Cybersécurité santé et médico-social : protéger les données sans interrompre le soin

Ce qui doit continuer à fonctionner

Recensez les logiciels métier, dossiers patients ou usagers, postes partagés, messagerie, accès des prestataires, sauvegardes et équipements indispensables au fonctionnement. Identifiez aussi où transitent les exports, pièces jointes et documents temporaires.

Les scénarios à traiter en priorité

• Compte partagé ou mot de passe transmis entre plusieurs personnes.
• Poste ou session laissé accessible dans un espace partagé.
• Prestataire disposant d’un accès distant permanent.
• Fichier sensible envoyé ou stocké dans un service non prévu pour cet usage.
• Indisponibilité du logiciel métier sans procédure de fonctionnement dégradé.

Les contrôles à vérifier

Les contrôles prioritaires comprennent des comptes individuels, une authentification adaptée, le chiffrement des communications, la maîtrise des droits, les mises à jour, la protection des accès distants et la vérification des sauvegardes. Les exigences applicables aux prestataires traitant des données de santé doivent être vérifiées contractuellement.

Préparer la continuité, pas seulement la prévention

Préparez un mode dégradé pour les fonctions essentielles et testez la restauration. La CNIL rappelle que les professionnels de santé doivent mettre en place des mesures de sécurité adaptées à la sensibilité des données et vérifier les garanties de leurs sous-traitants.

Comment cadrer un premier diagnostic

Le diagnostic doit partir de vos outils réellement utilisés, de vos dépendances et de vos prestataires. Une observation externe peut identifier certaines expositions sans test intrusif ; les vérifications internes ou actives demandent un périmètre et une autorisation écrite.

Pour aller plus loin