Syttitre journaler i minuttet i fem dager, og ingen merket det

Tallet man skal se på er ikke fem hundre tusen euro, og heller ikke sju hundre tusen mennesker. Det er syttitre: pasientjournaler hentet ut hvert minutt, fem dager på rad, uten at et eneste varsel gikk. Et slikt tempo ligner ikke på noe et menneske produserer i arbeid, og et system som ikke skiller det fra vanlig arbeid, er ikke et overvåket system.

• Innloggingen skjedde med en leges legitime opplysninger, kompromittert et annet sted: sett fra systemet var det en autorisert pålogging.
• Pasientjournalen hadde ikke tofaktorautentisering, som ville gjort disse opplysningene verdiløse alene.
• Det fantes ikke noe verktøy som kunne oppdage unormal aktivitet: ingen terskler, ingen varsler, ingen logger som noen leste.
• CNIL påla gjennomgang av tilgangsrettighetene innen femten måneder og effektiv logging av tilganger innen tre, med en tvangsmulkt på 1 000 euro per forsinket dag.

De to påleggene viser hvordan tilsynet leste saken. Tre måneder for loggene, femten for rettighetene: de ulike fristene er ikke en innrømmelse, de er en prioritering. Å gå gjennom hvem som kan se hva på et sykehus er langt arbeid og må gjøres skikkelig; å oppdage at noen laster ned arkivet må man kunne gjøre nå.

Art. 32 krever tiltak tilpasset risikoen, og i et helsearkiv er risikoen ikke bare at noen kommer inn: den er at vedkommende blir værende usett. Forebygging har en kjent grense — innloggingsopplysninger blir stjålet, og disse var stjålet et annet sted — mens oppdagelse er det eneste som virker etter at forebyggingen alt har sviktet. Det er delen som alltid kommer nummer to i budsjettene, og det er delen CNIL målte.