Chiffrer toute la base ou seulement les champs sensibles en santé ?

Chiffrer la base entière ou seulement les champs sensibles ?

Les deux, mais ils répondent à des risques différents. Le chiffrement de disque protège contre le vol du support physique et se désactive dès que le système tourne. Le chiffrement applicatif, appliqué champ par champ, garde la donnée chiffrée jusque dans le traitement, ce qui protège aussi contre un accès logique à la base. Pour de la donnée de santé, l'auditeur attend cette seconde couche.

La CNIL, dans ses fiches pratiques publiées en 2024 sur le chiffrement dans l'informatique en nuage, distingue quatre niveaux de verrouillage au repos : disque, fichier, base de données et applicatif (CNIL, pratiques de chiffrement dans le cloud). Elle précise que plus le chiffrement est proche de l'application, plus l'accès du fournisseur d'infrastructure à la donnée en clair est réduit. C'est exactement le critère qu'un établissement de santé regarde chez son sous-traitant.

Pourquoi le chiffrement de disque ne suffit pas pour la santé ?

Parce qu'il ne protège que le support éteint. Une fois la base démarrée, un chiffrement de volume laisse les données lisibles pour toute requête, tout administrateur et tout composant qui accède à la base. Face à une compromission d'un compte applicatif ou d'un accès d'administration, ce niveau ne protège plus rien. Il reste utile, mais il ne répond pas seul à l'exigence sur donnée sensible.

Le chiffrement de disque coche une case, il ne réduit pas la surface d'exposition d'une base active. Le RGPD Article 32 demande des mesures adaptées au risque réel, et le règlement (UE) 2016/679 consultable sur EUR-Lex traite les données de santé comme des données sensibles au sens de son article 9. Le niveau de garantie attendu est donc plus élevé qu'un simple chiffrement de volume.

Qu'est-ce que le chiffrement au niveau du champ ?

C'est chiffrer individuellement chaque donnée sensible, avant qu'elle n'atteigne la base, avec une clé gérée séparément. Le nom du patient, son identifiant national, ses résultats restent chiffrés dans la base, dans les sauvegardes et dans les journaux. Seule l'application, via un service de chiffrement, peut les déchiffrer au moment où elle en a besoin, et chaque opération est tracée.

Ce chiffrement des champs sensibles répond au risque d'accès logique à la base. MAFATE l'implémente en AES-256-GCM, un mécanisme que l'ANSSI place parmi les mécanismes recommandés dans son guide des mécanismes cryptographiques, dont la version 3.00 est datée du 20 mars 2026 (ANSSI, guide des mécanismes cryptographiques PG-083). L'intégration se fait par API et SDK, sans implémenter de cryptographie maison (documentation chiffrer et déchiffrer).

Comment chercher dans des données chiffrées ?

Sans les déchiffrer en masse, grâce à un index aveugle. On calcule une empreinte déterministe de la valeur, avec une fonction à clé, et on l'indexe. Deux valeurs identiques produisent la même empreinte, ce qui permet une recherche par égalité, sans jamais exposer la donnée en clair. C'est la réponse habituelle à l'objection selon laquelle chiffrer un champ empêche de l'exploiter.

MAFATE produit cet index par HMAC-SHA256 déterministe, ce qu'on appelle un blind indexing. Cette approche est plus prudente que le chiffrement préservant le format (FPE) ou la tokenisation pour un besoin de recherche par égalité. Le NIST rappelle dans sa publication SP 800-57 Part 1 Révision 5 que la sécurité d'un système chiffré tient d'abord à la protection des clés, quelle que soit la technique retenue (NIST, Recommendation for Key Management).

Quels champs faut-il chiffrer en priorité ?

Ceux qui identifient la personne et ceux qui révèlent son état de santé. La CNIL recommande de classifier les données par degré de sensibilité et de calibrer le chiffrement en conséquence, plutôt que de tout chiffrer sans distinction. Pour un logiciel de santé, cela vise l'identité, l'identifiant national de santé, les données cliniques et tout ce qui, recoupé, réidentifie un patient.

La CNIL détaille cette démarche de classification dans ses fiches de 2024 sur le chiffrement et la sécurité des données dans le cloud (CNIL, deux fiches pratiques sur le chiffrement). Le référentiel de certification HDS v2, publié par l'Agence du numérique en santé, encadre l'hébergement de ces mêmes données (ANS, certification HDS). L'éditeur chiffre au niveau applicatif, l'hébergeur certifié couvre l'infrastructure, et le dossier de l'établissement combine les deux (guide dossiers de santé).

Que retenir pour répondre à un questionnaire de sécurité ?

Montrez les deux couches et expliquez ce que chacune couvre. Le chiffrement de disque relève de l'hébergeur certifié. Le chiffrement applicatif, au niveau du champ, relève de vous, éditeur, et c'est celui qui rassure un donneur d'ordre santé. Le distinguer proprement dans votre réponse évite l'amalgame qui fait douter un auditeur.

MAFATE fournit la couche applicative et les preuves associées, décrites sur la page solutions santé et sur la page conformité. Cet article prolonge le pilier de ce dossier sur l'architecture de chiffrement en HDS. Si un questionnaire de sécurité bloque un contrat de santé, parlez à un ingénieur.