Fiche de révision : Sécurité et gestion des données en santé

📋 Plan du Cours

1. Définition et objectifs du RGPD en santé
2. Exemples et situations de production des données de santé
3. Concept et enjeux des données ouvertes (open data) en santé
4. Réutilisation des données de santé au-delà du suivi médical
5. Motivations, modes opératoires et exemples de cyberattaques en santé
6. Phishing : reconnaissance, exemples et usurpations d’identité
7. Mesures de prévention et gestion des incidents de cybersécurité en santé
8. Bonnes pratiques pour sécuriser sa messagerie électronique
9. Gestion et création de mots de passe complexes en santé numérique

📖 1. Définition et objectifs du RGPD en santé

🔑 Notions clés & Définitions

• Donnée personnelle : Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement, permettant son identification.
• Santé au sens du RGPD : L’état physique ou mental d’une personne, passé, présent ou futur, auquel se rapportent les données de santé protégées par le RGPD.

📝 Points essentiels

• Le RGPD, entré en vigueur en 2018, encadre strictement le traitement des données personnelles et renforce les droits des citoyens sur leurs données.
• Les données personnelles sont toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.
• Les données de santé sont des données à caractère personnel relatives à la santé physique ou mentale passée, présente ou future d’une personne, y compris la prestation de services de soins de santé.

💡 À retenir

Le cadre légal du RGPD protège les données personnelles et de santé pour garantir la confidentialité et les droits des individus, en encadrant leur traitement et leur utilisation.

📖 2. Exemples et situations de production des données de santé

🔑 Notions clés & Définitions

• Soins courants : Ensemble des actes médicaux ou paramédicaux réalisés dans le cadre habituel de la prise en charge d'un patient, incluant les consultations et examens cliniques.
• Numérique en santé : Utilisation de technologies digitales telles que les montres connectées et applications mobiles dédiées à la santé, permettant la collecte et le suivi de données de santé.
• Situations durant lesquelles des données : Contextes variés incluant les consultations médicales ou paramédicales, les examens cliniques, les essais cliniques, les études épidémiologiques, ainsi que l'utilisation de dispositifs numériques comme les montres connectées et applications santé.

📝 Points essentiels

• Les données de santé peuvent être produites lors des soins courants, comme les consultations médicales ou examens cliniques.
• Les données de santé sont également générées dans le cadre de recherches liées à la santé, telles que les essais cliniques ou études épidémiologiques.
• Les dispositifs numériques, comme les montres connectées et applications santé, sont des sources modernes de production de données de santé.

💡 À retenir

Identifier concrètement les contextes variés où les données de santé sont générées permet de mieux comprendre leur gestion et leur protection.

📖 3. Concept et enjeux des données ouvertes (open data) en santé

🔑 Notions clés & Définitions

• Donnée ouverte (open data) : Type de donnée librement accessible, réutilisable et distribuable par tous, sous condition d’anonymisation pour protéger la vie privée.
• Santé d’un même patient : Accès restreint aux données personnelles de santé réservé uniquement aux professionnels de santé impliqués dans la prise en charge d’un même patient.

📝 Points essentiels

• Les données ouvertes sont accessibles à tous, à condition d’être anonymisées.
• Les données ouvertes permettent à divers acteurs (chercheurs, citoyens, journalistes) d’explorer et d’analyser les enjeux de santé publique.
• Elles permettent à la recherche, aux citoyens, aux journalistes d’explorer les enjeux de santé.

💡 À retenir

Les données ouvertes sont accessibles à tous, à condition d’être anonymisées.

📖 4. Réutilisation des données de santé au-delà du suivi médical

🔑 Notions clés & Définitions

• Information concernant uniquement la santé : Données qui portent exclusivement sur la santé d’un individu, sans inclure d’autres informations personnelles.
• Données de santé : Instituts de formation La Musse 16 Vrai ou Faux : d’après le RGPD, les données de santé servent uniquement au suivi médical d’un patient, et doivent jamais servir à d’autres fins.

📝 Points essentiels

• Les données de santé ne servent pas uniquement au suivi médical individuel mais peuvent être réutilisées pour la recherche médicale afin d’améliorer les connaissances.
• La réutilisation des données contribue à orienter les politiques de santé publique et à améliorer la qualité des soins.

💡 À retenir

Les données de santé possèdent une valeur collective importante pour la recherche et la santé publique, au-delà de leur usage dans le soin individuel.

📖 5. Motivations, modes opératoires et exemples de cyberattaques en santé

🔑 Notions clés & Définitions

• Instituts de formation La Musse : Établissement de formation mentionné dans le contexte de la cybersécurité, notamment pour la sensibilisation aux menaces et aux modes opératoires des cyberattaquants.

📝 Points essentiels

• Les cyberattaques en santé visent souvent à chiffrer les données via des rançongiciels pour demander une rançon.
• Les modes opératoires incluent l’envoi de mails frauduleux contenant des virus qui contournent les protections antivirus.
• Le vol et la revente de données de santé constituent une motivation majeure des attaquants, exposant les données sensibles à des risques importants.

💡 À retenir

Les menaces spécifiques qui pèsent sur les données de santé incluent le chiffrement par rançongiciels, l'infection par des virus via des mails frauduleux, et le vol de données pour leur revente, ce qui nécessite une vigilance accrue.

📖 6. Phishing : reconnaissance, exemples et usurpations d’identité

🔑 Notions clés & Définitions

• Phishing ou mail officiel : technique de fraude numérique consistant à envoyer des courriels frauduleux qui imitent des communications officielles ou institutionnelles pour tromper la victime. Ces courriels cherchent à donner une apparence légitime en reprenant le style, le logo ou les éléments graphiques d’organismes officiels, afin de susciter la confiance et inciter à une action malveillante.

• Phishing ou mail : pratique de manipulation par courriel visant à tromper le destinataire en lui faisant croire qu’il reçoit un message d’une entité fiable ou officielle. L’objectif est d’obtenir des informations sensibles, telles que des identifiants, des données personnelles ou financières, en exploitant la crédulité ou la vigilance réduite du destinataire.

• Phishing Instituts de formation : forme spécifique de phishing ciblant des établissements de formation, où des courriels frauduleux usurpent l’identité d’instituts de formation comme La Musse ou d’autres organismes éducatifs. Ces messages cherchent à obtenir des données personnelles ou financières des étudiants, enseignants ou personnels administratifs en se faisant passer pour des communications officielles de ces instituts.

• Phishing Instituts : pratique de fraude par courriel visant des établissements ou organismes, notamment des instituts de formation ou autres structures institutionnelles, par l’envoi de mails frauduleux imitant leur communication officielle. Ces tentatives ont pour but de dérober des informations sensibles ou d’inciter à des actions malveillantes sous prétexte d’une communication légitime.

📝 Points essentiels

• Le phishing consiste à envoyer des mails frauduleux imitant des entités officielles pour tromper la victime. Ces courriels sont conçus pour ressembler à des messages légitimes provenant d’organismes tels que la CAF, les impôts ou EDF. L’objectif principal est de manipuler le destinataire afin qu’il fournisse des informations personnelles ou financières en réponse à une demande qui semble authentique.

• Les mails de phishing peuvent usurper l’identité d’organismes comme la CAF, les impôts ou EDF pour arnaquer les destinataires. Ces messages frauduleux reprennent souvent le logo, la mise en page et le ton officiel de ces institutions afin de renforcer leur crédibilité. La victime peut être amenée à cliquer sur des liens malveillants ou à communiquer des données sensibles.

• Reconnaître un mail de phishing repose sur l’analyse de plusieurs éléments : l’expéditeur, la cohérence du lien et la vigilance face aux demandes suspectes. Il faut vérifier l’adresse email de l’expéditeur, qui peut comporter des anomalies ou des erreurs. Le lien contenu dans le message doit être examiné attentivement pour détecter toute divergence avec l’adresse officielle de l’organisme. Enfin, il est crucial de rester méfiant face aux demandes urgentes ou inhabituelles, notamment celles qui sollicitent des informations confidentielles ou des actions immédiates.

💡 À retenir

Une vigilance critique face aux courriels suspectés de phishing permet d’éviter de tomber dans les pièges d’usurpation d’identité et de préserver ses données personnelles. La vérification minutieuse de l’expéditeur, du contenu et des liens est essentielle pour détecter et se prémunir contre ces tentatives de fraude.

📖 7. Mesures de prévention et gestion des incidents de cybersécurité en santé

🔑 Notions clés & Définitions

• Professionnels de santé : Les acteurs intervenant dans les domaines médical et paramédical, responsables de la prise en charge des patients et de la gestion des informations de santé.

📝 Points essentiels

• Face à un ransomware, il faut faire appel à un professionnel et ne pas payer la rançon, en portant plainte à la gendarmerie.
• La déconnexion immédiate du réseau ou d’internet est une mesure clé pour limiter la propagation d’une attaque.

💡 À retenir

Adopter des réflexes précis pour réagir efficacement aux incidents de cybersécurité en santé.

📖 8. Bonnes pratiques pour sécuriser sa messagerie électronique

🔑 Notions clés & Définitions

• Musse + Rita LENOIR DIT CARON : Une institution ou un organisme de formation mentionné dans le contexte de la sensibilisation à la sécurité informatique et à la reconnaissance des mails de phishing.
• Contenue dans un dossier médical : Une information contenue dans un dossier médical 4.

📝 Points essentiels

• Ne jamais cliquer sur un lien dans un mail si l’expéditeur est inconnu ou si le lien est incohérent avec le sujet.
• En cas de doute, contacter l’émetteur par un autre canal pour vérifier l’authenticité du message.
• Non Oui Est-ce que le message me demande de cliquer sur un lien ?
• Non Oui Le lien (l’URL) est-il cohérent avec le sujet évoqué ?

💡 À retenir

Adopter des gestes simples comme vérifier l’expéditeur et la cohérence des liens, et contacter l’émetteur en cas de doute, permet de protéger efficacement sa messagerie contre les attaques.

📖 9. Gestion et création de mots de passe complexes en santé numérique

🔑 Notions clés & Définitions

• Mot de passe complexe : Séquence de caractères comportant plus de 10 éléments, incluant des minuscules, des majuscules, des chiffres et des caractères spéciaux, conçue pour renforcer la sécurité d'un compte.
• Mots de passe : Séquences de caractères utilisées pour authentifier un utilisateur sur un compte ou service, dont la sécurité dépend de leur complexité et de leur gestion.

📝 Points essentiels

• Un bon mot de passe doit comporter plus de 10 caractères avec minuscules, majuscules, chiffres et caractères spéciaux.
• La technique de la phrase permet de créer un mot de passe complexe et mémorisable.
• Il est recommandé d'utiliser un gestionnaire de mots de passe pour gérer de nombreux mots de passe différents et sécurisés.

💡 À retenir

Il est recommandé d'utiliser un gestionnaire de mots de passe pour gérer de nombreux mots de passe différents et sécurisés.

📊 Tableaux de Synthèse

Comparatif des modes de production des données de santé

Risques et mesures en cybersécurité en santé

⚠️ Pièges & Confusions Fréquentes

1. Confusion entre données personnelles et données de santé.
2. Sous-estimer la vulnérabilité des emails de phishing.
3. Ne pas vérifier l'authenticité des liens dans les emails.
4. Payer la rançon en cas d'attaque par ransomware.
5. Partager ses mots de passe ou utiliser des mots simples.
6. Ignorer les alertes de sécurité ou de virus.

✅ Checklist Examen

1. Vérifier l'expéditeur d'un email suspect.
2. Analyser la cohérence du lien dans un email.
3. Ne pas cliquer sur un lien si l'expéditeur est inconnu.
4. Contacter l'émetteur par un autre canal si doute.
5. Utiliser un mot de passe complexe avec plus de 10 caractères.
6. Inclure majuscules, minuscules, chiffres et caractères spéciaux.
7. Changer régulièrement ses mots de passe.
8. Utiliser un gestionnaire de mots de passe.
9. Former le personnel à la cybersécurité.
10. Sauvegarder régulièrement ses données.
11. Mettre en place un plan de réponse aux incidents.