Guide d'hygiène informatique pour les professionnels de santé

Les outils informatiques vous accompagnent dans l'exercice de votre profession. Par exemple, votre ordinateur professionnel simplifie de nombreux aspects de votre activité. Cependant, comme tout système informatique, il comporte des failles de sécurité. Ces failles sont de plus en plus exploitées par les cybercriminels, et le secteur médical est une cible de choix pour ces derniers. Les données de santé qui y sont traitées ont une valeur importante, et elles sont encore trop souvent mal protégées. Adopter les bons réflexes en matière d'hygiène informatique vous permettra de diminuer le risque de faire l'objet d'une cyberattaque.

Ainsi, l'hygiène informatique comporte au moins trois avantages pour un professionnel de santé.

1. Assurer la sécurité des données que vous traitez est une obligation juridique (voir notre article La cybersécurité du cabinet médical : une obligation juridique). Adopter le bon comportement lorsque vous utilisez un système de traitement participera au respect du cadre légal de votre activité.
2. Protéger vos outils informatiques, c'est aussi protéger votre réputation professionnelle, car si votre cabinet venait à subir une cyberattaque contre laquelle vous ne vous êtes pas prémuni, cela pourrait porter atteinte à la confiance que les patients placent en vous.
3. Être victime d'une cyberattaque entraîne souvent une violation de données personnelles. Ces données sont une manne financière pour les cybercriminels (notamment parce qu'elles permettent d'usurper l'identité de la personne à laquelle elles se rapportent). Adopter les bons réflexes lorsque vous utilisez vos outils informatiques diminuera le risque d'alimenter des réseaux illégaux, et la probabilité que vous et vos patients fassent l'objet d'une usurpation d'identité.

Nos 5 points pour vous guider dans la mise en place d'une bonne hygiène informatique

1. Tenir vos logiciels à jour

Les mises à jour de logiciels sont parfois longues, et ne sont pas toujours proposées au moment où nous le souhaiterions. Pour autant, il ne faut pas repousser sans cesse leur application. En effet, s'il est tentant de les remettre à plus tard, il faut savoir que la plupart d'entre elles visent à réparer une faille de sécurité qui a été détectée par l'éditeur. Ainsi, lorsque vous repoussez une mise à jour, vous conservez une faille de sécurité connue, et vous vous exposez donc à être victime d'une cyberattaque qui ciblerait tous les systèmes n'ayant pas été mis à jour.

Pour éviter ce type de situation, il est conseillé de paramétrer vos outils de sorte à ce que les mises à jour se fassent automatiquement. Si cela n'est pas possible, nous vous conseillons de ne pas retarder la réalisation des mises à jour, ou, à défaut, de prévoir le moment où vous la lancerez dès que vous cliquez sur l'option de report.

2. Avoir un antivirus performant

Tous les antivirus ne se valent pas. En effet, on distingue généralement les antivirus qui fonctionnent uniquement avec une base de données de signatures et les antivirus qui fonctionnent aussi par heuristique.

Les premiers comportent un registre dans lequel figure des suites de bytes (c'est-à-dire un morceau de code) que l'on trouve dans les programmes malveillants. Ces suites s'appellent des signatures virales. Ainsi, dans ce cas, l'antivirus se limite à comparer son registre et le code des programmes présents sur votre ordinateur pour savoir si l'un d'entre eux comportent une signature virale, et serait donc malveillant. Avec ce système, de nombreux virus peuvent être détectés, mais c'est à condition qu'ils soient déjà connus, car sinon leur signature sera absente du registre et ils passeront donc pour des programmes non-infectés.

Les antivirus qui utilisent la méthode heuristique ont aussi une base de données comportant des signatures virales. Mais, en plus, ils cherchent à détecter des éléments suspects dans les programmes. Pour cela, ils "font semblant" de lancer le programme, et observent les actions qu'il déclenche. Si cela entraîne des opérations suspectes, alors l'utilisateur est prévenu et le programme ne sera pas lancé sans que l'utilisateur en ait donné l'autorisation. Dans le cadre de votre profession, parce que vous traitez des données particulièrement sensibles, un antivirus par heuristique est nécessaire.

3. Être vigilant lorsque vous lisez vos e-mails

Une cyberattaque très courante s'appelle le phishing (hameçonnage). Le cybercriminel envoie un e-mail à un grand nombre de destinataires, en se faisant passer pour une institution familière (par exemple Ameli). L'objectif est alors de vous faire cliquer sur un lien ou télécharger une pièce jointe. Dans le premier cas, le lien peut vous envoyer vers un formulaire afin de réaliser une transaction bancaire, ou afin de collecter vos données personnelles (pour ensuite usurper votre identité, et souscrire des emprunts à votre nom par exemple). Dans le second cas, la pièce jointe pourra être infectée par un programme malveillant qui chiffrera les données de votre ordinateur pour vous faire payer une rançon contre leur déchiffrement (on parle alors de ransomware).

Afin de ne pas être victime de ce genre d'imposture, nous vous conseillons de rester vigilant lorsque vous consultez vos e-mails. Les e-mails de phishing insistent souvent sur le caractère urgent de l'action qu'ils visent à vous faire faire : se retenir d'agir par automatisme est une première étape. La deuxième est d'analyser le contenu du message que vous avez reçu : les cybercriminels font plus de fautes d'orthographe que les institutions pour lesquelles ils se font passer. La troisième étape, si un doute persiste, consiste à prendre contact avec l'institution concernée : Ameli, par exemple, évoque sur son site les campagnes de phishing qui utilisent son image.

4. Eviter l'usage de supports amovibles

Les clefs USB et les disques durs externes ont l'avantage d'être mobiles. Cet avantage est aussi un défaut, car du fait que ces supports peuvent être transportés, ils sont aussi facilement perdus ou volés. Il est donc déconseillé de conserver les données sensibles que vous traitez (notamment les données de santé) sur ces supports.

Si vous souhaitez tout de même utiliser ce type d'outils, nous vous conseillons de les chiffrer. Cela permet de rendre illisible les informations qui y sont stockées pour toutes personnes ne détenant pas le mot de passe associé. Ainsi, en cas de perte ou de vol, cela diminuera le risque que les données soient accessibles à un utilisateur illégitime.

5. Sauvegarder vos données en ligne

Il est essentiel de sauvegarder régulièrement ses données. Car, comme nous l'avons dit plus haut, aucun système informatique n'est infaillible. Ainsi, si vous êtes victime d'un ransomware, ou d'une panne informatique, vous pourrez aisément récupérer vos données.

Afin de sauvegarder vos données sur un support sécurisé, nous vous conseillons d'utiliser le cloud, c'est-à-dire une sauvegarde sur des serveurs distants. Attention, en tant que professionnel de santé, vous n'avez le droit de recourir qu'à des prestataires de sauvegarde certifiés. La certification en question (qui était jusqu'à récemment un agrément) s'appelle Hébergeur de Données de Santé (HDS). Cette certification exige des prestataires qu'ils mettent en place de nombreuses mesures de protection. Ainsi, avoir recours à un prestataire HDS (https://www.cgm.com/fra_fr/produits/cybersecurite-sauvegarde/sauvegarde-en-ligne.html) vous permettra de respecter vos obligations juridiques tout en assurant une meilleure sécurité des données que vous traitez.