Société française fondée en 2014, Rubycat est l’éditeur de PROVE IT, une solution permettant de tracer/contrôler les accès et actions sensibles de la population à privilèges sur un SIH. Un contrôle et une auditabilité indispensables dans le secteur de la santé, soumis à un nombre important de réglementations et de recommandations (ANSSI, RGPD, OSE, HOP’EN…).
Sur l’ensemble des systèmes d’information, la gestion des accès aux équipements sensibles et privilèges est un enjeu central. La population à privilèges dispose par définition de droits plus élevés qu’un utilisateur lambda, comme l’accès à des consoles d’administrations, aux données sensibles et d’une manière plus générale, aux équipements d’infrastructure permettant le bon fonctionnement du SI.
Depuis 2014, HOP’EN imposait aux établissements cette traçabilité renforcée avant même l’arrivée, en 2018, du RGPD. Rubycat s’est spécialisée dans la gestion de ces accès sensibles, en développant un logiciel simple d’installation pour les structures clientes. “Notre fondation fait appel à une dizaine de prestataires externes avec un besoin d’accès à privilèges sur notre SI. Avant de contractualiser avec Rubycat, les interventions devaient être planifiées en amont pour donner les autorisations nécessaires aux télémainteneurs et nous devions à la fin de chaque journée couper tous les accès.
La manipulation était longue, ne permettait pas de la gestion de dernière minute et manquait beaucoup de souplesse pour les intervenants.”, témoigne Dimitri Martinescu, DSI de la Fondation Bon Sauveur de Bégard qui inclut un CHS et des structures médico-sociales et sociales dans les Côtes d’Armor. “Avec Anthony David, directeur technique et co-fondateur, nous avions travaillé auparavant dans le domaine des accès distants sécurisés. On ne pouvait pas savoir à l’époque ce que faisait un prestataire lorsqu’il intervenait sur un équipement sensible. Cette opacité sur les actions réalisées était un vrai point noir pour le SI. Avec PROVE IT, l’administrateur peut désormais contrôler les accès, enregistrer les actions effectuées sur les équipements sensibles avec la possibilité de les visualiser en temps réel ou ultérieurement, notamment en format vidéo.” explique Cathy Lesage, dirigeante de Rubycat.
Ce portail fédérateur permet à la DSI de contrôler qui peut accéder à quoi, de définir des rôles et des limites d’accès, d’être alerté, de visualiser l’activité et d’apporter une réponse plus rapide en cas d’incident. “L’ensemble des connexions des utilisateurs externes sont sécurisées, nous sommes immédiatement prévenus lors de nouvelles connexions, mais nous sommes également notifiés lorsque l’intervention est terminée. Nous pouvons même surveiller ou interrompre des connexions en cours.” éclaire M. Martinescu.
LA SÉCURITÉ CLÉ EN MAIN
PROVE IT, la solution PAM de Rubycat (Privileged Access Management), se présente sous la forme d’une appliance virtuelle facile à installer et administrer. Elle s’interface nativement avec l’écosystème existant, (VPN, concentrateurs de logs, solutions de gestion des événements sécurisée SIEM, solutions d’authentification forte). “PROVE IT ne change pas les habitudes de travail des utilisateurs, ils peuvent continuer à utiliser leurs clients natifs. En plus, un kiosque qui affiche les équipements autorisés est proposé à l’utilisateur. C’est très intuitif. Il suffit d’une formation de trois heures, aidant à la mise en service et aux transferts des compétences, pour que l’administrateur prenne l’outil en main.” continue Cathy Lesage.
PROVE IT s’installe de préférence sur une machine virtuelle dédiée sans agent à installer et s’adapte facilement, quelle que soit la taille de l’établissement. En effet, la licence est dimensionnée au nombre de connexions simultanées. Un pack “petit établissement de santé” est d’ailleurs disponible via CAIH, la centrale d’achat informatique hospitalière, qui crée des marchés publics à destinations des établissements de santé. La solution, qui a été certifiée Visa de Sécurité – CSPN par l’ANSSI en 2019 (Réf 2018/24), est disponible facilement sous forme de POC (Proof of Concept), formule très appréciée par les établissements. “Le fait de passer par un POC est très rassurant et sécurisant dans la relation avec un prestataire. On teste et on ne contractualise que si la solution nous convient vraiment.” résume M. Martinescu. La société bretonne s’implique dans l’évolution de l’informatique en santé en répondant présent lors des rassemblements annuels importants. “Nous serons présents sur SANTEXPO les 17,18 et 19 mai prochain (Stand F-39) pour échanger et conseiller les structures dans leurs projets.
Vous pourrez y voir les nouvelles fonctionnalités de PROVE IT, dont le portail web utilisateur, qui permet d’accéder nativement à des ressources web HTTP/S”, conclut la dirigeante.
La Gestion des accès à privilèges (PAM) est un maillon essentiel dans la gouvernance du SI, elle fait partie des 10 différentes solutions identifiées par l’ANSSI comme pouvant faire l’objet d’un projet d’acquisition suite au parcours de cybersécurité du plan France Relance.
Pour rappel, l’objectif du volet cybersécurité de France Relance piloté par l’ANSSI est de renforcer notamment la sécurité des établissements de santé et des organismes au services des citoyens (social, santé, formation, audiovisuel, sécurité) tout en dynamisant l’écosystème industriel français.
PROVE IT est éligible dans le cadre d’un « Appels à projets » de France Relance. Un co-financement de l’ANSSI jusqu’à 70% peut être proposé. N’hésitez pas à nous contacter pour échanger ensemble sur votre projet. Plus d’informations disponibles sur le site de l’ANSSI.
Contact : www.rubycat.eu ou sales@rubycat.eu
Carla BERNINI
Pages extraites sans titre
