Par François Poulet CEO chez Youzer.
Les établissements de
santé sont parmi les organisations les plus ciblées en matière de
cyberattaques, et parmi les moins matures sur la gestion de leurs identités
numériques. Ce n'est pas un hasard. Des années de priorité donnée au soin, à
juste titre, des systèmes d'information construits par couches successives, des
équipes IT en sous-effectif chronique : la dette s'est accumulée mécaniquement.
Aujourd'hui, le constat est vertigineux.
Un retard structurel,
pas un simple décalage
Sur le terrain, la
réalité est connue de tous ceux qui travaillent avec les établissements de
santé. Les comptes partagés entre professionnels restent une pratique courante,
faute de mieux. Les applications fonctionnent en silos, sans communication
entre elles, ce qui rend impossible toute vision consolidée des accès.
Personne, dans beaucoup d'établissements, n'est en mesure de répondre
simplement à la question : qui a accès à quoi ?
La gestion des
intervenants extérieurs, vacataires, intérimaires, prestataires, est un angle
mort. Ils entrent, ils accèdent, ils partent, et leurs comptes restent. Les
accès ne sont pas sécurisés, les droits ne sont pas revus, les départs ne
déclenchent pas de suppression automatique.
Le cas du RPPS illustre
bien la profondeur du problème. Ce référentiel national, censé garantir
l'identification fiable de chaque professionnel de santé, devrait être une
brique élémentaire. Dans les faits, l'obtenir, le reporter correctement dans
les systèmes RH et les outils métiers, traquer les erreurs de saisie et les
doublons, représente une charge considérable pour des équipes IT déjà saturées.
On parle de la donnée d'identification la plus basique, et elle n'est pas
fiabilisée.
Ce n'est pas de la
négligence. C'est le résultat d'un secteur qui n'a jamais eu les conditions
pour industrialiser ce sujet.
L'État donne le cap et
un calendrier
HOP'EN 2, sur la période 2026-2028, et le programme HospiConnect posent un cadre clair.
Le volet
2 de HospiConnect porte explicitement sur la gouvernance des identités et la
gestion du cycle de vie des accès. Les financements sont là. Les objectifs sont
définis. Le message est limpide : la maîtrise des identités numériques n'est
plus optionnelle, c'est une brique structurante de la transformation numérique
en santé.
Le vrai défi : absorber
le sujet sans s'enliser
Le risque maintenant,
c'est que les établissements se retrouvent face à un mur. Des obligations à
respecter, des financements à mobiliser dans des délais contraints, et toujours
pas plus de bras. Le secteur santé n'absorbera pas un projet de gouvernance des
identités classique, étalé sur 18 mois, piloté par un cabinet de conseil
externe déconnecté des réalités opérationnelles.
Ce qu'il faut, c'est
une approche calibrée pour cette réalité : un déploiement rapide, un
accompagnement opérationnel qui peut aller jusqu'au service managé pour les
structures qui n'ont pas les ressources en interne, et une logique de résultats
concrets avant une logique de fonctionnalités. Pour ce secteur plus que pour
tout autre, l'accompagnement n'est pas un bonus. C'est la condition de
réussite.
La gouvernance des
identités est un sujet de confiance
Dans un secteur où la
donnée patient est parmi les plus sensibles qui existent, savoir qui accède à
quoi n'est pas un sujet IT périphérique. C'est un prérequis de confiance :
confiance des patients dans la protection de leurs données, confiance des tutelles
dans la conformité des établissements, confiance des équipes soignantes dans
les outils numériques qu'elles utilisent au quotidien.
Les établissements qui réussiront cette transition sont ceux qui traiteront la gouvernance des identités non pas comme un projet technique de plus à absorber, mais comme le socle sur lequel repose leur transformation numérique.