« Ce matin, aucun poste ne démarre : un écran demande une rançon en cryptomonnaie. On a des patients qui attendent et plus aucun historique. On appelle qui, on fait quoi ? »Sam, préparateur · un scénario qu’on préfère réviser avant
Ce scénario n’a rien de théorique : la santé figure parmi les trois secteurs les plus attaqués en France, et les officines, avec leurs données patients et leurs systèmes parfois peu protégés, sont des cibles comme les autres. La cybersécurité d’une officine tient à une poignée de mesures simples et à deux réflexes d’incident. Les voici.
La menace, concrètement
Le panorama de l’ANSSI classe la santé au 3e rang des secteurs les plus exposés parmi les incidents portés à sa connaissance, et l’observatoire du CERT Santé a recensé 764 incidents déclarés dans les secteurs santé et médico-social en 2025 : les rançongiciels reculent, mais les comptes compromis (hameçonnage, mots de passe volés) progressent. Pour une officine, les scénarios types : LGO chiffré par un rançongiciel, boîte mail piratée, prestataire compromis, ou fuite par négligence (écran visible, documents perdus). Le guide CNIL et Ordre de 2023 cite plusieurs de ces cas.
Les six mesures qui font l’essentiel du travail
- Mots de passe robustes et individuels : un compte par personne, jamais de mot de passe partagé ni affiché, désactivation immédiate des comptes des partants.
- Double authentification (MFA) partout où c’est possible : messagerie, portails professionnels, accès à distance.
- Sauvegardes automatiques, dont une déconnectée du réseau (disque externe rangé, non branché en permanence), et restauration testée : une sauvegarde jamais testée n’existe pas.
- Mises à jour des postes, du LGO, de la box et de l’antivirus ; suppression des accès et logiciels inutiles.
- Équipe sensibilisée : repérer un mail d’hameçonnage, ne jamais brancher une clé inconnue, verrouiller sa session. Dix minutes par trimestre font déjà beaucoup.
- Plan de continuité papier : comment délivrer, tracer et facturer en mode dégradé si l’informatique tombe. Écrit, connu de tous, testé une fois.
Le jour J : la conduite d’incident
- Isoler : débrancher le réseau des postes touchés, ne pas éteindre brutalement, ne jamais payer la rançon.
- Appeler les secours numériques : pour l’officine, cybermalveillance.gouv.fr assiste et oriente vers des prestataires ; le CERT Santé (portail cyberveille.esante.gouv.fr) réserve, lui, son appui aux établissements de santé, ESMS, laboratoires de biologie médicale et centres de radiothérapie. Prévenir aussi ton éditeur de LGO et ton informaticien.
- Notifier : si la violation de données personnelles est susceptible d’engendrer un risque pour les personnes, notification à la CNIL au plus tard sous 72 heures (article 33 du RGPD) ; registre des violations tenu à jour dans tous les cas, information des patients si le risque est élevé. Dépôt de plainte en parallèle.
- Continuer à soigner : le plan papier prend le relais : la continuité des délivrances prime.
Le récap au comptoir
| Le pilier | Le geste concret |
|---|---|
| Comptes | Un identifiant par personne, mots de passe uniques, MFA, comptes des partants désactivés. |
| Sauvegardes | Quotidiennes, dont une copie déconnectée ; restauration testée régulièrement. |
| Hygiène numérique | Mises à jour, antivirus, méfiance sur les pièces jointes, sessions verrouillées. |
| Incident | Isoler, passer par cybermalveillance.gouv.fr, notifier la CNIL sous 72 h si risque, basculer sur le plan papier. |
Ne jamais payer la rançon : aucun déchiffrement n’est garanti, et le paiement finance l’attaque suivante.
Les questions qui reviennent
Une petite officine intéresse vraiment les attaquants ?
Oui : les attaques sont massives et automatisées, elles cherchent des systèmes mal protégés, pas des cibles prestigieuses. Des données de santé plus une trésorerie : c’est exactement ce que monétisent les rançongiciels.
Le prestataire informatique gère tout, je suis tranquille ?
Il gère la technique, pas ta responsabilité : le titulaire reste responsable de traitement au sens du RGPD. Demande-lui noir sur blanc où sont les sauvegardes, qui a des accès à distance, et quand la restauration a été testée pour la dernière fois.
Que dire aux patients pendant une panne ?
La vérité simple : « notre informatique est indisponible, nous assurons les délivrances en mode manuel, certaines opérations prendront un peu plus de temps ». Et on trace tout sur papier pour ressaisir ensuite.
La notification CNIL est-elle vraiment obligatoire ?
Oui, sous 72 heures, dès qu’une violation de données personnelles présente un risque pour les personnes : un rançongiciel sur le LGO en fait presque toujours partie. Le registre des violations documente aussi les incidents mineurs non notifiés.
La juste doserelu et validé par Joseph Hobekkaya, docteur en pharmacie
La cybersécurité, c’est comme la chaîne du froid : invisible quand ça marche, catastrophique quand ça lâche. Mon trio de base : des comptes individuels avec double authentification, une sauvegarde déconnectée testée, et un plan papier que toute l’équipe connaît. Et les numéros utiles en cas d’incident (informaticien, éditeur du LGO, cybermalveillance.gouv.fr) affichés au back-office, à côté de celui du centre antipoison.
Sources
- CNIL et CNOP, Guide « Le pharmacien d’officine et la protection des données personnelles » (septembre 2023), consulté le 2 juillet 2026.
- Ordre national des pharmaciens, Cybersécurité : un défi de santé publique pour les pharmaciens (décembre 2025), consulté le 2 juillet 2026.
- Agence du Numérique en Santé, CERT Santé : l’appui aux structures de santé en cas d’incident, consulté le 2 juillet 2026.
- Cybermalveillance.gouv.fr, Assistance et prévention pour les professionnels, consulté le 2 juillet 2026.
Thomas, Inès et Sam sont des personnages pédagogiques fictifs qui font vivre les situations de comptoir.
Repères pour professionnels : en cas d’incident, prévenir l’éditeur du LGO et passer par cybermalveillance.gouv.fr ; vérifier les obligations de notification en vigueur (CNIL).