Les cyberattaques ne ciblent pas seulement les hôpitaux. Dans un cabinet, un compte de messagerie compromis, une pièce jointe piégée ou un ordinateur perdu peut mettre en danger des informations sensibles. La première ligne de défense est une organisation claire.
1. Séparer et protéger les comptes
Chaque professionnel utilise son propre compte quand le logiciel le permet. Évitez les identifiants partagés, car ils empêchent de savoir qui a accédé à un dossier. Choisissez des mots de passe uniques, suffisamment longs et conservés dans un gestionnaire adapté.
Activez la double authentification sur la messagerie, le portail métier et les accès d’administration disponibles. Conservez les codes de secours dans un lieu distinct du téléphone.
2. Mettre à jour les appareils et logiciels
Téléphones, ordinateurs, navigateurs, logiciels métiers et dispositifs connectés comportent parfois des failles de sécurité. Les mises à jour servent notamment à les corriger. Prévoir un créneau et vérifier régulièrement que les mises à jour critiques ont bien été appliquées est plus efficace que de supposer qu’elles s’installent seules.
Lorsque du matériel n’est plus pris en charge, planifiez son remplacement ou des mesures compensatoires validées, plutôt que de continuer sans protection.
3. Sauvegarder et tester la restauration
Une sauvegarde non testée n’est pas une garantie. Définissez ce qu’il faut pouvoir restaurer (données métiers, modèles, paramètres) et vérifiez la solution avec l’éditeur du logiciel. Conservez des copies protégées, dont au moins une isolée du système habituel ou inaccessible en écriture permanente depuis les postes.
Planifiez un exercice sur des données fictives : savoir restaurer un document ou un environnement réduit déjà les risques de blocage.
4. Reconnaître une demande frauduleuse
Un faux message de l’Assurance maladie, de la banque, d’un laboratoire ou d’un prestataire peut jouer sur l’urgence : « dernier rappel », « facture à régler », « votre compte expire ». N’ouvrez pas le lien depuis le message pour vérifier. Passez par le site ou le numéro habituel de l’organisme.
Les fraudes peuvent également passer par téléphone ou SMS. Une demande inattendue de code de connexion doit être traitée comme suspecte.
5. Protéger les échanges de données de santé
Une information patient ne doit être envoyée qu’à un destinataire habilité, avec un moyen de communication adapté. Pour les échanges entre acteurs de santé, l’espace de confiance MSSanté constitue une solution dédiée. Vérifiez les adresses avant envoi et évitez les copies inutiles.
La sécurité n’est pas seulement un « cadenas » : elle repose aussi sur l’habilitation, la bonne destination, la minimisation des données et la traçabilité des accès.
6. Limiter les droits et verrouiller les postes
Un écran de consultation laissé ouvert dans une salle accessible expose des informations. Adoptez le verrouillage systématique des postes (par exemple Windows + L sous Windows) et définissez un délai de verrouillage automatique adapté.
Un nouvel arrivant n’a besoin que des droits correspondant à ses missions ; au départ d’un salarié ou remplaçant, supprimez ou révoquez ses accès. Inventoriez les comptes disposant de privilèges d’administration.
7. Prévoir la conduite à tenir en cas d’incident
Désignez à l’avance qui contacter : support du logiciel, responsable du cabinet, prestataire informatique et, selon le cas, autorités compétentes. En cas de suspicion de compromission, isolez l’équipement si nécessaire, conservez les éléments utiles, puis faites-vous accompagner.
Une violation de données personnelles peut entraîner des obligations de notification auprès de la CNIL sous conditions et délais réglementaires ; il faut analyser rapidement la nature des données et le risque, plutôt qu’affirmer que toute alerte est automatiquement notifiable.
Votre mini-audit de fin de journée
Prenez cinq minutes pour vérifier trois points : la double authentification est-elle activée sur la messagerie principale ? Une restauration récente a-t-elle été testée ? Qui sait quoi faire si un poste se retrouve bloqué ?
Si une réponse manque, inscrivez une action précise, avec un responsable et une date, plutôt qu’un simple « à sécuriser ».
Cas pratique : une fausse facture du fournisseur informatique
Un message semble venir du fournisseur habituel et annonce une urgence de paiement. Son logo est correct, la signature paraît professionnelle et l’objet mentionne un service réellement utilisé par le cabinet. Pourtant, l’adresse d’expédition est inhabituelle et le paiement renvoie vers un site inconnu.
La bonne réaction n’est pas de cliquer pour « voir ». Il faut utiliser le numéro déjà enregistré dans le contrat ou une adresse connue pour vérifier la demande. Si le message a été ouvert par erreur, prévenez rapidement la personne chargée de l’informatique ; ne supprimez pas les éléments qui pourraient aider à comprendre l’incident.
L’exercice est transposable aux fausses demandes de code de connexion et aux prétendues mises à jour du logiciel métier. L’urgence fabriquée est une technique classique de manipulation.
Une règle simple : répartir les responsabilités
La cybersécurité ne doit pas reposer sur la seule personne qui « s’y connaît en informatique ». Attribuez un responsable pour les sauvegardes, un autre pour le suivi des droits d’accès si nécessaire, et identifiez qui doit être contacté en cas d’alerte. Les décisions peuvent rester collectives, mais les actions doivent être explicites.
Consignez les contacts de support hors du seul ordinateur principal. Un document papier rangé au cabinet peut être utile en cas d’indisponibilité du système. Vérifiez régulièrement les coordonnées, le contrat de maintenance et la possibilité d’accéder aux sauvegardes.
L’équipe gagne alors un avantage important : elle ne découvre pas les procédures d’urgence le jour où un incident survient.
Sources et ressources de référence
Ces références officielles permettent de vérifier ou d’approfondir les points présentés.