Hospital Guest WiFi: Patient Experience and Network Separation

Hospital Guest WiFi: Patient Experience and Network Separation Un briefing technique Purple — environ 10 minutes [INTRODUCTION — environ 1 minute] Bienvenue dans la série de briefings techniques Purple. Je suis votre hôte, et nous abordons aujourd'hui l'un des déploiements WiFi les plus sensibles sur le plan opérationnel que vous rencontrerez dans les réseaux d'entreprise : le WiFi invité pour les hôpitaux. Si vous êtes responsable informatique clinique, DSI d'un hôpital ou ingénieur réseau dans le secteur de la santé, vous savez déjà que les enjeux sont ici bien différents de ceux de n'importe quel autre lieu. Il ne s'agit pas d'un hôtel où un client ne peut pas regarder Netflix en streaming. Il s'agit d'un environnement où un VLAN mal configuré pourrait théoriquement placer des systèmes cliniques — plateformes EHR, pompes à perfusion, équipements d'imagerie — sur le même domaine de diffusion que le smartphone d'un patient. Ce n'est pas un risque théorique. C'est déjà arrivé. Et les conséquences vont de la violation réglementaire aux incidents de sécurité pour les patients. Aujourd'hui, nous allons donc aborder trois points : comment concevoir une séparation complète entre les réseaux cliniques et les réseaux invités, comment offrir une expérience WiFi réellement de qualité aux patients et aux visiteurs, et comment mesurer son efficacité. C'est parti. [TECHNICAL DEEP-DIVE — environ 5 minutes] Commençons par l'architecture. Le principe fondamental de la conception du WiFi hospitalier est que le trafic clinique et le trafic invité ne doivent jamais partager un domaine de diffusion de couche 2. Point final. C'est non négociable dans le cadre du Data Security and Protection Toolkit de l'NHS Digital, et cela s'aligne sur les exigences de protection technique de la HIPAA aux États-Unis. L'approche standard est la segmentation par VLAN. Vous attribuez un VLAN dédié — appelons-le VLAN 10 — aux systèmes cliniques : postes de travail EHR, systèmes d'appel malade, dispositifs IoT médicaux, serveurs d'imagerie PACS. Un second VLAN — le VLAN 20 — achemine l'ensemble du trafic WiFi des invités et des patients. Ces VLAN sont acheminés via votre infrastructure de commutation et se terminent sur un pare-feu de nouvelle génération, où le routage inter-VLAN est soit complètement bloqué, soit très étroitement contrôlé par des règles d'autorisation explicites. C'est là que de nombreux déploiements échouent. Les équipes supposent que la séparation des VLAN au niveau de la couche de commutation est suffisante. Ce n'est pas le cas. Vous devez l'appliquer à trois niveaux : la couche d'accès, la couche de distribution et le pare-feu. Si vos points d'accès sont à double SSID — diffusant à la fois un SSID clinique et un SSID invité — ces SSIDs doivent être associés à des VLAN distincts sans aucun pontage entre eux. Votre contrôleur LAN sans fil doit être configuré pour empêcher la communication de client à client sur le VLAN invité, et vous devez activer l'isolation des points d'accès par défaut. Cela signifie qu'un patient du lit numéro sept ne peut pas sonder l'appareil du lit numéro huit, même s'ils sont connectés au même SSID invité. L'authentification constitue la couche suivante. Sur le réseau clinique, vous devez utiliser la norme IEEE 802.1X avec EAP-TLS ou PEAP-MSCHAPv2, adossée à un serveur RADIUS — Microsoft NPS, FreeRADIUS ou un service RADIUS basé sur le cloud. Chaque appareil clinique doit posséder un certificat ou un identifiant de domaine. Pas de PSK sur les réseaux cliniques. Jamais. Les clés pré-partagées représentent un point de défaillance unique — un seul identifiant compromis et chaque appareil connecté à ce SSID se retrouve exposé. Pour le réseau invité, le modèle est différent. Vous vous adressez à des patients qui peuvent être âgés, malades ou peu à l'aise avec la technologie. L'expérience d'authentification doit être simple. Un Captive Portal avec acceptation en un clic ou une simple vérification par SMS est ici approprié. Vous ne allez pas demander à un patient en convalescence après une chirurgie de configurer la norme 802.1X sur son appareil personnel. Ce que vous pouvez faire, c'est utiliser le WPA3-SAE sur le SSID invité pour garantir le chiffrement des données en transit sans exiger d'identifiants par utilisateur. Le WPA3 (Simultaneous Authentication of Equals) élimine la vulnérabilité des clés pré-partagées en utilisant un échange de preuve à divulgation nulle de connaissance (zero-knowledge proof). Ainsi, même si quelqu'un intercepte la liaison (handshake), il ne pourra pas forcer la phrase de passe hors ligne. Parlons maintenant de la bande passante. C'est là que de nombreuses équipes informatiques hospitalières sous-estiment les besoins. Aujourd'hui, un seul patient dans un lit peut disposer d'un smartphone, d'une tablette et d'une smart TV ou d'un système de divertissement au chevet. Ils regardent Netflix ou BBC iPlayer en streaming, passent des appels vidéo à leur famille et utilisent potentiellement un portail patient de l'hôpital. Netflix HD nécessite cinq mégabits par seconde. Un flux 4K en nécessite vingt-cinq. Un appel vidéo sur FaceTime ou Teams requiert entre un et trois mégabits par seconde dans chaque sens. Ainsi, par lit, vous devriez planifier un débit disponible minimal de vingt-cinq mégabits par seconde — et ce, avant même de prendre en compte les facteurs de simultanéité. Dans un hôpital de deux cents lits où soixante pour cent des patients utilisent activement le WiFi aux heures de pointe — disons, à dix-neuf heures —, vous faites face à une demande globale de trois gigabits par seconde sur le réseau invité. Votre capacité de liaison montante et la densité de vos points d'accès doivent être dimensionnées en conséquence. La règle empirique que j'applique est la suivante : un point d'accès par box de service, et non un par service. Dans un box de six lits, vous devez disposer d'un point d'accès à moins de dix mètres de chaque lit, fonctionnant sur la bande des cinq gigahertz pour les clients sensibles au débit, la bande des deux virgule quatre gigahertz gérant les appareils IoT existants et les téléphones plus anciens. La planification des canaux revêt une importance capitale dans un hôpital. Vous évoluez dans des environnements RF denses — murs en béton épais, lits métalliques, équipements médicaux générant des interférences. Utilisez un outil d'étude de site sans fil avant le déploiement, pas après. Planifiez votre schéma de réutilisation des canaux sur la bande des cinq gigahertz en utilisant des canaux sans chevauchement des bandes UNII-1 et UNII-3. Réglez la puissance de transmission de manière prudente — vous souhaitez que les cellules se chevauchent d'environ quinze à vingt pour cent, et non de cinquante pour cent. Des points d'accès trop puissants provoquent des interférences cocanal et dégradent en réalité le débit. Pour le réseau clinique, les considérations de conception RF sont encore plus critiques car vous prenez en charge des applications en temps réel. La VoIP sur les systèmes d'appel infirmier, le streaming de télémétrie à partir des moniteurs patients et la lecture de codes-barres lors de la distribution de médicaments nécessitent tous une faible latence et un signal constant. Visez un RSSI cible de moins soixante-cinq dBm sur chaque terminal clinique, avec un rapport signal/bruit supérieur à vingt-cinq décibels. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — environ 2 minutes] Laissez-moi vous présenter les trois principaux pièges de mise en œuvre que je rencontre dans les projets de Wi-Fi hospitalier. Premièrement : supposer que votre configuration VLAN est correcte sans la tester. J'ai vu des déploiements où un port trunk mal configuré permettait au trafic du VLAN invité de fuir vers le VLAN clinique. Le moyen de détecter cela est de réaliser un test d'intrusion post-déploiement — plus précisément, tentez d'atteindre des adresses de sous-réseau clinique à partir d'un client invité. Si vous pouvez pinguer quoi que ce soit dans la plage clinique, votre segmentation a échoué. Cela devrait être un critère de validation obligatoire avant la mise en service. Deuxièmement : négliger l'expérience du Captive Portal. Les hôpitaux traitent souvent le portail Wi-Fi invité comme une réflexion après coup. Pourtant, un portail mal conçu — qui expire, ne s'affiche pas sur mobile ou nécessite trop d'étapes — a un impact direct sur les scores de satisfaction des patients. Aux États-Unis, les résultats de l'enquête HCAHPS incluent des scores de communication et d'environnement qui sont influencés par la qualité du Wi-Fi. Dans le NHS, les réponses au Friends and Family Test citent fréquemment le Wi-Fi comme un facteur. Une plateforme comme la solution Guest Wi-Fi de Purple vous offre un portail personnalisé aux couleurs de votre marque, optimisé pour le mobile et doté d'outils d'analyse intégrés. Ainsi, vous ne fournissez pas seulement de la connectivité — vous capturez des données sur les modèles d'utilisation qui guident la planification de la capacité. Troisièmement : ne pas avoir de politique de gestion de la bande passante. Sans QoS et limitation de débit sur le réseau invité, un seul patient utilisant un client BitTorrent peut saturer la liaison montante et dégrader l'expérience de tous les autres. Mettez en œuvre une limitation de débit par client — généralement de cinq à dix mégabits par seconde en téléchargement par appareil — et utilisez le marquage DSCP pour donner la priorité au trafic d'appels vidéo par rapport aux téléchargements volumineux. Bloquez les protocoles peer-to-peer au niveau du pare-feu sur le VLAN invité. [QUESTIONS-RÉPONSES RAPIDES — environ 1 minute] Passons en revue quelques questions rapides que l'on me pose régulièrement. "Pouvons-nous utiliser les mêmes points d'accès physiques pour le réseau clinique et le réseau invité ?" Oui, tout à fait — les AP multi-SSID sont une pratique standard. La séparation est logique, au niveau du VLAN, et non physique. Assurez-vous simplement que le firmware de votre AP prend en charge le marquage VLAN et que votre WLC applique cette séparation. "Avons-nous besoin d'une liaison montante internet distincte pour le trafic invité ?" Pas nécessairement, mais vous devriez utiliser le modelage du trafic pour garantir que le trafic de gestion clinique — mises à jour logicielles, accès à distance — ne soit jamais privé de ressources par l'utilisation des invités. Une liaison montante dédiée aux invités est une approche de sécurité maximale si le budget le permet. « Comment gérons-nous les appareils IoT médicaux sur le WiFi ? » L'IoT médical — pompes à perfusion, moniteurs de télémétrie — doit être placé sur un troisième VLAN dédié, distinct des postes de travail cliniques et des appareils des invités. Cela limite le rayon d'impact si un appareil est compromis. « Qu'en est-il du GDPR et des données collectées via le Captive Portal ? » Toutes les données personnelles collectées lors de la connexion — e-mail, numéro de téléphone — doivent être traitées sur une base légale, généralement le consentement. Assurez-vous que les conditions de votre portail sont claires, que votre politique de conservation des données est documentée et que vous disposez d'un accord de traitement des données avec votre fournisseur de plateforme WiFi. [RÉSUMÉ ET PROCHAINES ÉTAPES — environ 1 minute] Pour conclure : le WiFi invité des hôpitaux n'est pas seulement un projet de connectivité. C'est une initiative pour l'expérience patient, une exigence de conformité et une considération de sécurité clinique, le tout en un. L'architecture est simple — segmentation VLAN, 802.1X sur le réseau clinique, WPA3 sur le réseau invité, Captive Portal pour l'accès, QoS pour la gestion de la bande passante — mais l'exécution exige de la rigueur à chaque niveau. Vos prochaines étapes : commandez une étude de site sans fil si vous n'en avez pas réalisé au cours des deux dernières années. Examinez la configuration de vos VLAN et testez l'isolation inter-VLAN. Évaluez la satisfaction actuelle de vos patients concernant le WiFi par rapport aux données HCAHPS ou du Friends and Family Test. Et si vous évaluez des plateformes de WiFi invité, découvrez la solution Healthcare de Purple — elle s'associe à leur guide de conformité HIPAA pour vous donner une vision complète du paysage réglementaire. Merci pour votre écoute. La documentation technique complète, les schémas d'architecture et les listes de contrôle de mise en œuvre sont disponibles dans le guide d'accompagnement sur le site Web de Purple.