Le Centre Hospitalier de Métropole Savoie capitalise sur sa plateforme IAM

Un projet structurant pour toute l’organisation

Le déploiement de l’IAM a permis de repenser en profondeur le système de gestion des identités, car outre la DSI, les référents applicatifs étaient jusque-là chargés de gérer les bases utilisateurs de chacune de leurs applications. En fonction de ses tâches, un utilisateur peut avoir entre 8 à 10 identifiants différents…

Pour le RSI, le déploiement de l’IAM Nexpublica n’est pas un enjeu technique. Le volet organisationnel est bien plus complexe à mener car toutes les équipes créatrices d’identité dans l’organisation doivent gagner en maturité sur les enjeux liés aux identités et à la gestion des droits d’accès.

Et outre la DRH, beaucoup d’acteurs d’un centre hospitalier sont amenés à manipuler des identités : « on ne mesure pas toujours à quel point un hôpital emploie des personnes sans contrat de travail : bénévoles, associations, intérimaires…. Nous accueillons aussi 350 étudiants infirmiers et aides-soignants chaque année via nos instituts de formation ». Dans ces conditions, la gestion des identités est complexe : il faut cartographier l'ensemble des salariés et des intervenants extérieurs qui accèdent à des ressources de l'hôpital et adapter les politiques d’accès à chaque profil.

La DRH va gérer les intérims, la direction des soins va gérer les étudiants infirmiers, la direction des affaires médicales va gérer les médecins intervenants, et les associations sont généralement suivies par la direction des affaires générales : « il y a eu une prise de conscience institutionnelle, selon laquelle il n'était plus possible fonctionner sur un modèle où tout le monde peut entrer et accéder à des ressources sans contrôles informatisés ni traçabilité ».

4 pôles de gestion des identités ont été créés

Pour des raisons de sécurité, William Elmidoro n’a pas souhaité totalement décentraliser la gestion des identités auprès des entités métiers. Quatre pôles de gestion d'identité ont été créés.

Outre la DRH pour le personnel non médical et le personnel extérieur, dont les stagiaires, le pôle de gestion du personnel médical peut créer des identités, de même qu’un pôle dédié à l'institut de formation pour les étudiants infirmiers et soignants.

Toutes les autres identités sont gérées en direct par la DSI : « il s’agit d’une évolution de nos métiers. Historiquement, nous avions tendance à avoir plutôt envie de déléguer ce type de gestion, mais nous avons fait ce choix de recentraliser en partie la gestion des identités, même si l’administration des services associés reste déléguée aux administrateurs applicatifs. L’objectif reste de créer des pôles de gestion d'identité et d'expliquer à ces pôles quelles sont leurs responsabilités et les enjeux autour des processus et des identités ».

Pour la DSI, le sujet central est donc de travailler avec l'ensemble des producteurs d'identité et de sensibiliser les équipes à la gestion du cycle de vie des identités : « pour donner un exemple, les RH ont tendance à résumer l'identité à la paie, c'est-à-dire à la qualité du contrat. Ils ont besoin d’un contrat à jour au moment de l'arrêt de la paie, pour la production des bulletins et l'envoi des paiements. Or, une identité, ça se gère au quotidien ».

Impossible de construire le contrat de travail deux semaines après l'arrivée de l'agent. Avec l’IAM, l’identité doit être conforme et complète avant l'arrivée de l'agent afin que tous les processus d'automatisation, de provisioning et de gestion d'habilitation puissent être exécutés : « il faut aussi laisser le temps aux équipes de traiter ce qui doit encore l’être en manuel, comme les validations managériales, les validations techniques, les corrections d’erreurs. C'est un travail de maturité qui part de la politique RH et doit descendre jusqu'au chargé de ressources humaines ».

De la justesse de la saisie de l'identité vont dépendre tous les processus d'habilitation et de provisioning, tant au moment de la création d'identité que tout au long de son cycle de vie, avec les mutations, les changements de contrat, les arrêts de travail, les absences, jusqu’au offboarding sur les systèmes d'information, le déprovisioning et la désactivation des comptes.

D’un outil de productivité à une brique cyber clé pour le CHMS

A l’origine, le déploiement de l’IAM n'était donc pas un sujet cyber, mais le RSI était convaincu de l'intérêt du projet, notamment pour les gains de temps qu’il apportait à la DSI en matière de gestion des identités : « avec le recul et l'émergence de la cybersécurité à travers le renforcement des systèmes d'information hospitalier, l’IAM s’est imposé comme la clé de voûte de notre politique de cybersécurité. Car vous ne pouvez pas faire de la cyber si vous ne savez pas précisément qui utilise votre système d'information ».

En 2026, les exigences de cybersécurité pour le secteur hospitalier ont été revues à la hausse. L’initiative HospiConnect de l’Agence du Numérique en Santé pousse les établissements à s’équiper en IAM et SSO. Pour William Elmidoro, le travail engagé depuis une dizaine d’années porte ses fruits : « finalement, tout ce travail a été extrêmement bénéfique puisque nous avons industrialisé l’ensemble des processus de gestion des identités. Aujourd’hui, dans le cadre d’HospiConnect, nous réfléchissons à un modèle plus hybride ».

Pour le RSI, le badge d'établissement reste le modèle le plus adapté pour un déploiement à grande échelle auprès de milliers d’utilisateurs. En revanche, certaines populations, comme les professions médicales ou ceux qui accéderont demain aux espaces santé et aux outils de l'État disposeront d’une authentification plus forte sur carte à puce, probablement encore gérée en interne.