Vous avez peut-être un problème de cybersécurité (même si vous ne le savez pas encore)

Soyons réalistes: la plupart d'entre nous ne se sont pas lancés dans la médecine en pensant qu'ils devraient devenir des experts en sécurité informatique. Nous gérons des cliniques de soins de première ligne très fréquentées, jonglant entre les patients, le personnel, la facturation et la paperasse. La cybersécurité nous semble être un sujet qui concerne davantage les hôpitaux ou les banques. Mais voici la vérité: les GMF sont de plus en plus ciblés. Ce sont des cibles faciles. Leurs données sont tout aussi sensibles que celles des hôpitaux, et souvent plus faciles à voler. Et lorsque quelque chose tourne mal, ils n'ont pas d'équipe informatique ou de service juridique en interne pour les aider. Alors, que doivent faire les GMF pour assurer leur sécurité et celle de leurs patients? Voici un guide simple sur les mesures que chaque GMF ou petit cabinet de médecine familiale devrait envisager. Tout ne doit pas être mis en œuvre dès demain. Mais chaque élément de cette liste est réalisable, pratique et conçu en pensant à votre organisation.1. Désignez une personne responsableDans la plupart des GMF, la cybersécurité n'est la responsabilité de personne. C'est en partie le problème. Commencez donc par choisir une personne de votre équipe, par exemple le directeur de la clinique, un médecin féru de technologie ou même une infirmière en chef, qui sera chargée de ce dossier. Son travail ne consiste pas à tout régler, mais à rester vigilant et à s'assurer que les mesures de base sont prises. Accordez-lui une heure par mois pour s'en occuper.2. Dressez une liste de tout ce qui est connecté à vos donnéesVous ne pouvez pas protéger ce que vous ne connaissez pas. Prenez 30 minutes pour noter:Quels ordinateurs et tablettes sont utilisés?Quels logiciels utilisez-vous? (DMÉ, eFax, soins virtuels, prise de rendez-vous en ligne, voire scribes IA ou standard automatisé)Qui d'autre a accès à vos données? (société de facturation, assistance informatique, partenaires de soins partagés)Cette liste est la base de tout ce qui va suivre. Ne réfléchissez pas trop, commencez par une ébauche, puis affinez-la.3. Concentrez-vous d'abord sur cinq choses simplesCe sont les éléments non négociables en 2025. Si vous ne faites rien d'autre, mettez-les en place:Authentification multifactorielle (MFA) - sur votre messagerie électronique, votre DMÉ et tout ce qui contient des données sur les patients. Il s'agit du petit code que vous recevez sur votre téléphone et qui bloque la plupart des attaques. Cela doit être mis en place pour tous les membres de votre personnel, qui doivent comprendre pourquoi.Mots de passe forts - et non dupliqués entre les systèmes. Utilisez un gestionnaire de mots de passe comme 1Password ou Lastpass.Mises à jour et correctifs - assurez-vous que vos ordinateurs se mettent à jour automatiquement. N'ignorez pas ces petits rappels.Logiciel antivirus - sur chaque machine, même les Mac. Souvent, ceux-ci sont fournis sous licence par votre fournisseur de DMÉ, mais si ce n'est pas le cas, assurez-vous qu'ils sont bien présents.Verrouillage d'écran - configurez chaque ordinateur de la clinique pour qu'il se verrouille après quelques minutes. Cryptez les ordinateurs portables et les appareils mobiles. Pensez à des mécanismes de déverrouillage rapide confidentiels afin de faciliter la vie des utilisateurs tout en rendant l'accès difficile aux autres (reconnaissance faciale, empreinte digitale, clé de sécurité).C'est tout. Vous n'avez pas besoin d'un système informatique sophistiqué: il suffit de suivre ces cinq conseils pour avoir une longueur d'avance sur la plupart des cliniques.À consulter: Quand l’IA améliore et accélère la prise en charge à l’urgence4. Sauvegardes: si vous ne pouvez pas restaurer vos données, ce n'est pas une sauvegardeChaque clinique a besoin d'une sauvegarde fiable et sécurisée de ses DMÉ et fichiers clés. Idéalement:Les sauvegardes doivent être automatiques (quotidiennes ou hebdomadaires).Elles sont stockées dans au moins un endroit autre que votre serveur principal.Elles sont testées: pouvez-vous les restaurer? Ne vous contentez pas de supposer.Discutez avec votre fournisseur de DMÉ ou votre prestataire informatique pour savoir comment vos données sont sauvegardées, où elles sont sauvegardées et, si possible, effectuez régulièrement un test de «restauration».5. Que ferez-vous si vous vous retrouvez bloqué?La plupart d'entre nous n'y pensent pas avant qu'il ne soit trop tard. Mais prenez 20 minutes pour rédiger un petit plan d'urgence:Qui appellerez-vous si votre système tombe en panne ou si vous recevez un message de ransomware?Avez-vous noté le numéro de téléphone de votre assistance informatique à l'extérieur de l'ordinateur?Qui décide de la marche à suivre? (Le médecin propriétaire, le responsable administratif?)Comment informerez-vous les patients si les téléphones ou les systèmes tombent en panne?Avez-vous souscrit une cyberassurance? Si ce n'est pas le cas, devriez-vous le faire? De nombreux assureurs proposent une assistance téléphonique en cas de crise.Vous n'essayez pas de construire Fort Knox. Sachez simplement comment vous réagiriez en cas d'attaque. Lire aussi: IA en santé: «Démontrez-moi que ça fonctionne»6. Formez votre équipe (un peu, mais régulièrement) La plupart des piratages se produisent parce que quelqu'un clique sur un lien malveillant ou ouvre un fichier suspect. Vos équipes (et pas seulement vous) doivent savoir ce qu'il faut surveiller. Lors de votre prochaine réunion du personnel, faites un bref exposé: «Voici à quoi peut ressembler un courriel d'hameçonnage (phishing)».Imprimez une page et affichez-la près de la réception: «Si vous voyez ceci... appelez cette personne».Rappelez à tout le monde de ne pas réutiliser leurs mots de passe personnels et de ne pas se connecter aux comptes de la clinique sur des appareils personnels. 7. Fournisseurs: ne présumez pas qu'ils sont sécurisés Votre fournisseur de DMÉ, votre prestataire de facturation, votre plateforme de soins virtuels... respectent-ils les bonnes pratiques en matière de sécurité? Ces pratiques sont-elles explicites? Commencez par poser des questions telles que: Utilisent-ils l'authentification multifactorielle (MFA)?Stockent-ils les données au Canada?Vous préviendront-ils en cas de piratage?Quels sont leurs protocoles de sécurité spécifiques pour garantir que les données de santé de vos patients et vos données commerciales sont correctement protégées?Il existe des lois sur la confidentialité et la cybersécurité des données de santé qui peuvent être prises en compte ici, mais que fait votre fournisseur pour s'assurer que sa conformité va au-delà du strict nécessaire en matière de confidentialité et de sécurité?Il n'est pas nécessaire de connaître toutes les réponses. Mais poser des questions montre que votre clinique se soucie de la cybersécurité et qu'elle attend de ses partenaires qu'ils en fassent de même.Lire aussi: Intégrer l’IA dans votre pratique: pourquoi pas?8. Une assurance peut s'avérer utileUne cyberassurance n'est pas obligatoire, mais elle peut être utile en cas de problème. Certaines formules couvrent:Les coûts d'une enquête sur un piratage de donnéesLes conseils juridiquesLa notification et l'assistance aux patientsLa perte de revenus pendant l'indisponibilité de la cliniqueDemandez à votre courtier s'il propose une option «cyberclinique». Si vous ne pouvez pas souscrire d'assurance, envisagez de mettre en place un plan de base pour savoir quoi faire en cas de problème. Votre assureur professionnel a peut-être déjà intégré certains de ces éléments dans ses formules de base, mais vérifiez tout de même. 9. Discutez-en deux fois par anTous les six mois, abordez la question de la cybersécurité lors de votre réunion avec vos partenaires et avec vos équipes. Pas besoin d'entrer dans les détails, une mise à jour de 10 minutes suffit:Qu'est-ce qui fonctionne?Y a-t-il de nouveaux logiciels ou risques?Devons-nous revoir notre plan ou mettre à jour nos sauvegardes?Des vérifications régulières permettent de normaliser ce travail et d'éviter qu'il ne passe inaperçu.À consulter: «Regardez, c’est dans mon dossier docteur!»10. Vous n'êtes pas seul, demandez de l'aideVoici quelques ressources fiables: Le Centre canadien pour la cybersécurité offre des conseils, des avis, des services et du soutien spécialisés.L’ACPM propose de bonnes informations sur les risques liés à la confidentialité et sur la manière d'y répondre.Ce sujet est abordé lors de nombreuses conférences sur la santé numérique. Assistez à une session, apprenez-en davantage et créez une communauté!En conclusionVous n'avez pas besoin de tout faire en même temps. Choisissez l'une de ces étapes et attaquez-vous y ce mois-ci. Puis choisissez-en une autre le mois prochain. L'objectif n'est pas la perfection, mais la protection.La cybersécurité ne concerne pas seulement la technologie. Il s'agit de maintenir le fonctionnement de votre clinique, de conserver la confiance des patients et de réduire le risque qu'un mardi matin ordinaire devienne le pire jour de votre carrière.Vous pouvez y arriver, et vous n'avez pas à le faire seul.J'aimerais connaître votre avis sur ce que j'ai écrit et les idées que j'ai partagées. N'hésitez pas à laisser un commentaire ci-dessous.Le Dr Darren Larsen est consultant en technologies de la santé et possède plus de trente ans d'expérience dans les domaines de la médecine et des technologies de l'information appliquées à la santé. Cet article a initialement été publié sur son site web.

Vous avez peut-être un problème de cybersécurité (même si vous ne le savez pas encore)

Pour accéder au contenu, connectez-vous ou créez un compte gratuit.

Catégories connexes