Responsable de la sécurité des systèmes d'information de santé (DU)

Présentation

• Bloc 1 : Définition, planification et mise en place d’une organisation et d’un système de management de la sécurité de l’information
• * Définir le périmètre et les enjeux du Système de Management des SI de Santé
• * Documenter le Système de Management des SI de santé
• * Piloter le Système de Management des SI de santé
• * Assurer le suivi de la performance et l’amélioration du Système de Management des SI de Santé
• Bloc 2 : Recensement, analyse et traitement des risques liés à la sécurité du SI de santé
• * Recenser les risques pesant sur les systèmes d’information de santé
• * Identifier les risques pesant sur les systèmes d’information de santé
• * Évaluer les risques pesant sur les systèmes d’information de santé
• * Etablir un plan de traitement des risques pesant sur les systèmes d’information de santé
• * Sensibiliser les parties prenantes à la sécurité et la protection des données de santé
• Bloc 3 : Prévention et gestion des incidents de sécurité de l’information
• * Prévenir les incidents de sécurité de l’information
• * Gérer les incidents de sécurité et organiser la gestion de crise liée à la sécurité de l’information

Compétences attestées

• Identifier les réglementations relatives à la cybersécurité et s’appliquant à la protection des données de santé en France en utilisant les informations mises à disposition (plateforme institutionnelle, plateforme de veille active,…)
• Déterminer le rôle et planifier les missions des référents métier de l’organisme, en étant attentif au personnel de statut RQTH, pour organiser efficacement la gestion et la mise en œuvre des mesures de sécurité de l’information
• Rédiger et communiquer la politique de sécurité des systèmes d’information (PSSI), les procédures de sécurité et les guides composant le Système de Management de la Sécurité de l’Information en respectant le formalisme et le mode de transmission requis par la norme ISO27001.
• Définir et piloter les activités, les projets et l’ensemble des moyens humains, organisationnels, financiers, et techniques nécessaires à assurer la sécurité du SI de santé telle que décrit dans la norme ISO27001.
• Animer des réunions avec une ou plusieurs équipes projet pour le déploiement des mesures de sécurité organisationnelles et techniques (en collaboration avec des spécialistes comme les informaticiens, juristes, services généraux…)
• Rédiger un cahier des charges techniques et fonctionnelles (CCTP) ou une demande de proposition (Appel d’offres) afin de trouver les fournisseurs adaptés pour maitriser les risques de sécurité de l’information
• Construire, alimenter et mettre à jour des tableaux de bord pour assurer le suivi de la performance du système de management de la sécurité de l’information de santé.
• Évaluer le niveau de sécurité du système d’information sur la base de rapports et résultats d’audits techniques interne ou externe et des solutions de sécurité en place.
• Préparer et conduire des audits par rapport à des référentiels internes ou externes relatifs à la sécurité de l’information.
• Animer des interviews avec les référents métiers, en étant attentif au personnel de statut RQTH, afin de recueillir les besoins de sécurité et identifier les écarts aux obligations requises par l’ANSSI, en prenant en compte toutes les dimensions (technique, organisationnelle, humaine, juridique, réglementaire).
• Rédiger un rapport d’audit proposant des actions d’améliorations organisationnelles et techniques afin de sécuriser le SI de santé.
• Identifier et analyser les risques pesant sur les systèmes d’information de santé en appliquant la méthode d’analyse de risques de l’ANSSI, Expression des Besoins et Identification des Objectifs de Sécurité (EBIOS).
• Évaluer les risques pesant sur les systèmes d’information de santé en prenant en compte leur probabilité d’occurrence et les impacts en termes de disponibilité, intégrité et confidentialité sur les informations de santé.
• Prioriser les risques et proposer des solutions organisationnelles et techniques pour traiter les risques conformément à la méthode d’analyse de risques EBIOS.
• Rédiger les documents synthétisant les besoins de sécurité, les menaces, les objectifs de sécurité ainsi que le plan de traitement des risques en respectant les attendus de la méthode EBIOS.
• Organiser et animer des réunions pour présenter les résultats de l’analyse de risques à des décideurs non experts en sécurité de l’information afin de les convaincre d’investir dans la sécurisation des systèmes d’information de santé (direction de l’établissement, partenaires…).
• Piloter un programme de sensibilisation à la cybersécurité et de conduite du changement auprès des utilisateurs finaux pour favoriser l’adoption des bonnes pratiques et améliorer la culture de sécurité de l’organisme.
• Réaliser une veille technologique du SI sur les dernières vulnérabilités, les menaces et une veille technique relative aux solutions de sécurité.
• Élaborer une méthodologie de réponse à incident pour faire face aux risques de sécurité physique ou numérique et réagir rapidement et efficacement en cas d’attaques.
• Établir les procédures relatives à la prévention et réactions à un incident de sécurité telles que la procédure de gestion des incidents, le plan de reprise d’activité ou le plan de sauvegarde du système d’information de santé
• Assurer la formation et l'entraînement des référents métiers, en étant attentif au personnel de statut RQTH, afin d'améliorer la capacité de l'organisme de santé à réagir à une cyberattaque et limiter les impacts de celle-ci.
• Définir un processus d’escalade et une organisation de crise afin de traiter les incidents urgents de sécurité conformément à la réglementation en vigueur concernant les systèmes d’information de santé.
• Communiquer les étapes de résolution de l’incident aux parties intéressées
• Organiser des retours d’expériences afin de capitaliser sur les incidents passés et améliorer le traitement des incidents à venir (clients, managers, direction générale, institutions…)

Blocs de compétences (3)

Voies d'accès

• Après un parcours de formation continue
• Par expérience

Emplois accessibles

• * Responsable Sécurité des SI dans un Groupement de Coopération Sanitaire ou un Groupement Hospitalier de Territoire
• * Responsable de la sécurité de systèmes d’information (RSSI) ou Référent Sécurité de l’Information (RSI)
• * Gestionnaire de la sécurité des données, des réseaux et des systèmes
• * Expert(e) sécurité informatique
• * Administrateur(trice) sécurité informatique
• * Consultant(e) ou auditeur(trice) en sécurité de l’information de santé

Secteurs d'activité

• Dans le secteur Santé, le RSSI exerce au sein de :
• * Établissements de santé publics et privés (CHRU, hôpitaux, cliniques, laboratoires, maison de santé, EHPAD, …)
• * Groupements Hôspitaliers de Territoire (GHT) ou Groupements d’Intérêt Public (GIP) en Santé
• * Agence du Numérique en Santé (ANS) ou Agence Regional de Santé (ARS)
• * Industrie pharmaceutique, cosmétique / bien-être
• * Service (éditeur logiciel, télémédecine, …)
• * Structures de conseil ou d’audit en Santé
• La taille des organisations concernées peut aller de la Très Petite Entreprise (TPE) au grand groupe international. Il peut s’agir d’un organisme public ou privé.

Réglementations

L’exercice du métier de RSSI de Santé ne nécessite pas de détention d’une habilitation ou d’une certification spécifique. Cependant les établissements de santé peuvent être soumis, dans certaines conditions, à des réglementations spécifiques tels que le NIS pour les Organismes d’Importance Vitales (OIV) ou les Organismes de Services Essentiels (OSE). es règlementations sont intégrées à la certification professionnelle. Et en étant sur le territoire européen et traitant de données personnelles de citoyens européens, les organismes dans lesquels exerceront les candidats seront soumis au Règlement Général sur la Protection des Données (RGPD), ce dont tient compte le contenu du référentiel de compétences, qui est également aligné avec les attentes de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) et répond aux attentes des organismes de santé à travers l’intégration des standards ISO27001, ISO27002 et ISO27005/EBIOS RM. Enfin les réglementations spécifiques au domaine de la santé telles que la certification HAS des établissements de santé ou la certification HDS pour les organismes qui hébergent ou traitent des données de santé pour le compte d’établissements sont également intégrées à la certification professionnelle.

Composition des jurys

Offres d'emploi en cours via France Travail

Métiers visés (codes ROME)

Informations générales

Code

RNCP37767

Type d'enregistrement

Enregistrement sur demande

Date de décision

19/07/2023

Date d'effet

—

Fin d'enregistrement

19/07/2026