Cybercriminalité et médecins : 5 bonnes pratiques

En tant que médecin exerçant en cabinet libéral, vous vous considérez peut-être comme une cible peu intéressante pour les cybercriminels. Pourtant, les exemples de médecins victimes de fraude se multiplient¹. 

Tout comme vous verrouillez la porte de vos locaux lorsque vous vous absentez, il est fondamental de veiller à la sécurité des données de santé qui se trouvent sous votre responsabilité. 

Dans la prévention de la fraude, voici nos conseils pour vous protéger.

Comprendre les risques de fraude

Depuis quelques années, la cybercriminalité s’oriente vers le domaine médical, bien plus lucratif pour les fraudeurs que les données bancaires. En effet, s’il est facile de faire opposition à une carte bancaire piratée, les dossiers médicaux de santé contiennent des informations beaucoup moins volatiles. Identité complète, numéro de Sécurité sociale, antécédents médicaux des patients, mais aussi informations confidentielles concernant les médecins, s’avèrent des données précieuses qui démultiplient le risque.

Pourquoi les médecins sont des cibles privilégiées ?

En cas de failles dans la sécurité de son système d’information, le médecin victime se voit impacté à de nombreux niveaux. Le simple vol d’un ordinateur peut avoir de graves conséquences si l’accès aux ressources qu’il contient n’a pas été sécurisé. 

Il est donc fondamental de se protéger des fraudes dans le secteur de la santé afin de prévenir les risques. En effet, en cas de mise en cause, il sera demandé au médecin de prouver qu’il a mis en œuvre les moyens nécessaires dans le but de sécuriser les données dont il est dépositaire². 

Quelles sont les conséquences en cas de fraude ?

Lorsque les données de santé afférentes aux patients d’un médecin sont piratées, les conséquences se révèlent graves sur plusieurs fronts. 

• Juridiques : le médecin dont la responsabilité professionnelle se trouve engagée doit signaler toute perte ou violation de données dans les 72 heures à la Commission Nationale de l’Informatique et des Libertés (CNIL). Dans le cas contraire, il encourt des sanctions. C’est aussi le cas s’il est constaté une infraction au Règlement Général de Protection des Données (RGPD)³.
  
  Le risque se situe donc sur trois plans :
  • Pénal dans le cadre du secret professionnel
  • Civil si des réparations pour préjudice sont demandées
  • Ordinal
• Financières : L’impact financier dépend de la forme de piratage. Si l’outil informatique s’en trouve indisponible, le médecin ne peut exercer son activité. À cela peuvent s’ajouter :
  • des frais de mise en conformité des logiciels, 
  • le paiement d’une rançon bien que ce soit fortement déconseillé, 
  • ou encore le détournement d’honoraires.

• Réputationnelles : le lien de confiance entre les patients et le médecin peut se voir sérieusement érodé lorsque ce dernier est victime d’une cyberattaque. 

Les formes les plus courantes de fraude

Grâce au dossier médical partagé ainsi qu’à toutes les solutions faisant appel aux nouvelles technologies, il existe un vaste réseau de données de santé interconnectées. Ce sont autant de portes d’entrées potentielles qui fragilisent la sécurité des informations des patients, mais aussi des médecins. 

1. Usurpation d’identité médicale

Les cybercriminels en possession de l’identité professionnelle d’un médecin peuvent émettre de fausses ordonnances ou encore, comme on l’a vu au moment de l’épidémie de COVID, générer de faux certificats de vaccination. Le fraudeur accède à des données de santé et informations bancaires via les caisses de prévoyance ou les mutuelles. Le médecin victime doit alors faire face à imbroglio administratif impactant de nombreux domaines.

2. Vol et exploitation des données de santé

Du fait de la grande quantité d’informations qu’ils traitent, il existe une médiatisation importante à propos des hôpitaux faisant l’objet de cyberattaques. Mais la situation touche aussi fréquemment les cabinets libéraux avec une finalité identique : les données subtilisées ont vocation à être revendues ou détournées (chantage, fraudes à l’assurance…).

3. Fraude à la facturation et faux rendez-vous

Grâce aux identifiants d’un médecin (carte CPS, numéro RPPS), les escrocs ont la possibilité de créer de fausses consultations et de se les faire ainsi rembourser par l’Assurance Maladie. S’ils endossent l’identité d’un patient, ils peuvent alors bénéficier de soins dont ils ne sont pas bénéficiaires.

4. Attaques par hameçonnage (ou phishing)

Pratique courante que l’on rencontre au quotidien, le phishing consiste pour les cybercriminels à envoyer des mails ou SMS frauduleux. Le message contenu dans ces derniers incite à suivre un lien par lequel les escrocs vont recueillir des informations confidentielles. Dans le cadre de la pratique médicale, ces messages semblent provenir de l’Ordre des médecins ou de l’Assurance Maladie. 

5. Attaques par ransomwares

Les fraudeurs introduisent un logiciel malveillant dans le système informatique du médecin, bloquant l’accès à toutes les données. Ils exigent alors une rançon pour débloquer le système, mais le paiement, déconseillé, ne garantit pas la récupération des données. Les rançonneurs peuvent même réitérer leur demande à plusieurs reprises, sans certitude que la situation s’améliore. 

Il convient donc mettre en œuvre des actions préventives en vue de disposer d’une protection des données efficace et réactive.

À lire aussi : La sécurité des données de santé, quels enjeux pour les patients ?

Cybercriminalité et médecins : 5 bonnes pratiques

Les médecins libéraux peuvent se sentir mal armés face aux enjeux de la cybercriminalité, cependant, avec des mesures de prévention adaptées, il est possible de maîtriser le risque. 

En cas de fuites de données, il vous reviendra de prouver que vous avez mis en œuvre le nécessaire afin de respecter le RGPD. Une négligence avérée est généralement désastreuse.

1. Prévenir la fraude dans le secteur de la santé

La lutte contre la fraude dans le secteur de la santé est un combat majeur mené par l’Assurance Maladie pour en limiter l’impact financier. Renforcée depuis 2022, la stratégie comporte quatre niveaux :

1. L’évaluation des risques,
2. La prévention des fraudes, 
3. Une amélioration de la détection et des contrôles, 
4. Des sanctions rapides et efficaces à l’encontre des fraudeurs⁴. 

En tant que médecin, vous avez un rôle majeur à jouer dans ce processus.

2. Renforcer la protection de vos accès

Voici des mesures préventives simples à mettre en place à votre cabinet et lors de vos déplacements : 

• N’utilisez pas vos outils professionnels à des fins personnelles, 
• N’en laissez pas l’accès à des personnes non autorisées,
• Verrouillez systématiquement vos outils (tablette, ordinateur, smartphone) lorsque vous ne les utilisez pas,
• Activez la double authentification pour tous vos accès en utilisant un logiciel qui exige l’envoi d’un code supplémentaire après que vous avez validé votre adresse mail et votre mot de passe, 
• Ayez recours à une carte CPS (virtuelle ou physique),
• Effectuez des sauvegardes régulières sur des supports certifiés HDS,
• Utilisez une messagerie sécurisée spécifiquement dédiée aux professionnels de santé
• Assurez-vous que vos logiciels sont certifiés (ISO 27001) ou labellisés e-santé.

3. Mettre à jour vos outils et systèmes régulièrement

Souvent repoussée puis oubliée, la mise à jour des logiciels et systèmes s’avère indispensable pour assurer la sécurité optimale de vos logiciels et environnements numériques. En effet, les mises à jour ont essentiellement vocation à actualiser les outils de protection des systèmes au regard des évolutions des attaques. 

Veillez à réaliser les mises à jour demandées pour vos interfaces, pare-feu, antivirus et logiciels.

4. Être vigilant aux signaux d’alerte

Outre une vigilance personnelle, il est important de sensibiliser l’ensemble des personnes intervenant à votre cabinet : agents administratifs, remplaçants, autres professionnels de santé. 

Les points de vigilance principaux doivent porter sur les e-mails : vérifier l’adresse de l’expéditeur, la formulation ainsi que l’orthographe. Si l’on vous demande un code ou des informations confidentielles, contactez directement l’organisme censé vous avoir envoyé le message.

Afin d’être alerté en temps réel, utilisez un antivirus mis à jour régulièrement que vous aurez paramétré dans le but de recevoir des alertes de sécurité.

5. Utiliser des outils hautement sécurisés

Vos outils de communication, de gestion du cabinet, de coordination pluriprofessionnelle et de pilotage d’activité doivent être conformes à la réglementation en vigueur. 

• Assurez-vous que l’hébergeur des données de santé soit certifié HDS, 
• En cas de dématérialisation de vos feuilles de soins, la solution doit posséder un agrément SESAM-Vitale, 
• Vos logiciels d’aide à la prescription quant à eux sont soumis à la certification LAP selon le référentiel HAS,
• Si vous pratiquez la télémédecine, privilégiez les solutions sécurisées titulaires des certifications et labels⁵ les plus exigeants, tel que Medaviz.

Tout savoir sur la sécurité chez Medaviz https://www.medaviz.com/securite/

Vos obligations en matière de RGPD

Institué au niveau européen en 2018, le RGPD ne concerne pas uniquement les données de santé. De manière globale, il vise à renforcer le droit des personnes, à responsabiliser les acteurs traitant des données personnelles et à en crédibiliser la régulation⁶. 

Voici les trois items principaux qui concernent les médecins :

• Les données sensibles, par conséquent les données de santé,
• Les populations fragiles,
• Les durées de conservation longue (en médecine au moins vingt ans).

Vos obligations en tant que médecin sont de : 

• Avoir une gestion administrative des dossiers patients, papier ou informatisés, qui réponde à des finalités « déterminées, explicites et légitimes »,
• Ne posséder que des données strictement indispensables à la prise en charge des patients,
• Ne pas dépasser la durée maximale réglementaire de stockage des données, 
• Informer les patients de l’existence d’un dossier les concernant et de leurs droits afférents, 
• Sécuriser et maîtriser le risque en termes de cybersécurité en prenant les précautions nécessaires.

Retrouvez en détail les points du RGPD appliqués au domaine de la santé dans le guide pratique élaboré et rédigé conjointement par le CNOM et la CNIL. https://www.cnil.fr/fr/rgpd-le-conseil-national-de-lordre-des-medecins-et-la-cnil-publient-un-guide-pratique-lattention-des

Si l’on résume l’ensemble des points évoqués, la sécurisation des données de vos patients demande de :

• Vous assurer que l’ensemble de vos outils est conforme au RGPD et aux exigences de la CNIL,
• Utiliser un environnement sécurisé pour votre correspondance numérique et le stockage des données,
• Sensibiliser vos collaborateurs, 
• Respecter les délais imposés par le CNOM et la CNIL, 
• Alerter si vous êtes victime d’actes de malveillance.

Il existe des solutions totalement sécurisées permettant d’être accompagné dans ce processus parfois contraignant et chronophage, peu compatible avec une activité libérale intense.

Notre solution de téléconsultation dépasse les exigences réglementaires de sécurité

En matière de cybersécurité, dans un domaine en évolution permanente, il est fondamental d’avoir un, voire plusieurs coups d’avance. C’est la raison pour laquelle la solution Medaviz non seulement respecte, mais va au-delà des exigences réglementaires de sécurité actuelles grâce à :

• Une double certification afin de répondre aux exigences les plus pointues concernant les données de santé. Medaviz est certifié ISO 27001 par l’AFNOR, et aussi certifié HDS, 
• Une intégration du RGPD dans toutes nos pratiques.

Nous partageons à nos clients le bilan annuel de nos actions sur la sécurité. Nous sommes transparents sur les marges de progression tout en visant l’exemplarité. Nous fournissons sur demande l’attestation de test d’intrusion mené sur notre plateforme. Nous communiquons régulièrement sur les enjeux et vigilance à avoir en termes de sécurité

Les données de santé hébergées par Medaviz font donc l’objet d’une prise en charge optimale par une équipe formée et sensibilisée et des outils hautement sécurisés. Elles bénéficient de solutions techniques de pointe que nous n’avons de cesse de perfectionner dans le cadre de notre démarche d’amélioration continue.

Vous souhaitez utiliser un outil de téléconsultation sécurisé ?

1. Victime d’une Cyberattaque ? les bons réflexes à adopter en cabinet libéral – URPS ML Nouvelle-Aquitaine
2. Médecins libéraux : RGPD et sécurité informatique – MACSF 
3. Risques RGPD & médecin : attention aux sanctions 
4. Lutte contre les fraudes | L’Assurance Maladie
5. Les solutions labellisées e-santé
6. Le règlement général sur la protection des données (RGPD), mode d’emploi | Ministère de l’Économie des Finances et de la Souveraineté industrielle et énergétique