Mini-cours - La cybersécurité en santé
La cybersécurité dans le domaine de la santé
La cybersécurité regroupe l'ensemble des mesures destinées à protéger les systèmes numériques, les équipements et les données contre les accès non autorisés, les modifications, les destructions ou les interruptions de fonctionnement.
En santé, elle constitue un enjeu médical majeur. Une cyberattaque peut en effet déstabiliser directement la sécurité des soins de plusieurs manières :
- Indisponibilité immédiate du dossier patient.
- Altération ou modification de résultats de laboratoire et de prescriptions.
- Blocage de systèmes vitaux indispensables à la prise en charge des usagers.
L’OMS rappelle à ce titre que ces attaques perturbent gravement la continuité des soins et compromettent des données hautement sensibles.
Définitions fondamentales
- La cyberattaque : tentative délibérée de nuire à une personne, un groupe ou une organisation en ciblant ses systèmes numériques pour voler, falsifier, détruire des données confidentielles ou bloquer des applications essentielles. Le risque augmente avec la multiplication des systèmes connectés à Internet.
- Le rançongiciel (ransomware) : logiciel malveillant infectant un système et bloquant l'accès aux données en les cryptant. Les attaquants exigent alors le versement d'une rançon pour fournir la clé de déchiffrement.
- Le phishing (hameçonnage) : technique de manipulation consistant à envoyer un message frauduleux d'apparence légitime pour inciter l'utilisateur à cliquer sur un lien afin de subtiliser ses identifiants ou pénétrer le réseau.
- La violation de données : incident de sécurité débouchant accidentellement ou de manière illicite sur la perte, la destruction, l'altération ou la divulgation non autorisée de données personnelles.
Les établissements de santé : de nouvelles cibles
La volonté d'améliorer le rapport coût/efficacité et de simplifier les relations avec les usagers a conduit les structures de soins et l'assurance maladie à une numérisation rapide, souvent sans protection suffisante contre les menaces. Le facteur temps étant critique en médecine, les cybercriminels profitent de cette urgence permanente pour paralyser l'activité et exiger des rançons.
Acteurs interconnectés vulnérables aux cyberattaques
| Recherche et développement | Logistique et services IT | Prise en charge et diagnostic |
|---|---|---|
| Sociétés de biotechnologie | Entreprises de logistique | Hôpitaux et cliniques |
| Fabricants de vaccins et dispositifs médicaux | Fournisseurs d'infrastructures numériques | Laboratoires de diagnostic |
| Recherche universitaire et laboratoires pharmaceutiques | Fournisseurs de services informatiques spécialisés | Services d'assurance maladie |
Sécuriser l’accès aux données de santé
L’Agence du numérique en santé (ANS) met en avant trois notions élémentaires de sécurité :
- Le mot de passe : clé de voûte de l'accès personnel. Il doit être unique, complexe, robuste et ne jamais être partagé au sein d'une équipe.
- L’authentification : processus de validation d'identité. Elle gagne à être multifacteur (MFA) en requérant plusieurs preuves distinctes de validation.
- Le chiffrement : codage des informations pour empêcher leur lecture par des tiers non autorisés lors du stockage ou du transfert.
Rôle de l'infirmier(e) dans la protection des données
Les professionnels de santé manipulent quotidiennement des informations médicales confidentielles. L'infirmier(e) doit intégrer des gestes barrières numériques au quotidien :
- Se connecter uniquement via son propre compte professionnel nominatif.
- Verrouiller systématiquement sa session dès qu'il ou elle s'éloigne du poste de travail.
- Ne jamais divulguer ses mots de passe ou codes d'accès personnels.
- Respecter strictement les règles et droits d'accès aux dossiers médicaux.
- Utiliser uniquement les outils et solutions logicielles agréés par l'établissement.
- Développer une vigilance active face aux emails suspects ou requêtes inhabituelles.
Mise en situation En cas de réception d'un courriel suspect incitant à saisir d'urgence des identifiants professionnels : ne pas tester le lien ; ne pas transmettre de données ; signaler immédiatement le mail au service informatique.
La cybersécurité n'est pas restreinte aux experts informatiques ; chaque soignant en est un acteur quotidien garantissant la sécurité globale du patient.
