Ce guide s’adresse aux établissements de santé et aux GHT candidats au Domaine 2 du programme CaRE (stratégie de continuité et de reprise d’activité).
Il explique comment organiser dans Tenacy le suivi des prérequis et des objectifs, jusqu’au dépôt de la déclaration d’atteinte des objectifs, puis comment entretenir ce que vous avez construit. Il ne remplace pas les documents officiels de l’Agence du Numérique en Santé (ANS), qui font référence.
1. CaRE Domaine 2 en bref
Le Domaine 2 vise à préparer l’établissement à continuer son activité en cas de cyberattaque, puis à la reprendre, notamment grâce à des sauvegardes sécurisées. Il se compose de deux prérequis et de quatre objectifs :
D2.P1 et D2.P2 : une PSSI à jour et la description de l’organisation projet pour le plan de continuité et de reprise d’activité.
D2.O1 : gouvernance, procédures de crise cyber, plans de continuité et de reprise (PCA/PRA), exercice terrain.
D2.O2 : politique et plans de sauvegarde et de restauration.
D2.O3 : système de sauvegarde sécurisé (authentification, cloisonnement, 3-2-1, supervision).
D2.O4 : tests de sauvegarde et de restauration.
Chaque objectif est atteint ou non. Il se prouve par des pièces justificatives, déposées une fois sur le guichet de l’ANS. Dans Tenacy, vous suivez donc l’avancement avec des actions, puis vous organisez les tests et l’entretien avec des tâches récurrentes.
Et le Domaine 1 ? Le Domaine 1 (annuaires techniques et exposition sur Internet) est un autre volet du programme, dont le guichet de déclaration est clos. Il ne remplace pas D2 et D2 ne le remplace pas. Si vous l’avez modélisé dans Tenacy, conservez-le : ses audits de l’annuaire (AD) peuvent continuer à alimenter vos mesures de sécurité, et le score ORADAD sert de nouveau en D2.O3.A.
2. Pourquoi suivre CaRE D2 dans Tenacy
CaRE D2 demande de coordonner des documents, des tests et des preuves venant de plusieurs équipes, parfois de plusieurs établissements, sur plusieurs mois. Tenacy y répond de plusieurs façons :
Un seul endroit pour la PSSI et le programme. Les actions CaRE s’appuient sur les mesures de votre PSSI : ce que vous faites pour CaRE améliore aussi votre conformité, et vous le voyez dans vos scores.
Des responsables, des statuts et des dates sur chaque action, avec la pièce justificative attendue décrite dans l’action. Vous savez qui doit livrer quoi, et quand.
Une vue multi-établissements. Le pilote suit l’avancement de tous les établissements, relance ceux qui sont en retard, et chacun peut voir ce que les autres ont déjà produit (un BIA, un PCRA) pour ne pas repartir d’une feuille blanche.
Un suivi qui continue après le dépôt. Les tâches récurrentes et les indicateurs entretiennent ce que vous avez construit, au lieu de laisser les documents vieillir jusqu’au prochain programme.
Un tableau de bord prêt pour vos instances : avancement par objectif et par établissement, tests réalisés.
3. Avant de commencer
Périmètres. Créez un périmètre par établissement. Le suivi et les comparaisons se font périmètre par périmètre.
PSSI. Intégrez-la dans Tenacy. Le prérequis D2.P1 exige une PSSI validée et revue entre le 16 juillet 2022 et le dépôt.
Rôles. Désignez un pilote du programme et, par établissement, un contributeur qui renseignera l’avancement. Dans un GHT, le pilotage est porté par l’établissement support.
Documents ANS. Gardez à portée le guide des prérequis et objectifs D2 et la check-list des preuves à vérifier avant dépôt.
4. Les outils à utiliser
Action simple. Une action ponctuelle sans impact sur le score de couverture (exemple : mettre en place une gouvernance).
Action d’amélioration. À utiliser quand l’établissement a déjà la mesure de sécurité correspondante et doit la renforcer. Elle a un gain d’efficacité, qui se répercute sur le score une fois l’action terminée.
Tâche récurrente. Pour ce qui doit être refait régulièrement (test, revue, exercice, renseignement d'une métrique). Elle doit être rattachée à une mesure de sécurité.
Métrique et indicateur. La métrique est la valeur que l’on renseigne. L’indicateur est ce qui la représente dans le tableau de bord : il peut combiner plusieurs métriques, par exemple pour présenter un pourcentage.
5. Organiser le plan d’action
Structure recommandée :
Un groupe d’actions « CaRE D2 Prérequis » (les actions sont normalement déjà terminées).
Puis un groupe par objectif du texte D2, avec les actions de chaque établissement.
Exemple pour D2.O1 (« Inclure la gestion de la continuité et de la reprise d’activité dans la gouvernance des établissements ») :
Pour chaque établissement, créez trois actions au sein du groupe D2.O1 :
Mettre en place une gouvernance de la continuité et de la reprise d’activité, au niveau GHT ou local : action simple.
Décrire les procédures de réponse à la gestion de crise cyber : action d’amélioration liée à la mesure "Gestion de crise sécurité" si cette mesure est déjà implémentée sur vos périmètres.
Formaliser un plan de continuité d’activité (PCA) et un plan de reprise d’activité (PRA) : action d’amélioration, avec trois tâches, une par type de service :
"Service de soins : formaliser un BIA, un PCA et un PRA, et identifier un référent métier", à décliner pour le service administratif et le service médico-technique.
Pour D2.O1.D (tester la mise en œuvre d’un PCA) et D2.O4 (tester la sauvegarde et la restauration), le test est suivi par une tâche récurrente (voir section 7).
Correspondance entre objectifs, pièces et Tenacy. Créez une action par exigence, avec dans la description l’objectif concerné (par exemple D2.O1.A) et la pièce attendue. Joignez la pièce à l’action quand c’est possible. Les périodicités indiquées sont des exemples : l’ANS n’en impose aucune.
Objectif | Pièces attendues par l’ANS (principales) | Dans Tenacy |
D2.P1 | PSSI validée et revue depuis le 16/07/2022, ou document de présentation signé | PSSI intégrée dans les politiques, action avec pièce jointe pour la revue |
D2.P2 | Document d’organisation projet (équipe, gouvernance) | Action simple |
D2.O1.A | Schéma de gouvernance signé par la direction, compte rendu d’instance de validation | Action simple, GHT ou locale |
D2.O1.B | Plan blanc avec volet numérique, procédures de signalement montante et descendante | Action d’amélioration par établissement sur la mesure "Gestion de crise sécurité" |
D2.O1.C | BIA et PCRA sur 3 périmètres minimum (service de soins, plateau technique, processus administratif) | Action d’amélioration par établissement sur la mesure "Continuité / reprise d'activité (BCP DRP)", comprenant une tâche par type de service |
D2.O1.D | PCA testé, scénario, retour d’expérience, planning des autres exercices | Tâche récurrente de test de mise en œuvre du PCA, une par établissement |
D2.O2.A | Politique de sauvegarde et de restauration mise à jour depuis le 16/07/2022 | Action d’amélioration sur la mesure "Gestion des sauvegardes" |
D2.O2.B | Plans de sauvegarde des SI critiques identifiés en D2.O1.C | Une action par SI critique |
D2.O3.A | Rôles, authentification forte, audit ORADAD ≥ 3 si AD dédié | Action, métrique du score ORADAD |
D2.O3.B | Schéma d’architecture, procédure d’isolation des serveurs de sauvegarde | Action |
D2.O3.C | Trajectoire vers le 3-2-1 (schéma cible, jalons) | Action |
D2.O3.D | Exemples de rapports de supervision, procédures de traitement des alertes | Action |
D2.O4 | Périmètre des tests, cahier de tests, référents métiers | Tâche récurrente de test de sauvegarde et de restauration liée à la mesure "Gestion des sauvegardes", une par établissement, avec métriques |
6. Cas d’un GHT : bien comprendre les mesures
Dans un GHT, une même exigence CaRE peut être portée par l’établissement support ou par chaque établissement. Dans Tenacy, la réponse dépend de la façon dont la mesure de sécurité est déclarée.
Rappel : la notion de mesure. Une mesure de sécurité est mise en œuvre sur un périmètre, dit périmètre opérateur. Elle peut :
être propre à ce périmètre : seul le périmètre opérateur est concerné ;
bénéficier à d’autres périmètres, dits bénéficiaires : ils profitent de la mesure sans la mettre en œuvre eux-mêmes.
Posez-vous la question pour chaque exigence CaRE :
Les établissements bénéficient-ils automatiquement de ce que fait le GHT ? Par exemple, une solution mutualisée dont ils se servent tous sans la gérer : la mesure est offerte par l’établissement support. L’action d’amélioration ou la tâche récurrente se porte sur le périmètre opérateur.
Chaque établissement doit-il mettre en œuvre et prouver la mesure de son côté ? Par exemple, sa propre procédure ou ses propres tests : la mesure est propre à chaque périmètre. Chaque établissement porte ses actions et ses tâches, et vous suivez la performance périmètre par périmètre.
Pour les documents portés par le GHT sans lien avec une mesure (par exemple un schéma de gouvernance), une action simple sur le périmètre de l’établissement support suffit. Elle n’a pas d’impact sur le score de couverture. Vous pouvez la décliner par établissement pour responsabiliser chacun.
Une action simple portée par l’établissement support ne fait pas progresser le score des autres établissements.
7. Tâches récurrentes
Le Domaine 2 demande de prouver des objectifs au moment du dépôt. Il ne fixe pas de périodicité, mais deux objectifs reposent sur des tests (D2.O1.D et D2.O4) et plusieurs demandent de maintenir des documents à jour. Les tâches récurrentes servent à cela.
Un registre dédié
Créez un registre « Programme CaRE Domaine 2 » pour regrouper les tâches récurrentes, métriques et indicateurs du programme. Cela facilite le suivi et le reporting. Si une tâche couvrant déjà le besoin existe (créée pour soutenir votre PSSI), réutilisez-la plutôt que d’en créer une seconde, et intégrez-la au suivi CaRE.
Deux types de tâches récurrentes
Créez un groupe par objectif, avec une tâche par établissement :
Tester la mise en œuvre d’un PCA dans un exercice terrain (D2.O1.D). Dans l’exemple, la tâche est mensuelle, sans métrique associée. A vous de définir la périodicité selon votre planning de test.
Tester la sauvegarde et la restauration (D2.O4). Dans l’exemple, la tâche est annuelle, avec des métriques annuelles. Chaque établissement reste libre de la fréquence à laquelle il teste ses sauvegardes et ses restaurations : les périodicités ci-dessus sont des exemples.
Nommage de vos tâches récurrentes
Nous vous recommandons d'intégrer le code de l’objectif suivi d’une lettre ou d’un code pour l’établissement dans l'identifiant de chaque tâche récurrente. Exemple : D2.O1.D.L pour l’exigence D de l’objectif 1 du Domaine 2, établissement "Lille". Vous retrouvez ainsi facilement chaque tâche dans le tableau de bord.
Responsables. Positionnez un responsable sur chaque tâche récurrente. Faites de même pour chaque métrique, dans l’onglet « Affectations et délégations ».
8. Métriques et indicateurs
Métriques pour les tests de sauvegarde et de restauration
Pour chaque établissement, créez deux métriques annuelles :
nombre de tests de restauration réalisés ;
nombre de tests de restauration prévus.
Ces deux métriques se multiplient par le nombre d’établissements. Ajoutez une description, par exemple : « Merci de préciser les dates de chaque test et de joindre une preuve. »
Si vous souhaitez aussi compter les tests de PCA, vous pouvez créer une métrique « nombre de tests de PCA réalisés » de la même manière.
Associer la métrique à la tâche. Quand la même personne est responsable de la tâche et de la métrique, associez la métrique à la tâche récurrente. Le contributeur renseigne alors la valeur de la métrique en même temps qu’il valide la tâche, sans passer par deux onglets. Plus d'informations dans cet article.
Indicateurs
Avec les métriques « réalisés » et « prévus », vous pouvez créer :
un indicateur de performance « taux de réalisation des tests de restauration », qui calcule le rapport entre les deux, avec une valeur cible de 100 % ;
un indicateur d’activité « nombre de tests de restauration réalisés », pour garder la donnée brute.
La métrique « prévus » évite de modifier la valeur cible chaque année si l’objectif de tests change.
Bonnes pratiques
Choisissez la périodicité dès la création. Elle ne peut plus être modifiée une fois l’historique constitué. Adaptez-la à votre organisation, parmi celles proposées par Tenacy.
Restez raisonnable. Mieux vaut peu de tâches réellement suivies qu’une centaine jamais renseignées.
9. Construire le tableau de bord
Un tableau de bord organisé comme le programme facilite le suivi. Voici une structure éprouvée, à adapter :
Prérequis : un bloc de progression pour D2.P1 et D2.P2.
Pour chaque objectif (D2.O1 à D2.O4), un bloc global, qui affiche :
la progression (le pourcentage du plan d’action réalisé) ;
les actions en cours ;
les actions terminées.
Puis, en dessous, les mêmes blocs en histogramme par établissement.
Pour aller plus loin (optionnel)
Tâches récurrentes : un bloc qui montre, par établissement, les tâches faites et celles en retard.
Indicateurs : le taux de réalisation et le nombre de tests de restauration, établissement par établissement.
Version consolidée avec la PSSI : si vous voulez une vue unique, ajoutez un rappel des scores de conformité, la vue radar de la PSSI par thématique, le score de couverture en radar par type de mesure, une jauge de progression et des focus par référentiel (par exemple l’instruction ministérielle ou la certification HAS).
Questions fréquentes
Dois-je joindre les pièces dans Tenacy ?
Pas obligatoirement. Vous pouvez les conserver ailleurs et indiquer le lien dans l’action.
Dois-je créer des tâches récurrentes pour atteindre les objectifs D2 ?
Pour les objectifs de test (D2.O1.D et D2.O4), elles sont un bon moyen de suivre les tests établissement par établissement. Pour les autres, les actions et leurs pièces suffisent. Les tâches récurrentes sont recommandées pour entretenir ce que vous avez construit.
Dois-je rattacher mes tâches récurrentes à des mesures de sécurité ? Lesquelles ?
Ce n’est pas obligatoire. Rattachez-les quand elles correspondent à un élément de votre PSSI (par exemple la continuité d’activité ou la gestion des sauvegardes) : leur réalisation alimente alors votre score de conformité, même après le dépôt.
Puis-je réutiliser une tâche récurrente qui existe déjà ?
Oui. Si une tâche créée pour votre PSSI couvre le besoin, inutile de la dupliquer.
Puis-je changer la périodicité d’une tâche récurrente ?
Pas une fois l’historique constitué. Il faut recréer la tâche, avec perte de l’historique.