Dans un établissement de santé, le détournement de session bénéficie d'un contexte unique : les sessions y sont volontairement maintenues ouvertes. Un poste de soins verrouillé toutes les deux minutes est un poste qu'on contourne, et l'arbitrage se fait, légitimement, en faveur de la continuité des soins. Un attaquant qui capture un jeton dans cet environnement dispose donc d'une fenêtre d'exploitation longue, sur des applications contenant des données de santé.
Le compromis qui crée l'exposition
Trois pratiques, toutes justifiées par l'organisation du travail, élargissent la surface d'attaque.
Les sessions de poste partagé. Un chariot de soins, un poste de couloir ou un écran de bloc sert à plusieurs professionnels au fil de la journée. La session ouverte au début du service est parfois la même en fin de service.
Les comptes de service ou de fonction. « Poste infirmier 3 », « secrétariat imagerie » : ces comptes existent pour des raisons pratiques et suppriment toute imputabilité individuelle.
Les dérogations d'urgence. Un accès élargi au dossier patient, prévu pour les situations critiques, est indispensable. Mal encadré, il devient un chemin ouvert dont l'usage n'est pas revu.
À ces pratiques s'ajoute la réalité technique : parc hétérogène, applications métier anciennes, équipements biomédicaux dont le cycle de vie est long. Le durcissement uniforme n'est pas une option réaliste.
Ce qu'un jeton volé permet, concrètement
| Application | Ce qu'ouvre une session détournée | Impact dominant |
|---|---|---|
| Dossier patient informatisé | Consultation, parfois modification d'observations | Violation de données de santé |
| Prescription et dispensation | Modification d'une ligne de traitement | Sécurité du patient |
| Gestion administrative des séjours | Identités, couverture, coordonnées | Fraude et usurpation |
| Messagerie professionnelle | Contexte, rebond vers d'autres agents | Latéralisation |
| Portail fournisseur ou achats | Coordonnées bancaires de fournisseurs | Détournement de paiement |
La deuxième ligne est celle qu'un RSSI doit porter en comité : la conséquence potentielle n'est pas seulement réglementaire, elle est clinique. C'est aussi l'argument qui débloque les arbitrages, là où le vocabulaire de la conformité seul ne suffit pas.
Le cadre applicable
La directive NIS2 ((UE) 2022/2555) couvre le secteur de la santé et attend des mesures de gestion des risques incluant l'authentification multifacteur ou continue, ainsi qu'une capacité de détection et de notification des incidents.
Le RGPD encadre les données de santé au titre des catégories particulières : une consultation non autorisée constitue une violation, à analyser et, selon le risque, à notifier. La traçabilité des accès au dossier patient devient de ce fait une exigence opérationnelle et non un simple confort d'audit.
La qualification SecNumCloud de l'ANSSI sert de repère pour l'hébergement des briques les plus sensibles, et le règlement eIDAS 2 ((UE) 2024/1183) préfigure des usages d'identité européenne qui toucheront les téléservices de santé.
Parades qui n'entrent pas en conflit avec le soin
- Séparer l'ouverture de session et la preuve d'action. Laisser une session de consultation ouverte sur un poste partagé est acceptable si toute action engageante — prescription, validation, export — exige une preuve individuelle produite au moment du geste. C'est la logique de l'authentification cognitive : une intention humaine prouvée à l'instant de l'acte, sans secret réutilisable.
- Éradiquer progressivement les comptes de fonction sur les applications contenant des données de santé, en commençant par celles qui permettent d'écrire.
- Rendre la reprise de session rapide. Une expiration courte n'est tolérable que si la reprise demande deux secondes. C'est un choix d'ergonomie autant que de sécurité.
- Encadrer et revoir les accès d'urgence : justification a posteriori, revue systématique, alerte automatique en cas d'usage répété par le même compte.
- Exploiter la traçabilité d'accès au dossier patient. Consultation de dossiers hors du service d'affectation, accès à des dossiers de personnalités ou de proches, volumétrie anormale : ces contrôles s'automatisent et servent aussi bien la sécurité que la conformité.
- Protéger spécifiquement les fonctions support. Achats, comptabilité et administration disposent de postes fixes et nominatifs : rien n'empêche d'y déployer un facteur non rejouable, et c'est là que se produisent les détournements financiers.
Réagir sans désorganiser le service
En cas de suspicion, la révocation de session doit être ciblée : couper l'ensemble des sessions d'un service de soins en pleine activité crée un risque propre. La procédure doit prévoir une priorisation — comptes à privilèges d'abord, applications d'écriture ensuite, consultation en dernier — et une communication vers l'encadrement soignant, qui doit comprendre l'action en cours plutôt que la subir.
FAQ
Peut-on imposer un verrouillage automatique au poste de soins ?
Uniquement si la reprise est immédiate. Sinon, la mesure sera contournée physiquement, et le résultat sera pire qu'avant. La bonne question porte sur le temps de reprise, pas sur la durée du délai d'inactivité.
Comment tracer les accès sur un compte partagé ?
On ne le peut pas, et c'est précisément le problème. La seule solution durable est la nominativité des comptes, éventuellement combinée à une identification rapide sur un poste commun.
Une consultation non autorisée est-elle une violation de données ?
Elle doit être analysée comme telle au titre du RGPD, avec évaluation du risque pour les personnes concernées. La disponibilité de journaux d'accès exploitables détermine la capacité à en délimiter l'étendue réelle.
Par où commencer avec des moyens limités ?
Par les fonctions support et les comptes à privilèges, puis par les applications d'écriture du domaine clinique. Ce séquencement produit un gain mesurable sans toucher immédiatement à l'organisation du soin.
Aller plus loin : le 4ᵉ facteur cognitif · vol de session : mécanismes et détection · NIS2 dans la santé · authentification continue