Sécurité

Etude en ligne

La sécurité des données est souvent considérée comme le principal frein par les promoteurs à l'utilisation systématique des CRFs électroniques. Et ce, malgré l'absence total de contre indication juridique ou légale même pour les études les plus exigeantes, à condition de suivre les normes et réglementations en la matière (FDA 21 CRF Part 11, CNIL, ICH).

Pour prendre en compte la sécurité des données contre la malveillance, les erreurs humaines et les risques de défaillances matérielles ou logicielles. La sécurité doit s'exercer à différents niveaux qui ont chacun leurs solutions propres.

L'identification des utilisateurs consiste à connaître l'identité de la personne qui se connecte et garantir que c'est bien elle. Au niveau applicatif, INES repose sur le couple Nom et Mot de passe personnel associé avec des règles de renouvellement, nombre de caractères minimum du mot de passe et non réutilisation des précédentes valeurs.
Cette méthode peut être complétée par des systèmes de clé privée pour chaque utilisateur et des lecteurs externes de carte à puce ou reconnaissance des empreintes digitales. L'acquisition de ces systèmes peut se justifier par les recomandations médicaux-légales en fonction de la nature des données à traiter.

Le transfert des données est géré par le protocole standard SSL s'appuyant sur des clés de cryptage de 40 à 128 bits. Le site d'hébergement de 3Es est exclusivement accessible sur le port " https ". Comme pour l'identification des utilisateurs, une clé privée peut également être attribuée à chaque utilisateur.

Le contrôle des intrusions est assuré par l'hébergeur. Celui-ci fournit l'infrastructure logicielle et matérielle pour assurer la connexion du serveur WEB avec le réseau Internet. Les Firewalls sont configurés pour n'autoriser que les accès minimum. L'hébergeur met en ouvre des automates de surveillance 24h/24 pour détecter les l'intrusions extérieures. Certes il n'est pas possible d'affirmer aujourd'hui qu'un système déjouera 100% des tentatives d'intrusions, mais ce risque est-il pour autant plus important que celui de consulter par une personne non autorisée les CRFs papiers directement dans leur lieu de stockage dans les centres ?.
L'intrusion peut également être physique dans les locaux de l'hébergeur. Ceux ci sont sous la surveillance de caméras internes et externes et chaque personne dispose de son propre badge d'accès.

La défaillance matérielle ou logicielle recouvre les pannes matérielles occasionnant des pertes de données ou une indisponibilité temporaire du système, et les défaillances logicielles ou " Bug ".
3Es utilise une architecture matérielle d'hébergement basée sur deux serveurs fonctionnant sous Windows NT 2000 disposant d'alimentations redondantes et de disques RAID. En fonctionnement normal, l'un d'eux est le serveur WEB et l'autre le serveur de la base de données. En cas de défaillance matérielle, la machine restante peut assurer les deux fonctions et donc la continuité de fonctionnement.
La maintenance des machines est assurée sur site par le constructeur.
Bien entendu, les données sont sauvegardées quotidiennement sur cassette et conservée dans des coffres ignifugés.

La sécurité fonctionnelle se traite au niveau de l'application. Elle concerne l'autorisation d'utiliser les fonctions du logiciel. INES dispose d'un dispositif de sécurité très performant qui lui permet de contrôler les autorisations au niveau le plus fin. Les autorisations sont affectées à des groupes d'utilisateurs. Chaque utilisateur hérite des droits des groupes auxquels il appartient.
Cependant, cette méthode très classique ne suffit pas pour les études car elle est avant tout statique. Hors, par exemple, le droit de modifier les données d'une page de CRF va évoluer dans le temps et dépendre de l'état de cette page. Pour résoudre ce point, INES s'appuie entièrement sur son moteur de WORKFLOW qui gère l'attribution des droits en fonction d'un processus pré établit qui permet d'associer à chaque étape du traitement d'une page, les actions qui peuvent être réalisées et par qui peuvent elles l'être.

L'accès aux données consiste à présélectionner les patients en fonction de l'utilisateur connecté. INES propose une notion de rôle dans l'étude. Un utilisateur peut prendre les rôles d'investigateur, ARC, Chef de projet ou coordinateur. Par exemple, un investigateur ne pourra consulter que les patients qu'il a inclus.

Home | Contact | Plan | English Version