WiFi invités à l'hôpital : expérience patient et séparation du réseau

WiFi invité pour hôpitaux : Expérience patient et séparation du réseau Un briefing technique Purple - environ 10 minutes [INTRODUCTION - environ 1 minute] Bienvenue dans la série de briefings techniques Purple. Je suis votre hôte, et aujourd'hui nous abordons l'un des déploiements WiFi les plus sensibles sur le plan opérationnel que vous rencontrerez dans les réseaux d'entreprise : le WiFi invité pour hôpitaux. Si vous êtes responsable informatique clinique, DSI d'hôpital ou ingénieur réseau en santé, vous savez déjà que les enjeux ici sont différents de tout autre lieu. Il ne s'agit pas d'un hôtel où un client ne peut pas regarder Netflix. C'est un environnement où un VLAN mal configuré pourrait théoriquement placer des systèmes cliniques - plateformes EHR, pompes à perfusion, équipements d'imagerie - sur le même domaine de diffusion que le smartphone d'un patient. Ce n'est pas un risque théorique. C'est déjà arrivé. Et les conséquences vont de la violation réglementaire aux incidents de sécurité des patients. Aujourd'hui, nous allons donc aborder trois points : comment concevoir une séparation complète entre les réseaux cliniques et invités, comment offrir une expérience WiFi de qualité aux patients et aux visiteurs, et comment mesurer son efficacité. C'est parti. [ANALYSE TECHNIQUE APPROFONDIE - environ 5 minutes] Commençons par l'architecture. Le principe fondamental de la conception du WiFi hospitalier est que le trafic clinique et le trafic invité ne doivent jamais partager un domaine de diffusion de niveau 2. Point final. C'est non négociable dans le cadre du Data Security and Protection Toolkit du NHS Digital, et cela s'aligne sur les exigences de protection technique de la loi HIPAA aux États-Unis. L'approche standard est la segmentation par VLAN. Vous attribuez un VLAN dédié - appelons-le VLAN 10 - aux systèmes cliniques : postes de travail EHR, systèmes d'appel des infirmières, objets connectés médicaux, serveurs d'imagerie PACS. Un second VLAN - le VLAN 20 - achemine tout le trafic WiFi invité et patient. Ces VLAN sont acheminés en mode Trunk sur votre infrastructure de commutation et se terminent au niveau d'un pare-feu de nouvelle génération, où le routage inter-VLAN est soit complètement bloqué, soit très étroitement contrôlé par des règles d'autorisation explicites. C'est là que de nombreux déploiements échouent. Les équipes supposent que la séparation des VLAN au niveau de la couche de commutation est suffisante. Ce n'est pas le cas. Vous devez appliquer cette séparation à trois niveaux : la couche d'accès, la couche de distribution et le pare-feu. Si vos points d'accès sont à double SSID - diffusant à la fois un SSID clinique et un SSID invité - ces SSID doivent être mappés sur des VLAN distincts sans aucun pontage entre eux. Votre contrôleur LAN sans fil doit être configuré pour empêcher la communication de client à client sur le VLAN invité, et vous devez activer l'isolation des points d'accès par défaut. Cela signifie qu'un patient du lit numéro sept ne peut pas sonder l'appareil du lit numéro huit, même s'ils sont sur le même SSID invité. L'authentification constitue la couche suivante. Sur le réseau clinique, vous devez utiliser la norme IEEE 802.1X avec EAP-TLS ou PEAP-MSCHAPv2, adossée à un serveur RADIUS - Microsoft NPS, FreeRADIUS ou un service RADIUS-as-a-Service dans le cloud. Chaque appareil clinique doit disposer d'un certificat ou d'un identifiant de domaine. Pas de PSK sur les réseaux cliniques. Jamais. Les clés pré-partagées représentent un point de défaillance unique - un seul identifiant compromis et tous les appareils connectés à ce SSID sont exposés. Pour le réseau invité, le modèle est différent. Vous avez affaire à des patients qui peuvent être âgés, malades ou peu à l'aise avec la technologie. L'expérience d'authentification doit être simple. Un Captive Portal avec une acceptation en un clic ou une simple vérification par SMS est approprié ici. Vous ne allez pas demander à un patient en convalescence après une chirurgie de configurer la norme 802.1X sur son appareil personnel. Ce que vous pouvez faire, c'est utiliser WPA3-SAE sur le SSID invité pour garantir un chiffrement hertzien sans nécessiter d'identifiants individuels par utilisateur. WPA3 (Simultaneous Authentication of Equals) élimine la vulnérabilité des clés pré-partagées en utilisant un échange avec preuve à divulgation nulle de connaissance, de sorte que même si quelqu'un intercepte la poignée de main (handshake), il ne peut pas forcer le mot de passe hors ligne par force brute. Parlons maintenant de la bande passante. C'est là que de nombreuses équipes informatiques hospitalières sous-estiment les besoins. Aujourd'hui, un seul patient dans son lit peut posséder un smartphone, une tablette et une smart TV ou une unité de divertissement au chevet. Ils regardent Netflix ou BBC iPlayer en streaming, passent des appels vidéo à leur famille et utilisent potentiellement un portail patient de l'hôpital. Netflix HD nécessite cinq mégabits par seconde. Un flux 4K en nécessite vingt-cinq. Un appel vidéo sur FaceTime ou Teams nécessite entre un et trois mégabits par seconde dans chaque sens. Ainsi, par lit, vous devriez prévoir un débit minimum disponible de vingt-cinq mégabits par seconde - et cela avant de prendre en compte les facteurs de simultanéité. Dans un hôpital de deux cents lits où soixante pour cent des patients utilisent activement le WiFi aux heures de pointe - disons, à dix-neuf heures - vous envisagez une demande globale de trois gigabits par seconde sur le réseau invité. La capacité de votre liaison montante et la densité de vos points d'accès doivent être dimensionnées en conséquence. La règle empirique que j'utilise est la suivante : un point d'accès par box de service, et non un par service. Dans un box de six lits, vous voulez un point d'accès à moins de dix mètres de chaque lit, fonctionnant sur la bande de cinq gigahertz pour les clients sensibles au débit, la bande de deux virgule quatre gigahertz gérant les appareils IoT hérités et les téléphones plus anciens. La planification des canaux est extrêmement importante dans un hôpital. Vous êtes confronté à des environnements RF denses - murs en béton épais, cadres de lit en métal, équipements médicaux générant des interférences. Utilisez un outil d'étude de site sans fil avant le déploiement, pas après. Planifiez votre schéma de réutilisation des canaux sur la bande de cinq gigahertz en utilisant des canaux sans chevauchement des bandes UNII-1 et UNII-3. Réglez la puissance de transmission de manière conservatrice - vous voulez que les cellules se chevauchent d'environ quinze à vingt pour cent, et non de cinquante pour cent. Des points d'accès trop puissants provoquent des interférences co-canal et dégradent en réalité le débit. Pour le réseau clinique, les considérations de conception RF sont encore plus critiques car vous prenez en charge des applications en temps réel. Le VoIP sur les systèmes d'appel infirmier, le flux de télémétrie des moniteurs de patients et la lecture de codes-barres lors de la distribution de médicaments nécessitent tous une faible latence et un signal constant. Visez moins soixante-cinq dBm RSSI à chaque terminal clinique, avec un rapport signal sur bruit supérieur à vingt-cinq décibels. [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes] Permettez-moi de vous présenter les trois principaux pièges de mise en œuvre que je constate dans les projets WiFi hospitaliers. Premièrement : supposer que votre configuration VLAN est correcte sans la tester. J'ai vu des déploiements où un port trunk mal configuré permettait au trafic VLAN invité de fuir sur le VLAN clinique. Le moyen de détecter cela est de réaliser un test de pénétration post-déploiement - plus précisément, tentez d'atteindre les adresses du sous-réseau clinique à partir d'un client invité. Si vous pouvez pinguer quoi que ce soit dans la plage clinique, votre segmentation a échoué. Cela devrait être un critère de validation obligatoire avant la mise en service. Deuxièmement : négliger l'expérience du Captive Portal. Les hôpitaux considèrent souvent le portail WiFi invité comme secondaire. Pourtant, un portail mal conçu - qui expire, ne s'affiche pas sur mobile ou nécessite trop d'étapes - a un impact direct sur les scores de satisfaction des patients. Aux États-Unis, les résultats de l'enquête HCAHPS incluent des scores de communication et d'environnement qui sont influencés par la qualité du WiFi. Dans le NHS, les réponses au Friends and Family Test citent fréquemment le WiFi comme un facteur. Une plateforme comme la solution Guest WiFi de Purple vous offre un portail personnalisé aux couleurs de votre marque, optimisé pour le mobile et doté d'outils d'analyse intégrés. Ainsi, vous ne fournissez pas seulement de la connectivité, vous capturez des données sur les modèles d'utilisation qui orientent la planification de la capacité. Troisièmement : ne pas avoir de politique de gestion de la bande passante. Sans QoS et limitation de débit sur le réseau invité, un seul patient exécutant un client BitTorrent peut saturer la liaison montante et dégrader l'expérience de tous les autres. Mettez en œuvre une limitation de débit par client - généralement cinq à dix mégabits par seconde en téléchargement par appareil - et utilisez le marquage DSCP pour donner la priorité au trafic d'appels vidéo par rapport aux téléchargements massifs. Bloquez les protocoles peer-to-peer au niveau du pare-feu sur le VLAN invité. [Q&R RAPIDES - environ 1 minute] Passons en revue quelques questions rapides que l'on me pose régulièrement. "Pouvons-nous utiliser les mêmes points d'accès physiques pour le réseau clinique et le réseau invité ?" Oui, absolument - les AP double SSID sont une pratique courante. La séparation est logique, au niveau du VLAN, et non physique. Assurez-vous simplement que le firmware de votre AP prend en charge le marquage VLAN et que votre WLC applique la séparation. "Avons-nous besoin d'une liaison montante internet distincte pour le trafic invité ?" Pas nécessairement, mais vous devriez utiliser le lissage de trafic pour vous assurer que le trafic de gestion clinique - mises à jour logicielles, accès à distance - ne soit jamais pénalisé par l'utilisation des invités. Une liaison montante dédiée aux invités est une approche de sécurité supplémentaire si le budget le permet. "Comment gérons-nous les objets connectés médicaux sur le WiFi ?" Les objets connectés médicaux - pompes à perfusion, moniteurs de télémétrie - doivent être placés sur un troisième VLAN dédié, séparé à la fois des postes de travail cliniques et des appareils des invités. Cela limite la zone d'impact si un appareil est compromis. "Qu'en est-il du GDPR et des données collectées via le captive portal ?" Toutes les données personnelles collectées lors de la connexion - e-mail, numéro de téléphone - doivent être traitées sur une base légale, généralement le consentement. Assurez-vous que les conditions de votre portail sont claires, que votre politique de rétention des données est documentée et que vous disposez d'un accord de traitement des données avec votre fournisseur de plateforme WiFi. [RÉSUMÉ ET ÉTAPES SUIVANTES - environ 1 minute] Pour résumer : le WiFi invité des hôpitaux n'est pas seulement un projet de connectivité. C'est une initiative pour l'expérience patient, une exigence de conformité et une considération de sécurité clinique, le tout en un. L'architecture est simple - segmentation VLAN, 802.1X sur le réseau clinique, WPA3 sur le réseau invité, captive portal pour l'accès, QoS pour la gestion de la bande passante - mais l'exécution exige de la rigueur à chaque niveau. Vos prochaines étapes : commandez une étude de site sans fil si vous n'en avez pas réalisé au cours des deux dernières années. Examinez votre configuration VLAN et testez l'isolation inter-VLAN. Évaluez la satisfaction actuelle des patients concernant le WiFi par rapport aux données HCAHPS ou Friends and Family Test. Et si vous évaluez des plateformes de WiFi invité, découvrez la solution Healthcare de Purple - elle s'associe à leur guide de conformité HIPAA pour vous donner une vision complète du paysage réglementaire. Merci de votre écoute. La documentation technique complète, les schémas d'architecture et les listes de contrôle de mise en œuvre sont disponibles dans le guide d'accompagnement sur le site Web de Purple.