Points clés
- Une étude de la CNIL (France, 2022) portant sur 80 établissements de santé audités a révélé que 67 % d'entre eux présentaient des comptes actifs de professionnels ayant quitté l'établissement depuis plus de 30 jours — une erreur de gestion des habilitations systémique dont la correction constitue la première étape de tout programme d'assainissement.
- Le Verizon Data Breach Investigations Report 2023 (DBIR) indique que dans le secteur santé, 61 % des violations de données impliquent des identifiants compromis ou détournés — résultat direct d'habilitations trop larges, de mots de passe insuffisamment contrôlés et de comptes non désactivés.
- La certification HDS (Hébergeur de Données de Santé) en France impose un audit annuel des comptes utilisateurs actifs incluant la vérification de leur adéquation aux fonctions exercées — une exigence qui formalise la révision des habilitations comme obligation de conformité pour les hébergeurs.
Les erreurs dans la gestion des habilitations des professionnels de santé suivent des patterns récurrents que les équipes de direction et les DSI reconnaissent dans leurs propres organisations. Ces erreurs ne résultent pas d'une mauvaise volonté mais de processus insuffisants, de priorités opérationnelles concurrentes et d'une sous-estimation de l'impact cumulatif de chaque situation individuelle — un compte oublié, un droit non révoqué, un accès partagé par commodité.
Identifier ces erreurs fréquentes est la première étape d'un programme d'amélioration : on ne peut pas corriger ce qu'on ne mesure pas. Un audit initial de l'état des habilitations existantes — souvent révélateur — fournit une base de travail et une mesure de départ permettant de documenter les progrès.
Les cinq erreurs les plus fréquentes dans la gestion des habilitations
1. L'absence de processus de désactivation à la sortie. C'est l'erreur la plus documentée et la plus coûteuse : quand un professionnel quitte l'établissement, change de service ou termine un remplacement, ses accès ne sont pas révoqués dans les délais requis. Sans procédure formalisée et automatisée reliant les événements RH aux actions sur les comptes informatiques, cette désactivation dépend d'initiatives individuelles qui échouent régulièrement.
2. L'accumulation de droits lors des changements de poste. Un professionnel qui change de service conserve ses droits d'accès aux systèmes de son ancien poste tout en acquérant ceux de son nouveau poste. Sur plusieurs changements, cette accumulation crée un portefeuille de droits déconnecté des besoins réels. La revue et la révocation des droits à chaque changement de poste est un processus rarement formalisé.
3. Les droits excessifs attribués par défaut. Pour simplifier les onboardings, les profils d'accès par défaut sont souvent trop larges — il est plus simple d'accorder tous les droits d'un rôle générique que d'adapter précisément les accès aux besoins spécifiques du professionnel entrant. Ces droits excessifs s'accumulent et s'étendent progressivement à l'ensemble du système.
4. Les comptes de service et prestataires non révisés. Les comptes techniques créés pour les prestataires d'infogérance, les éditeurs de logiciels ou les intégrateurs persistent souvent bien après la fin des prestations. Ces comptes, fréquemment dotés de droits élevés, constituent des portes dérobées involontaires que les audits internes ne détectent pas si l'inventaire des comptes ne distingue pas comptes utilisateurs et comptes de service.
5. L'absence de revue périodique des droits existants. Même sans événement déclencheur (départ, changement de poste), les droits d'accès doivent être révisés périodiquement pour s'assurer qu'ils correspondent toujours aux besoins réels. Cette revue — souvent appelée recertification des accès ou access review — est absente dans la plupart des organisations qui n'ont pas formalisé de programme de gouvernance des identités (IAM).
Outils et processus pour corriger ces erreurs
La correction systématique des erreurs d'habilitation passe par l'automatisation des processus les plus critiques : intégration entre le SIRH et les systèmes d'habilitation pour déclencher automatiquement les révocations d'accès lors des événements RH (départ, mutation, fin de mission), mise en place de profils d'accès par rôle (Role-Based Access Control — RBAC) limitant les droits par défaut à ceux nécessaires au rôle, et programme de recertification des accès à fréquence définie (semestrielle ou annuelle selon la criticité des systèmes).
Cas institutionnel : Programme de gouvernance des identités — NHS England (Royaume-Uni, 2022-2024)
Suite aux recommandations du rapport Goldacre (2022) sur la gouvernance des données de santé au Royaume-Uni, le NHS England a engagé un programme de transformation de la gestion des identités numériques des professionnels. L'audit initial a révélé plus de 200 000 comptes actifs d'ex-employés dans les systèmes du NHS — une dette d'habilitation accumulée sur des années. Le programme de remédiation, déployé sur 18 mois, a combiné une campagne de désactivation immédiate des comptes inactifs identifiés, la mise en place d'un processus automatisé de synchronisation entre les registres RH et les systèmes d'habilitation, et l'introduction d'un processus de recertification semestrielle des droits d'accès pour tous les comptes actifs.
La violation de données de Community Health Systems (4,5 millions de dossiers patients) a exploité des identifiants VPN d'un ancien prestataire IT non révoqués. L'investigation a révélé que le processus de désactivation des accès prestataires n'était pas formalisé et dépendait de notifications manuelles entre équipes — une erreur de gestion des habilitations qui a permis l'accès initial à l'infrastructure de l'hôpital. Le règlement avec le HHS a inclus un plan de correction spécifique sur les processus d'habilitation.
L'audit sectoriel de la CNIL sur 80 établissements de santé a documenté des erreurs systémiques de gestion des habilitations : 67 % d'établissements avec des comptes actifs de professionnels partis depuis plus de 30 jours, 45 % sans processus formalisé de recertification des droits d'accès, et 38 % utilisant des comptes partagés dans au moins un service clinique. Ces chiffres ont conduit à des recommandations formelles publiées en 2023 sur les bonnes pratiques de gestion des habilitations dans les établissements de santé.
Un audit de cybersécurité commandité par Apollo Hospitals a révélé plusieurs milliers de comptes actifs d'anciens employés dans ses systèmes d'information clinique — résultat d'une croissance rapide par acquisitions où chaque établissement intégré avait sa propre gestion des habilitations sans processus de consolidation. Le programme de remédiation a conduit à la définition d'une politique groupe d'habilitation unifiée et d'un processus d'audit annuel obligatoire des comptes actifs dans tous les établissements du réseau.