En santé, l'authentification se heurte à une contrainte que peu d'autres secteurs connaissent : un contrôle qui bloque peut nuire au patient. Cette réalité explique la plupart des contournements observés dans les établissements — sessions laissées ouvertes, comptes partagés, identifiants affichés près d'un poste. Un dispositif qui ignore cette contrainte ne sera pas appliqué, quel que soit son niveau de sécurité théorique.
Ce qu'il faut réellement protéger
- Le dossier patient : antécédents, diagnostics, comptes rendus, imagerie. Données non révocables, à durée de sensibilité illimitée.
- La prescription et la validation d'actes : ordonnances, administration de médicaments, demandes d'examens. Ici, l'intégrité prime sur la confidentialité.
- Les systèmes de gestion administrative : facturation, admissions, droits des patients.
- Les accès des praticiens libéraux et des correspondants externes, depuis des postes non maîtrisés par l'établissement.
- Les accès de télémaintenance biomédicale, souvent permanents, souvent oubliés des revues d'habilitation.
- Les données de recherche clinique, dont la valeur économique et la durée de confidentialité sont considérables.
Les contraintes qui font échouer les dispositifs génériques
L'urgence est vitale. Dans un service d'urgence ou un bloc, quelques secondes comptent. Un mécanisme d'authentification doit prévoir un mode dégradé traçable, plutôt que d'être contourné par un compte de service partagé.
Les postes sont partagés. Un poste de soins est utilisé par des dizaines de personnes dans une journée. Le besoin réel n'est pas une connexion longue, c'est une reprise de session très rapide, individuelle et tracée.
Les mains ne sont pas libres. Gants, environnement stérile, matériel transporté : un dispositif qui exige de manipuler un téléphone personnel ou de taper un mot de passe long est un dispositif qui sera contourné.
Le personnel tourne. Intérim, remplacements, internes changeant de service à intervalles réguliers, étudiants : le cycle de vie des comptes est rapide et difficile à suivre.
La disponibilité prime. Un système d'information hospitalier fonctionne en continu. Une dépendance à un service externe indisponible devient un risque de soin.
La couverture réseau est inégale. Sous-sols, blocs, bâtiments anciens : compter sur la réception d'un SMS est une hypothèse fragile, en plus d'être déconseillée par le NIST.
Le cadre réglementaire applicable
| Texte | Portée pour le secteur | Exigence en matière d'authentification |
|---|---|---|
| NIS2 — directive (UE) 2022/2555 | établissements de santé, secteur hautement critique | mesures de gestion des risques citant l'authentification multifacteur ou continue |
| RGPD | données de santé, catégorie particulière | minimisation, traçabilité des accès, justification stricte de la biométrie |
| SecNumCloud (qualification ANSSI) | hébergement de données sensibles | exigences de sécurité et de maîtrise du prestataire |
| eIDAS 2 — règlement (UE) 2024/1183 | identité numérique | cadre du portefeuille d'identité européen, utile aux parcours patients |
| ISO/IEC 27001 | démarche volontaire | contrôle d'accès dans le système de management de la sécurité |
Un point est souvent sous-estimé : le RGPD impose de pouvoir démontrer qui a consulté quel dossier. Un compte partagé rend cette obligation impossible à satisfaire. La traçabilité individuelle n'est donc pas un raffinement de sécurité, c'est une exigence de conformité.
Les parcours sensibles à traiter en priorité
- Reprise de session sur poste partagé. Le parcours le plus fréquent et le plus contourné. La cible est une réauthentification en quelques secondes, individuelle et journalisée.
- Accès à distance des praticiens et des correspondants, depuis un matériel non maîtrisé.
- Prescription et validation d'actes à risque, où la preuve doit porter sur l'acte et non sur la session ouverte plus tôt dans la journée.
- Télémaintenance biomédicale et accès des prestataires, à limiter dans le temps et à déclencher à la demande.
- Accès aux comptes d'administration du système d'information hospitalier, cible privilégiée des attaques par rançongiciel.
- Parcours patient à distance : téléconsultation, accès au dossier, récupération de compte.
Sur les actes engageants, la question utile n'est pas seulement « qui est connecté ? » mais « cette personne valide-t-elle en conscience ? ». Le 4ᵉ facteur cognitif apporte une preuve d'intention sans matériel supplémentaire à manipuler, avec une biométrie traitée localement et aucune donnée identifiante conservée par le fournisseur — une propriété qui pèse lourd dans un environnement où les données sont déjà particulièrement protégées.
Menaces et conformité : les ressources du secteur
Menaces : hameçonnage en santé · réutilisation d'identifiants · deepfake vocal · interception en temps réel (AiTM) · fatigue MFA · détournement de session
Conformité : NIS2 en santé · RGPD et données de santé · SecNumCloud · eIDAS 2
FAQ
Comment concilier authentification forte et urgence de soin ?
En distinguant les niveaux : accès courant très rapide et tracé, preuve renforcée uniquement sur les actes engageants, et mode dégradé explicite, limité dans le temps et systématiquement revu a posteriori. L'objectif est de rendre le contournement inutile.
Les comptes partagés sont-ils tolérables en pratique ?
Ils rendent impossible la traçabilité individuelle exigée par le RGPD et empêchent toute analyse d'incident sérieuse. Ils traduisent presque toujours une inadéquation du dispositif d'accès, pas une négligence des équipes.
La carte professionnelle suffit-elle ?
C'est un facteur de possession solide, mais il reste soumis à l'oubli, au prêt et à la perte, et il ne prouve pas l'intention de celui qui l'utilise. Il gagne à être complété sur les actes sensibles.
Faut-il déployer la biométrie dans les services ?
Avec prudence. Une biométrie traitée localement, dont le gabarit ne quitte pas l'appareil, est acceptable. Un gabarit centralisé constitue une donnée particulièrement protégée, non révocable, et un actif attractif pour un attaquant.
Aller plus loin : pilier : authentification cognitive · panorama NIS2, DORA, DSP3 et CRA · MFA résistante au phishing · authentification sans mot de passe