Hébergeur de données de santé certifié HDS v2

NANOCODE sécurise l’hébergement et l’exploitation des systèmes traitant des données de santé, avec un périmètre HDS v2 couvrant les activités 1 à 5.

NANOCODE est un hébergeur de données de santé certifié HDS v2. Cette certification officielle confirme notre capacité à héberger et exploiter des systèmes d’information de santé avec un haut niveau de sécurité, de traçabilité, de maîtrise des risques et de continuité d’activité.

Depuis février 2025, notre dispositif couvre les activités 1 à 5 du référentiel HDS v2, avec des contrôles vérifiables, auditables et documentés.

Pourquoi cette certification est déterminante

Il ne s’agit pas d’un simple label. C’est un cadre opérationnel qui renforce la confiance, sécurise la chaîne de traitement et réduit l’exposition au risque.

Conformité et gouvernance : mise en place d’un système de management et de contrôles adapté aux exigences applicables à l’hébergement de données sensibles.
Maîtrise des risques : identification, évaluation et traitement des risques de sécurité dans une logique documentée, suivie et contrôlée.
Auditabilité : capacité à produire des preuves concrètes, telles que procédures, journaux, rapports et contrôles, lors d’audits clients, internes ou de certification.
Robustesse opérationnelle : gestion structurée des incidents, de la continuité et des changements afin de préserver la disponibilité et l’intégrité des services.

Périmètre de certification NANOCODE : activités HDS v2 (1 à 5)

Notre certification couvre les activités suivantes :

Activité 1 : sites physiques d’hébergement
Mise à disposition et maintien en condition opérationnelle des sites physiques permettant d’héberger l’infrastructure du système d’information utilisé pour traiter des données de santé. Cela inclut les exigences de sécurité physique, de protection des accès et de maîtrise des environnements.

Activité 2 : infrastructure matérielle
Mise à disposition et maintien en condition opérationnelle de l’infrastructure matérielle (serveurs, stockage, équipements associés) du système d’information. L’objectif : garantir un socle fiable, maîtrisé et supervisé.

Activité 3 : infrastructure virtuelle
Mise à disposition et maintien en condition opérationnelle de l’infrastructure virtuelle (virtualisation, composants d’orchestration, segmentation logique) utilisée pour le traitement des données de santé, avec une gouvernance adaptée aux environnements virtualisés.

Activité 4 : plateforme d’hébergement d’applications
Mise à disposition et maintien en condition opérationnelle de la plateforme d’hébergement d’applications : briques techniques nécessaires au bon fonctionnement des services (middleware, runtime, mécanismes d’exposition, composants applicatifs), avec des exigences de sécurisation et d’exploitation.

Activité 5 : administration et exploitation du SI
Administration et exploitation du système d’information contenant des données de santé : supervision, gestion des changements, gestion des incidents, contrôle des accès, maintien en conditions de sécurité, et production des preuves d’exploitation attendues.

Note d’architecture : les activités 1 et 2 sont délivrées en s’appuyant sur un fournisseur d’infrastructure lui-même certifié HDS v2. NANOCODE conserve la responsabilité de la maîtrise de son dispositif : qualification des fournisseurs, exigences contractuelles, contrôle opérationnel, et suivi des engagements.

Mesures de sécurité mises en œuvre (exemples de contrôles)

Pour rendre la certification utile au quotidien, nous déployons des contrôles opérationnels, suivis et documentés.

Contrôle d’accès : principes de moindre privilège, gestion des habilitations, revue périodique des droits, traçabilité des actions d’administration.
Protection des données : mécanismes de chiffrement et gestion des secrets, réduction des surfaces d’exposition, segmentation des environnements.
Journalisation et traçabilité : collecte de journaux, conservation, corrélation et capacités d’investigation en cas d’incident.
Gestion des vulnérabilités : suivi des correctifs, priorisation basée sur le risque, contrôles de durcissement et revues techniques.
Sauvegardes et restauration : politiques de sauvegarde, tests réguliers de restauration, objectifs de reprise définis et contrôlés.
Supervision : surveillance technique et applicative, alerting, astreintes et processus d’escalade.

Continuité d’activité et gestion d’incident

L’hébergement de données sensibles impose une approche structurée de la continuité.

PCA / PRA : scénarios de continuité, procédures de bascule, tests et retours d’expérience.
Gestion d’incident : qualification, containment, remédiation, communication et capitalisation, avec une production d’éléments de preuve.
Gestion des changements : contrôle des déploiements, traçabilité, validation et capacité de retour arrière.