Cybersécurité d'une clinique : protéger les données patients sans bloquer les soins

Une clinique se protège en quatre priorités, dans cet ordre : pouvoir redémarrer après une attaque, fermer les accès, sécuriser les postes et le personnel, et garantir que les patients peuvent toujours joindre l’accueil. Tout le reste, y compris la conformité à la loi 09-08, découle de ces quatre chantiers. Une clinique ne peut pas s’arrêter, et c’est exactement pour cela que les attaquants la ciblent : quand le dossier patient informatisé et l’imagerie sont chiffrés, la pression pour payer est maximale. Ce guide s’adresse aux directeurs d’établissement, aux médecins gérants de cabinet et aux responsables informatiques du secteur santé, au Maroc comme ailleurs.

Ce qui est en jeu dans un établissement de santé

L’informatique d’une clinique ne ressemble pas à celle d’un bureau. Elle réunit des systèmes très différents, qui ont tous un impact direct sur la prise en charge :

• Le dossier patient informatisé : antécédents, comptes rendus, prescriptions. Ce sont des données de santé, parmi les plus sensibles au sens de la loi 09-08.
• L’imagerie : les modalités (radiologie, échographie, scanner) et le PACS qui stocke et diffuse les images.
• Le laboratoire et ses automates, souvent reliés au dossier patient.
• La facturation, les conventions et le planning des consultations et des blocs.
• Le standard téléphonique de l’accueil et des urgences.
• Les équipements biomédicaux connectés, souvent anciens et fournis avec un système qu’on ne peut pas mettre à jour.

Une panne sur l’un de ces blocs ne se traduit pas en retard administratif mais en patients qui attendent, en examens reportés et en équipes soignantes qui reviennent au papier. C’est pourquoi nous abordons chaque établissement de santé comme un site critique, comme nous l’expliquons sur notre page santé et cliniques.

Priorité 1 : pouvoir redémarrer

La première question n’est pas « comment éviter l’attaque ? » mais « comment redémarrer si elle réussit ? ». Aucune protection n’est infaillible ; une sauvegarde bien faite est la seule assurance réelle.

• Sauvegardes immuables hors site du dossier patient, de l’imagerie et des serveurs : une copie que ni un rançongiciel ni un compte administrateur volé ne peut effacer ou chiffrer. La règle 3-2-1 reste la référence, détaillée dans sauvegarde 3-2-1 immuable.
• Test de restauration trimestriel chronométré : on restaure réellement un serveur et un échantillon de dossiers, et on note le temps nécessaire. Une sauvegarde jamais testée n’est qu’une hypothèse.
• Plan de reprise écrit, avec l’ordre de redémarrage : identité et annuaire, réseau et pare-feu, dossier patient, imagerie, puis facturation. Le plan précise aussi comment l’équipe soignante travaille en mode dégradé pendant la reprise. Notre méthode est décrite dans plan de reprise d’activité.

L’imagerie mérite une attention particulière : les volumes sont importants, et restaurer tout un PACS prend du temps. Il faut distinguer les examens récents, à restaurer en priorité, de l’archive, qui peut suivre.

Priorité 2 : fermer les portes

La plupart des intrusions passent par un accès distant mal protégé ou un réseau à plat où tout communique avec tout.

• MFA pour tout accès distant : médecins qui consultent le dossier depuis chez eux, éditeurs de logiciels qui assurent la maintenance, direction en déplacement. Un mot de passe seul ne suffit plus. Voir notre guide de déploiement du MFA.
• Accès des éditeurs encadrés : un compte nominatif par intervenant, ouvert à la demande et fermé après l’intervention, plutôt qu’un accès permanent laissé ouvert « pour la maintenance ».
• Segmentation du réseau : l’administratif, le médical, l’imagerie, les équipements biomédicaux, la téléphonie et le WiFi des patients sont séparés. Si un poste de l’accueil est compromis, l’attaque ne rejoint pas le PACS.
• Pare-feu nouvelle génération, avec filtrage, prévention d’intrusion et journaux conservés. Nous déployons notamment des boîtiers Fortinet, dimensionnés sur le débit réel avec inspection.

Zone réseau	Contenu	Règle d’accès
Administratif	Accueil, facturation, direction	Accès internet filtré, accès limité au dossier patient
Médical	Postes de consultation, dossier patient	Pas d’accès aux équipements biomédicaux sauf flux nécessaires
Imagerie	Modalités, PACS, consoles	Flux limités au PACS et aux postes de lecture
Biomédical	Équipements anciens, automates	Isolé, aucun accès internet, maintenance encadrée
Téléphonie	Postes IP, standard	Priorité QoS, isolé des postes de travail
WiFi patients	Accès invités	Internet uniquement, aucun accès interne

Priorité 3 : les postes et les gens

Un poste d’accueil partagé par plusieurs personnes, ouvert toute la journée dans une zone de passage, est une cible idéale.

• EDR sur chaque poste et serveur : il détecte les comportements suspects, pas seulement les virus connus, et permet d’isoler une machine à distance. La différence est expliquée dans EDR ou antivirus.
• Suppression des droits administrateur sur les postes des utilisateurs.
• Sessions verrouillées automatiquement dans les zones de passage, et écrans orientés pour ne pas être lus depuis la salle d’attente.
• Sensibilisation courte et régulière du personnel d’accueil et administratif, première cible du hameçonnage : fausses factures, faux fournisseurs, faux messages d’un éditeur.
• Mises à jour pilotées : systèmes, navigateurs et logiciels métier, avec une fenêtre définie pour ne pas perturber les consultations.

Priorité 4 : la téléphonie

Le standard fait partie du dispositif de continuité. Un système de téléphonie IP avec un secours 4G, ou hébergé hors du site, garantit que les patients joignent la clinique même si le réseau local est en panne, et que les files d’attente de l’accueil et des urgences continuent de fonctionner. Nous déployons 3CX et Yeastar selon la taille et les usages de l’établissement.

La conformité comme résultat, pas comme objectif

Les données de santé sont des données sensibles au sens de la loi 09-08. Déclarer ou faire autoriser les traitements auprès de la CNDP, encadrer par contrat les éditeurs et prestataires qui y accèdent, fixer les durées de conservation, tracer les accès au dossier patient : ces obligations sont largement couvertes par les mesures ci-dessus, à condition de les documenter. Pour le détail, voir loi 09-08 et CNDP : les obligations des entreprises.

Les erreurs les plus fréquentes

1. Sauvegarde sur un disque branché en permanence au serveur : le rançongiciel la chiffre en même temps que le reste.
2. Accès distant permanent laissé à un éditeur, avec un mot de passe partagé et jamais changé.
3. Réseau à plat : postes, imagerie, équipements biomédicaux et WiFi patients dans le même réseau.
4. Compte générique à l’accueil, utilisé par toute l’équipe : impossible de savoir qui a consulté quel dossier.
5. Aucun test de restauration : on découvre le jour de l’incident que la sauvegarde de l’imagerie échoue depuis des mois.
6. Téléphonie dépendante d’un seul lien : une coupure internet et l’accueil devient injoignable.
7. Aucune procédure papier prévue pour continuer à accueillir les patients pendant une panne.

Checklist de la clinique

• Sauvegardes immuables hors site du dossier patient, de l’imagerie et des serveurs.
• Dernier test de restauration daté, avec le temps mesuré.
• Plan de reprise écrit, avec l’ordre de redémarrage et le mode dégradé.
• MFA activé pour tous les accès distants, éditeurs compris.
• Réseau segmenté, équipements biomédicaux isolés.
• EDR sur tous les postes et serveurs, droits administrateur retirés.
• Comptes nominatifs, sessions verrouillées automatiquement.
• Téléphonie avec secours, testée.
• Registre des traitements et contrats avec les prestataires à jour.

Comment nous procédons

Nous commençons par un audit : inventaire des systèmes, des flux entre eux, des accès distants et de l’état réel des sauvegardes. Nous priorisons ensuite les actions selon leur impact sur la continuité des soins, en planifiant les changements hors des heures de consultation. Une fois l’établissement sécurisé, notre équipe assure la supervision 24/7, la prise en charge des incidents critiques en moins de 15 minutes et les tests de restauration réguliers, dans le cadre de notre offre cybersécurité. Les sauvegardes s’appuient sur des solutions éprouvées comme Veeam. Nos interventions dans le secteur sont présentées, sans nom de client, dans nos réalisations, et les mesures anti-rançongiciel dans ransomware : 7 mesures pour une PME.

Votre clinique ou votre cabinet est-il prêt à redémarrer après une attaque ? L’audit initial est offert : contactez-nous, nous répondons sous 24 h ouvrées.