Sécuriser son cabinet numérique

1. La cybersécurité est une question de continuité des soins

Un cabinet peut être fortement désorganisé par un compte de messagerie compromis, un ordinateur infecté, une sauvegarde inutilisable ou une coupure d'accès au logiciel métier. L'enjeu n'est pas seulement informatique : disponibilité de l'activité, confidentialité des patients et confiance dans les échanges.

Il n'est pas nécessaire de devenir technicien pour progresser. L'objectif de ce guide est de répartir les responsabilités, vérifier les protections essentielles et savoir réagir rapidement. Les recommandations techniques doivent être adaptées avec votre prestataire, l'éditeur du logiciel métier ou le responsable de la sécurité.

Situation de départ : cabinet fictif de trois soignants, un accueil administratif, quatre ordinateurs et un logiciel métier en ligne. On ne connaît ni les contrats ni le niveau réel de protection : aucune hypothèse ne doit être prise pour un fait.

3. Commencer par un inventaire des accès et du matériel

Rassemblez autour d'une table les principaux éléments : postes fixes, portables, téléphones professionnels, imprimantes connectées, Wi-Fi, comptes de messagerie, agenda et applications métier.

Construisez un tableau sans y inscrire aucun mot de passe :

Action immédiate : identifiez les comptes encore utilisés par plusieurs personnes. La traçabilité et la suppression rapide des accès d'anciens membres de l'équipe sont essentielles.

4. Les sauvegardes : ne pas confondre « sauvegardé » et « récupérable »

Une sauvegarde automatique affichée comme « réussie » n'est utile que si elle permet de récupérer les données attendues. Pour des documents non médicaux internes, vous pouvez organiser un test sans données sensibles ; pour le logiciel métier, la restauration doit suivre la procédure contractuelle de l'éditeur ou du prestataire.

Méthode opérationnelle :

1. Inventorier les données utiles à la continuité d'activité : documents administratifs, procédures, paramètres nécessaires, ainsi que les données métier prises en charge par l'éditeur.
2. Vérifier où et par qui les sauvegardes sont réalisées : en local, sur un support séparé, chez un prestataire, ou via le service métier.
3. Protéger les copies : contrôle d'accès, chiffrement approprié, séparation suffisante des comptes et équipements.
4. Tester sur un jeu de données fictives ou selon la procédure d'éditeur ; noter la date, le résultat et la personne présente.
5. Documenter qui déclenche la reprise et comment joindre le support.

Erreur fréquente : un disque USB branché en permanence peut être affecté par le même incident qu'un ordinateur. Discutez avec votre prestataire d'une copie isolée ou protégée contre les modifications malveillantes.

5. Mots de passe, authentification et habilitations

Privilégiez un mot de passe unique et robuste pour chaque compte, conservé dans un gestionnaire adapté. Activez l'authentification multifacteur lorsqu'elle est proposée, en priorité sur les messageries, l'administration des services et les outils accessibles depuis l'extérieur.

Cas concret : une personne quitte le cabinet. Avant son dernier jour, la structure doit savoir quels comptes elle possède, qui demande leur désactivation, comment transférer les documents professionnels nécessaires et quelles sessions ou autorisations doivent être révoquées.

Procédure de départ (exemple) : responsable identifié → liste des comptes → suppression ou désactivation des accès → retrait du partage de fichiers → vérification des appareils et moyens d'authentification → trace de l'opération. À adapter au droit du travail et aux obligations d'archivage.

Ne partagez jamais un code multifacteur par téléphone à une personne qui prétend intervenir « pour le support » sans vérification par un canal indépendant.

6. Savoir reconnaître un hameçonnage

Scénario fictif, lundi 8 h 15 : l'accueil reçoit « URGENT : votre compte de télétransmission sera désactivé dans une heure. Cliquez ici ». Le message semble provenir d'un prestataire connu, mais l'adresse d'expédition est inhabituelle.

Les quatre gestes :

1. Stopper : ne cliquez pas et n'ouvrez pas la pièce jointe.
2. Examiner : identité réelle de l'expéditeur, destination du lien, caractère inhabituel de la demande, urgence artificielle.
3. Vérifier autrement : contactez le service via une adresse ou un numéro déjà connu, pas celui contenu dans le message suspect.
4. Signaler : informez le référent ou le prestataire selon la procédure du cabinet.

Si quelqu'un a déjà cliqué : ne masquez pas l'incident. Signalez immédiatement ce qui s'est passé ; la conduite technique dépend de l'action réalisée (simple ouverture, saisie d'un mot de passe, téléchargement d'un fichier, etc.).

7. Incident réel : les trente premières minutes

Scénario fictif : plusieurs fichiers deviennent inaccessibles et une demande de paiement apparaît sur un ordinateur. Ce scénario nécessite une réaction différente d'un simple courriel suspect.

• Protéger la situation : alertez le responsable et le prestataire ; isolez l'équipement selon leurs consignes (par exemple du réseau), sans improviser des manipulations susceptibles de détruire des preuves.
• Préserver des informations utiles : heure, message affiché, systèmes concernés et actions déjà réalisées ; ne diffusez pas de captures contenant des données de patients.
• Maintenir l'activité : déclenchez le plan de continuité adapté, si disponible. Ne considérez pas que la présence d'une sauvegarde signifie un redémarrage immédiat.
• Qualifier l'événement : si des données personnelles peuvent avoir été compromises, le responsable doit évaluer les obligations RGPD ; en cas de violation présentant un risque, une notification à la CNIL peut être nécessaire, en principe dans les 72 heures après en avoir pris connaissance. Cela n'implique pas que chaque incident informatique doive être déclaré automatiquement.
• Obtenir un appui spécialisé : sollicitez le prestataire, les services compétents et, si utile, Cybermalveillance.gouv.fr.

À ne pas faire : promettre aux patients que « rien n'a fuité » sans évaluation, réinstaller précipitamment toutes les machines ou négocier seul une rançon.

8. Plan d'action à 30 jours : exemples de priorités

Indicateur intéressant : proportion des systèmes essentiels disposant d'un responsable, d'un mécanisme de sauvegarde documenté et d'une procédure de restauration testée.

9. Atelier d'équipe : quinze minutes pour tester SOINS

Mettez l'équipe autour d'une table. Sans afficher de mots de passe ni de données de patients, demandez : « Qui peut identifier le dernier test de restauration ? », « Comment retire-t-on les accès d'un collaborateur ? », « Qui répond à un incident un samedi ? ».

Pour chaque réponse inconnue, inscrivez une action, une personne responsable et une échéance. L'exercice ne cherche pas un score parfait : il doit faire émerger les zones floues.

10. Quiz : trois décisions à prendre

11. Checklist à imprimer

• Chaque équipement et logiciel critique a un responsable.
• Les droits d'accès sont individualisés et révisés régulièrement.
• L'authentification multifacteur est activée lorsqu'elle est disponible.
• Les mises à jour sont suivies et les appareils obsolètes identifiés.
• Les sauvegardes sont protégées et une restauration a été testée.
• L'équipe sait reconnaître et signaler un courriel suspect.
• Une procédure simple existe en cas d'incident, avec les coordonnées utiles.
• Les obligations RGPD et les modalités de signalement ont été examinées.