Audit de sécurité informatique pour les professions libérales et médicales

Ce que votre cabinet détient n'est pas de la donnée ordinaire :

• Dossiers patients et données de santé : la catégorie la plus protégée du droit européen
• Dossiers clients couverts par le secret professionnel : contentieux, situations familiales, patrimoine
• Comptabilité et pièces de vos clients, pour les cabinets comptables
• Agenda, coordonnées et historique de chaque patient ou client

Le secret professionnel (médical, judiciaire ou comptable) couvre ces informations sous toutes leurs formes : le dossier papier, mais aussi le fichier, l'e-mail et la sauvegarde.

Un matin, plus d'agenda, plus de dossiers, plus de facturation. Un rançongiciel (un programme qui chiffre vos fichiers et exige un paiement pour les rendre) est entré la veille par une pièce jointe piégée ou un accès mal protégé. Le mode opératoire est décrit dans la fiche réflexe rançongiciels de Cybermalveillance.gouv.fr.

La suite dépend d'une seule chose : vos sauvegardes. Si elles existent, qu'elles sont conservées hors d'atteinte et qu'elles ont été testées, le cabinet redémarre. Sinon, il fonctionne au papier, reporte ses rendez-vous et prévient ses patients ou clients : pendant des jours, parfois des semaines.

C'est pourquoi, pour un cabinet, l'audit accorde un poids particulier au périmètre sauvegardes et capacité à redémarrer.

Les données de santé font partie des catégories particulières du RGPD, le règlement européen sur les données personnelles : leur protection est une obligation renforcée, et leur hébergement externalisé doit passer par un prestataire certifié HDS : hébergeur de données de santé. En cas de violation de données présentant un risque pour les personnes, la CNIL doit être notifiée sous 72 heures, et les personnes concernées informées si le risque est élevé.

Pour les avocats et les experts-comptables, le secret professionnel engage la responsabilité du cabinet au-delà du seul RGPD. Dans les deux cas, la question n'est pas seulement réglementaire : c'est la confiance qui fait vivre un cabinet.

Logiciel de gestion de cabinet, agenda et prise de rendez-vous en ligne, télétransmission, messagerie sécurisée de santé pour le médical, comptabilité en ligne : vos outils métier sont souvent hébergés et maintenus par leurs éditeurs. L'audit vérifie tout ce qui les entoure et qui reste sous votre responsabilité :

• Les sauvegardes : existence, copie hors site, et surtout test de restauration
• La messagerie et l'agenda : comptes, mots de passe, double authentification (un code en plus du mot de passe)
• Le poste de l'accueil et du secrétariat : verrouillage, écrans visibles de la salle d'attente
• Les comptes partagés et les accès des remplaçants et collaborateurs
• Le réseau du cabinet, dont le Wi-Fi proposé aux patients ou clients
• Les documents et appareils qui sortent du cabinet : ordinateurs portables, téléphones, clés USB

La méthode en quatre phases, le contenu du rapport et les tarifs sont détaillés sur la page principale de l'audit. L'intervention se fait sur site, sans interruption de vos consultations ou rendez-vous, et le rapport est mis en correspondance avec le guide d'hygiène informatique de l'ANSSI.

Voir le déroulement complet de l'audit Faire l'auto-diagnostic gratuit