La sécurité de l'information dans le secteur de la santé : en quoi est-elle différente et où se situent les problèmes ?

Dans le secteur de la santé, la sécurité de l’information consiste à protéger les données des patients et à garantir la continuité des soins ; dans ce domaine, ces deux aspects constituent en réalité un seul et même enjeu. Un dossier médical divulgué ne peut pas être récupéré, contrairement à un mot de passe volé qui peut être réinitialisé, et un système d’archivage bloqué ne se résume pas à un simple désagrément : cela entraîne le report de certaines procédures et empêche toute consultation des antécédents thérapeutiques. C’est pourquoi, dans ce contexte, la sécurité relève davantage de la sécurité des patients que d’une simple préoccupation informatique.

Nous allons examiner ci-dessous pourquoi ce secteur constitue une cible aussi attractive, quelles sont les règles en vigueur et ce qu'elles exigent concrètement, où se situent les difficultés au quotidien, et comment organiser les aspects humains sans nuire à la qualité des soins.

Pourquoi le secteur de la santé est-il pris pour cible ?

Pour un criminel, les données médicales ont plus de valeur qu'un numéro de carte bancaire, car elles ne peuvent être ni bloquées ni remplacées. Un dossier regroupe les informations d'identité, l'historique des traitements et les renseignements relatifs à l'assurance, et il reste valable toute la vie. Cela en fait une cible de choix pour la fraude, le chantage à l'encontre de particuliers et la revente.

À cela s'ajoute la pression à laquelle sont soumises les structures de santé. Un pirate informatique qui crypte les systèmes d'un hôpital ou d'un établissement de soins sait qu'il ne peut pas se permettre d'attendre : les soins ne peuvent pas être interrompus le temps d'une enquête menée sereinement. C'est précisément sur cette urgence que repose le chantage, et les criminels le savent bien.

Enfin, ce secteur constitue une cible particulièrement complexe à protéger. Les soins de santé fonctionnent selon un système de travail posté avec un personnel changeant, des postes de travail partagés, des appareils personnels, des équipements médicaux connectés ayant un long cycle de vie, ainsi qu’un large cercle d’intervenants externes : fournisseurs, laboratoires, médecins généralistes, pharmacies. Chaque connexion représente un point d’entrée, et rares sont celles qui peuvent être simplement désactivées.

Les normes applicables : NEN 7510, la loi AVG et la norme NIS2

Le secteur de la santé néerlandais dispose de sa propre norme en matière de sécurité de l'information. La norme NEN 7510 s'appuie sur la structure internationale de la norme ISO 27001 et y ajoute des exigences spécifiques aux données des patients, ce qui signifie qu'elle impose la mise en place d'un système de gestion opérationnel plutôt qu'une simple liste de produits achetés. La question de savoir si cette norme est légalement obligatoire est un sujet à part entière, que nous abordons dans notre article consacré au caractère obligatoire ou non de la norme NEN 7510.

À côté de celle-ci figure la norme NEN 7513, qui porte sur la journalisation : elle permet de déterminer a posteriori qui a consulté quel dossier. Cette norme existe car l'incident le plus courant en matière de confidentialité dans le secteur de la santé n'est pas une attaque extérieure, mais le fait qu'un collègue consulte un dossier qu'il n'était pas autorisé à ouvrir.

La loi AVG s'applique en outre à cela, et les données médicales sont considérées comme des données relevant d'une catégorie particulière, soumises aux exigences de traitement les plus strictes. Les grands établissements de santé peuvent également entrer dans le champ d'application de la directive NIS2, qui impose des obligations en matière de gestion des risques, de signalement des incidents et de formation vérifiable du personnel et de la direction. Les implications concrètes pour chaque type d'établissement sont détaillées dans notre article consacré à l'impact de la directive NIS2 sur le secteur de la santé.

Le fil conducteur de toutes ces mesures est le même : connaître les risques, organiser correctement les accès et être en mesure de démontrer que vos collaborateurs savent quoi faire. C'est sur ce dernier point que la plupart des organisations disposent des preuves les plus fragiles.

Les écueils de la pratique quotidienne

Rarement par le biais d'une attaque sophistiquée, mais presque toujours par un moyen qui semblait logique sur le moment. Le travail de soins est rapide, sujet à des interruptions et partagé, et les mesures de sécurité qui ne tiennent pas compte de cela sont contournées en moins d'une semaine.

• Des comptes partagés sur des postes de travail partagés. Une seule connexion pour l'ordinateur du service, car se connecter et se déconnecter entre chaque patient prend des minutes dont personne ne dispose. Ça fonctionne, jusqu'à ce qu'il faille déterminer qui a consulté un dossier.
• Des écrans visibles depuis le couloir. Un poste de travail au comptoir, une tablette posée sur un chariot, un écran dans une salle de soins dont la porte est ouverte. La fuite de données la plus courante dans le secteur de la santé n’a absolument aucun aspect technique.
• Échanges avec les patients via des applications de messagerie grand public. Envoi de photos d’une plaie sur WhatsApp, car c’est plus rapide que la voie officielle. Généralement bien intentionné, mais rarement couvert par un accord quelconque.
• Hameçonnage visant le personnel soignant. Un e-mail concernant un changement d’horaire, une demande urgente qui semble provenir d’un responsable, une fausse page de connexion au système de gestion des dossiers. La pression du temps est le meilleur allié du pirate.
• La curiosité au sein du système d'archivage. Rechercher un collègue, un voisin ou un patient connu. Il s'agit d'une atteinte à la vie privée même si aucune information ne sort du bâtiment, et c'est précisément l'enregistrement de ces consultations qui rend ce fait visible.
• Un accès qui perdure au-delà de la durée du contrat. Les stagiaires, les intérimaires et les anciens collaborateurs dont les comptes restent actifs, car la gestion de la sortie n’incombe clairement à personne.

Ce qu'elles ont en commun, c'est qu'il s'agit dans tous les cas de décisions humaines prises sous pression, et non de défaillances techniques. On ne peut pas y remédier à la va-vite, mais on peut s'y entraîner.

Comment s'y prendre sans ralentir la prise en charge

Dans le secteur de la santé, les mesures efficaces sont celles qui s'adaptent au rythme de travail. Concrètement, cela implique une authentification unique avec changement rapide de compte, afin que la déconnexion ne soit plus une corvée, une authentification multifactorielle pour l'accès à distance, des sauvegardes testées et conservées hors ligne, ainsi qu'une segmentation du réseau afin qu'un poste de travail infecté ne puisse pas atteindre les équipements médicaux.

Du point de vue humain, la session annuelle en salle de formation est le format le moins adapté à ce secteur : les employés travaillant en équipe la manquent, le personnel intérimaire n’y assiste jamais, et le temps que la suivante ait lieu, les menaces ont déjà changé. Les formations courtes et récurrentes fonctionnent mieux précisément parce qu’elles s’inscrivent entre deux services, et une simulation de hameçonnage montre ce que les gens font réellement plutôt que ce qu’ils ont répondu dans un questionnaire. La manière dont un organisme de soins intègre cela dans sa culture est un sujet que nous avons exploré dans notre article sur la culture de sensibilisation à la sécurité dans le secteur de la santé néerlandais.

Un principe revêt ici plus d'importance que partout ailleurs : le signalement doit être irréprochable et rapide. Dans un secteur où une erreur est perçue comme un manquement envers un patient, le réflexe est de se taire, et c'est justement ce silence qui transforme un simple clic en un incident qui finit par être enregistré dans le système.

Comment Guardey accompagne les établissements de santé

La formation à la sensibilisation à la sécurité proposée par Guardey s’articule autour de défis hebdomadaires d’environ trois minutes, avec une dimension ludique grâce à des classements et des séries de succès, ainsi qu’un contenu qui suit les menaces réellement en circulation. Ce format est particulièrement adapté au secteur de la santé : il s’intègre facilement dans une pause plutôt que de nécessiter un après-midi entier, et le personnel peut suivre la formation via l’application mobile pour iOS et Android ou simplement dans son navigateur, ce qui permet d’inclure les collègues qui ne travaillent jamais derrière un bureau.

Les simulations intégrées de hameçonnage permettent de vérifier si la prise de conscience se traduit par un changement de comportement, tandis que les rapports prêts pour l’audit transforment la participation et les progrès en preuves conformes à la norme NEN 7510, à la loi AVG et à la directive NIS2. Des établissements de soins tels que Psyned, Odion et la Roosevelt Kliniek collaborent avec Guardey, et notre page consacrée à la formation à la sensibilisation à la sécurité dans le secteur de la santé explique comment cela fonctionne selon le type d’établissement. La mise en place ne prend que quelques minutes.

Foire aux questions sur la sécurité de l'information dans le secteur de la santé

La norme NEN 7510 est-elle obligatoire pour tous les prestataires de soins ?

Cette norme fait office de référence dans le secteur en matière de traitement des données des patients et, dans la pratique, c'est ce que les superviseurs, les assureurs et les clients attendent de vous, même si les obligations précises dépendent de votre rôle et des accords que vous avez conclus. L'obtention de la certification est un choix distinct du respect de la norme ; de nombreuses organisations respectent cette dernière sans pour autant obtenir la certification.

Qu'est-ce qui est considéré comme une violation de données dans le secteur de la santé ?

Toute situation dans laquelle des données à caractère personnel ont été exposées à un risque de perte ou de traitement illicite : un fichier envoyé au mauvais destinataire, un appareil perdu, la consultation non autorisée d'un dossier ou un système qui a été crypté. L'obligation de signalement dépend du risque encouru par les personnes concernées, et dans le cas des données médicales, ce seuil est rapidement atteint.

Comment former le personnel qui travaille par roulement ?

En abandonnant l'idée selon laquelle tout le monde peut se retrouver dans une même salle. De courts modules accessibles sur un téléphone, disponibles dès que l'occasion se présente, permettent d'atteindre les agents et le personnel de nuit que les sessions en présentiel ne parviennent pas à toucher. Ce qui compte, c'est le rythme plutôt que la durée : quelques minutes par semaine valent mieux qu'un après-midi par an.

Pouvons-nous parler des patients sur WhatsApp ?

Les applications de messagerie grand public ne sont pas conçues pour traiter des données relevant de catégories particulières et ne sont généralement pas compatibles avec les accords qu’un établissement de santé doit conclure en matière de traitement et de conservation des données. La solution pratique ne consiste pas simplement à les interdire, mais à proposer une alternative tout aussi rapide, car une règle qui fait perdre du temps ne fera pas le poids face à une application qui en fait gagner.

Dans le secteur de la santé, la sécurité de l'information dépend de l'adéquation des mesures mises en place avec le travail quotidien. Une politique qui suppose que l'on puisse y consacrer du temps sans précipitation sera contournée par ceux qui n'en ont pas, tandis qu'une petite habitude qui s'intègre entre deux consultations a toutes les chances de perdurer. Les organisations qui réussissent dans ce domaine ne sont pas celles qui ont les règles les plus strictes, mais celles où signaler quelque chose d'inhabituel est aussi naturel que de se laver les mains.