Davantage d’infrastructures éligibles pour l’hébergement de données de santé

Jusqu’à présent, seuls les clouds privés (Dedicated Cloud et SDDC) étaient éligibles HDS. Lors du dernier OVHcloud Summit, nous avions annoncé la certification des serveurs dédiés. Dès aujourd’hui, ces serveurs dédiés HDS sont accessibles à tous les clients utilisant nos clouds privés HDS (SDDC 2018). La disponibilité de serveurs dédiés sans cloud privé est quant à elle réservée à nos partenaires Advanced.

Par ailleurs, nous avons revu les gammes de produits sur lesquelles nous fournissons de l’hébergement de données de santé. La nouvelle certification amène l’obligation pour chaque fournisseur de préciser sa qualité de service. Nous avons donc décidé de vous proposer la meilleure qualité disponible avec les gammes suivantes : Hosted Private Cloud SDDC et serveurs dédiés HG. Celles-ci offrent des taux de disponibilité minimum de 99,94 %.

Nos serveurs dédiés HG apportent davantage de liberté à l’ensemble de nos clients. En effet, ils sont adaptés aux traitements de données les plus exigeants : l’hébergement de bases de données haute performance, l’accès à des GPU de dernière génération pour le big data et l’IA, ou encore la fourniture d’espaces de stockage de très grande capacité. Combinés au vRack et à Hosted Private Cloud, ils permettent la mise en œuvre de systèmes d’information de santé performants.

D’un point de vue juridique, les conditions particulières HDS sur des serveurs dédiés diffèrent de celles appliquées aux clouds privés. Pour en savoir plus, nous vous invitons à vous rapprocher de notre service client. À noter que les opérateurs de serveurs dédiés HDS sont concernés par la certification HDS, sur les activités 3 à 6.

Un support renforcé

Notre service client a également beaucoup évolué. Nous avons désormais quatre niveaux de support, afin de mieux répondre aux besoins de nos utilisateurs. Notre équipe donne la priorité aux actions et résolutions d’incidents des clients bénéficiant des niveaux de support Business et Enterprise. Ceux-ci leur garantissent une première réponse en 30 minutes maximum, 24 h/24 et 7 j/7, et leur permettent d’obtenir les rapports d’incidents. Ils bénéficient en prime d’un programme d’intégration dès la souscription du contrat, puis d’un support personnalisé. La souscription du support Business s’effectue directement auprès de nos équipes commerciales.

Toutes nos offres d’hébergement de données de santé HDS entraînent la souscription du niveau de support Business, adapté aux contraintes liées à leur activité spécifique. Pour les clients nécessitant un niveau d’assistance encore plus élevé, il est possible d’opter pour le support Enterprise. Celui-ci garantit une première réponse en 15 minutes. Surtout, il permet de disposer à tout moment d’une équipe composée d’un Technical Account Manager et d’un Key Account Manager. Ces experts sont à même de fournir la meilleure expérience OVHcloud, par la prise en compte la plus fine de vos besoins, ainsi que via l’optimisation de vos infrastructures et des coûts associés.

Une tarification adaptée

La certification HDS impose des exigences accrues pour l’ensemble de nos clients, avec à la clé la nécessité pour la plupart d’entre eux d’être certifiés. C’est pourquoi nous avons décidé de baisser les tarifs de 20 % sur notre gamme de hosts SDDC 2018 HDS, hors support Business. Découvrez ci-dessous notre nouvelle grille tarifaire.

Les serveurs dédiés HG HDS sont disponibles à leur prix catalogue pour les clients déjà équipés d’un Hosted Private Cloud SDDC. Ils nécessitent, eux aussi, la souscription du niveau de support Business.

Les propositions de l’OVHcloud Partner Program pour le secteur de la santé

Le Partner Program se développe afin de proposer des services additionnels sur les infrastructures OVHcloud. Nous travaillons d’ores et déjà avec de nombreux infogéreurs certifiés pour l’hébergement de données de santé. Cette liste s’étoffera même dans les prochaines semaines, car plusieurs infogéreurs partenaires sont en cours de certification.

Au-delà de l’infogérance, l’OVHcloud Partner Program s’est aussi ouvert aux entreprises qui pourraient épauler nos clients. Ce type d’accompagnement peut prendre plusieurs formes (consulting, formation, certification…) et concerne tant la certification HDS que des problématiques plus générales, comme la gestion des risques ou encore la protection des données personnelles. L’objectif est de permettre à nos clients d’accéder à un écosystème compétent, reconnu et informé sur nos services et solutions.

Une offre adaptée pour héberger des systèmes d’information de santé

En résumé, nos clients HDS bénéficient dès maintenant :

• d’une baisse des tarifs d’Hosted Private Cloud SDDC 2018 certifié HDS, pour répondre à leurs besoins de scalabilité ;
• de serveurs dédiés pour compléter leur Hosted Private Cloud, avec des machines calibrées pour des besoins particuliers (GPU, stockage, bases de données…) ;
• du niveau de support Business (ou Enterprise au choix), pour les accompagner à tout moment ;
• de partenaires compétents sur les infrastructures OVHcloud, pour les aider à en tirer le meilleur parti !

Fin 2016, OVH a obtenu l’agrément pour l’hébergement de données de santé sur l’offre Private Cloud. Cet agrément est valable jusqu’au 24 octobre 2019. Durant toute la durée de cet agrément, les clients de l’offre OVH Healthcare s’appuyaient sur OVH pour respecter la loi. Après avoir accepté les conditions particulières de l’offre, ils n’avaient pas d’autre démarche à réaliser. Or, tous nos clients doivent respecter la PGSSI-S. Ils réalisent donc l’infogérance de tout ce qu’ils installent sur leurs Private Clouds.

Le changement réglementaire amené par le décret 2018-137 (article 2, sous-section 2) introduit 2 changements majeurs :

• Un schéma d’assurance qui repose sur des organismes de certification privés accrédités au lieu d’un agrément délivré par le ministère de la santé. La certification implique un audit sur site, par des auditeurs qualifiés et compétents. De plus, le référentiel de certification est fondé sur ISO27001, le référentiel mondialement reconnu pour le management de la sécurité de l’information.
• Les entités concernées par la certification sont beaucoup plus nombreuses car l’obligation de certification est partagée par toute la chaine de sous-traitance de l’informatique de santé. Toute entité de cette chaine qui contribue à au moins l’une des activités suivantes est concernée :

Nous avons régulièrement communiqué à nos clients et prospects ce changement depuis juillet 2018. Toute entité qui opère un système d’information de santé pour le compte d’un tiers doit être certifiée. C’est le cas de la majorité de nos clients. Pour eux, deux options sont possibles : 

• Certifier leurs activités. Dans ce cas, le client peut continuer à opérer en toute autonomie son système d’information de santé hébergé chez OVH.
• Faire appel à un prestataire infogéreur certifié. Le client transfère ses activités à certifier à un tiers certifié. 

Évolution de l’ASIP Santé sur l’activité 5 

L’ASIP Santé a annoncé en avril 2019 Santé retirer l’activité 5, « administration et l’exploitation du système d’information contenant les données de santé », de la certification. Cette évolution semble limiter le nombre d’acteurs concernés par la certification. Cependant, la prudence s’impose :   

• Jusqu’à la date de publication de ce post, la loi n’a pas changé (CSP article R1111-9), 
• De plus, les activités de nos clients dépassent le cadre de l’activité 5. Dans le cas d’utilisation de IaaS, la gestion des machines virtuelles, des briques middleware et la mise en place de la politique de sauvegarde sont sous la responsabilité du client. Ces activités sont à priori concernées par l’obligation de certification. Elles ne sont pas obligatoirement opérées par votre opérateur IaaS.
• Enfin, respecter les obligations de la PGSSI-S et du RGPD est essentiel pour les responsables de traitement. Le référentiel de certification HDS est cohérent avec ces 2 règlementations. 

Maîtriser le périmètre de la certification HDS

OVH a obtenu en mai 2019 la certification de l’offre Private Cloud OVH Healthcare. Toutes les activités sont certifiées à l’exception de l’activité 5. Par ailleurs, toutes les options du service Private Cloud sont aussi certifiées HDS. Le périmètre finalement certifié est plus large que celui annoncé l’an dernier. Toutefois, nos clients doivent quand même vérifier si leur certification est nécessaire.

En effet, le périmètre de notre certification ne concerne que les activités d’OVH, pas les activités de nos clients. Par conséquent, si le client :

• N’est pas le responsable des traitements qu’il nous confie et
• Ne bénéficie pas d’une exemption prévue par la loi (CSP L1111-8) ou précisée par l’ASIP Santé,

il doit se faire certifier. Ci-dessous, vous trouverez une liste non exhaustive d’activités opérationnelles qui nécessitent d’être certifié :

Le modèle d’assurance de la certification HDS repose sur la certification de chaque entité de la chaîne de sous-traitance. Chacun d’entre eux s’assure que leurs sous-traitants sont certifiés. Nos équipes sont à votre écoute pour vous aider à appréhender ce nouveau contexte.

Retour d’expérience sur ce qu’apporte la certification HDS 

Le passage à la certification amène de nombreux bénéfices pour chaque partie intéressée. Chez OVH, cette amélioration s’est traduite par : 

• Des conditions particulières pour l’hébergement de données de santé simplifiées. Bénéfice : un contrat plus lisible, et un partage de responsabilités mieux compris par chaque acteur.  
• La mise à disposition de documents supplémentaires à nos clients : déclaration d’applicabilité, rapport d’audit. Bénéfice : une approche et un langage commun en matière de sécurité de l’information de santé. 
• Un conseil clair auprès de nos clients et prospects : sauf cas particulier, tous nos clients devront à terme être certifiés ou avoir un infogéreur certifié.  Bénéfice : une amélioration continue de la sécurité, auditée et certifiée. 

Pour tout intermédiaire sous-traitant informatique : 

• La loi définit 6 activités certifiables. Bénéfices : un partage de responsabilités clarifié entre les acteurs du système d’information de santé. Ainsi que la possibilité de se spécialiser sur son cœur de métier (qu’il soit orienté informatique – par exemple infogérance d’applications critiques, ou la fourniture de IaaS – ou orienté métier – par exemple infogérance d’applicatifs métiers relatifs à l’épidémiologie, à la santé au travail…). 
• La certification démontre une approche sérieuse et auditable de la sécurité de l’information, sur la base de ISO 27001. Bénéfice : une différenciation par rapport aux prestataires non certifiés. 

Pour le responsable de traitement : 

• La certitude d’audits de sécurité réguliers et focalisés sur l’hébergement de données de santé. Bénéfices : une meilleure sécurité des traitements, une délégation des vérifications à des tiers compétents. Il est aussi possible d’auditer soi-même les fournisseurs sur le référentiel HDS.
• L’assurance qu’aucune des données confiée à un hébergeur certifié HDS sera exploité en-dehors des traitements qu’il met en œuvre. Bénéfice : Les sous-traitants certifiés garantissent leur respect du RGPD. 

Une démarche de conformité intégrée à l’environnement OVH 

La gestion de la conformité HDS est intégrée au sein des démarches de gestion de la sécurité du produit Private Cloud.  

« La Certification HDS est alignée sur la norme ISO 27001. Elle intègre des exigences visant à assurer la sécurité des données à caractère personnel et le respect des droits des patients. Ce dispositif complète de manière naturelle les démarches de sécurité déjà en place, de la même manière que nous intégrons les exigences du secteur bancaire (PCI DSS, DSP2) ou du secteur public (SecNumCloud) pour proposer un vrai cloud de confiance européen » Julien Levrard, Responsable conformité/sécurité.

Nous souhaitons permettre à nos clients de répondre aux cas d’usage les plus exigeants. C’est pourquoi l’offre Healthcare, aujourd’hui limitée à Private Cloud, va s’enrichir dans les prochains mois de services additionnels. A terme, nous saurons proposer toutes les briques d’infrastructure nécessaires à la mise en œuvre d’un système d’information complet dédié à la santé.