Comment aborder une norme pensée avant tout pour les grandes organisations quand votre équipe ne compte qu’une poignée de personnes ? Et comment tout documenter correctement sans que l’administratif prenne le pas sur votre travail quotidien ? Novellas Healthcare a fait le choix réfléchi d’un système de management de la sécurité de l’information (ou SMSI) adapté à sa propre façon de travailler. Cingulum l’a accompagnée des premiers documents jusqu’au certificat ISO 27001. Découvrez comment ils s’y sont pris.
Un logiciel pour les soins de santé, avec des attentes élevées
Cette plateforme SaaS réunit prestataires de soins, médecins et entreprises pharmaceutiques. Le personnel infirmier l’utilise pour partager immédiatement avec le médecin le compte rendu de ses visites aux patients. Les entreprises pharmaceutiques peuvent y proposer de nouveaux médicaments à des patients pour qui il n’existe pas encore d’alternative. Pour le market access, la plateforme collecte aussi des données en vie réelle sur le déroulement d’un traitement dans la pratique, notamment pour les dossiers de remboursement. Comme chaque client pharmaceutique a ses propres besoins, la plateforme peut être entièrement configurée sur mesure.
Derrière cette plateforme se trouve une équipe compacte, dont chaque membre apporte son propre parcours. Inge Wyns a débuté chez Novellas comme infirmière avant d’évoluer vers le poste de quality manager, avec une expérience de l’ISO 9001. Bjorn Vereecken a lui-même développé une entreprise de logiciels, dont la solution SaaS a été rachetée l’an dernier par Novellas. Aujourd’hui, il y est digital solutions architect. Ensemble, Inge et Bjorn ont pris en charge le projet ISO 27001.
Lors du lancement d’un nouveau programme patients, Novellas Healthcare reçoit souvent des questionnaires de due diligence détaillés, dans lesquels l’ISO 27001 revient presque toujours. Les contrats exigent aussi de plus en plus souvent le certificat. Novellas Healthcare voulait pouvoir y apporter une réponse claire et étayée.
Le défi : une grande norme pour une petite équipe
Le projet demandait du temps et de l’investissement, ce qui ne va pas de soi dans une petite équipe. Chacun cumule plusieurs responsabilités pendant que le travail quotidien continue. Inge et Bjorn ont donc délibérément fait de la place pour ce projet. Ils en ont fait une priorité et ont bloqué des moments fixes dans leur agenda pour en suivre l’avancement.
À mesure qu’ils approfondissaient la norme, il est apparu clairement qu’un SMSI (système de management de la sécurité de l’information) va au-delà du produit lui-même. Il concerne l’ensemble de l’organisation et la façon dont l’équipe travaille au quotidien.
Cette perspective plus large demandait un regard critique sur leur propre fonctionnement. Certaines mesures existaient déjà et devaient encore être affinées ou mieux documentées. D’autres façons de travailler demandaient à être adaptées. Le projet en est devenu plus intensif, et en même temps plus riche de sens.
Notre approche
Pour que ce projet intensif reste réalisable, Cingulum a opté pour une approche pragmatique, adaptée à Novellas. L’équipe ne partait d’ailleurs pas de zéro. Inge avait déjà une expérience de l’ISO 9001 et savait donc comment un système de management est construit. Cette expérience a rendu la méthode de travail tout de suite plus familière.
Le projet a rapidement trouvé son rythme. Chaque semaine, Novellas avançait elle-même sur un certain nombre de tâches, tandis que le consultant de Cingulum fournissait de nouveaux documents ou procédures. Pour les politiques et les procédures, nous avons proposé nos propres modèles, fondés sur notre expérience de projets similaires. L’équipe disposait ainsi d’un point de départ concret et voyait immédiatement à quoi ressemble un tel document dans la pratique. Inge et Bjorn les ont ensuite adaptés à leur propre fonctionnement. Cette cadence régulière a fait avancer le projet, même pendant les semaines plus chargées.
Après une réunion de lancement, la collaboration s’est entièrement déroulée à distance, et cela a très bien fonctionné. Quand Inge et Bjorn bloquaient sur un point, ils regroupaient leurs questions dans un e-mail. Les questions plus complexes étaient discutées rapidement par téléphone. Novellas pouvait ainsi toujours compter sur un regard extérieur pour vérifier quelque chose. Même lorsqu’un autre consultant a repris le projet dans la dernière phase, l’équipe a gardé un interlocuteur fixe et le projet s’est poursuivi sans accroc.
Le résultat ? Bien plus qu’un certificat
Après environ huit mois et un audit interne réussi, Novellas Healthcare a obtenu son certificat ISO 27001.
Ce qui a changé dans le fonctionnement quotidien a au moins autant de valeur. Aujourd’hui, l’équipe fait plus rapidement le lien entre une nouvelle situation et un risque potentiel. Qu’est-ce qui pourrait mal tourner, et que faisons-nous pour l’éviter ? Cette question se pose désormais naturellement. Les sujets qui restaient en suspens parce que d’autres tâches semblaient plus urgentes ont maintenant une place fixe. Et lorsqu’un changement survient chez un fournisseur, ou que quelque chose ne se passe pas tout à fait comme convenu, on le remarque plus vite. Pour Inge et Bjorn, c’est la preuve que le système fonctionne vraiment.
Pour conclure, quelques conseils d’Inge et Bjorn
Pour d’autres petites organisations, Bjorn souligne l’importance d’un SMSI qui colle à votre propre fonctionnement. Déterminez ce qui est réalisable pour votre équipe et alignez vos objectifs en conséquence. Pour un prochain projet, Inge placerait l’analyse des risques au centre dès le départ. Elle constitue une base solide sur laquelle construire et limite le besoin d’ajustements par la suite. Leur conseil commun est de prévoir suffisamment de temps, car ce type de projet demande une attention ciblée et un engagement soutenu.
Prochaines étapes
Maintenant que le certificat est obtenu, l’objectif est de garder le SMSI bien vivant. L’analyse des risques et le suivi régulier permettent d’ancrer durablement la sécurité de l’information dans le fonctionnement de Digital Solutions.
Vous souhaitez savoir ce que l’ISO 27001 représente pour votre organisation ? Contactez Cingulum pour un entretien sans engagement. www.cingulum.eu
