Les cabinets de cardiologie ne sont plus des cibles marginales pour les groupes de rançongiciels. Les données de santé se revendent cher, les structures libérales sont souvent moins protégées que les établissements hospitaliers, et le rapport de force est simple pour un attaquant : perdant immédiatement sa capacité à soigner, un cabinet paralysé est tenté de payer vite.
L’attaque est aussi simple que la protection peut l’être
La plupart des attaques ne reposent pas sur une faille sophistiquée mais sur une porte laissée ouverte : un pare-feu non mis à jour, un mot de passe administrateur vieux de dix ans, une authentification à deux facteurs absente sur les accès distants. Les mesures de protection sont connues et accessibles à un cabinet de taille modeste : tenir à jour le firmware des équipements de périmètre (pare-feu, VPN), généraliser l’authentification à deux facteurs partout où c’est possible, et surtout disposer de sauvegardes faites régulièrement et véritablement déconnectées du réseau de production.
Les risques ne sont pas négligeables et les ennuis s’empilent
Une violation de données de santé déclenche une cascade d’obligations dans des délais contraints. La CNIL doit être notifiée sous 72 heures dès la prise de connaissance de l’incident, quitte à faire des notifications complémentaires ultérieures. L’ANS/CERT Santé doivent également être notifiées, de même que l’ARS pour les structures de soins. Si le risque pour les patients est élevé (ce qui est systématique en cas d’exfiltration de données médicales), l’article 34 du RGPD impose une information individuelle de chaque personne concernée, par un canal traçable. Ajoutons le dépôt de plainte à faire dans les 48 heures, qui n’est pas obligatoire au sens strict mais quasi indispensable pour la suite du dossier assurantiel et judiciaire.
Et les assurances ?
De nombreux contrats de responsabilité civile professionnelle ne couvrent plus systématiquement le risque cyber : il s’agit désormais fréquemment d’une option distincte. Il n’est pas pire surprise que de découvrir cette lacune au moment de l’incident. Un appel à son assureur pour confirmer explicitement la présence et l’étendue d’une garantie cyber prend dix minutes ; son absence peut coûter des dizaines de milliers d’euros.
Et les coûts ?
Sur le plan financier, les frais d’expertise forensique et de reconstruction se chiffrent couramment en plusieurs dizaines de milliers d’euros, avant même d’évoquer une éventuelle rançon ou la perte d’activité liée au mode dégradé, à la télétransmission interrompue pendant plusieurs jours voire semaines avec comme corolaire le retour aux feuilles de soin papier. D’où l’importance de savoir précisément ce que couvre son contrat. La charge mentale et administrative qui s’ajoute à l’activité de soin pendant cette période est considérable, et elle retombe en général sur un nombre très restreint de personnes au sein de la structure.
En pratique
Le coût d’une heure de prévention n’a aucune commune mesure avec le coût de plusieurs semaines de gestion de crise. Vérifier ses sauvegardes, mettre à jour son pare-feu, activer l’authentification à deux facteurs, relire la fiche de garanties de son contrat d’assurance, et formaliser un plan de réponse à incident (même rudimentaire) ne demande pas une expertise technique poussée, mais de s’en occuper avant plutôt qu’après.
