Cybersécurité d'un cabinet médical : les réflexes essentiels

Un cabinet est une cible : les données de santé se revendent cher et les attaques sont automatisées. La bonne nouvelle, c'est que l'essentiel du risque se couvre avec une poignée de réflexes, sans devenir expert en sécurité. Ce guide les détaille, du poste de travail au plan de réponse.

1. Pourquoi un cabinet est une cible

Deux idées reçues sont dangereuses. La première : « nous sommes trop petits pour intéresser qui que ce soit. » Faux — la majorité des attaques ne sont pas ciblées mais opportunistes et automatisées : des robots balaient Internet à la recherche de failles, sans se soucier de la taille de la victime. La seconde : « nos données n'ont pas de valeur. » Faux également — un dossier de santé complet se revend plus cher qu'un numéro de carte bancaire, parce qu'il permet fraude, usurpation et chantage sur le long terme, et qu'il ne s'annule pas comme une carte.

À cela s'ajoute une vulnérabilité structurelle : un cabinet manipule des données très sensibles sans équipe de sécurité dédiée. C'est précisément ce déséquilibre — forte valeur, faible défense — qui en fait une cible privilégiée, et un maillon parfois utilisé pour remonter vers de plus grosses structures partenaires.

2. Les cinq fondamentaux

Ces cinq mesures, appliquées ensemble, couvrent la grande majorité des scénarios d'attaque.

3. La 2FA n'est pas égale à la 2FA

Toutes les doubles authentifications ne se valent pas. Le code reçu par SMS est mieux que rien, mais il peut être intercepté ou contourné par des attaques sophistiquées. Une application d'authentification (codes temporels) est nettement plus sûre. Le meilleur niveau, aujourd'hui, est la 2FA résistante à l'hameçonnage : clés de sécurité physiques (FIDO2) ou passkeys, qui ne peuvent pas être « rejouées » sur un faux site. Pour les accès les plus sensibles (administration du logiciel métier, messagerie du responsable), visez ce niveau.

4. La sauvegarde 3-2-1

La sauvegarde est votre dernière ligne de défense, notamment contre les rançongiciels. La règle de référence est simple à retenir : 3 copies de vos données, sur 2 supports différents, dont 1 hors site (ou hors ligne). Le point crucial, trop souvent négligé : une sauvegarde qui n'a jamais été testée en restauration ne vaut rien. Programmez un test périodique : restaurer réellement quelques fichiers, et vérifier qu'ils sont intègres et lisibles.

Attention aux sauvegardes uniquement « dans le cloud, en continu » : si un rançongiciel chiffre vos fichiers et que la synchronisation propage les versions chiffrées, votre sauvegarde peut être corrompue à son tour. D'où l'intérêt d'une copie déconnectée et de la conservation de plusieurs versions dans le temps (versionnage), qui permet de revenir à un état antérieur à l'attaque.

5. Sécuriser la messagerie

La messagerie est la première porte d'entrée des attaquants (voir le guide « Phishing et ransomware »). Trois protections techniques, à demander à votre prestataire, réduisent l'usurpation de votre domaine et le filtrage des faux messages : SPF, DKIM et DMARC. Sans entrer dans la technique, ces mécanismes permettent aux destinataires de vérifier qu'un message prétendant venir de votre cabinet vient bien de vous — et empêchent des fraudeurs d'écrire « en votre nom » à vos patients ou confrères. Complétez par une messagerie de santé sécurisée pour les échanges contenant des données patient, plutôt qu'une messagerie grand public.

6. Postes, mobiles et dispositifs connectés

Le poste de travail est le point de contact quotidien avec le risque. Quelques règles font une grande différence : verrouillage automatique de session après quelques minutes d'inactivité (au secrétariat comme en salle de consultation), comptes nominatifs plutôt qu'un compte partagé (pour la traçabilité), et séparation des usages personnels et professionnels. Sur les appareils mobiles utilisés pour le travail, le chiffrement du disque et le verrouillage par code sont indispensables : un smartphone ou un ordinateur portable perdu ne doit jamais livrer ses données.

N'oubliez pas les objets connectés et dispositifs médicaux (imprimantes, échographes, moniteurs, domotique) : souvent négligés, rarement mis à jour, ils constituent des points d'entrée. Isolez-les autant que possible sur un réseau séparé de celui qui héberge vos données patient (segmentation) : ainsi, la compromission d'un objet secondaire n'ouvre pas l'accès au cœur du système.

7. Vos prestataires font partie de votre surface d'attaque

Votre sécurité ne s'arrête pas à vos murs. L'éditeur de votre logiciel, votre hébergeur, votre prestataire informatique manipulent ou protègent vos données : leurs failles deviennent les vôtres. Exigez d'eux des garanties écrites (contrat de sous-traitance, hébergement adapté aux données de santé, engagement de notification en cas d'incident, éventuelles certifications), et privilégiez des acteurs dont vous maîtrisez la juridiction (voir le guide « Souveraineté numérique en santé »). Un maillon faible dans la chaîne suffit à compromettre l'ensemble — les attaques « par la chaîne d'approvisionnement » visent précisément ce point.

8. NIS2 : la santé dans le viseur

La directive européenne NIS2 (2022/2555) renforce les obligations de cybersécurité des secteurs essentiels, dont la santé. Selon leur taille et leur rôle, certaines structures de soins (hôpitaux, laboratoires, certains prestataires) entrent dans son champ et se voient imposer des mesures de gestion des risques et des obligations de signalement des incidents, avec une responsabilité accrue de la direction. Même en dehors de son périmètre strict, NIS2 fixe le nouveau standard attendu : mieux vaut s'y aligner par anticipation que d'être rattrapé par une exigence de partenaire ou d'assureur.

9. Se préparer à réagir

La question n'est pas « si » mais « quand ». Préparer la réponse à froid évite la panique. Formalisez à l'avance : qui appeler (support informatique, DPO, éventuellement autorités et assureur cyber) ; comment isoler une machine compromise (débrancher le réseau) ; comment notifier une violation de données de santé — en général sous 72 heures à l'autorité de protection des données, et aux patients si le risque est élevé ; et comment repartir (restauration depuis sauvegarde saine). Une fiche d'une page affichée près des postes vaut mieux qu'un long plan que personne ne retrouvera le jour venu. Enfin, une assurance cyber peut couvrir une partie des coûts, mais elle ne remplace pas la prévention — et exige elle-même un socle de sécurité pour s'appliquer.

Questions fréquentes

Un petit cabinet est-il vraiment une cible ?

Oui : les attaques sont automatisées et visent les maillons faibles. Les données de santé se revendent cher, et un cabinet a rarement une défense dédiée.

Quelle est la mesure la plus efficace ?

Mots de passe uniques (gestionnaire) + 2FA résistante à l'hameçonnage (passkeys/clé) éliminent la plupart des intrusions. Une sauvegarde hors ligne testée complète la protection contre les rançongiciels.

Que faire des accès d'un collaborateur qui part ?

Révoquer immédiatement tous ses accès et changer les mots de passe partagés. Appliquer le moindre privilège en continu.