Doctolib donne les clefs à Atos

La numérisation du secteur de la santé avance à grand pas. Les attaques et leurs sophistications aussi ! C’est le constat que fait Jean-Baptiste Voron, chief technology officer cybersécurité d’Atos : « La santé est de plus en plus attaquée en exploitant les nouvelles fonctionnalités du secteur. Il y a un fort attrait pour la monétisation des données », alors que celles-ci s’échangent sur le marché noir entre 50 et 200 euros. « La pandémie a permis aux attaquants d’aspirer beaucoup de données », commente de son côté Doctolib.

Vers le 100 % cloud

Aussi, il faut agir pour rassurer. Pour tenter d’amener « le plus de sécurité possible et de confiance dans le logiciel », Doctolib a toujours opté pour la stratégie « move to cloud », souligne-t-elle. Aujourd’hui, la scale-up française est à 99.9 % sur le cloud et il doit rester des serveurs « uniquement pour les caméras de sécurité des locaux », ironise le responsable sécurité. Cette stratégie cloud a également été adoptée pour permettre d’adapter très rapidement la capacité d’accueil sur la plateforme. Ainsi, le jour de l’annonce du président de la République de la mise en place d’un pass sanitaire, le site Doctolib a reçu 3 millions de visites en même temps... Et la réactivité n’aurait pas été la même si la scale-up avait disposé de ses propres serveurs.

[caption id="attachment_107855" align="alignleft" width="300"]

Liste des sous-traitants chargés de l'hébergement pour Doctolib (Source Doctolib.fr)[/caption]

L’entreprise française a ainsi misé dès le départ sur Amazon Web Services (AWS) pour ses activités à Paris et Francfort. Ils ont des produits de sécurité de « très, très bonne qualité » affirme le responsable de la sécurité. Pour autant, Doctolib n’a pas souhaité mettre tous ses œufs dans le même panier et a donc décidé de collaborer également avec Atos. « Quand on parle de chiffrement, il y a toujours des clefs et une stratégie de gestion de ces clefs », indique Jean-Baptiste Voron, le CTO Cybersécurité d’Atos.

À lire aussi : « Mon Espace Santé » Est-il sage de mettre tous ses œufs dans le même panier ?

Dans cette pyramide de clefs, la multinationale française s’est vue confiée le sommet : la clef maître. « Celle-ci est gardée dans un boîtier cryptographique, qualifié par l’Anssi. Pour faire une opération, il faut réunir cinq des sept personnes possédant un échantillon », assure-t-il. Soit le même principe de précaution « que pour le lancement d'un missile nucléaire ».

Un chiffrement pas tout fait de bout en bout

Toutefois, cette réunion « informative » s’est déroulée quelques jours après les résultats d’une enquête inédite menée par la cellule d’investigation de Radio France sur la protection des données de santé de Doctolib. Celle-ci indique qu’un nombre restreint d’employés, notamment dans les équipes informatiques, peut avoir accès aux rendez-vous passés et à venir des patients sur la plateforme et ce « lorsque le praticien donne son consentement sur le partage de son calendrier ». Ce fonctionnement, s’il est légal, contredit selon nous quelque peu l’affirmation d’une politique du chiffrement totalement « de bout en bout » des données personnelles sur le site. La scale-up française elle, insiste : à chiffrer plus encore, ce sont des fonctionnalités clés dont elle devrait se séparer… au détriment donc de l’expérience utilisateur qui a fait son succès.

Ce qui est chiffré chez Doctolib :

• Les données de santé (ordonnances, résultats d'analyse, document médical) : elles sont chiffrées au repos, en transit et de bout en bout.
• Les données rendez-vous (date du rendez-vous, nom du praticien, motif de consultation) elles sont chiffrées au repos et en transit.
• Les données administratives (nom, prénom, adresse du patient) : elles sont chiffrées au repos et chiffrées en transit.