer le dossier comme sensible, de sorte que chaque ouverture exige une justification et apparaisse dans un rapport distinct. La seconde, lorsqu’il s’agit d’un employé de la clinique lui-même, est de restreindre le soin à un seul soignant désigné.

Ce qui importe n’est pas le mécanisme choisi mais le fait qu’il soit fixé à l’avance et par écrit. Une clinique qui décide en temps réel, après qu’un incident s’est déjà produit, prend une décision de moindre qualité et peine à l’expliquer.

Une routine de contrôle d’un quart d’heure

La sécurité de l’information dans une petite clinique ne tombe pas par absence de technologie mais par absence de routine. Quatre contrôles réalisables une fois par mois, en une réunion d’un quart d’heure :

1. La liste des utilisateurs actifs — travaillent-ils tous encore ici.
2. La liste des accès dérogatoires du dernier mois — chacun est-il justifié.
3. Un rapport des consultations de dossiers marqués comme sensibles.
4. La liste des droits d’accès modifiés ce mois-ci, et qui les a validés.

Une telle routine vaut plus que tout long document de politique, car elle crée l’attente que quelqu’un regarde. Et c’est cela, en fin de compte, qui change les comportements.

Maintenance courante : quatre actions

• Révocation de l’accès le jour du départ. Cela paraît évident, et c’est la défaillance la plus fréquente. Il vaut la peine de le lier au processus de fin de contrat.
• Revue des droits d’accès deux fois par an. Une liste de tous les utilisateurs et de leur rôle, sur une seule page. Toute ligne qui surprend — à vérifier.
• Pas de comptes partagés. Un compte d’accueil générique rend tout le journal d’audit sans valeur, car il est impossible de savoir qui a fait quoi.
• Les droits temporaires expirent réellement. Un accès accordé à un remplaçant pour un mois doit s’éteindre de lui-même, non subsister.

Et le responsable

Une question revient toujours : l’administrateur système a-t-il le droit de tout voir. La réponse admise est de séparer l’administration technique du contenu clinique. Celui qui gère les utilisateurs et les paramètres n’a pas à lire les dossiers médicaux, et son accès doit lui aussi être journalisé. Dans une petite clinique où la même personne remplit deux rôles, qu’il y ait au moins deux comptes distincts — un pour le travail courant et un pour les actions d’administration. Cette séparation ne coûte presque rien, et change entièrement la capacité d’expliquer après coup ce qui s’est passé.

Retour au blog