Doctolib donne les clefs à Atos

Mercredi 25 mai, devant la presse, Atos et Doctolib ont partagé les grandes lignes de leur collaboration dans la protection des données de la scale-up tricolore. L’occasion également de revenir sur la récente enquête de Radio France concernant les limites du chiffrement de bout en bout sur les données de prise de rendez-vous sur Doctolib.

La numérisation du secteur de la santé avance à grand pas. Les attaques et leurs sophistications aussi ! C’est le constat que fait Jean-Baptiste Voron, chief technology officer cybersécurité d’Atos : « La santé est de plus en plus attaquée en exploitant les nouvelles fonctionnalités du secteur. Il y a un fort attrait pour la monétisation des données », alors que celles-ci s’échangent sur le marché noir entre 50 et 200 euros. « La pandémie a permis aux attaquants d’aspirer beaucoup de données », commente de son côté Doctolib.

Vers le 100 % cloud

Aussi, il faut agir pour rassurer. Pour tenter d’amener « le plus de sécurité possible et de confiance dans le logiciel », Doctolib a toujours opté pour la stratégie « move to cloud », souligne-t-elle. Aujourd’hui, la scale-up française est à 99.9 % sur le cloud et il doit rester des serveurs « uniquement pour les caméras de sécurité des locaux », ironise le responsable sécurité. Cette stratégie cloud a également été adoptée pour permettre d’adapter très rapidement la capacité d’accueil sur la plateforme. Ainsi, le jour de l’annonce du président de la République de la mise en place d’un pass sanitaire, le site Doctolib a reçu 3 millions de visites en même temps… Et la réactivité n’aurait pas été la même si la scale-up avait disposé de ses propres serveurs.

Liste des sous-traitants chargés de l’hébergement pour Doctolib (Source Doctolib.fr)

L’entreprise française a ainsi misé dès le départ sur Amazon Web Services (AWS) pour ses activités à Paris et Francfort. Ils ont des produits de sécurité de « très, très bonne qualité » affirme le responsable de la sécurité. Pour autant, Doctolib n’a pas souhaité mettre tous ses œufs dans le même panier et a donc décidé de collaborer également avec Atos. « Quand on parle de chiffrement, il y a toujours des clefs et une stratégie de gestion de ces clefs », indique Jean-Baptiste Voron, le CTO Cybersécurité d’Atos.  

À lire aussi : « Mon Espace Santé » Est-il sage de mettre tous ses œufs dans le même panier ?

Dans cette pyramide de clefs, la multinationale française s’est vue confiée le sommet : la clef maître. « Celle-ci est gardée dans un boîtier cryptographique, qualifié par l’Anssi. Pour faire une opération, il faut réunir cinq des sept personnes possédant un échantillon », assure-t-il. Soit le même principe de précaution « que pour le lancement d’un missile nucléaire ». 

Un chiffrement pas tout fait de bout en bout 

Toutefois, cette réunion « informative » s’est déroulée quelques jours après les résultats d’une enquête inédite menée par la cellule d’investigation de Radio France sur la protection des données de santé de Doctolib. Celle-ci indique qu’un nombre restreint d’employés, notamment dans les équipes informatiques, peut avoir accès aux rendez-vous passés et à venir des patients sur la plateforme et ce « lorsque le praticien donne son consentement sur le partage de son calendrier ». Ce fonctionnement, s’il est légal, contredit selon nous quelque peu l’affirmation d’une politique du chiffrement totalement « de bout en bout » des données personnelles sur le site. La scale-up française elle, insiste : à chiffrer plus encore, ce sont des fonctionnalités clés dont elle devrait se séparer… au détriment donc de l’expérience utilisateur qui a fait son succès.