Comparatif des plateformes de WiFi invité dans le secteur de la santé : intégration des patients, filtrage de contenu et isolation VLAN

Les plateformes de WiFi invité les plus performantes dans le secteur de la santé placent les patients, les visiteurs et les prestataires externes sur des VLAN distincts attribués par RADIUS, et maintiennent l'IoT clinique totalement à l'écart du réseau invité. Elles appliquent un filtrage DNS qui bloque les listes IWF et CTIRU. Elles intègrent les patients en séjour long une seule fois au chevet du lit, avec une clé personnelle valide pendant toute la durée de l'hospitalisation.

Quelle approche de plateforme de WiFi invité privilégier pour les établissements de santé ?

Le WiFi hospitalier sert quatre populations présentant des profils de risque différents : les patients, les visiteurs, les prestataires externes et les dispositifs cliniques. Une plateforme qui les traite comme un seul groupe d'« invités » pose trois problèmes. L'exposition aux risques de protection des personnes augmente, les systèmes cliniques deviennent accessibles et le secrétariat de service se transforme en centre d'assistance WiFi.

Pour la plupart des domaines hospitaliers, la bonne solution consiste à combiner plusieurs modèles d'accès plutôt qu'à en choisir un seul :

• Les patients hospitalisés bénéficient d'un accès basé sur l'identité : une clé personnelle, délivrée une seule fois au chevet du lit, qui reconnecte chaque appareil pendant toute la durée du séjour.
• Les visiteurs et patients en consultation externe utilisent un portail captif enregistré (la page web qu'un appareil affiche avant d'accéder à Internet), avec vérification par e-mail ou SMS.
• Les prestataires externes bénéficient d'un accès parrainé et limité dans le temps qui expire à la date de fin du contrat.
• L'IoT clinique ne touche jamais à la plateforme invité. Il repose sur un réseau clinique distinct, authentifié avec IEEE 802.1X ou iPSK et segmenté derrière un pare-feu.

Purple fournit les trois premières options sur les points d'accès que vous exploitez déjà, sous la forme d'une superposition cloud. Cette superposition fonctionne avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Purple gère des réseaux invités depuis 2012 et est actif dans plus de 80 000 sites répartis dans 90 pays. La plateforme prend en charge 500 millions d'utilisateurs et de connexions par an. Elle détient les certifications ISO 27001, Cyber Essentials et B Corp, et est conforme au GDPR et à la réglementation CCPA.

Si vous souhaitez d'abord régler la question du matériel, consultez l'article Pourquoi votre prochaine mise à niveau du WiFi ne nécessite pas de nouveau matériel.

En quoi les plateformes de WiFi pour patients hospitaliers diffèrent-elles réellement ?

Chaque plateforme revendique un accès invité sécurisé et filtré. Les véritables différences se manifestent sur trois axes. Le premier est la manière dont un patient se reconnecte au bout du cinquième jour. Le deuxième est la méthode de séparation du trafic. Le troisième est l'identité à laquelle un événement de filtrage est rattaché.

Modèle d'accès	Mode de connexion du patient ou du visiteur	Reconnexion sur un séjour de 7 jours	Séparation du trafic	Événements de filtrage attribués à	Cas d'usage idéal
SSID ouvert, portail captif avec validation par clic	Accepte les conditions sur un portail captif	Une nouvelle invite apparaît à chaque expiration de session	Un seul VLAN invité partagé avec isolation des clients	Adresse MAC de l'appareil uniquement	Salles d'attente pour consultations externes, visites courtes
Portail captif enregistré (vérification par e-mail ou SMS)	Vérifie les coordonnées une seule fois	Demandé à l'expiration de la session ou de l'enregistrement MAC	VLAN invité partagé avec isolation des clients	Adresse e-mail ou numéro de mobile vérifié	Visiteurs, hospitalisations d'un jour, salle d'attente des urgences
Basé sur l'identité (iPSK ou bulle de réseau privé)	Scanne un QR code au chevet du patient et reçoit une clé personnelle	Aucune invite si la durée de vie de la clé correspond à l'admission	VLAN par identité ou bulle privée attribuée par RADIUS	Clé nominative par patient ou par lit	Patients hospitalisés, maternité, séjours de longue durée et services de rééducation
Passpoint ou OpenRoaming	Se connecte automatiquement avec un profil configuré	Aucune invite tant que le profil est valide	Politique appliquée par le domaine du fournisseur d'identités	Compte du fournisseur d'identités	Personnel et visiteurs possédant déjà un profil

Quelques définitions s'imposent ici. La technologie iPSK (identity pre-shared key) attribue à chaque personne ou appareil son propre mot de passe WiFi sur un SSID partagé. RADIUS est le protocole d'authentification qui vérifie les identifiants et renvoie la politique à appliquer au point d'accès. Passpoint (Hotspot 2.0) permet à un appareil de se connecter automatiquement à l'aide d'un identifiant stocké. OpenRoaming est la fédération de la Wireless Broadband Alliance basée sur Passpoint.

Comment les plateformes de WiFi invité à l'hôpital séparent-elles le trafic des patients, des visiteurs, des prestataires et de l'IoT clinique ?

La séparation s'effectue à trois niveaux : le SSID, le VLAN et le pare-feu. Un VLAN (LAN virtuel, défini dans la norme IEEE 802.1Q) divise un réseau physique en réseaux logiques isolés.

Attribution dynamique de VLAN. Vous n'avez pas besoin d'un SSID par population. Chaque SSID supplémentaire consomme du temps d'antenne pour les balises (beacons), et des fournisseurs tels que Cisco et HPE Aruba recommandent de maintenir leur nombre à un niveau bas. À la place, RADIUS peut renvoyer un VLAN lors de la connexion, en utilisant les attributs de tunnel standardisés dans la norme RFC 3580. La clé d'un patient l'oriente vers le VLAN patient, et les identifiants d'un prestataire vers le VLAN prestataire. Tous deux passent par le même SSID.

Isolation des clients. Sur chaque VLAN invité, activez le blocage de pair à pair (peer-to-peer). Cela empêche l'ordinateur portable d'un patient d'accéder au téléphone d'un autre patient. La bulle de réseau privé de Purple va encore plus loin. Les appareils d'un même patient peuvent communiquer entre eux (une tablette peut par exemple diffuser du contenu sur un téléphone), mais rien n'est accessible en dehors de cette bulle.

Politique de pare-feu. Les VLAN invités doivent uniquement accéder à Internet et à rien d'autre. Interdisez toutes les plages d'adresses privées RFC 1918 depuis les VLAN invités, puis réautorisez uniquement ce dont vous avez besoin, comme un service de divertissement pour les patients. Enregistrez les règles d'interdiction dans les journaux. C'est la preuve qu'un auditeur vous demandera lors de la soumission de votre Data Security and Protection Toolkit (DSPT) NHS.

Chiffrement. Les SSID ouverts envoient le trafic en clair sur les ondes. Le mode WPA3 Enhanced Open, basé sur l'Opportunistic Wireless Encryption (RFC 8110), chiffre chaque session sans mot de passe. Les appareils plus anciens des patients ne le prennent pas en charge, exécutez-le donc en mode transition si votre matériel le permet.

Population	Réseau	Authentification	Politique de VLAN et de pare-feu	Durée de vie des identifiants
Hospitalisé	SSID invité	Bulles de réseau privé ou iPSK, émises au chevet du patient	VLAN patient, Internet uniquement, isolation des clients	Durée de l'hospitalisation, révoqué lors de la sortie
Visiteur ou patient externe	SSID invité	Portail captif enregistré	VLAN visiteur, Internet uniquement, isolation des clients	Un jour de visite
Prestataire	SSID invité	Demande parrainée approuvée par les services généraux ou l'IT	VLAN prestataire, Internet plus points de terminaison nommés des fournisseurs	Date de fin du contrat
IoT clinique	SSID clinique, jamais invité	IEEE 802.1X avec EAP-TLS, ou iPSK pour les appareils sans écran	VLAN clinique derrière le pare-feu, pas d'Internet par défaut	Durée de vie de l'équipement, révoqué lors du déclassement
Personnel	SSID du personnel	IEEE 802.1X via Microsoft Entra ID, Okta ou Google Workspace	VLAN du personnel par rôle	Emploi, révoqué lors du départ

IEEE 802.1X est la norme de contrôle d'accès basée sur les ports utilisée pour le WiFi d'entreprise. EAP-TLS est la méthode basée sur des certificats au sein de cette norme, et elle convient aux appareils pouvant contenir un certificat. Ce n'est pas le cas de nombreuses pompes à perfusion, moniteurs et unités d'appel infirmier. iPSK fournit à ces appareils sans écran une clé unique, afin que vous puissiez révoquer un appareil sans devoir ressaisir la clé de tout le service.

Le WiFi du personnel Purple applique le modèle des arrivées, mouvements et départs aux accès des employés. Les comptes des personnes ayant quitté l'entreprise désactivés dans Microsoft Entra ID, Okta ou Google Workspace perdent leur accès au WiFi en même temps. Cela évite que le mot de passe partagé du personnel ne se retrouve côté invités du domaine.

Quelles sont les politiques de filtrage DNS et de protection nécessaires sur le NHS et les réseaux invités des établissements de santé privés ?

Aucune loi unique ne répertorie ce qu'un réseau invité du NHS doit bloquer. En pratique, les établissements (trusts) élaborent leur politique de filtrage à partir de cinq sources.

1. La liste d'URL de l'Internet Watch Foundation (IWF) relatives à la pédopornographie. Bloquez-la sur tous les VLAN invités, sans exception.
2. La liste CTIRU du Home Office relative aux contenus terroristes illégaux. La définition du filtrage approprié du UK Safer Internet Centre s'y réfère.
3. L'obligation Prevent. Les trusts et foundation trusts du NHS sont des autorités désignées au titre du Counter-Terrorism and Security Act 2015. La politique de votre WiFi invité doit montrer comment elle soutient cette obligation.
4. Friendly WiFi. Ce programme d'accréditation britannique certifie que le WiFi public filtre la pornographie et les contenus pédopornographiques. De nombreux acheteurs du secteur public l'exigent.
5. Votre politique de protection des personnes. Les services de pédiatrie, de santé mentale et pour adolescents nécessitent un profil plus strict qu'un hall de consultation externe pour adultes.

Le filtrage DNS vérifie chaque recherche de domaine par rapport à des listes de catégories et bloque la requête avant qu'une connexion ne s'ouvre. C'est la couche pratique pour les réseaux invités car elle ne nécessite aucun agent sur les appareils des patients. Une ligne de base raisonnable bloque les contenus illégaux, les contenus pour adultes, les logiciels malveillants et le phishing sur chaque VLAN invité. Ajoutez ensuite les catégories jeux d'argent, automutilation et incitation aux troubles alimentaires sur les VLANs de pédiatrie et de santé mentale.

Deux points techniques déterminent si la politique s'applique correctement :

• Force DNS. Redirigez ou bloquez le DNS sortant sur le port 53 qui ne va pas vers votre résolveur de filtrage.
• Gérer le DNS chiffré. Le DNS sur HTTPS (DoH, RFC 8484) peut contourner entièrement un filtre. Bloquez les résolveurs DoH publics connus et le DNS sur TLS sur le port 853. Utilisez le domaine canary que les navigateurs vérifient avant d'activer le DoH par défaut.

Conformément au UK GDPR, les journaux de filtrage sont des données personnelles dès lors qu'ils sont liés à un patient ou à un visiteur. Définissez une période de conservation courte, documentez-la dans votre analyse d'impact sur la protection des données (AIPD) et restreignez les personnes pouvant la consulter. L'accès basé sur l'identité présente ici un avantage certain. Un responsable de la protection des personnes peut associer une alerte de requête bloquée à un lit ou à une clé, plutôt qu'à une adresse MAC aléatoire.

Les modules complémentaires de sécurité de Purple (SecurePass, Verify et Shield) s'intègrent à la plateforme de WiFi invité WiFi. Spécifiez les catégories de filtrage, les sources de listes et la conservation des journaux dont vous avez besoin dans votre appel d'offres. Demandez ensuite à chaque soumissionnaire de faire une démonstration de chaque fonctionnalité, et non de simplement cocher une case.

Comment les parcours d'inscription au chevet du patient réduisent-ils les tickets d'assistance auprès du personnel soignant pour les patients en long séjour ?

Les tickets WiFi auprès du personnel soignant dans les services de long séjour ont trois causes fréquentes.

• Expiration de la session. Une session par clic limitée à 24 heures oblige un patient séjournant 10 jours à repasser par le portail captif jusqu'à 10 fois par appareil.
• Randomisation de l'adresse MAC. iOS et Android utilisent par défaut une adresse MAC privée par réseau, et certaines versions la font tourner. Une plateforme qui reconnaît les appareils habituels par leur adresse MAC les oublie.
• Échec du portail captif. Certaines applications et certains appareils plus anciens n'affichent jamais le portail captif ; le patient voit donc "connecté, pas d'accès Internet" et sollicite le personnel soignant.

L'inscription au chevet élimine ces trois problèmes. Le patient scanne un code QR sur la carte au chevet du lit ou sur le dépliant de bienvenue. Il valide une seule fois les conditions d'utilisation acceptables et reçoit une clé personnelle ou une bulle à laquelle chaque appareil peut se connecter. La durée de validité de la clé correspond à l'hospitalisation et est révoquée au moment de la sortie. Aucun portail captif ne réapparaît, de sorte que les adresses MAC aléatoires et les applications incompatibles avec les portails ne posent plus problème.

Quelques détails de conception pour réduire davantage les tickets :

• Attribuez par lit plutôt que par nom, si votre délégué à la protection des données le préfère. Réémettez la clé lors de la sortie du patient via le flux de travail de gestion des lits.
• Autorisez un appareil familial. Les proches configurent souvent la tablette d'un parent. Une clé qui couvre quatre ou cinq appareils évite la création d'un second ticket.
• Rédigez la carte de manière adaptée au service. Utilisez un langage clair, prévoyez des traductions dans les principales langues de vos patients et respectez un ratio de contraste conforme au niveau WCAG 2.2 AA.
• Ajoutez une page d'aide en libre-service qui se charge sur le WiFi invité VLAN sans authentification, afin que les patients puissent résoudre les problèmes courants sans solliciter le personnel.

Quelle est la place de chaque modèle d'inscription dans un établissement hospitalier ?

Les deux scénarios appliqués ci-dessous reposent sur des hypothèses définies. Chacun d'eux détaille le calcul afin que vous puissiez le réitérer avec vos propres chiffres concernant le nombre de lits et la durée des séjours.

Scénario appliqué 1 : un groupement hospitalier pour soins aigus d'un NHS remplace un réseau par clic

Situation. Un établissement de soins aigus de 600 lits exploite un SSID visiteurs ouvert avec une session de 24 heures sans authentification préalable. Les patients, les visiteurs, les prestataires et certains anciens équipements de service partagent tous un seul VLAN visiteurs non segmenté. Les chefs de service signalent que WiFi constitue une interruption régulière au poste des infirmiers.

Action réalisée. L'établissement a divisé l'infrastructure en quatre VLAN : patient, visiteur, prestataire et clinique. Les équipements cliniques ont été transférés vers un SSID clinique séparé avec iPSK et sans accès Internet. Les patients hospitalisés s'authentifient désormais au chevet du patient avec une clé valide pour toute la durée du séjour. Les visiteurs utilisent un portail captif enregistré pour une journée de visite. Le filtrage DNS bloque les listes IWF et CTIRU sur chaque VLAN visiteurs, avec un profil plus strict dans les services de pédiatrie et de santé mentale.

Résultat mesurable. Prenons l'exemple d'un service de 28 lits avec une durée moyenne de séjour de six jours et deux appareils par patient. L'ancienne session de 24 heures générait jusqu'à 12 demandes de connexion au portail par lit et par séjour. Cela représente environ 336 demandes par service et par cycle de séjour. Avec l'authentification au chevet du patient, ce chiffre passe à deux, soit une par appareil lors de l'admission. L'établissement mesure ce changement grâce aux tickets du centre de services étiquetés « patient WiFi », comparés d'un trimestre à l'autre. Il a également obtenu un journal de pare-feu affichant un trafic nul entre les visiteurs et le réseau clinique, ce qui vient étayer ses preuves DSPT.

Scénario concret 2 : un hôpital privé géré selon les standards de l'hôtellerie

Situation. Un hôpital privé de 120 lits positionne l'expérience de séjour comme celle d'un hôtel, avec service d'étage, streaming de divertissement et service de conciergerie. Les patients s'attendent à un WiFi qui fonctionne comme dans une chambre quatre étoiles. Beaucoup travaillent à distance pendant leur convalescence, disposant chacun d'un ordinateur portable, d'un téléphone et d'une tablette.

Action réalisée. L'hôpital a utilisé la bulle de réseau privé de Purple pour que les appareils de chaque patient puissent communiquer entre eux, mais avec personne d'autre. Un patient peut diffuser du contenu sur l'écran de la chambre sans l'exposer à la chambre voisine. L'inscription ne collecte que le nom et l'adresse e-mail, avec des choix d'adhésion explicites pour les communications de l'hôpital. Elle ne collecte jamais d'informations de santé, que UK GDPR traite comme des données de catégorie particulière. WiFi Analytics génère des rapports sur les appareils connectés et le temps de présence par service, et non par individu.

Résultat mesurable. Prenons le cas d'un patient qui séjourne quatre nuits avec trois appareils sur une session de 24 heures. Ce patient serait confronté à 12 demandes de reconnexion. Avec une clé valide pour la durée du séjour, il n'en rencontre que trois. L'hôpital suit deux indicateurs : les demandes de support WiFi auprès de la conciergerie par nuitée occupée, et les scores de satisfaction des patients concernant la connectivité. Il compare également les taux d'adhésion par rapport à son ancien formulaire de consentement papier.

La même logique d'hôtellerie s'applique dans le cadre du travail de Purple avec les Hôtels. De nombreux atriums d'hôpitaux intègrent désormais des cafés et des boutiques. Cet espace concourant se comporte comme le secteur du Commerce de détail : le client a besoin d'un accès rapide et filtré, et le portail captif enregistré est parfaitement adapté.

Combien coûte l'exploitation de chaque option ?

Le prix de la licence n'est qu'une partie du coût. Les coûts les plus importants résident dans le temps passé aux postes de soins, le travail de conduite du changement informatique et la charge de travail liée à la protection des données.

Modèle d'accès	Changement de matériel	Charge de travail du personnel de service	Charge de travail informatique	Coûts administratifs liés à la protection des données
Portail captif ouvert avec simple clic	Aucun sur les points d'accès pris en charge	Élevée : invitations répétées à chaque session	Faible : un VLAN, une politique	Peu de données conservées, mais attribution de la protection des personnes vulnérables faible
Portail captif enregistré	Aucun sur les points d'accès pris en charge	Moyenne : invitations à l'expiration et après la rotation MAC	Faible : un ou deux VLAN	Coordonnées conservées : AIPD, calendrier de conservation, notice de confidentialité
Basé sur l'identité (bulle de réseau privé ou iPSK)	Aucun lorsque les points d'accès prennent en charge iPSK ou l'attribution RADIUS VLAN	Faible : une configuration par admission	Moyenne : VLAN par population et politique RADIUS	Clé liée au lit ou au patient : l'AIPD couvre les journaux de filtrage
Passpoint ou OpenRoaming	Les points d'accès doivent prendre en charge Hotspot 2.0	Faible une fois les profils installés	Moyenne à élevée : certificats, domaines, distribution des profils	Identité conservée par le fournisseur : conditions de partage des données à examiner

Trois facteurs de coûts sont faciles à négliger :

• Dépendance au contrôleur. Si votre portail captif et votre politique se trouvent sur un contrôleur LAN sans fil sur site, chaque modification doit attendre une fenêtre de maintenance. Une superposition cloud déplace cette politique hors du contrôleur. Consultez la page Qu'est-ce qu'un WLC (contrôleur LAN sans fil) et en avez-vous toujours besoin ?.
• Dérive des identifiants des prestataires. Les mots de passe partagés des prestataires changent rarement. L'accès sponsorisé limité dans le temps élimine le coût lié à leur recherche et à leur révocation après un incident.
• Tickets de reconnexion. Chaque ticket coûte quelques minutes de temps infirmier au détriment des patients. Multipliez vos demandes modélisées par votre taux de tickets pour obtenir un chiffre concret.

Purple annonce une disponibilité de 99,999 % pour sa plateforme (données propres à Purple). Demandez à chaque soumissionnaire son taux de disponibilité et la période couverte, car toute interruption de service dans un service hospitalier se traduit par un ticket supplémentaire.

Comment décider pour votre parc d'équipements ?

Partez de vos populations et de vos contraintes, pas d'une liste de fonctionnalités.

Votre situation	Approche recommandée
Groupement hospitalier pour soins aigus, mélanges de séjours courts et longs, réseau invités actuellement plat	iPSK au chevet pour les patients hospitalisés, portail captif enregistré pour les visiteurs, SSID clinique séparé
Services de santé mentale, de pédiatrie ou d'adolescents sur site	VLAN par service avec un profil de filtrage DNS plus strict et des alertes de protection des personnes vulnérables liées aux clés de lit
Hôpital privé proposant un séjour aux normes hôtelières	Bulle de réseau privé par patient, consentements explicites après choix éclairé, aucune donnée de santé à l'inscription
Clinique externe ou hôpital de proximité, visites de moins de quatre heures	Portail captif enregistré avec une session d'un jour et un filtrage de base
Population importante de prestataires pendant un programme d'aménagement	VLAN sponsorisé et limité dans le temps pour les prestataires, expirant à la date de fin du contrat
Dispositifs médicaux hérités ne pouvant pas exécuter 802.1X	iPSK par appareil sur un VLAN clinique sans routage Internet

Effectuez ensuite cinq vérifications avant de sélectionner vos candidats :

1. Matériel. Confirmez que vos points d'accès prennent en charge l'attribution VLAN RADIUS et iPSK. Purple prend en charge Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet.
2. Filtrage. Demandez une confirmation écrite de la couverture des listes IWF et CTIRU, de la prise en charge DoH et des profils par VLAN.
3. Protection des données. Demandez les certificats ISO 27001 et Cyber Essentials, l'hébergement des données et un projet d'accord de traitement des données.
4. Onboarding. Observez le parcours au chevet du patient sur un téléphone avec adresse MAC aléatoire, puis sur une ancienne tablette Android, avant de signer.
5. Rapports. Vérifiez que les rapports d'analyse fournissent des données au niveau des services sans exposer les patients individuels.

Le guide Exigences d'appels d'offres pour le WiFi invité : ce qu'il faut spécifier pour l'onboarding, la sécurité et l'analyse transforme ces vérifications en clauses d'appel d'offres. Pour en savoir plus sur le contexte sectoriel, consultez la page Santé de Purple.

Foire aux questions

Purple fonctionne-t-il avec les points d'accès que notre hôpital possède déjà ?

Oui. Purple fonctionne comme une superposition cloud sur les matériels Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Vous conservez vos points d'accès, commutateurs et câblages existants. Ce qu'il faut vérifier, c'est la prise en charge des fonctionnalités sur vos modèles, principalement l'attribution VLAN RADIUS et iPSK, car elles déterminent si l'onboarding basé sur l'identité fonctionne au chevet des patients dans chaque service. L'équipe Purple valide ce point par rapport à votre inventaire lors du cadrage.

Les patients en long séjour peuvent-ils rester connectés pendant toute la durée de leur hospitalisation sans se reconnecter ?

Oui, lorsque vous utilisez un onboarding basé sur l'identité. Le patient scanne un code QR au chevet du lit une seule fois et reçoit une clé personnelle. Chaque appareil se reconnecte ensuite automatiquement pendant toute la durée du séjour. Vous définissez la durée de vie de la clé pour qu'elle corresponde à l'hospitalisation et vous la révoquez lors de la sortie. Les adresses MAC aléatoires et les temporisateurs de session courts ne déclenchent plus d'invites répétées sur le Captive Portal, qui représentent la principale source de tickets WiFi à l'accueil des services.

Purple est-il conforme aux exigences de protection des données du UK GDPR pour les trusts du NHS ?

Oui. Purple est conforme au GDPR et détient les certifications ISO 27001 et Cyber Essentials, ce qui garantit la conformité de vos fournisseurs. Votre trust reste le responsable du traitement des données, vous devez donc réaliser une analyse d'impact sur la protection des données (DPIA) et définir la durée de conservation des journaux d'inscription et de filtrage. Ne collectez jamais d'informations de santé lors de l'inscription au WiFi. Le UK GDPR les traite comme des données de catégorie particulière, et l'accès au réseau n'en a pas besoin.

Les dispositifs médicaux cliniques doivent-ils se connecter au WiFi invité de l'hôpital ?

Non. L'IoT clinique doit se trouver sur un SSID et un VLAN cliniques distincts, derrière un pare-feu sans route internet par défaut. Utilisez la norme 802.1X avec EAP-TLS pour les appareils capables d'héberger un certificat. Utilisez iPSK pour les appareils sans interface qui ne le peuvent pas, afin de pouvoir révoquer un seul appareil sans modifier les clés du service. Les VLAN invités doivent bloquer tout le trafic vers les plages d'adresses privées internes.

De quel filtrage de contenu un réseau WiFi invité du NHS a-t-il besoin ?

Au minimum, bloquez la liste de l'Internet Watch Foundation et la liste du CTIRU du Home Office sur chaque WiFi invité VLAN. Ajoutez le contenu pour adultes, les logiciels malveillants et le hameçonnage comme base de référence. Appliquez des profils plus stricts dans les services de pédiatrie et de santé mentale. Forcez le DNS via votre résolveur de filtrage et bloquez les résolveurs DNS over HTTPS publics, sinon les patients pourront contourner le filtre. De nombreux acheteurs du secteur public demandent également l'accréditation Friendly WiFi.

Comment les licences Purple sont-elles attribuées pour un domaine hospitalier ?

Purple propose trois offres de licences : Connect, Capture et Engage. SecurePass, Verify et Shield sont disponibles sous forme de modules complémentaires de sécurité. La plupart des trusts commencent par l'offre qui couvre l'accès des patients et des visiteurs, puis ajoutent des fonctionnalités de sécurité adaptées à leurs exigences en matière de protection des personnes et d'identité. Contactez Purple pour obtenir un devis basé sur vos sites, vos services et vos populations. Munissez-vous de l'inventaire de vos points d'accès pour que le dimensionnement soit précis.

Quel effort représente le passage d'un réseau à simple clic d'acceptation ?

L'essentiel de l'effort concerne la conception du réseau, pas l'installation. Aucun nouveau point d'accès n'est nécessaire sur le matériel pris en charge. Votre équipe définit les VLAN, rédige les règles de pare-feu entre eux et établit la politique RADIUS pour chaque population. Vous préparez également les cartes pour les chevets et informez le personnel hospitalier. Tester d'abord un service pilote vous permet de mesurer la réduction du nombre de tickets avant un déploiement à l'échelle du trust.

Pouvons-nous utiliser l'inscription au WiFi invité pour les communications avec les patients ?

Oui, uniquement avec des opt-ins explicites. Demandez le consentement séparément des conditions d'utilisation acceptables, enregistrez-le avec un horodatage et faites en sorte qu'il soit aussi facile de le retirer que de le donner. Ne collectez que des coordonnées, jamais d'informations cliniques. Les données first-party capturées de cette façon peuvent alimenter les communications hospitalières approuvées, telles que les rappels de rendez-vous. Votre avis de confidentialité et votre AIPD doivent couvrir cet usage.