Sauvegarde d'un cabinet médical : ce qui est obligatoire, et ce qui vous sauve vraiment

La question qu'on pose en premier

« À quand remonte votre dernière restauration ? » Pas votre dernière sauvegarde : votre dernière restauration, le jour où vous avez vérifié qu'on pouvait vraiment récupérer les données.

Dans la plupart des cabinets, la réponse est « jamais ». Une sauvegarde existe, un disque clignote dans un coin ou un abonnement tourne en ligne, mais personne n'a jamais essayé de remettre un poste en route à partir de cette copie.

Ce qui est en jeu dans un cabinet

• -Les dossiers patients, souvent dans un logiciel métier installé sur un poste ou un petit serveur ;
• -l'agenda et les rendez-vous ;
• -la télétransmission et la comptabilité ;
• -les courriers, comptes rendus et images.

Perdre ces données, par panne, vol ou attaque, c'est ne plus pouvoir soigner normalement pendant des jours. Et ce sont des données de santé, parmi les plus sensibles qui soient.

Ce que dit la règle

Les données de santé suivent le RGPD, avec des exigences renforcées. Un point précis concerne directement la sauvegarde : quand vous confiez l'hébergement de données de santé à un prestataire, sauvegarde en ligne comprise, celui-ci doit être certifié HDS (hébergeur de données de santé), comme le prévoit l'article L.1111-8 du code de la santé publique.

Concrètement : une sauvegarde sur un service de stockage grand public, ou chez un prestataire qui ne peut pas vous montrer sa certification HDS, ne convient pas pour des dossiers patients. Demandez le certificat, il est public et vérifiable.

La méthode qui marche : 3-2-1

• -3 copies des données : l'original et deux sauvegardes ;
• -2 supports différents : par exemple un disque ou un NAS au cabinet, et un hébergement en ligne ;
• -1 copie hors du cabinet, et idéalement hors d'atteinte du réseau : un rançongiciel qui chiffre le poste chiffre aussi le disque de sauvegarde branché en permanence.

Pour la copie en ligne, le prestataire doit donc être certifié HDS.

Le test que presque personne ne fait

Une sauvegarde non testée est une promesse, pas une protection. Une fois par trimestre :

1. -choisissez un fichier ou un dossier patient au hasard ;
2. -restaurez-le depuis la sauvegarde, sur un autre emplacement ;
3. -vérifiez qu'il s'ouvre et qu'il est à jour ;
4. -notez la date et le temps que ça a pris.

Le jour où vous en aurez besoin, vous saurez combien de temps il faut pour repartir.

Les erreurs qu'on croise le plus

• -Le disque de sauvegarde branché en permanence sur le poste : il sera chiffré en même temps que le reste.
• -La sauvegarde qui échoue en silence depuis des mois, parce que personne ne lit les alertes.
• -La base du logiciel métier oubliée : on sauvegarde « Mes documents », pas le dossier où le logiciel range réellement les données. Votre éditeur peut vous indiquer lequel.
• -Le mot de passe unique partagé par tout le cabinet pour tout.

Par où commencer

Faites le point avec notre diagnostic IT gratuit, qui pose les bonnes questions sur la sauvegarde et la sécurité. Pour aller plus loin, lisez notre guide sauvegarde et ransomware, et découvrez ce que nous faisons pour les médecins et cabinets de santé.

Chez nos clients en supervision, un boîtier installé au cabinet surveille l'infrastructure et nous prévient avant la panne. Parlons de votre cabinet.