Comptes et accès
Comptes nominatifs, MFA, droits, comptes administrateur, arrivées, départs et accès prestataires.
Cybersécurité santé & médico-social
Protéger les données ne suffit pas. Il faut aussi pouvoir continuer à travailler.
RésiSanté aide les cabinets, centres et petites structures de santé à clarifier leurs risques cyber, leurs responsabilités et leurs priorités de continuité sans transformer la sécurité en projet disproportionné.
Terrain santéDonnées sensibles.Outils critiques.Continuité.
Des contraintes concrètes
La sécurité doit fonctionner dans le contexte réel du soin et de l’activité.
Accès aux outils — une indisponibilité peut désorganiser immédiatement les équipes et les parcours opérationnels.
Données sensibles — les droits, usages, partages et prestataires doivent être maîtrisés au-delà du seul hébergement.
Petites équipes — les règles doivent rester applicables par des professionnels dont la cybersécurité n’est pas le métier.
Continuité — les sauvegardes, contacts et modes dégradés doivent être pensés avant l’incident.
Priorités de contrôle
Les points à rendre visibles avant de parler de conformité.
Postes et logiciels
Mises à jour, protection des postes, accès distants et responsabilités de maintenance.
Données et prestataires
Localisation des données sensibles, flux utiles, dépendances et responsabilités des fournisseurs.
Sauvegardes et reprise
Périmètre sauvegardé, séparation des copies, tests de restauration et modes dégradés.
Incident
Contacts, signalement, premières actions, conservation des informations utiles et escalade.
Gouvernance
Responsable SSI, procédures, plan d’action, suivi et articulation avec les prestataires.
HDS et sécurité
Une certification d’hébergeur ne remplace pas la sécurité de l’organisation.
Le référentiel HDS encadre la certification des hébergeurs de données de santé dans son champ d’application.
Comptes, postes, utilisateurs, procédures, prestataires, incidents et continuité doivent toujours être maîtrisés selon le contexte réel.
Approche RésiSanté
Partir du fonctionnement réel avant de produire de la documentation.
- 01Identifier
Les outils, données, activités et prestataires qui conditionnent le fonctionnement de la structure.
- 02Vérifier
Ce qui est réellement en place et ce qui reste encore supposé ou inconnu.
- 03Prioriser
Les mesures qui réduisent le plus d’incertitude ou renforcent la continuité.
- 04Formaliser
Les procédures et responsabilités réellement nécessaires au fonctionnement quotidien.
Ressources officielles
Des références vérifiables plutôt que des affirmations marketing.
Sécurité des données de santé
La CNIL rappelle la nécessité d’un niveau de sécurité adapté à la sensibilité des traitements et d’une gouvernance globale de la sécurité.
Consulter la CNILCertification HDS
Le cadre officiel précise le périmètre de la certification des hébergeurs et les référentiels applicables.
Consulter l’ANSContinuité d’activité
La sécurité des données doit aussi être reliée à la capacité de la structure à poursuivre et reprendre ses activités.
Voir le PCA/PRARepères
Questions fréquentes sur la cybersécurité santé
Pourquoi traiter la continuité en même temps que la cybersécurité ?
Parce qu’un incident, une panne ou une indisponibilité d’un prestataire peut empêcher l’accès aux outils nécessaires au fonctionnement de la structure. La sécurité doit donc aussi préparer la poursuite et la reprise de l’activité.
Le diagnostic demande-t-il des données patient ?
Non. Le diagnostic gratuit ne demande aucune donnée patient, aucun document médical, mot de passe, adresse IP ou information technique sensible.
Être hébergé chez un prestataire HDS suffit-il à sécuriser notre structure ?
Non. La certification HDS concerne l’hébergement de données de santé dans son champ d’application. Elle ne remplace pas la gestion des comptes, des postes, des responsabilités, des sauvegardes, des incidents et de la continuité au sein de la structure.
RésiSanté réalise-t-il de la maintenance informatique ?
Non. L’accompagnement porte sur les risques, la gouvernance SSI, la continuité, la documentation et le suivi des actions. Il complète le travail du prestataire informatique sans le remplacer.
L’accompagnement est-il réservé aux établissements hospitaliers ?
Non. Il est conçu en priorité pour les cabinets, centres de santé, structures médico-sociales et petites organisations qui disposent d’un système d’information mais pas nécessairement d’une fonction SSI dédiée.
Première étape
Commencez par identifier les points qui restent inconnus.
Le diagnostic gratuit ne demande aucune donnée patient et fournit immédiatement une lecture par thème et trois priorités.