Sécurité informatique au cabinet

Cela va vite quand un·e pirate informatique vous frappe. Il suffit de cliquer sur la pièce jointe d’un e-mail prétendument fiable. Et malheureusement, le domaine médical, avec ses données sensibles, est une cible intéressante pour les cybercriminel·le·s. Y compris en Suisse.

Conséquence: vous devez faire face à des demandes de rançon ou vous attendre à des réclamations d’indemnisation. Dans le pire des cas, vous mettez en jeu la réputation de votre cabinet dentaire, voire risquez une interdiction d’exercer. Mais ce n’est pas une fatalité. Quelques mesures suffisent pour réduire considérablement les risques d'une telle attaque.

Cet article vous explique comment procéder. En collaboration avec l’expert Ivano Somaini de Compass Security, nous avons réuni 10 conseils pour améliorer la sécurité informatique dans le système de santé.

1. Attention aux e-mails de phishing

Les e-mails de phishing sont un moyen très apprécié des pirates informatiques pour accéder à vos données. Ils contiennent une pièce jointe, par exemple un document Word avec des macros. Les macros sont des fonctions, par exemple dans Word ou Excel, qui permettent d’exécuter plusieurs étapes de travail ensemble.

Dès que vous activez les macros, en d’autres termes vous validez la commande pour une série d’opérations, le code malveillant s'exécute sur votre ordinateur. Ensuite, vos fichiers sont peu à peu cryptés et le système se bloque. Tôt ou tard, vous recevrez un message vous indiquant la marche à suivre pour récupérer les données.

N’ouvrez donc jamais les pièces jointes de personnes que vous ne connaissez pas. Et n’effectuez en aucun cas une action si vous n’avez pas tout à fait la certitude que le document est digne de confiance. Vous pouvez par exemple désactiver les macros par défaut dans Word et Excel.

2. Êtes-vous vraiment sur la page de connexion?

Voici une deuxième façon de pénétrer dans votre système: vous recevez un e-mail vous invitant à vous connecter à votre système via un lien. La page associée au lien ressemble beaucoup à la vraie page de connexion. Dès que vous saisissez vos données d’accès, elles sont en fait volées. Les pirates peuvent alors se connecter au système avec vos données d’accès et accéder à des informations sensibles.

Vous avez reçu un e-mail de votre fournisseur vous demandant de saisir votre nom d’utilisateur et votre mot de passe? Faites preuve de méfiance. Vérifiez l’expéditeur et l’URL de la page sur laquelle vous devez saisir vos données.

3. Sauvegardez impérativement vos données

Si vous n’avez pas de sauvegarde, vous êtes sans défense en cas de piratage et serez pratiquement obligé·e de répondre aux demandes. Par conséquent, sauvegardez régulièrement vos données importantes, de préférence automatiquement. Ainsi, vous ne perdrez rien en cas d’attaque.

4. Mettez votre système à jour en permanence

Les systèmes obsolètes constituent un point faible important. Il arrive que le fabricant ne propose plus de mises à jour, ce qui facilite la tâche des pirates. Cela équivaut à ne pas fermer la porte de votre cabinet en partant le soir.

5. Choisir les bons mots de passe

Une vaste recherche en Allemagne a montré que de nombreux cabinets choisissent de très mauvais mots de passe, comme «Cabinet123». Les pirates informatiques ont ainsi la tâche facile. Voici quelques conseils pour des mots de passe sûrs:

• N’utilisez jamais deux fois le même mot de passe.
• Utilisez des mots de passe longs et sécurisés.
• Un gestionnaire de mots de passe vous aide à utiliser partout des mots de passe sûrs et personnalisés.
• Veillez à ce que le personnel ne partage pas ses données d’accès.
• Changez régulièrement vos mots de passe.
• Vérifiez si vos données ont déjà fuité. Par exemple ici.

6. Activez l’authentification à double facteur

L’authentification à double facteur (souvent appelée 2FA) désigne la protection d’un compte d’utilisateur par deux composants différents et indépendants. Il s’agit entre autres de mots de passe, d’un code SMS, de la validation via PhotoTAN, de codes de confirmation d’authentificateurs, etc. C’est aujourd’hui la norme, par exemple auprès des services bancaires électroniques.

Mais de nombreux autres sites Web proposent aujourd’hui la technologie 2FA. Cela vaut la peine d’activer cette barrière de sécurité supplémentaire partout. Elle complique considérablement l’accès aux pirates informatiques.

7. N’utilisez pas un ordinateur professionnel à des fins privées

Plus vous utilisez votre ordinateur de manière polyvalente, plus vous visitez de sites Web, et plus vous risquez ainsi d’exposer vos données à des pirates. Il est préférable d’utiliser des ordinateurs séparés pour les activités privées et professionnelles.

Toutefois, vous devriez au moins créer différents profils ou comptes d’utilisateur afin de séparer clairement les activités privées et professionnelles sur le même appareil.

8. La protection des données est multiple

Les risques ne se cachent pas seulement là où l’on croit. Veillez également à ce qu’aucune donnée sensible ne se retrouve dans les vieux papiers. Un destructeur de documents vaut la peine. Et si vous vous débarrassez de vieux appareils (ordinateurs, disques durs), assurez-vous d’effacer proprement et définitivement les données qu’ils contiennent.

9. Définissez un plan de crise

Aussi prudent·e que vous puissiez être, vous ne pouvez pas exclure totalement une cyberattaque. Il est donc judicieux d’établir un plan, au moins au cas où. Il importe notamment de pouvoir récupérer vos données le plus rapidement possible.

Si vous vous faites voler vos données sans y être préparé·e, il est fort probable que vous soyez dépassé·e par les événements. Une bonne préparation (liste de toutes les étapes, contacts d’urgence) permet de prendre rapidement la bonne décision. Le mieux est d’en discuter avec votre partenaire informatique.

10. Débranchez immédiatement l’ordinateur

Si vous remarquez que votre ordinateur commence à crypter des données, il va vous falloir agir rapidement. Cet ordinateur ne doit plus se trouver sur le même réseau que les autres. Sinon, il pourrait aussi les infecter.

Contactez immédiatement votre partenaire informatique et demandez à ce qu’un membre du service de cybercriminologie ou du service de réponse aux incidents soit présent. Cette personne tentera d’évaluer les dégâts, de les réduire autant que possible et de déterminer le point faible.

Conclusion: ce n’est pas sorcier

Les pirates informatiques sont avant tout des hommes et des femmes d’affaires. Ils cherchent des cibles rentables qu’ils peuvent exploiter sans trop d’efforts. De nombreux cabinets dentaires leur offrent malheureusement un marché idéal: des données précieuses sur une infrastructure informatique obsolète.

Mais de simples mesures de sécurité informatique rendent votre cabinet beaucoup moins attractif pour les pirates.

Suivez donc nos conseils, sensibilisez votre équipe et restez vigilant·e.