Actualités › Cybersécurité du cabinet médical
Obligations de sécurité, sauvegardes, authentification forte, réaction en cas de cyberattaque.
La Politique Générale de Sécurité des Systèmes d'Information de Santé (PGSSI-S) est un ensemble de référentiels publiés par l'Agence du Numérique en Santé, qui fixent les règles de sécurité applicables aux systèmes d'information manipulant des données de santé, y compris en médecine de ville.
Un cabinet médical est soumis à une obligation générale de sécurité des données personnelles au titre du RGPD, déclinée en mesures concrètes recommandées (mots de passe robustes, mises à jour logicielles, sauvegardes chiffrées, contrôle des accès), sans texte unique qui fixe une liste exhaustive et figée.
Les sanctions de la CNIL dans le secteur de la santé portent le plus souvent sur des défauts de sécurisation des accès, l'absence d'analyse d'impact pour des traitements à risque, des durées de conservation excessives ou des manquements dans la sous-traitance de données de santé — des motifs récurrents qui donnent une grille de lecture utile pour la conformité.
La disponibilité des données de santé fait partie des exigences de sécurité du RGPD au même titre que leur confidentialité, ce qui implique une politique de sauvegarde régulière, testée et si possible externalisée chez un hébergeur certifié HDS pour tout système d'information de cabinet médical.
En cas de cyberattaque touchant un système d'information de santé, plusieurs démarches doivent être envisagées : signalement à la CNIL si des données personnelles sont affectées, contact avec le dispositif national d'assistance en cybersécurité pour le secteur santé, et dépôt de plainte auprès des autorités compétentes.
Face à la sensibilité des données de santé, les référentiels de sécurité recommandés (PGSSI-S, RGPD) poussent à généraliser une authentification forte (mot de passe robuste combiné à un second facteur) sur les logiciels qui donnent accès à ces données, y compris pour les comptes professionnels.
Face au risque de rançongiciel, un cabinet médical peut réduire significativement son exposition en combinant des sauvegardes régulières et déconnectées, des mises à jour logicielles systématiques, et une sensibilisation du personnel aux techniques d'hameçonnage, vecteur d'entrée le plus fréquent.
Les campagnes d'hameçonnage ciblant les professionnels de santé imitent fréquemment des organismes de confiance (Assurance Maladie, Ordre des médecins, éditeurs de logiciels), avec des signaux d'alerte reconnaissables : urgence artificielle, lien suspect, demande d'informations sensibles inhabituelle.
Bien qu'aucun texte unique n'impose explicitement un antivirus sur chaque poste d'un cabinet médical, cette mesure fait partie des recommandations de sécurité de base attendues au titre de l'obligation générale de sécurité du RGPD applicable à tout traitement de données de santé.
Retarder l'installation des mises à jour de sécurité d'un système d'exploitation laisse ouvertes des failles connues et publiquement documentées, activement exploitées par les attaquants, un risque généralement supérieur à celui d'un dysfonctionnement occasionnel lié à une mise à jour.
Les erreurs de configuration wifi les plus fréquentes en cabinet médical incluent l'absence de séparation entre réseau professionnel et réseau invité, un mot de passe wifi faible ou inchangé depuis l'installation, et l'usage d'un protocole de chiffrement obsolète.
Un plan de continuité d'activité préparé en amont d'une cyberattaque prévoit les procédures dégradées à suivre (accès aux informations essentielles sans le système habituel, coordonnées de secours) pour maintenir un fonctionnement minimal du cabinet pendant la résolution de l'incident.
Une assurance cyber dédiée aux cabinets médicaux peut couvrir, selon les contrats, les frais de gestion de crise, la perte d'exploitation liée à un incident, et certains frais de notification aux personnes concernées, un complément aux mesures de prévention technique plutôt qu'un substitut.
Un dispositif national d'assistance en cybersécurité dédié au secteur de la santé propose un accompagnement technique aux structures de santé, y compris aux cabinets de ville, en cas d'incident avéré ou suspecté, avec des modalités de contact précisées sur les sites institutionnels compétents.
Le départ d'un collaborateur (salarié, stagiaire, remplaçant) impose de révoquer systématiquement l'ensemble de ses accès aux outils numériques du cabinet, un oubli fréquent qui laisse subsister un compte actif inutilement exposé à un usage non autorisé après le départ effectif.
La règle de sauvegarde 3-2-1 recommande de conserver trois copies des données importantes, sur deux supports de nature différente, dont une copie externalisée hors des locaux du cabinet, un principe simple qui réduit considérablement le risque de perte totale des données.
Des outils d'auto-évaluation de cybersécurité, publiés par les autorités compétentes, permettent à un professionnel de santé sans expertise technique préalable de réaliser un premier diagnostic de ses pratiques et d'identifier les axes d'amélioration prioritaires pour son cabinet.
L'authentification biométrique offre un compromis intéressant entre sécurité renforcée et simplicité d'usage pour l'accès à un logiciel de santé, sous réserve de bien comprendre où et comment les données biométriques elles-mêmes sont traitées et sécurisées.