Je m’appelle Johannes Roos, nous avons une société au Luxembourg et à Treves (Allemagne) qui s’appelle Tuomi S.A.
Depuis des années, nous nous investissons dans le développement de logiciel et la sécurité informatique.
Moi-même, je travaille depuis 35 ans dans le domaine de l’informatique. J’ai commencé à programmer en Pascal sur Apple 2. J’ai découvert les serveurs centraux
et j’ai travaillé dans le domaine de l’IA, un sujet qui avait déjà un engouement à l’époque – maintenant c’est de nouveau en vogue –
mais à l’époque nous n’avions pas beaucoup d’informations et cela était difficile.
Dans le domaine de la sécurité informatique, nous avons fait les premiers piratages en 2000 mais à l’époque personne ne s’y était intéressé.
Snowden et d’autres nous ont été sensibilisés sur les cyber-attaques.
Depuis 2 à 3 ans, l’expertise dans ce domaine est enfin demandée et j’ai dû attendre pendant 30 ans; donc il a fallu un certain temps.
Nous faisons bénéficier aussi de notre expertise dans le domaine du développement logiciel.
Actuellement, nous développons des implants médicaux qui peuvent être contrôlés par le Cloud.
On se pose des questions comme «que pourrait-il arriver si quelqu’un à distance pouvait accéder à ces données
et pouvait éventuellement aussi tuer?», ce qui serait tout à fait possible.
«Comment peut-on maintenir la sécurité et comment on peut protéger ces données?».
Pour beaucoup le Cloud signifie encore un risque. C’est parce qu’on ne sait pas comment traiter les données
que nous avons fait l’expérience de pouvoir sécuriser les données dans le Cloud par le chiffrement.
Aujourd’hui, Advanced Encryption Standard (AES cryptographie) est toujours le moyen le plus sûr pour protéger ses données,
et nous avons commencé très tôt à réfléchir sur ce concept et sur la manière pour pouvoir mettre en place un système sûr.
D’abord, nous avons réfléchi, nous nous sommes interrogés «où avons-nous des problèmes?».
Nous avons d’une part le thème caractéristique «Security by Design», cela veut dire comment peut-on développer un logiciel et une architecture de base de données qui soit sûre?
Cela signifie pour nous que nous ne chiffrons pas seulement les données elles-mêmes mais aussi déjà les implants.
Donc nous avons chiffré tout le chemin de l’implant jusqu’au Cloud; le cryptage «end-to-end».
Tout cela est très compliqué parce qu’il y a le problème connu par beaucoup de personnes:
Quand on chiffre des choses dans un implant actif, cela demande de l’énergie.
Cette énergie est un besoin auquel il faut répondre et si on doit échanger un implant tous les mois parce que la batterie est morte, évidemment cela est un problème.
La nouvelle infrastructure du Cloud nous vient à l’aide parce que nous n’affichons plus l’essentiel dans l’implant mais nous le simulons dans le Cloud.
Cela veut dire que nous n’avons plus besoin la consommation d’énergie qu’on a besoin aujourd’hui; notre demande énergétique est très basse
parce que nous n’avons plus besoin de la plupart des informations et des algorithmes qui sont encore aujourd’hui affichés dans l’implant.
Nous avons des algorithmes de cryptage pures, nous avons une certaine mémoire intelligente et tout le reste est simulé dans le Cloud.
Nous avons réfléchi très tôt sur le sujet «Privacy by Design» et comment nous pouvons réaliser la protection des données.
Concernant la protection des données il y a le problème que beaucoup de personnes ne savent pas de quoi il s’agit.
Pour moi, la protection des données signifie que je dois avoir le droit de mes données ; je dois être capable de décider ce qui va arriver avec mes données.
Cela nécessite aussi d’écrire un nouveau règlement de base de la protection des données de l’UE. La deuxième chose qui est important pour moi est que se passe-t-il avec mes données; sont-elles protégées?
Qui peut y accéder ? Nous avons développé des modèles qui font dépendre le cryptage de la personne et son rôle,
cela veut dire qu’uniquement le patient et le médecin respectif y ont accès et les données sont enregistrées sous forme codée.
Cela ne signifie pas que nous chiffrons une entière base de données et que les clés de la base de données se trouvent sur les serveurs qui serait trop dangereux,
mais le chiffrage a lieu préalablement, cela veut dire les données sont transmis déjà chiffrés.
Ce sont des modèles que nous appliquons.
Le problème sur la question de la protection des données est quand on parle de la anonymisation ou similaire. Nous aimerions le faire
mais notre problème essentiel est la contradiction entre Usability et Security et Privacy by Design.
Naturellement, nous pouvons rendre anonyme toutes les données dans le Cloud, on aurait plutôt qu’un numéro de la pompe ou de l’implant ou un numéro de l’appareil,
n’importe quel autre pour s’identifier, c’est tout.
Mais chez le médecin nous avons donc le problème qu’il doit examiner, programmer et modifier cet implant par le Cloud ou il doit y lire des informations concrètes.
Cela causerait beaucoup de travail pour le médecin de rassembler de nouveau ces informations. Cela est l’écart.
En ce qui concerne la sécurité il est très facile pour nous d’afficher. Privacy by design n’est pas de problème mais l’Usability est encore donné?
Quand on parle de la protection de données, à mon avis, Privacy n’est pas le grand problème tant qu’on assure que je décide ce qui va arriver avec mes données.
Mais si je suis malade et je veux que le docteur ou l’infirmière m’aident, mon intérêt est légitime qu’ils puissent y accéder quand je le veux.
«La protection de données signifie protéger les personnes pour que ces données soient lues» Non. Je veux avoir le droit à l’autodétermination.
Concernant la protection de données, ce droit à l’autodétermination est très important et cela fait partie du nouveau règlement de base
de la protection des données de l’UE, et qui est explicitement écrit dans la loi. A mon avis, il faut régulièrement la signaler.
En ce qui concerne la sécurité, il faut peser. Il faut prendre certaines mesures prospectives.
Usability est toujours le problème mais on ne peut pas dire qu’on ne pouvait pas l’éviter.
S’il y a des risques, il faut réagir au plus tôt si on ne l’a pas déjà fait. Avec les attaques, la sécurité informatique doit aussi progresser.
Pour introduire un logiciel comme cela ou même des dispositifs médicaux, il faut satisfaire aux exigences les plus élevées.
Notamment le nouveau règlement de l’UE concernant le «medical device regulation» qui va entrer en vigueur, a des exigences de telle sorte.
Un sujet, qui consomme la plupart de notre temps, est l’analyse des risques. Les mesures de sécurité résultent d’une analyse des risques ou d’une évaluation des risques.
Après une évaluation des risques, on prend des mesures pour assurer la sécurité.
Dans le domaine des dispositifs médicaux, il y a un niveau de certification élevée.
Je peux développer les produits les plus formidables mais quand je ne satisfais pas aux dispositions, on ne va pas les autoriser.