RésiSanté · Version 0.6 · 21 octobre 2026
Checklist cybersécurité d’une petite structure de santé
Pour un cabinet médical ou une petite équipe sans fonction SSI dédiée : préparer un échange à partir de preuves, au lieu de répondre simplement « oui, c’est sécurisé ».
Comment utiliser cette checklist
Pour chaque point, notez dans votre support interne : « confirmé par une preuve », « déclaré, à vérifier » ou « inconnu ». Ajoutez le rôle responsable, la prochaine action et une date de revue. Aucun score de conformité n’est calculé.
Ces vérifications sont des repères complémentaires pour les processus : accès, sauvegardes, continuité et organisation. Elles s’appuient sur la méthode et la spécialisation cyber présentées sur le site, sans prétendre relater un audit client.
Six points à examiner avec votre prestataire
Comptes et départs
Qui valide les accès au logiciel, à la messagerie et aux outils partagés ?
Trace attendue : Un état daté des accès autorisés et des retraits à confirmer, revu par le responsable de structure.
Authentification
Quels accès sensibles disposent d’une protection renforcée et qui peut le confirmer ?
Trace attendue : Une vérification des paramètres par le prestataire habilité, sans transmettre de mot de passe ni de code.
Postes et mises à jour
Qui suit les postes et les correctifs, y compris ceux qui dépendent du logiciel métier ?
Trace attendue : Un état des versions et des mises à jour à planifier avec le prestataire, sans manipulation improvisée.
Périmètre sauvegardé
Quels outils et informations sont couverts, à quelle fréquence et avec quelle séparation ?
Trace attendue : Une description écrite du périmètre et un compte rendu récent de sauvegarde, à confirmer avec le prestataire.
Restauration
Une reprise a-t-elle été testée et le résultat était-il exploitable ?
Trace attendue : Un compte rendu daté précisant le périmètre testé et le résultat ; sinon, une action pour convenir d’un test autorisé.
Continuité d’activité
Que fait l’équipe si le logiciel ou la messagerie devient indisponible ?
Trace attendue : Une fiche de mode dégradé, les rôles, le canal de contact du prestataire et les vérifications à la reprise.
Exemple fictif : sauvegarde réussie, reprise inconnue
Un cabinet imaginaire reçoit un compte rendu de sauvegarde réussi. Personne ne retrouve de test de restauration. Le suivi distingue alors deux constats : sauvegarde déclarée réussie ; capacité de reprise non vérifiée. Le responsable demande au prestataire de proposer un test encadré et de préciser qui en validera le résultat.
La vérification de la restauration et la protection des sauvegardes rejoignent les recommandations de Cybermalveillance.gouv.fr sur les sauvegardes (consultées le 22 septembre 2026). Un indicateur de succès ne suffit pas à démontrer que l’activité pourra reprendre.
Transformer les inconnues en actions
Commencez par les points susceptibles d’empêcher l’équipe de travailler. Pour chaque inconnue, choisissez une preuve à demander et le rôle qui la fournira. N’effectuez aucun test sur les outils en production sans périmètre autorisé. Gardez les documents sensibles dans les espaces approuvés de votre structure.
L’analyse d’un processus peut relever les responsabilités et les questions à examiner avec le prestataire habilité. Cette checklist ne réalise aucun contrôle technique, ne vaut pas certification et ne remplace ni la maintenance ni la réponse à incident.
Voir la sécurité comme exigence de conception · Consulter le parcours du fondateur · Utiliser le repérage cyber déclaratif