Points clés
- Les accès externes aux données médicales — professionnels en télétravail, partenaires, prestataires, applications patients — sont des vecteurs d'attaque privilégiés qui doivent être sécurisés avec une rigueur particulière.
- L'authentification forte (MFA) est indispensable pour tout accès externe à des données de santé — les seuls mots de passe ne suffisent pas.
- Le principe du moindre privilège doit s'appliquer strictement aux accès externes : chaque acteur externe n'accède qu'aux données strictement nécessaires à sa mission.
- La surveillance des accès externes doit être plus intensive que celle des accès internes — les comportements anormaux s'y manifestent plus facilement.
Les catégories d'accès externes et leurs risques
Les accès externes aux données médicales se déclinent en plusieurs catégories aux niveaux de risque différents. Les accès des professionnels de santé en télétravail : ils accèdent aux données avec les mêmes droits que sur site, depuis un réseau et un poste moins contrôlés. Les accès des prestataires de maintenance des SI : souvent larges pour permettre l'intervention technique, peu ou pas surveillés en dehors des heures ouvrées. Les accès des partenaires via API : automatisés, mais pouvant être compromis si les credentials sont exposés. Les accès patients via les portails : larges en nombre, exposés au phishing et aux identifiants faibles.
L'authentification forte : standard minimum non négociable
L'authentification forte (MFA — Multi-Factor Authentication) est le standard minimum pour tout accès externe à des données de santé. Le facteur supplémentaire peut être un OTP via une application d'authentification (TOTP), un token hardware (FIDO2/passkey), une notification push avec validation biométrique, ou un certificat client. Les SMS OTP sont à déconseiller pour les accès les plus critiques — ils sont vulnérables aux attaques SIM swapping. Pour les accès aux données les plus sensibles, des mécanismes résistants au phishing (FIDO2) sont recommandés par l'ANSSI.
Le contrôle d'accès conditionnel
Le contrôle d'accès conditionnel permet d'adapter le niveau d'authentification requis en fonction du contexte d'accès. Un accès depuis un appareil connu, connecté au réseau de l'établissement, pendant les heures normales d'activité, peut se satisfaire d'un facteur simple. Le même accès depuis un appareil inconnu, depuis un pays inhabituel, en dehors des heures normales d'activité, doit déclencher une authentification renforcée ou un blocage. Cette approche — qui applique des contrôles proportionnés au risque réel de chaque accès — est le standard des grandes organisations de santé numériques.
La gestion du cycle de vie des accès externes
Les accès externes doivent suivre un cycle de vie rigoureux. La création d'un accès doit être formellement demandée et approuvée, avec une justification documentée, une durée limitée, et des droits définis selon le principe du moindre privilège. La revue des accès doit être réalisée périodiquement — tous les 3 mois pour les accès prestataires. La révocation doit être immédiate à la fin de la mission ou du projet. Ces processus doivent être automatisés autant que possible — la révocation manuelle est une source d'oublis documentée.
La surveillance des accès externes
La surveillance des accès externes doit être plus intensive que celle des accès internes. Les indicateurs de comportement anormal sont plus faciles à définir pour les accès externes, dont les patterns normaux sont plus homogènes. Des alertes sur les connexions hors des horaires habituels, depuis des pays non attendus, avec des volumes de données consultés inhabituels, ou avec des tentatives d'accès à des ressources hors du périmètre habituel doivent être configurées et traitées en temps réel.