chu-iptv/docs/SECURITY.md

Politique de Sécurité — CHU-IPTV

1. Principes Fondamentaux

Le système CHU-IPTV manipule des données liées à l'environnement hospitalier. Bien qu'il ne stocke pas de données de santé nominatives au sens strict du Code de la Santé Publique, il doit respecter un niveau de sécurité élevé en raison de sa proximité avec le parcours de soins.

Le principe directeur est le Privacy by Design : la protection des données est intégrée dès la conception, et non ajoutée a posteriori. Chaque composant est conçu pour minimiser l'exposition des données personnelles.

2. Gestion des Sessions

Les sessions sont le mécanisme central d'identification dans le système. Elles sont conçues pour être éphémères et dissociées de l'identité civile du patient.

Propriété	Valeur
Identifiant de session	UUID v4 aléatoire
Durée de vie maximale	8 heures (renouvelable par le personnel)
Rattachement	Identifiant de lit (ex: CARDIO-101-A), jamais au nom du patient
Authentification smartphone	QR code contenant un JWT signé (RS256)
Révocation	Automatique à la sortie (HL7 ADT^A03) ou manuelle par le personnel

3. Chiffrement

Tous les transports sont chiffrés en TLS 1.3 minimum. Les certificats sont gérés via Let's Encrypt (environnement externe) ou une PKI interne (environnement hospitalier).

Les données au repos (logs d'audit, historique de demandes) sont chiffrées en AES-256-GCM. Les clés de chiffrement sont stockées dans un coffre-fort de secrets (HashiCorp Vault ou équivalent).

4. Contrôle d'Accès (RBAC)

Le système implémente un contrôle d'accès basé sur les rôles (Role-Based Access Control) avec quatre niveaux :

Rôle	Accès
patient	Session TV de sa chambre uniquement, demandes, chat
soignant	Dashboard de son service, réponse aux demandes, chat
cadre	Supervision multi-services, statistiques, configuration
admin	Administration système, gestion des devices, audit complet

5. Procédure de Wipe (Sortie Patient)

À la réception d'un événement de sortie (HL7 ADT^A03 ou action manuelle), le système exécute automatiquement la séquence suivante :

1. Révocation immédiate du JWT de session (ajout à la blacklist Redis).
2. Déconnexion forcée de tous les WebSockets associés à la session.
3. Suppression des messages de chat de la session.
4. Réinitialisation de la TV sur l'écran d'accueil neutre.
5. Déconnexion des comptes VOD/streaming éventuels.
6. Purge du cache navigateur (si PWA utilisée sur la TV).
7. Réinitialisation de la domotique aux valeurs par défaut (lumière ON, stores ouverts).
8. Journalisation de l'événement de wipe dans l'audit trail.

6. Conformité Réglementaire

RGPD (Règlement Général sur la Protection des Données)

Le système collecte un minimum de données personnelles. Les données de session sont pseudonymisées (identifiant de lit, pas de nom). Le droit à l'effacement est garanti par la procédure de wipe automatique.

HDS (Hébergement de Données de Santé)

Si le système est déployé sur une infrastructure cloud externe à l'hôpital, le fournisseur doit être certifié HDS conformément à l'article L.1111-8 du Code de la Santé Publique. Pour le MVP, un déploiement on-premise (serveur local dans l'hôpital) est recommandé pour éviter cette contrainte.

Appel Malade Réglementaire

Le système CHU-IPTV ne remplace en aucun cas le dispositif d'appel malade réglementaire (norme NF C 15-211). Les fonctions d'alerte et de demande sont présentées comme un canal complémentaire de confort, jamais comme un substitut au bouton d'appel physique.

7. Audit et Journalisation

Chaque événement significatif est journalisé avec les métadonnées suivantes : horodatage UTC, identifiant de session, type d'événement, identifiant de chambre, et résultat de l'action. Les logs sont conservés pendant 12 mois (configurable selon la politique de l'établissement) et sont exportables au format SIEM pour intégration avec les outils de supervision de l'hôpital.