# Cybersécurité des médecins généralistes libéraux de Picardie

Olivier Castellano

► To cite this version:

Olivier Castellano. Cybersécurité des médecins généralistes libéraux de Picardie. Médecine humaine et pathologie. 2023. dumas-04145570

HAL Id: dumas-04145570

https://dumas.ccsd.cnrs.fr/dumas-04145570

Submitted on 29 Jun 2023

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
THESE POUR LE DIPLOME D'ETAT
DE DOCTEUR EN MEDECINE

Spécialité : Médecine Générale.

Cybersécurité des médecins généralistes libéraux de Picardie

Présentée et soutenue publiquement le 14 mars 2023

par

Monsieur Olivier Castellano

Président du jury :

Monsieur le Professeur Schmidt Jean

Membre du jury :

Monsieur le Professeur Saint Fabien

Directeur de thèse :

Monsieur le Docteur Nougein Patrice
Remerciements

A mon Président de jury,

Monsieur le Professeur Schmidt Jean

Professeur des Universités

Médecine interne

Faculté de Médecine Amiens,

Université de Picardie Jules Verne

Praticien Hospitalier

Service de Médecine interne et maladies systémiques,

CHU d'Amiens

Vous me faîtes le grand honneur de juger mon travail et de présider le jury de cette thèse. Veuillez trouver ici la marque de ma gratitude et de mon profond respect.
A monsieur le membre du jury,

Monsieur le Professeur Saint Fabien

Professeur des Universités

Urologie

Faculté de Médecine Amiens,

Université de Picardie Jules Verne

Praticien Hospitalier

Chef de Service d'Urologie-Transplantation

Pôle "Médico-chirurgical digestif, rénal, infectieux, médecine interne et endocrinologie" (D.R.I.M.E)

CHU d'Amiens

Merci de me faire l'honneur de faire partie de mon jury de thèse, veuillez
croire en mes profonds remerciements.
A mon Directeur de thèse,

Le Dr Nougein Patrice

Médecine Générale - Praticien libéral

Quevauvillers

Merci d'avoir accepté de diriger cette thèse. Merci pour votre bienveillance et le temps consacré à ce travail essentiel, à son aboutissement, malgré vos changements professionnels en cours. Je vous en suis très reconnaissant.

Je vous remercie pour les cours lors du cursus de l'internat qui ont su nous transmettre toute la richesse de la pratique de la médecine générale.
## A ma famille et mes amis

**A mes parents** sans qui cela n'aurait jamais pu aboutir, qui m'ont offert la chance d'être là. Depuis mes dix-huit mois à aujourd'hui, j'ai pu compter sur votre amour et votre soutien pour me faire grandir et devenir l'homme que je suis. J'espère pouvoir être digne de tout cela, cette thèse vous est en grande partie dédiée.

**A ma famille** dans le sud qui a toujours suivi avec attention mon parcours : Odile, Francis, Nathalie, Pierre, Christine, Jean-Michel...

**A ma belle famille** pour son soutien.

**Aux médecins rencontrés lors de mes études** qui m'ont consacré du temps et qui m'ont transmis leur passion de ce beau métier et manifesté leur soutien quand cela a été nécessaire, je vous remercie donc tout particulièrement : Dr Szapiro, Dr Catimel, Dr Bilbault, Dr Fauchille, Dr Manbeke, Dr Duceley, Dr Iliescu, Dr Tousse, Dr Papon, Dr Ruffin.

**A mes amis de médecine**, car pour arriver à tenir sur ces 10 années d'études il faut avoir de bon amis, merci à vous tous : Marion, Aurore, Lucie, Mélanie, Emma, Justine, Alice, Martin, Thibault et Anne-Justine (ma super belle-sœur) qui m'auront accompagné dans mon externat Lillois.

**A Gaëlle, Anne-Sophie, Florine, Suzanne, Audrey et Sélim** qui m'auront accompagné dans mon internat à Amiens.

**A mes amis de la faculté de physique, Sébastien et Jean** qui auront été là dans mon périple rennais. Ainsi que **Damien** depuis le collège.

**A Francis** qui, depuis mes études de Physicien Médical, m'a accompagné de son amitié, de sa philosophie de vie et de sa bonne humeur communicative malgré les aléas de la vie.

**A William** qui, en plus de son amitié depuis la P2, est le super parrain de mon fils.

**A Alain Le Bihan** Lieutenant-colonel de la Direction Interarmées des Réseaux d'Infrastructure et des Systèmes d'Information de la Défense (DIRISI) – Rennes, pour son aide et ses conseils.
A **Philippe, Claudine, Marie, Sandra** pour les relectures.

A mes enfants : **Elsa** et **Raphaël** pour tout le bonheur qu'ils m'apportent et qui auront accompagné mes premiers pas d'interne.

A **Marie** qui m'accompagne dans cette folle aventure qu'est la vie, ton amour m'a donné la force de gravir cet Everest que sont les études de médecine, rêve commun, notre cordée a débuté en duo pour culminer en quatuor ... Merci d'être tous les jours à mes côtés.
Table des Matières :

<table><tr><td>Remerciements</td><td>2</td></tr><tr><td>Table des Illustrations</td><td>9</td></tr><tr><td>Abréviations</td><td>10</td></tr><tr><td>Introduction</td><td>11</td></tr><tr><td>Historique</td><td>13</td></tr><tr><td>Objectifs de l'étude</td><td>14</td></tr><tr><td>Matériels et méthodes</td><td>15</td></tr><tr><td>A. Type d'étude</td><td>15</td></tr><tr><td>B. Population</td><td>15</td></tr><tr><td>C. Réalisation du questionnaire</td><td>16</td></tr><tr><td>1. Support</td><td>16</td></tr><tr><td>2. Rédaction</td><td>16</td></tr><tr><td>3. Méthode de diffusion</td><td>17</td></tr><tr><td>4. Recueil des données</td><td>17</td></tr><tr><td>5. Analyse des données</td><td>18</td></tr><tr><td>6. Ethique</td><td>18</td></tr><tr><td>Résultats</td><td>18</td></tr><tr><td>A. Analyse des données démographiques, des données géographiques et des structures d'exercice</td><td>20</td></tr><tr><td>B. Etat des lieux du parc informatique et de son utilisation</td><td>22</td></tr><tr><td>C. Niveau de maîtrise de l'outil informatique</td><td>23</td></tr><tr><td>D. Recours à un prestataire informatique et sécurisation de l'outil informatique</td><td>24</td></tr><tr><td>E. Modalités de sauvegarde mises en place</td><td>28</td></tr><tr><td>F. Cadre d'utilisation de l'outil informatique et modalité de verrouillage de session utilisateur</td><td>30</td></tr><tr><td>G. Gestion du renouvellement des ordinateurs et données patients</td><td>31</td></tr><tr><td>H. Autoévaluation du risque informatique et du niveau de sécurité du système informatique</td><td>33</td></tr><tr><td>I. Connaissance du cadre légal</td><td>34</td></tr><tr><td>Discussion</td><td>35</td></tr><tr><td>A. Les limites de l'étude</td><td>35</td></tr><tr><td>B. Les forces de l'étude</td><td>35</td></tr><tr><td>C. A propos des résultats</td><td>36</td></tr></table>
<table><tr><td>1. Médecins participants et modes d'exercice</td><td>36</td></tr><tr><td>2. Niveau d'équipement informatique et utilisation</td><td>37</td></tr><tr><td>3. Niveau de maîtrise de l'outil informatique, autoévaluation des participants</td><td>37</td></tr><tr><td>4. Taux de recours à un prestataire informatique</td><td>38</td></tr><tr><td>5. Niveau de sécurisation de l'outil informatique</td><td>39</td></tr><tr><td>6. Modalités de sauvegarde des données</td><td>43</td></tr><tr><td>7. Fin de vie de l'outil informatique et stockage de données dans l'environnement numérique de travail</td><td>44</td></tr><tr><td>8. Notion du risque informatique et auto-évaluation</td><td>45</td></tr><tr><td>9. Connaissance du cadre légal</td><td>45</td></tr><tr><td>Conclusion</td><td>47</td></tr><tr><td>Références</td><td>51</td></tr><tr><td>Annexes</td><td>57</td></tr><tr><td>Glossaire</td><td>57</td></tr><tr><td>Article 226-16 Code pénal</td><td>59</td></tr><tr><td>Questionnaire</td><td>60</td></tr></table>
Table des Illustrations :

<table><tr><td>Figure 1 Diagramme de Flux</td><td>19</td></tr><tr><td>Graphique 1 : Répartition homme-femme</td><td>20</td></tr><tr><td>Graphique 2 : Classes d'âges</td><td>20</td></tr><tr><td>Graphique 3 : Lieux d'exercice</td><td>21</td></tr><tr><td>Graphique 4 : Modes d'exercice</td><td>21</td></tr><tr><td>Graphique 5 : Matériels informatiques utilisés</td><td>22</td></tr><tr><td>Graphique 6 : Usage de la téléconsultation</td><td>22</td></tr><tr><td>Graphique 7 : Autoévaluation du niveau technique en informatique</td><td>23</td></tr><tr><td>Graphique 8 : Taux de recours à un prestataire informatique</td><td>24</td></tr><tr><td>Graphique 9 : Accès à distance</td><td>24</td></tr><tr><td>Graphique 10 : Mises à jour</td><td>25</td></tr><tr><td>Graphique 11 : Types de mots de passe</td><td>26</td></tr><tr><td>Graphique 12 : Logiciels de protection utilisés</td><td>26</td></tr><tr><td>Graphique 13 : Utilisation du Wi-Fi</td><td>27</td></tr><tr><td>Graphique 14 : Sécurisation du Wi-Fi</td><td>27</td></tr><tr><td>Graphique 15 : Utilisation du compte administrateur</td><td>28</td></tr><tr><td>Graphique 16 : Fréquences des sauvegardes</td><td>28</td></tr><tr><td>Graphique 17 : Modalités des sauvegardes</td><td>29</td></tr><tr><td>Graphique 18 : Contrôle des sauvegardes</td><td>29</td></tr><tr><td>Graphique 19 : Usages des ordinateurs</td><td>30</td></tr><tr><td>Graphique 20 : Verrouillage des sessions</td><td>30</td></tr><tr><td>Figure 2 : Principaux mots-clés sur le renouvellement des ordinateurs (par I.A)</td><td>31</td></tr><tr><td>Graphique 21 : Devenir des ordinateurs obsolètes</td><td>31</td></tr><tr><td>Figure 3 : Principaux mots-clés sur le stockage de données personnelles dans l'environnement informatique (par I.A)</td><td>32</td></tr><tr><td>Graphique 22 : Connaissance des équipements pouvant stocker des données personnelles</td><td>32</td></tr><tr><td>Graphique 23 : Autoévaluation de la valeur des données stockées</td><td>33</td></tr><tr><td>Graphique 24 : Autoévaluation du niveau de sécurité informatique</td><td>34</td></tr><tr><td>Graphique 25 : Connaissance du cadre légal</td><td>34</td></tr><tr><td>Figure 4 : Temps nécessaire pour pirater un mot de passe</td><td>40</td></tr><tr><td>Figure 5 : Fiche mémo de conclusion recto</td><td>49</td></tr><tr><td>Figure 6 : Fiche mémo de conclusion verso</td><td>50</td></tr></table>
## Abréviations :

ANS : Agence du Numérique en Santé.

ANSSI : Agence Nationale de la Sécurité des Systèmes d'Information.

CNIL : Commission Nationale de l'Informatique et des Libertés.

CNOM : Conseil National de l'Ordre des Médecins.

COMCYBER : Commandement de la Cyberdéfense.

EHPAD : Etablissement d'Hébergement pour Personnes Agées Dépendantes.

FMC : Formation Médicale Continue.

HAD : Hospitalisation A Domicile.

INSEE : Institut National de la Statistique et des Etudes Economiques.

INTERPOL : Organisation Internationale de Police Criminelle (International Criminal Police
Organization).

NAS : Network Attached Storage.

PME : Petites et Moyennes Entreprises.

QCM : Question à Choix Multiples.

QR code : Quick Response code.

RGPD : Règlement Général sur la Protection des Données.

RJ45 : Registered Jack 45.

SASPAS : Stage Ambulatoire en Soins Primaires en Autonomie Supervisée.

SSL : Secure Socket Layer.

SSR : Soins de Suite et de Réadaptation.

WEP : Wired Equivalent Privacy.

Wi-Fi : Wireless Fidelity.

WPA : Wi-Fi Protected Access.
Introduction

« Une patiente en situation critique n'a pas pu être opérée, en raison d'une attaque au rançongiciel qui a paralysé la clinique universitaire de Düsseldorf », voici comment débute un article du *Monde* du 17 septembre 2020 (1). Ce qui semblait être de la science-fiction se réalise subitement, la première victime en lien direct avéré avec un piratage d'un établissement de santé.

Cet évènement montre à quel point la cybersécurité dans le domaine de la santé (2) est un élément important qui, malgré les apparences, n'a pas été épargné par les attaques en cours d'augmentation dans l'ensemble des secteurs d'activité de notre société de plus en plus dépendante des outils numériques.

Ainsi l'espionnage économique, la fraude, les demandes de rançon (3), l'utilisation de données confidentielles... font désormais partie des attaques informatiques répétées envers les entreprises françaises. Au début réservées aux institutions importantes, les cyber-menaces se propagent aux plus petites structures. En effet, des PME ont déjà subi une ou plusieurs attaques informatiques (4) et parmi elles, de nombreux établissements médicaux. Trop souvent sous-estimée par les professionnels de santé, la menace est pourtant bien réelle.

Tous les établissements de santé sont donc, à présent, dans le viseur de réseaux criminels toujours plus organisés (5). Le développement des objets connectés (6) et la méconnaissance des moyens à allouer à la sécurité informatique, font des professionnels de santé des proies faciles (7).

Les hackers n'hésitent plus à viser les centres hospitaliers pour leur voler des données afin de les revendre sur le dark web ou pour leur extorquer de l'argent. En France, de nombreux établissements de santé ont été la cible de rançongiciels, ces virus informatiques qui cryptent les données et exigent une rançon pour leur restitution. Parmi eux, le Centre Hospitalier de Dax (8), de Villefranche-sur-Saône (9), d'Albertville-Moûtiers (10), de Corbeil-Essonnes (11) et de Versailles (12). Résultat : des établissements paralysés par un logiciel malveillant plusieurs heures, plusieurs jours, voire plusieurs mois et des professionnels de santé contraints à revenir au papier et au stylo pour des tâches habituellement informatisées, comme les prescriptions, les calculs de dose de traitements, la gestion des stocks de médicaments, les plannings.... Ceci impactant la prise en charge des
patients, voire nécessitant des transferts de patients déjà hospitalisés vers d'autres centres hospitaliers et limitant l'accès des patients aux urgences (13).

La tendance, déjà marquée ces dernières années, s'est encore accentuée dès la première vague du coronavirus, sur laquelle les hackers ont su capitaliser et elle se poursuit depuis (14).

Une prise de conscience des pouvoirs publics de la vulnérabilité des établissements hospitaliers a débuté, le Président de la République a ainsi annoncé un plan de protection avec des moyens financiers à hauteur de 20 millions d'euros dans le cadre du Ségur de la Santé (15).

Concernant la médecine générale libérale, des organismes en lien avec l'informatique et la santé ont publié des recommandations comme le « Mémento de sécurité informatique pour les professionnels de santé en exercice libéral » (16) édité par l'Agence des Systèmes d'Information Partagés de Santé, maintenant nommée l'Agence du Numérique en Santé (ANS) et le Ministère des Affaires Sociales et de la Santé en 2013, ou le « Guide pratique sur la protection des données personnelles » édité par la CNIL et l'Ordre National des Médecins en 2018 (17).

Mais cela n'englobe pas l'ensemble de la pratique des médecins libéraux qui comprend l'utilisation de logiciel métier au quotidien, la maintenance des outils informatiques, la protection des données personnelles et la cybersécurité de leurs équipements. Tout cela sans appui de service informatique dédié comme dans les structures hospitalières.

Le médecin est donc souvent seul face à ces problématiques avec comme références ses propres compétences informatiques (18) et en ayant comme priorité le fonctionnement de son cabinet tourné vers la prise en charge quotidienne de sa patientèle. Il est logique que la cybersécurité des outils informatiques puisse être difficile à appréhender pour de nombreux médecins et que les éléments de sécurité informatique soient souvent vécus comme une contrainte au quotidien.

Il apparaît d'autant plus difficile de se prémunir des risques de piratage que l'évolution des techniques est rapide et en constante évolution.
## Historique

Le mot « pirate » vient du latin pirata « celui qui tente la fortune, qui est entreprenant ». Pirata est un emprunt au grec πειρατής (peiratês), c'est-à-dire brigand. La piraterie date de l'Antiquité (19) et s'est appuyée sur l'essor des échanges commerciaux entre communautés, régions, cités, royaumes, nations et elle est plus particulièrement associée aux échanges maritimes. L'âge d'or de la piraterie tel que l'imaginaire collectif le retient se situe du XVI au XVIII siècles avec le développement des échanges maritimes et des principales routes maritimes de commerce entres les différents continents : Europe-Asie et Europe-Amérique. Les pirates sont des individus non respectueux des lois, à la recherche de richesses (20) à dérober par tous les moyens. Ils seront craints, haïs, pourchassés, et parfois utilisés par les états dans leurs guerres entre nations, à l'image des corsaires qui étaient des pirates reconnus officiellement et autorisés à faire la guerre au nom d'un pays en échange d'une partie des prises effectuées.

Les termes de pirate et de piratage se sont transposés naturellement dans le monde virtuel des télécommunications. L'analogie des routes commerciales maritimes anciennes et des canaux numériques actuels montre à quel point le cyberespace a une importance majeure dans le monde d'aujourd'hui.

Le premier piratage de télécommunication moderne apparaît dès l'utilisation du téléphone en 1960 aux Etats Unis avec utilisation de sifflets sonores trouvés dans des paquets de céréales qui copiaient un signal de non facturation de la communication (21). Avec la diffusion croissante d'internet dans la population mondiale, cet espace est devenu un élément majeur du transfert d'informations et des échanges commerciaux mondialisés.

Le piratage informatique à grande échelle débute dans les années 1990, d'abord par des individus isolés avec comme principal intérêt un aspect de challenge technique puis, à partir des années 2000, dans un but militant ou mercantile. Ensuite, une organisation de la cybercriminalité va se mettre en place durant les 20 années suivantes pour aboutir aujourd'hui à des organisations mondialisées comptant des milliers de membres répartis sur l'ensemble du globe et structurés en plusieurs activités : arnaques, fraudes en lignes, paris illégaux et des activités de cyber piratages multiples (hameçonnage, rançongiciel, cartes bancaires, violations de données, ...). Plusieurs opérations de grande ampleur menées par INTERPOL ont permis de démanteler des réseaux de ce type en 2021 (22) et 2022 (23).

Nous sommes loin de l'image d'Epinal du jeune « geek » pirate solitaire isolé, mais nous sommes bien confrontés à des organisations très professionnelles et même parfois étatiques
car la guerre se déroule maintenant dans le cyberespace (21) sans respect des règles de conflits habituels. Cela a abouti pour la France à la création d'unités spécialisées placées sous le commandement direct du chef d'état-major des armées en 2017. Le commandement de la cyberdéfense (COMCYBER) est un commandement opérationnel, qui rassemble l'ensemble des forces de cyberdéfense du ministère sous une autorité interarmées. Il a pour mission la défense des systèmes d'information, ainsi que la conception, la planification et la conduite des opérations militaires dans le cyberespace. Il a une mission de fédération et de conduite des actions des différents acteurs du ministère (24). Il devrait y avoir plus de 5200 personnes d'ici 2025 qui participeront à la mission de cyberdéfense.

On le constate donc, l'ensemble des champs d'utilisation de cet espace numérique interconnecté est touché par le risque de piratage informatique.

## Objectifs de l'étude

Dans ce contexte de forte augmentation des menaces sur les établissements de santé, le sujet de la cybersécurité des médecins généralistes est d'autant plus crucial qu'ils pourraient être le maillon suivant de la chaîne de soins en France à se faire attaquer.

L'évaluation du niveau de risque informatique auquel s'exposent les médecins généralistes libéraux de Picardie lors de l'utilisation de leurs équipements informatiques est une première étape indispensable. Cette étude se propose d'évaluer ce risque via une enquête par questionnaire anonyme transmis à des médecins généralistes libéraux, permettant de connaître les modalités d'utilisation de leur équipement informatique et ainsi d'évaluer leur niveau de sécurité informatique (25).
# Matériels et méthodes

## A. Type d'étude

L'étude est descriptive, quantitative et observationnelle de l'utilisation des moyens informatiques à partir d'un questionnaire adressé aux médecins généralistes libéraux de Picardie.

## B. Population

Les médecins généralistes libéraux de Picardie. La liste nominative des médecins a été obtenue auprès du Conseil de l'Ordre des Médecins via l'annuaire disponible sur le site internet de l'Ordre. Les adresses postales d'exercice ont été compilées en fonction des critères d'inclusion pour les départements de la Somme, de l'Aisne et de l'Oise.

Une diffusion par mail a été utilisée via la liste de diffusion des médecins de garde de la Picardie.

### 1. Critères d'inclusion

Pour le questionnaire en format papier : un échantillon de 500 médecins généralistes inscrits à l'Ordre dans chaque département de la Somme, de l'Aisne et de l'Oise a été retenu. Les 500 premiers sur l'annuaire (classement non alphabétique).

Il était nécessaire d'être enregistré comme médecin spécialisé en médecine générale et d'être déclaré en activité auprès de l'Ordre des Médecins.

Pour le questionnaire en format numérique exclusif : l'ensemble des médecins généralistes de Picardie inscrits sur la liste de garde et de FMC (soit 75 médecins).

### 2. Critères d'exclusion

Ont été exclus les médecins n'exerçant pas une activité principale de médecine générale (médecine esthétique, angiologie, expertise médicale, addictologie) et n'exerçant pas en
libéral (Services : médecine polyvalente, gériatrique, SSR, addictologie, en HAD, en EHPAD, dans le cadre de Centres Hospitaliers ou Privés) ou en salariat.

### C. Réalisation du questionnaire :

Le questionnaire a été testé auprès de mes maîtres de stage durant mon SASPAS et validé par la commission des thèses du Département de Médecine Générale d'Amiens.

Le questionnaire quantitatif a été élaboré en fonction de l'identification des principales modalités de piratages informatiques et des guides de bonne pratique (26) (27) de l'outil informatique qui en découlent (Cf annexe).

#### 1. Support

Deux supports ont été utilisés :

- Le premier en format numérique via un questionnaire hébergé sur le site de Drag'n Survey.

- Le deuxième en version papier.

#### 2. Rédaction

Le questionnaire était anonyme et composé de 25 questions en majorité de type QCM.

- 4 questions sur les caractéristiques des participants. Démographique : sur le sexe, l'âge. Géographique et structurelle : sur le lieu d'exercice et le type de cabinet.

- 2 questions sur le nombre d'ordinateurs utilisés (si aucun ordinateur, le questionnaire était finalisé) et la pratique de la téléconsultation.

- 1 question avec échelle numérique pour définir le niveau d'aisance et de maîtrise de l'outil informatique.

- 2 questions sur le recours à un prestataire informatique.

- 6 questions sur le niveau de sécurisation de l'outil informatique : mots de passe, logiciels de protection, réseaux Wi-Fi, compte utilisateur utilisé.

- 3 questions sur les modalités de sauvegarde des données stockées sur l'ordinateur : rythme, supports et contrôle des sauvegardes.
* 2 questions sur le type d'utilisation professionnelle ou personnelle des ordinateurs et le verrouillage des sessions.

* 2 questions portant sur le devenir des ordinateurs lors du renouvellement et sur les équipements informatiques qui pourraient stocker des données personnelles (réponse libre).

* 2 questions sur l'appréciation subjective du niveau d'intérêt des données stockées sur l'ordinateur pour des pirates informatiques et sur le niveau de sécurité de l'installation informatique utilisée.

* 1 question sur la connaissance des peines encourues en cas de perte de données.

### 3. Méthode de diffusion

Le questionnaire a été diffusé par format numérique via le logiciel Drag'n Survey et par courrier avec retour prépayé via Maileva filiale de la Poste.

La diffusion numérique exclusive a été effectuée sur une liste de diffusion de garde et de FMC de Picardie comprenant 75 membres (médecins généralistes). Il a été mis à disposition dans le mail un lien vers le site Drag'n Survey et un QR code.

Le lien numérique a été mis à disposition sur le site du Conseil de l'Ordre des Médecins du Nord pendant 3 mois.

Une diffusion à plus grande échelle aurait pu être possible avec un partenariat institutionnel (CNIL, CNOM, ANSSI, Ministère de la Santé...) mais aucune des démarches n'a pu aboutir.

Une diffusion par courrier a été effectuée en 2 envois de 700 et 297 courriers distribués respectivement le 03/02/22 et 08/03/22. Le courrier contenait le QCM (avec un lien internet et un QR code si besoin) et une enveloppe de retour pré-remplie et prépayée.

### 4. Recueil des données

L'ensemble des données a été recueilli sur le logiciel Drag'n Survey. Les réponses au questionnaire papier ont été intégrées manuellement dans le logiciel. La collecte des questionnaires papier et numérique a débuté le 22/11/2021 et a été clôturée le 20/07/2022.
Drag'n Survey est conforme à la Règlementation Générale sur la Protection des Données (RGPD) et est certifié Secure Sockets Layer (SSL). Les données sont stockées au Luxembourg mais Drag'n Survey ne réutilise pas les données récoltées à des fins commerciales. L'auteur est le seul propriétaire des données collectées.

## 5. Analyse des données

Les réponses au questionnaire ont été exportables au format Excel directement du logiciel ou bien pouvaient être en partie analysées statistiquement avant exploitation.

Les calculs mathématiques classiques et les graphiques on été réalisés via Excel ou le logiciel Drag'n Survey.

## 6. Ethique

Le questionnaire était anonyme et ne présentait pas de question permettant directement ou indirectement d'identifier les répondants. Aucune question ne portait sur des données patients.

Aucune autorisation n'a donc été obligatoire pour la réalisation de l'étude.

**Conflits d'intérêts** : L'auteur ne déclare pas de conflit d'intérêt.

## Résultats

Les questionnaires ont été diffusés par voie électronique à 75 médecins via la liste de diffusion de garde et de FMC de Picardie ce qui a permis de recueillir 23 réponses. Soit un taux de participation de 30,6%.

Les questionnaires diffués par courrier ont été distribués à 997 médecins en tout, ce qui a permis de recueillir 132 réponses par courrier et 12 par internet. Soit un taux de participation de 14,4%.

Pour un total de 167 réponses collectées, on obtient un taux de participation total de 15,6%.

Ci-joint le diagramme de flux :
<figure><img src="image_2.png" /><figcaption>Figure 1 Diagramme de Flux</figcaption></figure>
A. Analyse des données démographiques, des données géographiques et des structures d'exercice.

**Question 1** : 67 (40,12%) répondants étaient des femmes pour 100 (59,88%) hommes.

<figure><img src="image_3.png" /><figcaption>Graphique 1 : Répartition homme-femme</figcaption></figure>

**Question 2** : la classe d'âge la plus importante était la tranche 60-65 ans (23,4%) suivie par les plus de 65 ans (15,6%), les 50-55 ans et 55-60 ans (13,8%), les 45-50 ans et 35-40 ans (10,2%), les 40-50 ans (7,2%), les 30-35 ans (4,8%) et les 25-30 ans (1,2%).

<figure><img src="image_4.png" /><figcaption>Graphique 2 : Classes d'âges</figcaption></figure>
**Question 3** : la majorité des répondants exerce en milieu urbain (40,1%), puis en milieu semi-rural (31,1%) et en milieu rural (28%).

<figure><img src="image_5.png" /><figcaption>Graphique 3 : Lieux d'exercice</figcaption></figure>

**Question 4** : la majorité des répondants travaille en cabinet de groupe (39,5%), suivie par le cabinet individuel (35,9%) et pour finir par la maison de santé pluridisciplinaire (24,6%).

<figure><img src="image_6.png" /><figcaption>Graphique 4 : Modes d'exercice</figcaption></figure>
## B. Etat des lieux du parc informatique et de son utilisation.

**Question 5** : 46,5% possèdent plusieurs ordinateurs reliés en réseau, 34,7% un seul ordinateur, 16,2% plusieurs ordinateurs mais non reliés en réseau.

<figure><img src="image_7.png" /><figcaption>Graphique 5 : Matériels informatiques utilisés</figcaption></figure>

**Question 6** : 57,7% des répondants n'utilisent pas l'ordinateur pour des téléconsultations versus 42,3% qui utilisent leur ordinateur pour réaliser des téléconsultations.

<figure><img src="image_8.png" /><figcaption>Graphique 6 : Usage de la téléconsultation</figcaption></figure>
### C. Niveau de maîtrise de l'outil informatique.

**Question 7** : l'autoévaluation, avec une échelle numérique de 0 à 10 du niveau de maîtrise de l'outil informatique, donne une majorité de répondants se sentant à l'aise avec l'outil informatique, 89% à partir du niveau médian 5 inclus. En détail : 18% niveau 10, 9% niveau 9, 21% niveau 8, 17% niveau 7, 8% niveau 6, 16% niveau 5, 5% niveau 4, 3% niveau 3, 1% niveau 2, 1% niveau 1 et 2% niveau 0. (A noter 6 questionnaires incomplets sur cette question)

<figure><img src="image_9.png" /><figcaption>Graphique 7 : Autoévaluation du niveau technique en informatique</figcaption></figure>
D. Recours à un prestataire informatique et sécurisation de l'outil informatique.

**Question 8** : les répondants font appel à un prestataire informatique à 83,3% versus 16,7% qui n'ont pas de prestataire informatique.

<figure><img src="image_10.png" /><figcaption>Graphique 8 : Taux de recours à un prestataire informatique</figcaption></figure>

**Question 9** : l'accès à distance pour le prestataire est mis en place dans 92,6%, 4,4% n'a pas d'accès à distance et 3% des répondants ne savent pas si leur prestataire dispose d'un accès à distance.

<figure><img src="image_11.png" /><figcaption>Graphique 9 : Accès à distance</figcaption></figure>
**Question 10** : la majorité des répondants 57,4%, effectuent des mises à jour de leur système informatique de manière automatique, 25,9% sont effectués par un prestataire informatique, 6,8% ne font pas de mise à jour, 4,9% ne savent pas si cela est effectué et 4,9% pensent que le prestataire informatique s'en occupe.

<figure><img src="image_12.png" /><figcaption>Graphique 10 : Mises à jour</figcaption></figure>

**Question 11** : l'utilisation d'un mot de passe simple (type 12345, ou type: nom de mes enfants, date de naissance...) représente 29,2% des répondants.

19,9% utilisent un mot de passe par défaut ou aucun mot de passe.

16,8% utilisent un mot de passe complexe (type 12 caractères avec majuscule, nombre, caractères spéciaux), identique pour tous leur logiciels.

13% utilisent un mot de passe évolué (différent d'un mot de passe simple ou par défaut) mais non complexe, identique pour tous les logiciels.

12,4% utilisent un mot de passe évolué (différent d'un mot de passe simple ou par défaut) mais non complexe et différent pour tous les logiciels.

8,4% utilisent un mot de passe complexe et différent pour chaque logiciel.
## 11) Vous avez choisi un mot de passe pour votre ordinateur

<figure><img src="image_13.png" /><figcaption>Graphique 11 : Types de mots de passe</figcaption></figure>

**Question 12** : la majorité des répondants utilise un antivirus (71,4%). 40,4% un pare-feu. 13,7% ne savent pas s'ils en disposent et 8,1% ne disposent d'aucun logiciel antivirus ou pare-feu.

## 12) Votre ou vos ordinateurs dispose(nt) de logiciels de protection

<figure><img src="image_14.png" /><figcaption>Graphique 12 : Logiciels de protection utilisés</figcaption></figure>
**Question 13** : les répondants utilisent à 60,9% un réseau Wi-Fi, versus 36,7% qui ne l'utilisent pas et 2,5% qui ne savent pas.

<figure><img src="image_15.png" /><figcaption>Graphique 13 : Utilisation du Wi-Fi</figcaption></figure>

**Question 14** : les répondants qui utilisent un réseau Wi-Fi ne savent pas à 30,3% s'ils disposent d'une sécurisation de leur réseau Wi-Fi. 28% utilisent une clé WEP ou un mot de passe fourni sur le routeur ou la box. 21,2% laissent le prestataire s'en occuper. 20,2% utilisent un mot de passe avec un protocole de sécurité type WPA 2 ou supérieur.

<figure><img src="image_16.png" /><figcaption>Graphique 14 : Sécurisation du Wi-Fi</figcaption></figure>
**Question 15** : les répondants ne savent pas quel type de compte ils utilisent lors de l'ouverture de leur session informatique à 48,1%. 30% utilisent systématiquement un compte administrateur. 12,5 % laissent la gestion à leur prestataire informatique. 8,8% uniquement en cas de mise à jour.

<figure><img src="image_17.png" /><figcaption>Graphique 15 : Utilisation du compte administrateur</figcaption></figure>

## E. Modalités de sauvegarde mises en place.

**Question 16** : le rythme de sauvegarde est quotidien pour 41,9% des répondants, hebdomadaire pour 15,6%, mensuel pour 13,1%. 14,4% laissent le prestataire s'en charger, 12,5% ne savent pas et 6,9% n'effectuent jamais de sauvegarde.

<figure><img src="image_18.png" /><figcaption>Graphique 16 : Fréquences des sauvegardes</figcaption></figure>
**Question 17** : les répondants effectuent des sauvegardes sur un support physique externe sans chiffrement pour 28,1%. Sur un support physique externe avec chiffrement pour 25%. 20,6% effectuent leur sauvegarde sur un Cloud. 19,4% ne savent pas et 15% laissent le prestataire s'en occuper.

<figure><img src="image_19.png" /><figcaption>Graphique 17 : Modalités des sauvegardes</figcaption></figure>

**Question 18** : 28,8% des répondants vérifient l’intégrité de leur sauvegarde effectuée contre 71,3% qui n’effectuent pas de vérification.

<figure><img src="image_20.png" /><figcaption>Graphique 18 : Contrôle des sauvegardes</figcaption></figure>
## F. Cadre d'utilisation de l'outil informatique et modalité de verrouillage de session utilisateur.

**Question 19** : la majorité des répondants utilisent leurs ordinateurs à des fins professionnelles et personnelles contre 34,6% exclusivement dans le cadre professionnel (pas d'achat sur internet, pas de navigation sur internet autre que les sites professionnels type amelipro...).

<figure><img src="image_21.png" /><figcaption>Graphique 19 : Usages des ordinateurs</figcaption></figure>

**Question 20** : les répondants verrouillent leur session par mot de passe à chaque ouverture de session tous les jours pour 57,2%. Pour 22,6% à chaque absence du poste de travail (mise en veille automatique par exemple avec réouverture de session avec un mot de passe) et 23,3% n'utilisent pas de mot de passe pour verrouiller leur session.

<figure><img src="image_22.png" /><figcaption>Graphique 20 : Verrouillage des sessions</figcaption></figure>
## G. Gestion du renouvellement des ordinateurs et données patients.

**Question 21** : lors du renouvellement des ordinateurs plusieurs choix sont possibles. La question étant à réponse libre une analyse par IA de Drag'n Survey des mots-clés les plus présents permet d'isoler les plus fréquents.

<figure><img src="image_23.png" /><figcaption>Figure 2 : Principaux mots-clés sur le renouvellement des ordinateurs (par I.A)</figcaption></figure>

Une analyse regroupant les réponses en 7 catégories type permet de définir que 25% des répondant ne savent pas ce qu'ils feront de leur ordinateur ou ne comptent rien faire de particulier. 19% font reprendre par leur prestataire informatique l'ancien ordinateur. 19% le gardent. 14% en font un usage privé. 10% le mettent en déchèterie ainsi que 10% en destruction et 4% font un don.

<figure><img src="image_24.png" /><figcaption>Graphique 21 : Devenir des ordinateurs obsolètes</figcaption></figure>
**Question 22** : les répondants pouvaient répondre librement sur la connaissance d'autres équipements informatiques pouvant contenir des données personnelles dans leur environnement de travail. Les réponses étant libres une analyse par IA de Drag'n Survey des mots-clés les plus présents permet d'isoler les plus fréquents.

<figure><img src="image_25.png" /><figcaption>Figure 3 : Principaux mots-clés sur le stockage de données personnelles dans l'environnement informatique (par I.A)</figcaption></figure>

Une analyse regroupant en 7 catégories de réponses type, permet de définir que 37% des répondants n'ont pas connaissance d'autre équipement informatique qu'ils possèdent qui pourrait conserver leurs données personnelles. 28% évoquent leur téléphone, Smartphone ou tablette. 20% ne savent pas. 5% répondent juste « oui ». 5% un ou des disques durs externes. 1% un serveur de sauvegarde ou un NAS (système automatisé de sauvegarde sur disque dur).

<figure><img src="image_26.png" /><figcaption>Graphique 22 : Connaissance des équipements pouvant stocker des données personnelles</figcaption></figure>
## H. Autoévaluation du risque informatique et du niveau de sécurité du système informatique.

**Question 23** : l'autoévaluation avec une échelle numérique de 0 à 10 du niveau d'intérêt pour des pirates informatiques des données conservées sur l'ordinateur des répondants donne une répartition de 42,1% qui considère l'intérêt entre 6 et 10, 30,2% entre 0 et 4 et 27,7% ou niveau médian 5.

En détail : 11,3% niveau 10, 3,1% niveau 9, 13,2% niveau 8, 4,4% niveau 7, 10,1% niveau 6, 27,7% niveau 5, 4,4% niveau 4, 5,7% niveau 3, 11,1% niveau 2, 3,1% niveau 1 et 5,7% niveau 0. (A noter 8 questionnaires incomplets sur cette question).

23) Pensez-vous que vos données informatiques peuvent intéresser des pirates informatiques ? Sur une échelle de 0 à 10, 0: pas du tout intéresser et 10: beaucoup intéresser.

<figure><img src="image_27.png" /><figcaption>Graphique 23 : Autoévaluation de la valeur des données stockées</figcaption></figure>
**Question 24** : l'autoévaluation avec une échelle numérique de 0 à 10 du niveau de sécurité du système informatique des répondants face au piratage informatique donne une répartition de 21,3% qui considèrent le niveau de sûreté entre 0 et 4, 47,1% entre 0 et 4 et 31,4% ou niveau médian 5.

En détail : 1,9% niveau 10, 6,9% niveau 9, 11,3% niveau 8, 15,7% niveau 7, 11,3% niveau 6, 31,4% niveau 5, 5% niveau 4, 5% niveau 3, 3,8% niveau 2, 0,6% niveau 1 et 6,9% niveau 0.
(A noter 8 questionnaires incomplets sur cette question).

<figure><img src="image_28.png" /><figcaption>Graphique 24 : Autoévaluation du niveau de sécurité informatique</figcaption></figure>

## I. Connaissance du cadre légal.

**Question 25** : la connaissance de la peine encourue en cas de perte de données n'est le fait que de 5% des répondants, versus 95% qui l'ignorent.

<figure><img src="image_29.png" /><figcaption>Graphique 25 : Connaissance du cadre légal</figcaption></figure>
# Discussion

## A. Les limites de l'étude

Nous avons dans cette étude un biais de recrutement. Les médecins ayant répondu sont ceux qui se sentent concernés par la question. Le sujet pouvant être considéré comme technique, un certain nombre de médecins ont pu ne pas vouloir répondre car ils ne se sentent pas à l'aise avec le sujet.

L'envoi du questionnaire en format papier a pu être effectué à un grand nombre de médecins mais le taux de participation est faible (14,4%), cela pouvant s'expliquer par plusieurs causes : des adresses courrier qui ne sont plus valides, des médecins qui n'exercent plus, des changements d'activités, des déménagements ou des déplacements du cabinet (tout ceci en partie dépendant de la fréquence de mise à jour du fichier du Conseil de l'Ordre).

Le taux de participation via la liste de diffusion est meilleur (30,6%) mais comporte un biais de sélection car, comme évoqué lors de la réalisation du questionnaire, le seul vecteur numérique ne touche que les médecins les plus sensibilisés à l'outil informatique.

La participation a aussi pu être influencée par un questionnaire considéré comme trop long ou certaines questions mal comprises (parties techniques).

L'étude n'a porté que sur la zone de Picardie, l'extrapolation des résultats à une autre échelle est à envisager avec prudence.

## B. Les forces de l'étude

L'étude porte sur un sujet sensible et d'actualité qui affecte aussi le monde de la santé (28) et la médecine générale n'y échappe pas (29,30)
A ce jour aucune étude ne s’était penchée sur la réalité de l’état des lieux de la cybersécurité des médecins généralistes libéraux et plus précisément en Picardie.

L’étude a permis d’obtenir 167 réponses sur l’ensemble des 3 départements de la Picardie couvrant ainsi une zone géographique étendue et variée.

Le profil des répondants a permis d'avoir un ensemble varié d'âges, de lieux d'exercice (rural, semi-rural et citadin), de pratiques variées (cabinet individuel, de groupe, maison de santé pluridisciplinaire) ceci avec un questionnaire exhaustif mais contenu (25 questions) sur une période de recueil courte (8 mois).

Il est à noter que aucun des répondants n'a évoqué dans les réponses libres avoir été victime de piratage informatique de son système.

## C. A propos des résultats

### 1. Médecins participants et modes d'exercice

La proportion de femmes est de 40% ce qui est inférieur à la proportion nationale, 52,5% en 2022 relevé par CNOM (31), mais proche de la valeur locale relevée en 2015 (32) sur la région Picardie (dernier relevé avant fusion des statistiques avec les Hauts de France) qui est estimée à 44%.

La répartition en âge est de 16,2% pour les moins de 40 ans ce qui est inférieur à la valeur nationale (27,4% en 2022) mais plus proche de la valeur locale relevée en 2015 sur la Picardie de 12,8%.

De même pour la proportion des médecins de plus de 60 ans qui est de 39% dans cette étude pour une proportion nationale évalué en 2022 à 27,1% et à 29% en 2015 sur la Picardie. La classe d'âge des plus de 50 ans représente plus de la moitié des répondants (52,8%) dans notre étude.

La répartition des types d'exercice est de 35,9% en cabinet individuel pour un ratio en 2015 sur la Picardie qui était compris entre 40,3% et 44% en fonction du département.

Le lieu d'exercice reste majoritairement urbain, 40,1%, mais sans déséquilibre de répartition (semi-rural 31% et rural 28,7%).
Le profil des répondants de notre étude, en associant âge et type d'exercice, est plutôt majoritairement âgé et en cabinet individuel ou de groupe. Nous n'avons donc pas le profil majoritaire qui pourrait être le plus habitué à l'outil informatique (jeunes et en Maison de santé pluridisciplinaire). En effet dans la plupart des maisons de santé, le cahier des charges impose un partage des données de santé adapté à la coordination des professionnels de santé qui doit respecter des normes précises comme l'utilisation de logiciel labellisé e-santé (niveau 1 ou 2) par ANS (Agence du Numérique en Santé) depuis 2012 (anciennement Agence nationale des systèmes d'information partagés de santé ASIP) (33). L'activité en maison de santé implique un certain niveau d'informatisation.

## 2. Niveau d'équipement informatique et utilisation

La majorité des répondants dispose de plusieurs équipements informatiques reliés en réseau (46,7%). Cet élément est important pour évaluer le risque numérique associé, car chaque ordinateur est une porte d'entrée et l'inter-connectivité est importante pour permettre un travail dans une structure de groupe mais donne un accès plus rapide à l'ensemble du parc informatique en cas de piratage. L'élément le moins sécurisé de l'ensemble de ce réseau informatique en devient donc le talon d'Achille et en impacte de fait tous les autres équipements liés.

Il faut associer cela à l'usage de la téléconsultation qui, avec la crise du covid, a généralisé son usage. Environ 11 millions de téléconsultations ont été facturées en 2021 (médecine générale, psychiatrie, pédiatrie, dermatologie, gynécologie, endocrinologie) selon le Ministère des Solidarités et de la Santé (22/12/21) (34). La proportion de téléconsultations est de 42,3% dans notre étude. Cela exige un transfert de flux audio et vidéo (entrant et sortant) en temps réel avec risque de piratage associé. Ceci exige donc des logiciels adaptés et régulièrement mis à jour pour éviter de trop nombreuses failles de sécurité.

## 3. Niveau de maîtrise de l'outil informatique, autoévaluation des participants.

L'autoévaluation du niveau de maîtrise de l'outil informatique permet de définir si les répondants ont la sensation de maîtriser l'outil qu'ils utilisent au quotidien. Ainsi la majorité des répondants déclarent moyennement maîtriser leur outil voire bien le maîtriser (89% entre le niveau médian 5 inclus et 10) avec 4 niveaux au-dessus de 10% (niveau 5, 7, 8, 10). Seuls
2% déclarent un niveau 0 qui s'apparenterait à un niveau débutant. Une étude de l'INSEE réalisée en 2019 (publiée en 2020) dans les Hauts de France (35) estime le taux d'illectronisme à 17% (population âgée de 15 ans et plus). Cette incapacité à maîtriser l'outil informatique est dépendante de l'âge et du niveau d'études, ainsi pour les personnes ayant un diplôme supérieur le taux est de 2,3% d'illectronisme et de 17% de maîtrise faible. Les valeurs de notre étude sont cohérentes avec cette évaluation avec un taux de 2% de niveau 0 et de 11% entre 0 et 4 inclus.

On peut donc conclure que la majorité des répondants estiment que leur maîtrise de l'outil informatique est bonne ou en tous cas suffisante à leur yeux. Cet élément sera important pour interpréter la suite du questionnaire notamment sur les parties techniques.

## 4. Taux de recours à un prestataire informatique.

Le taux de recours à un prestataire informatique dans notre étude est de 83,3% ce qui est en inadéquation avec les résultats précédents sur la maîtrise de l'outil informatique (13% de maîtrise faible) même si cela reste plus complexe car l'emploi d'un prestataire informatique peut être envisagé pour d'autres raisons (support technique en cas de panne, fourniture de matériel et logiciel associé, maintien des équipements informatiques à jour ...). Le prestataire informatique dispose d'un accès à distance dans 92,6%, ceci permettant une maintenance et une aide à distance des outils informatiques ce qui profite à l'utilisateur pour gérer rapidement des pannes informatiques diverses.

La problématique sécuritaire sous-jacente est la sécurisation de cette possibilité de connexions à distance qui nécessite d'installer des mécanismes de prise de contrôle à distance via des logiciels spécifiques type : Teamwiever ou autre. Cette prise de contrôle à distance peut se faire de manière totale et avec ou sans manœuvre de validation de la part de l'utilisateur, la CNIL rappelle que tous « les outils d'administration à distance doivent recueillir l'accord de l'utilisateur avant toute intervention sur son poste, par exemple en répondant à un message s'affichant à l'écran (36)» et de même « l'utilisateur doit également pouvoir constater si la prise en main à distance est en cours et quand elle se termine (37)». Cette possibilité entraîne de nombreuses failles de sécurité potentielles : mise en place de porte d'accès pouvant être utilisée par des hackers, l'ordinateur du prestataire devient une porte d'entrée facilitée pour toute attaque informatique via son réseau, accès direct via l'accès
du prestataire à toute personne de cette société disposant des modalités de connexion type (mot de passe et identifiant de connexion pour ouvrir la connexion à distance).

Le recours à un prestataire informatique présente de nombreux intérêts pour la gestion de l'informatique d'un cabinet mais ne désengage pas le praticien de ses responsabilités (38) de sécurisation de l'outil informatique et des données à caractère personnel détenues par le praticien (39). De plus il est nécessaire de prévoir une protection des données telle que le chiffrement pour assurer le respect du secret médical afin de permettre au technicien d'assurer ses missions sans pouvoir lire ces données (40). Il est donc important de définir un contrat de maintenance avec le prestataire respectant les conditions prévues à l'article 28 du RGPD(41).

L'utilisation des services d'un prestataire peut procurer un sentiment de confiance dans la sécurisation de l'outil informatique qui ne reflète pas le niveau de protection réel de l'outil et de son utilisation.

## 5. Niveau de sécurisation de l'outil informatique.

L'utilisation d'un outil informatique nécessite d'effectuer des mises à jour régulières. En effet dans chaque système d'exploitation, logiciel ou application, des vulnérabilités existent. Quand elles sont découvertes, les éditeurs de logiciel proposent alors aux utilisateurs de les corriger via des mises à jour de sécurité. Sachant que beaucoup d'utilisateurs ne font pas de mise à jour régulièrement, les attaquants exploitent ces vulnérabilités (42) et ce encore longtemps après leur découverte et leur correction par les éditeurs (43).

Dans notre étude, 6,8% des répondants ne font aucune mise à jour, si on associe cela à ceux qui ne savent pas et ceux qui partent du principe que leur prestataire peut potentiellement s'en occuper (si cela n'est pas prévu dans les contrats, les maintenances du système et les mises à jour sont du ressort de l'utilisateur), la part des outils informatiques non mis à jour s'élève à 16,6%.

La part des attaques de type « 0 day » (vulnérabilité informatique n'ayant fait l'objet d'aucune publication ou n'ayant aucun correctif connu) activement exploité a augmenté en 2020-2021. Selon l'équipe d'analyse de la menace de Google *Threat Analysis groupe* en juillet 2021 on totalise 33 vulnérabilités contre 20 en 2019 (42). Ceci illustre bien à quel point cette méthode de piratage est fréquente et combien les cybercriminels sont performants dans la recherche des failles informatiques.

De plus, les mises à jour concernent l'ensemble des éléments de l'outil informatique qui, comme nous le verrons par la suite, ont chacun leur rôle. Ainsi le fait de ne pas mettre à jour
son antivirus, son pare-feu et ses logiciels rend caduque leur protection contre les évolutions toujours constantes des piratages. Plusieurs guides détaillent les règles de mise à jour importantes et qui doivent être le plus possible automatisées (44) (27) (43) (45).

La gestion des mots de passe fait partie des points sensibles, elle est primordiale pour la sécurisation de l'outil informatique. A l'image d'une maison, nous ne souhaiterions pas que n'importe qui puisse y pénétrer et que seules les personnes disposant de la clé puissent rentrer. Il est donc nécessaire de mettre en place un contrôle d'accès robuste (46).

Dans notre étude le taux d'utilisation de mots de passe simples, par défaut ou inexistant est de 49,2%. Le taux d'utilisation de mots de passe complexes identiques et/ou différents pour chaque application est de 25,2%.

Le temps nécessaire pour contourner un mot de passe simple est de l'ordre de la minute au maximum comme illustré par le tableau ci-dessous qui donne un ordre de grandeur du temps nécessaire en fonction de la complexité du mot de passe (47).

<figure><img src="image_30.png" /><figcaption>Figure 4 : Temps nécessaire pour pirater un mot de passe</figcaption></figure>

Cette illustration du niveau de robustesse d'un mot de passe permet de conclure que la sécurité des mots de passe simples ou par défaut n'est pas en adéquation avec les réalités de la cybermenace. La problématique du niveau de sécurité des mots de passe utilisés est encore majorée par le fait que cela touche la sécurisation de différentes applications (logiciel métier, messagerie sécurisée) contenant des informations confidentielles, mais aussi les comptes administrateurs système, rendant par la même occasion les accès facilités à des processus informatiques cruiaux.

Nous retiendrons donc dans notre cas que seulement un quart des systèmes dispose d'un accès sécurisé.

La CNIL a récemment mis à jour ses recommandations sur les mots de passe (48) et préconise en complément une authentification forte à plusieurs facteurs dans certains cas pour les éléments nécessitant le plus de contrôle (exemple : droit administrateur système) qui est détaillé dans un guide de l'ANSSI (49). Cela peut être mis en place notamment avec une
double authentification par mots de passe et carte CPS et/ou téléphone pour les praticiens (45) (43).

Le logiciel de protection le plus connu dans l'informatique reste l'antivirus qui s'est popularisé ces dernières années notamment avec l'émergence d'alternatives gratuites efficaces. Dans notre étude 71,4% des répondants utilisent un logiciel antivirus et 40,4% un pare-feu.

Parmi les répondants disposant d'un antivirus, 46,7% disposent aussi d'un pare-feu.

L'antivirus est un outil indispensable (46) qui doit être mis à jour quotidiennement (45) mais, n'étant pas capable de détecter 100% des codes malicieux, il doit être associé à un pare-feu pour filtrer l'ensemble des communications réseaux entrant et sortant de l'ordinateur.

Des fiches éditées par le site internet cybermalveillance.gouv.fr en partenariat avec ANSSI et le Ministère de l'Intérieur expliquent l'importance de l'utilisation des antivirus (50) et des mesures essentielles pour assurer la sécurité informatique (51).

Dans le cadre d'un usage d'une installation réseau multipostes (cabinet de groupe ou de plusieurs postes : secrétariat, médecin), l'utilisation des pare-feu est primordiale pour éviter une contamination de l'ensemble du réseau local via des virus ou autres codes malicieux et permet également de ralentir ou de limiter l'action d'un acteur malveillant souhaitant prendre le contrôle d'un poste de travail via un poste déjà affecté (45).

L'évolution des modes de communication réseaux ont démocratisé depuis les 10 dernières années la communication sans fil, appelée Wi-Fi, qui permet de ne plus avoir besoin de relier les ordinateurs à un câble réseau physique type RJ45. Cette évolution est telle qu'aujourd'hui il est normal d'avoir des ordinateurs portables (ou fixes) qui ne disposent pas de prise réseau RJ45 et que la plupart des fournisseurs de box internet disposent d'un routeur sans fils intégré de base.

Ce mode de communication nécessite d'être sécurisé afin de ne pas créer une porte d'entrée dans l'ensemble du système informatique surtout que, par son fonctionnement, il est possible de capter un signal Wi-Fi sur des portées qui peuvent être supérieures aux dimensions des locaux professionnels.

Il existe plusieurs protocoles de sécurisation du réseau Wi-Fi dont les plus utilisés sont : WEP, WPA et WPA2. Le protocole WEP (Wired Equivalent Privacy) est un ancien protocole de sécurité qui est obsolète car facile à contourner. Le WPA et WPA 2 (Wi-Fi Protected Access) sont les successeurs qui disposent d'un algorithme de chiffrement plus robuste. Une variante WPA 2 entreprise permet de coupler identifiant et mots de passe pour chaque personne se connectant et ainsi permettre une meilleure traçabilité (46).
Dans notre étude, 60,9% des répondants disposent d'un réseau Wi-Fi et 20,2% disposent d'un protocole WPA 2 ou supérieur. Il est possible que cette valeur soit sous-estimée au vu des connaissances techniques des répondants (30,3% ont répondu ne pas savoir) et que leur prestataire informatique ait bien configuré un réseau avec un protocole WPA 2 (21,2% pensent que leur prestataire gère cela).

Il est toutefois important de ne pas négliger cet aspect et bien paramétrer ou faire paramétrer le réseau Wi-Fi en lien avec son outil informatique (52) (26) car c'est l'une des portes d'accès des hackers et cela peut engager la responsabilité du propriétaire du réseau (53).

L'utilisation de profils de « compte utilisateur système» différents permet d'adapter les droits informatiques en fonction des utilisations et de minimiser les risques de mauvaise manipulation. Dans notre cas cela peut éviter un piratage informatique facilité par l'utilisation d'un compte disposant des droits administrateur facilitant l'installation de codes malveillants. Dans notre étude, 30,6% des répondants utilisent un compte administrateur comme compte principal, avec 8,8% qui l'utilisent uniquement pour des tâches d'administration du système comme préconisé (26).

Il est à noter que 48,1% des répondants ne savent pas et que 12,5% pensent que le prestataire s'en occupe. Cela illustre que cet aspect technique, comme pour la sécurisation du Wi-Fi, est un aspect peu maîtrisé par les répondants.

L'accès au poste de travail et l'ouverture des sessions fait partie de la sécurisation de l'outil informatique car dès l'instant où le poste informatique est ouvert après utilisation d'un identifiant et d'un mot de passe, l'accès aux informations ou à certaines actions par une tierce personne présente est possible. L'ensemble des éléments de sécurité mis en place précédemment ne sera pas d'un grand secours et ce d'autant plus sur une session administrateur où les droits sont étendus.

Dans notre étude, seuls 22,6% des répondants utilisent un système de verrouillage de session à chaque absence du poste de travail, et pour la majorité (57,2%) cela se fait probablement uniquement au démarrage de l'ordinateur en début de journée d'utilisation. Ce résultat peut s'expliquer par le mode de fonctionnement des cabinets médicaux libéraux où le médecin généraliste est le seul professionnel à utiliser son bureau dans une majorité de configurations.

Le type d'utilisation de l'outil informatique entre usage privé et usage professionnel est de plus en plus complexe et ce d'autant plus pour les médecins qui doivent jongler entre vie privée et vie professionnelle. Il est pourtant important de séparer les usages afin de ne pas
nuire à la sécurisation des données personnelles comme professionnelles. L'usage privé pouvant engendrer l'utilisation de logiciels ou applications non sécurisés et des accès à des sites internet à risques plus important. Le risque étant un piratage via une pratique d'usage personnel touchant les parties professionnelles ou inversement.

Dans notre étude, 35% des répondants font un usage strict de leurs outils informatiques professionnels dans le cadre d'un usage professionnel comme il est recommandé (45) (51) (27) (26) (47) (37).

## 6. Modalités de sauvegarde des données.

En cas de panne informatique, la sauvegarde est un élément de prévention essentiel, c'est le moyen d'éviter une perte de données majeure ou des temps de récupération importants de l'outil informatique. Depuis le basculement vers un archivage des données patients en numérique, l'ensemble de l'historique et des données des patients est contenu dans les logiciels métier tel que Hellodoc, MédiClick, Médimust pour n'en citer que quelques-uns. La sauvegarde peut s'effectuer de plusieurs manières différentes qui peuvent être complémentaires.

Dans notre étude, 41,9% effectuent une sauvegarde quotidienne et seuls 19,4% n'en effectuent pas ou ne savent pas. Les sauvegardes effectuées sont réalisées à 28,1% sur un support externe sans chiffrement et 25% avec chiffrement ; 20% utilisent un système de Cloud. Si on associe la sauvegarde avec le Cloud et une sauvegarde sur un support externe nous parvenons à 24% (pour les deux supports externes confondus).

Au vu du nombre d'informations quotidiennes qui sont traitées par jour d'activité d'un médecin, une sauvegarde quotidienne est la plus pertinente, évitant des problématiques de perte de données. Afin de se prémunir d'une défaillance technique ou la compromission d'un support de sauvegarde, il est donc préconisé : « Appliquez la règle simple « 3-2-1 » : 3 copies de sauvegarde, sur 2 supports différents dont 1 hors ligne » (45).

Les supports devront être testés pour garantir leur exploitation le moment venu. Dans notre étude, 28,8% des répondants qui effectuent des sauvegardes vérifient l'intégrité des sauvegardes réalisées.

L'ensemble de ces sauvegardes doit être en conformité avec la loi sur les RGPD (39) et garantir une confidentialité importante, il est donc nécessaire de s'assurer d'un chiffrement des données.
7. Fin de vie de l'outil informatique et stockage de données dans l'environnement numérique de travail.

La problématique de la fin de vie des outils informatiques doit être prise en compte car ils contiennent des données confidentielles qui ne doivent pas être transmisses.

Dans notre étude, les répondants n'ont pour 25% pas de notion du devenir de leur appareil, 19% vont le faire reprendre par leur prestataire informatique, 23% vont le garder ou l'utiliser pour un usage privé, 20% vont le mettre en déchèterie ou le faire détruire et 4% vont le donner.

Il en résulte un total de 43% d'appareils cédés à un tiers, ce qui représente une part importante de données pouvant être potentiellement récupérées par une personne mal intentionnée. Certains répondants stipulent toutefois avoir conscience de cette problématique et émettent des réserves justement à la mise au rebut (déchèterie ou prestataire) ou au don à cause des données contenues. D'autres expliquent clairement qu'ils formatent ou retirent le disque dur avant toute cession à un tiers.

Il faut donc veiller à bien récupérer et traiter les zones de mémoire des appareils informatiques après leur fin de vie professionnelle quel que soit leur devenir et, s'il est donné à un prestataire, il est nécessaire de s'assurer de cette étape lors des contrats de partenariat.

Nous avons donc demandé dans notre étude quels étaient les autres appareils qui pourraient détenir des informations personnelles. Pour 57% ils n'en connaissent pas ou ne savent pas, 28% citent le téléphone portable, le Smartphone ou la tablette. 5% ont répondu juste oui, 5% citent les disques durs externes, 3% les ordinateurs portables et 1% les serveurs de sauvegardes.

En effet, cela peut paraître paradoxal mais la plupart des utilisateurs ne conçoivent pas leur téléphone comme un équipement informatique alors que les progrès des dernières années et l'évolution des pratiques en médecine ont fait rentrer l'usage du Smartphone dans l'aire de la santé que ce soit pour contacter ses patients, envoyer des messages, consulter ses mails professionnels, gérer les plannings, consulter les applis dédiées ( exemple : Vidal ), récolter des données de santé ( tensiomètre connecté , ECG...). De plus, les Smartphones couplés à un logiciel métier peuvent permettre d'accéder aux dossiers patients informatisés.

Les équipements bureautiques tels que les fax, les imprimantes, les photocopieuses peuvent enregistrer un certain nombre d'informations sans qu'on le perçoive.

Il en est de même avec les équipements de santé connectés qui tendent à se développer en usage courant en médecine libérale.
## 8. Notion du risque informatique et auto-évaluation.

La notion de risque informatique est une question complexe qui nécessite de prendre en compte un nombre important de paramètres informatiques (25) (54) (55) et humains pour être évaluée objectivement.

Mais c'est la perception par l'utilisateur du risque qui va en faire un acteur de la mise en place de sa cybersécurité. Ainsi l'autoévaluation du risque numérique est un élément essentiel pour évaluer la sensibilisation et la prise de conscience des médecins généralistes libéraux de Picardie face à cette menace.

Dans notre étude, 72,3% des répondants évaluent entre 5 inclus et 10 le niveau d'intérêt des données numériques pour des pirates informatiques.

L'évaluation du niveau de sécurité de leur système informatique par les répondants est de 47,1% entre 6 et 10 (sur l'échelle numérique), associée à une valeur médiane de 5 de 31,4%.

L'association de ces évaluations montre que les répondants ont pour la majorité une certaine perception du risque numérique mais ils considèrent leur système globalement sûr avec même 1,9% au niveau 10.

Objectivement, aucun répondant ne se trouve à ce niveau et chaque élément majeur de sécurité évalué a montré un pourcentage élevé de pratique informatique non adaptée.

Chaque élément associé dresse un profil sécuritaire faillible avec des lacunes fortes. Par exemple si l'on prend le critère des mises à jour faites régulièrement associé à :

- l'utilisation de mots de passe complexes et différents pour chaque logiciel,

- la présence d'un antivirus,

- la présence d'un pare-feu,

le nombre de profils correspondant est de 6 sur les 167 répondant soit 3,5%. Si on ajoute l'utilisation d'un compte administrateur uniquement lors des mises à jour ou lors d'installation logiciel, alors le nombre de profils correspondant est de 1 sur 167 soit moins de 1%.

## 9. Connaissance du cadre légal.

La dernière question évalue la connaissance de la peine encourue en cas de perte de données, en effet la loi n° 2018-493 du 20 juin 2018 (41) via article 226-16 du code pénal
(56) stipule que la sanction pénale peut être d'une amende pouvant s'élever à 300000€ ainsi que de 5 ans d'emprisonnement. A cela peuvent s'ajouter les sanctions de la CNIL (57). Dans notre étude le taux de personnes estimant connaître les peines encourues est de 5%.

Le cadre légal concernant l'application du RGPD et les sanctions encourues sont peu connues des répondants et pourraient être considérées comme théoriques pour les médecins libéraux mais cela n'est aucunement le cas, car déjà deux médecins libéraux ont été condamnés en 2020 par la CNIL à des amendes de 3000€ et 6000€ pour avoir insuffisamment protégé les données personnelles de leurs patients et ne pas avoir notifié une violation de données à la CNIL (29) (30).
Conclusion

L'étude menée ici sur les médecins généralistes libéraux de Picardie nous a permis de mettre en lumière toute la difficulté de l'utilisation de l'outil informatique au quotidien comportant un niveau de sécurité en adéquation avec les données patients détenues. Une étude menée à l'échelle nationale pourrait permettre de confirmer cela.

La maîtrise du niveau de sécurisation constatée ici est insuffisante pour garantir une préservation optimale des données informatiques. Cela d'abord d'un point de vue préventif, par l'association d'une chaîne de sécurité composée d'un antivirus, d'un pare-feu, de mises à jour informatiques régulières et de mots de passe complexes. Mais aussi d'un point de vue curatif par la mise en place de sauvegardes régulières multi-supports cryptées et contrôlées.

Les médecins généralistes libéraux de Picardie pensent être protégés des risques de piratage informatique mais ne sont en réalité aucunement protégés. Les centres hospitaliers disposant d'équipes d'informaticiens dédiés ont beaucoup de difficultés à contrer les attaques actuelles, le médecin généraliste libéral a donc une tâche ardue pour minimiser ces risques informatiques et assurer sa propre cybersécurité.

Il est important qu'il y ait une prise de conscience car l'impact pour le médecin est majeur, avec un risque opérationnel non négligeable : ralentissement de la prise en charge des patients, perte d'accès aux données numériques de santé (résultats biologiques, ordonnances, antécédents, courriers médicaux, imageries ... ). Ainsi qu'un risque sur les données : perte avec impact opérationnel, fuite de données, rupture de la confidentialité, réputation du praticien, risque judicaire avec plaintes des patients. La diffusion des données confidentielles des patients pouvant entraîner de forts préjudices en cas d'utilisation frauduleuse, tels que le chantage ou l'extorsion, l'usurpation d'identité, la transmission de données aux assurances, aux employeurs ...

Un travail de sensibilisation et de formation à la cybersécurité des médecins libéraux, semble au vu de cette étude être un élément potentiellement intéressant à mettre en place.

Ceci afin d'aider nos confrères dans l'utilisation de leurs outils informatiques qui ne cessent d'évoluer rapidement, tout comme les techniques de piratages.
Une fiche mémo (ci-jointe) vient synthétiser les recommandations adaptées aux médecins généralistes libéraux. Cette fiche pourrait être diffusée dans le cadre des enseignements facultaires par exemple.
<figure><img src="image_31.png" /></figure>

Règles de survie informatique

<figure><img src="image_32.png" /></figure>

1

Faites des mises à jour régulières et automatiques du système d'exploitation et des logiciels

2

Utilisez des Mots de passe complexes et une double authentification si possible, ex : carte CPS + mot de passe.
Aspect pratique : utilisation de la biométrie (pour ouverture de sessions et retenir les mots de passe)

3

Installez un antivirus et un pare-feu avec mise à jour automatique

4

Utilisez un compte utilisateur adapté à chaque utilisation

5

Si utilisation du Wi-Fi, sécurisez-le par un protocole WPA2 minimum, pour l'usage strictement privé du cabinet (pas de Wi-Fi public partagé)

6

Faites des Sauvegardes automatiques avec un logiciel adapté sur 2 supports différents (minimum) et cryptés, ex : disque dur externe et cloud avec Time Machine

7

Vérifiez la conformité des actions de vos prestataires informatiques à la loi RGPD et les garanties de confidentialité sur les données traitées

8

Sécurisez l'ensemble des outils informatiques : ordinateur portable, smartphone, tablette...

9

Assurez-vous de la destruction des données collectées contenues dans les appareils recyclés du cabinet, ex : destruction physique des disques durs

10

En cas de piratage déconnectez l'ordinateur d'internet et de votre réseau et faites-vous assister par des professionnels spécialisés que vous pourrez trouver sur www.cybermalveillance.gouv.fr

<figure><img src="image_33.png" /></figure>

CYBER
MALVEILLANCE
.GOUV.FR

Assistance et prévention
en sécurité numérique

<caption>Figure 5 : Fiche mémo de conclusion recto</caption>
<figure><img src="image_34.png" /><figcaption>Figure 6 : Fiche mémo de conclusion verso</figcaption></figure>
Références

1. Le Monde. En Allemagne, une attaque informatique contre une clinique provoque une mort. Le Monde [Internet]. Le Monde. 17 sept 2020 [cité 13 déc 2022]; Disponible sur: https://www.lemonde.fr/pixels/article/2020/09/17/en-allemagne-une-attaque-informatique-contre-une-clinique-provoque-une-mort_6052638_4408996.html

2. Lemke C. Ma santé, mes données: comment nous semons nos informations les plus précieuses et pourquoi elles sont si convoitées. Paris: Premier parallèle; 2021.

3. Monnet B. Cybercriminalité : la quête de la « faille ». Le Monde [Internet]. Le Monde. 20 août 2021 [cité 14 déc 2022]; Disponible sur: https://www.lemonde.fr/series-d-ete/article/2021/08/20/cybercriminalite-des-experts-en-quete-de-la-faille_6091917_3451060.html

4. Untersinger M, Reynaud F, Delaunay A. Les autorités tentent de contenir la déferlante des attaques aux rançongiciels. Le Monde [Internet]. Le Monde. 17 févr 2021 [cité 14 déc 2022]; Disponible sur: https://www.lemonde.fr/pixels/article/2021/02/17/attaques-aux-rancongiciels-les-autorites-tentent-de-contenir-la-deferlante_6070220_4408996.html

5. Heidsieck L. Cyberattaques : pourquoi vos données de santé sont si fragiles et convoitées. Le Figaro [Internet]. Le Figaro. 12 mars 2021 [cité 13 déc 2022]; Disponible sur: https://www.lefigaro.fr/secteur/high-tech/cyberattaques-pourquoi-vos-donnees-de-sante-sont-si-fragile-et-convoitees-20210312

6. De Joannis PE, Rochereau A, Serrano C, Pineau J. Cybersécurité des dispositifs médicaux : point sur la menace réelle et rôle du corps médical. Médecine Interne Général. 16 oct 2016;(535):1773-5.

7. Bembaron E. Pourquoi les hôpitaux français sont des proies faciles pour les cybercriminels. Le Figaro [Internet]. Le Figaro. 25 août 2022 [cité 15 déc 2022]; Disponible sur: https://www.lefigaro.fr/actualite-france/les-hopitaux-francais-des-proies-faciles-pour-les-cybercriminels-20220824

8. Mayer C. L'hôpital de Dax en partie paralysé par une attaque informatique. Le Monde [Internet]. Le Monde. 10 févr 2021 [cité 13 déc 2022]; Disponible sur: https://www.lemonde.fr/pixels/article/2021/02/10/l-hopital-de-dax-en-partie-paralyse-par-une-attaque-informatique_6069430_4408996.html

9. Le Monde. Après celui de Dax, l'hôpital de Villefranche paralysé par un rançongiciel. Le Monde [Internet]. Le Monde. 17 févr 2021 [cité 13 déc 2022]; Disponible sur: https://www.lemonde.fr/pixels/article/2021/02/15/apres-celui-de-dax-l-hopital-de-villefranche-paralyse-par-un-rancongiciel_6070049_4408996.html
10. Plas S. L'hôpital d'Albertville en proie à une cyberattaque. Le Figaro [Internet]. Le Figaro. 23 déc 2020 [cité 13 déc 2022]; Disponible sur: https://www.lefigaro.fr/actualite-france/l-hopital-d-albertville-en-proie-a-une-cyberattaque-20201223

11. Le Figaro. Essonne : un centre hospitalier visé par une cyberattaque, une rançon de 10 millions de dollars exigée. Le Figaro [Internet]. Le Figaro. 22 août 2022 [cité 13 déc 2022]; Disponible sur: https://www.lefigaro.fr/secteur/high-tech/essonne-un-centre-hospitalier-vise-par-une-cyberattaque-une-rançon-de-10-millions-de-dollars-exigee-20220822

12. Bembaron E. L'hôpital de Versailles ciblé à son tour par une cyberattaque. Le Figaro [Internet]. Le Figaro. 4 déc 2022 [cité 13 déc 2022]; Disponible sur: https://www.lefigaro.fr/actualite-france/yvelines-cyberattaque-contre-l-hopital-andre-mignot-du-centre-hospitalier-de-versailles-20221204

13. Battaglia M. Après une cyberattaque d'ampleur et deux mois de paralysie, l'hôpital de Corbeil-Essonnes se relève à peine. Le Monde [Internet]. Le Monde. 24 oct 2022 [cité 13 déc 2022]; Disponible sur: https://www.lemonde.fr/societe/article/2022/10/24/a-l-hopital-de-corbeil-essonnes-l-onde-de-choc-d-une-cyberattaque-d-ampleur_6147048_3224.html

14. Kerkour T. Les cyberattaques contre les établissements de santé ont doublé en 2021. Le Monde [Internet]. Le Monde. 15 févr 2022 [cité 14 déc 2022]; Disponible sur: https://www.lefigaro.fr/secteur/high-tech/les-cyberattaques-contre-les-etablissements-de-sante-ont-double-en-2021-20220215

15. Kerkour T. Le gouvernement débloque 20 millions d'euros pour renforcer la cybersécurité des établissements de santé. Le Figaro [Internet]. Le Figaro. 26 août 2022 [cité 14 déc 2022]; Disponible sur: https://www.lefigaro.fr/secteur/high-tech/le-gouvernement-debloque-20-millions-d-euros-pour-renforcer-la-cybersecurite-des-etablissements-de-sante-20220826

16. Agence des Sytémes d'Information Partagés de Santé. Mémento de sécurité informatique pour les professionnels de santé en exercice libéral. 2013.

17. CNIL, Conseil National de l'Ordre des Médecins. Guide pratique sur la protection des données personnelles. 2018.

18. Durand K. Cyberattaques : 62% des Français n'ont jamais reçu une formation à la sécurité informatique. Le Figaro [Internet]. Le Figaro. 25 oct 2022 [cité 14 déc 2022]; Disponible sur: https://www.lefigaro.fr/secteur/high-tech/cyberattaques-62-des-francais-n-ont-jamais-recu-une-formation-a-la-securite-informatique-20221025

19. Jacquin P. Sous le pavillon noir: pirates et flibustiers. Nouv. éd. Paris: Gallimard; 2001. (Découvertes Gallimard).

20. Olivié F, Laprise R. L'enfer de la flibuste: pirates français dans la mer du Sud. Éd.
augmentée. Toulouse: Anacharsis; 2021. (Collection Famagouste).

21. Arpagian N. La cybersécurité. 4e éd. mise à jour. Paris: Que sais-je ?; 2022. (Que sais-je ?).

22. INTERPOL. Plus d'un millier d'arrestations et 27 millions d'USD interceptés dans le cadre d'une vaste offensive contre la criminalité financière [Internet]. [cité 12 déc 2022]. Disponible sur: https://www.interpol.int/fr/Actualites-et-evenements/Actualites/2021/Plus-d-un-millier-d-arrestations-et-27-millions-d-USD-interceptes-dans-le-cadre-d-une-vaste-offensive-contre-la-criminalite-financiere

23. INTERPOL. Criminalité financière sur Internet : 130 millions USD interceptés dans le cadre d'une opération policière mondiale coordonnée par INTERPOL [Internet]. 2022 [cité 12 déc 2022]. Disponible sur: https://www.interpol.int/fr/Actualites-et-evenements/Actualites/2022/Criminalite-financiere-sur-Internet-130-millions-USD-interceptes-dans-le-cadre-d-une-operation-policiere-mondiale-coordonnee-par-INTERPOL

24. defense.gouv.fr. Le commandement de la cyberdéfense [Internet]. defense.gouv.fr. 2017 [cité 12 déc 2022]. Disponible sur: https://www.defense.gouv.fr/ema/commandement-cyberdefense-comcyber

25. Agence nationale de la sécurité des systèmes de systèmes d'information, éditeur. Maîtrise du risque numérique – l'atout confiance [Internet]. 2019 [cité 23 sept 2020]. Disponible sur: https://www.ssi.gouv.fr/particulier/guide/maitrise-du-risque-numerique-latout-confiance/

26. Agence nationale de la sécurité des systèmes de systèmes d'information, Confédération des petites et moyennes entreprises, éditeurs. Guide des bonnes pratiques de l'informatique [Internet]. 2017 [cité 23 sept 2020]. Disponible sur: https://www.ssi.gouv.fr/particulier/guide/guide-des-bonnes-pratiques-de-l-informatique/

27. Agence nationale de la sécurité des systèmes de systèmes d'information, éditeur. Guide d'hygiène informatique [Internet]. 2020 [cité 23 sept 2020]. Disponible sur: https://www.ssi.gouv.fr/guide/guide-dhygiene-informatique/

28. Di Giacomo D. Cyberattaques : 600 enquêtes ouvertes par le parquet de Paris depuis janvier 2022 [Internet]. France Info. 2022 [cité 16 déc 2022]. Disponible sur: https://www.francetvinfo.fr/internet/securite-sur-internet/cyberattaques/cyberattaques-600-enquetes-ouvertes-en-france-par-le-parquet-de-paris-depuis-janvier-2022_5541438.html

29. CNIL. Délibération SAN-2020-015 du 7 décembre 2020 [Internet]. legifrance.fr. [cité 5 déc 2022]. Disponible sur: https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042676787

30. CNIL. Délibération SAN-2020-014 du 7 décembre 2020 [Internet]. legifrance.fr. [cité
https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000042675720

31. Service Études et Recherches Statistiques. ATLAS DE LA DÉMOGRAPHIE MÉDICALE EN FRANCE [Internet]. CONSEIL NATIONAL DE L'ORDRE DES MEDECINS; 2022 janv. Disponible sur: www.conseil-national.medecin.fr

32. BRETON-LEROUVILLOIS, G. La démographie médicale en Région Picardie Situation en 2015. CNOM; 2015. (Santé Publique et Démographie Médicale).

33. Agence nationale de la sécurité des systèmes de systèmes d'information. Les solutions labellisées e-santé [Internet]. esante.gouv.fr. 2021 [cité 10 nov 2022]. Disponible sur: https://esante.gouv.fr/offres-services/label-esante/solutions-labellisees

34. Olivier Véran - Ministre des solidarités et de la santé. Conseil des ministres du 22 décembre 2021. Résultats. Les réformes prioritaires du ministère des solidarités et de la santé en matière de santé. [Internet]. Vie publique. 2021 [cité 10 nov 2022]. Disponible sur: https://www.vie-publique.fr/discours/283042-conseil-des-ministres-22122021-bilan-reformes-ministere-sante

35. Fievet A, Hilary S, Moineau A. 800 000 habitants en situation d'illectronisme. déc 2020;(118).

36. CNIL. Guide pour les employeurs et les salariés [Internet]. CNIL; 2010. Report No.: fiche n°7: Les administateurs réseau. Disponible sur: https://www.cnil.fr

37. CNIL. La sécurité des données personnelles [Internet]. CNIL; 2018. Report No.: fiche n°7: Sécurisé les postes de travail. Disponible sur: https://www.cnil.fr

38. CNIL. Délibération SAN-2018-010 du 6 septembre 2018 [Internet]. legifrance.fr. 2018 [cité 18 nov 2022]. Disponible sur: https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000037477764

39. Règlement général sur la protection des données - RGPD [Internet]. (UE) 2016/679. Disponible sur: https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32016R0679R(02)&qid=1528814703534&from=en

40. CNIL. Référentiel: Relatif aux traitements de données à caratère personnel destinés à la gestion des cabinets médicaux et paramédicaux [Internet]. CNIL; Disponible sur: https://www.cnil.fr

41. LOI n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles [Internet]. Pénal. Sect. 5, Loi n° 2018-493. Disponible sur: https://www.legifrance.gouv.fr/loda/id/JORFTEXT000037085952/2022-11-24/

42. Agence nationale de la sécurité des systèmes de systèmes d'information. Panorama de la menace informatique 2021 [Internet]. 2021 [cité 18 nov 2021]. Disponible sur:
https://www.cert.ssi.gouv.fr/cti/CERTFR-2022-CTI-002/

43. cybermalveillance.gouv.fr. Kit de sensibilisation aux risques numériques [Internet]. GIP ACYMA; 2022. Disponible sur: https://www.cybermalveillance.gouv.fr/

44. cybermalveillance.gouv.fr. Guide cybersécurité à destination des dirigeants de TPE, PME et ETI. Bonnes pratiques et réflexes à adopter en cas de cyberattaques. [Internet]. Bpifrance; 2021 [cité 18 nov 2022]. Disponible sur: https://www.bpifrance.fr/nos-actualites/cybersecurite-un-guide-pratique-a-destination-des-dirigeants

45. Agence nationale de la sécurité des systèmes de systèmes d'information. La cybersécurité pour les TPE/PME en 13 questions [Internet]. 2022. Disponible sur: https://www.ssi.gouv.fr/guide/la-cybersecurite-pour-les-tpepme-en-treize-questions/

46. Sokolova K, Perez C. La cybersécurité. Levallois-Perret: Studyrama; 2022.

47. Le Dilasser V, Boyard C, Mlala A. Cyber sécurité: les notions à maîtriser. Paris: Arnaud Franel Éditions France; 2022.

48. CNIL. Délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et abrogeant la délibération n°2017-012 du 19 janvier 2017 [Internet]. CNIL; 2022 juill. Disponible sur: https://www.cnil.fr/fr/mots-de-passe-une-nouvelle-recommandation-pour-maitriser-sa-securite

49. Agence nationale de la sécurité des systèmes de systèmes d'information. Recommandations relatives à l'authentification multifacteurs et aux mots de passe [Internet]. 2021. Disponible sur: https://www.ssi.gouv.fr/guide/recommandations-relatives-a-l-authentification-multifacteur-et-aux-mots-de-passe/

50. Les antivirus [Internet]. www.cybermalveillance.gouv.fr. 2021 [cité 19 nov 2022]. Disponible sur: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/antivirus

51. cybermalveillance.gouv.fr. Les 10 mesures essentielles pour assurer votre cybersecurité [Internet]. www.cybermalveillance.gouv.fr. 2022 [cité 19 nov 2022]. Disponible sur: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique

52. NetSpot. 6 façons de sécuriser votre réseau WiFi [Internet]. [cité 19 nov 2022]. Disponible sur: https://www.netspotapp.com/fr

53. Légifrance. article 434-4 Code pénal [Internet]. 2002 [cité 19 nov 2022]. Disponible sur: https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006418608

54. Agence nationale de la sécurité des systèmes de systèmes d'information. EBIOS Risk manager, le guide. [Internet]. 2018 [cité 23 nov 2022]. Disponible sur:
https://www.ssi.gouv.fr/guide/la-methode-ebios-risk-manager-le-guide/

55. Agence nationale de la sécurité des systèmes de systèmes d'information. EBIOS Risk manager, fiches méthodes [Internet]. 2019 [cité 23 nov 2022]. Disponible sur: https://www.ssi.gouv.fr/guide/la-methode-ebios-risk-manager-le-guide/

56. Légifrance. article 226-16 Code pénal [Internet]. 2019 [cité 17 janv 2023]. Disponible sur: https://www.legifrance.gouv.fr/codes/articleLC/LEGIARTI000037825509

57. Leonetti X, Féral-Schuhl C. Cybersécurité, mode d'emploi: entreprise, monde numérique et protection des données personnelles 57 fiches réflexes. Paris: PUF; 2022.
# Annexes

## Glossaire

**Antivirus** : logiciel informatique destiné à identifier, neutraliser et effacer des logiciels malveillants.

**Cheval de Troie** : programme qui s'installe de façon frauduleuse pour remplir une tâche hostile à l'insu de l'utilisateur (espionnage, envoi massif de spam,...).

**Chiffrement** : procédé de cryptographie grâce auquel on souhaite rendre la compréhension d'un document impossible à toute personne qui ne possède pas la clé de déchiffrement.

**Compte d'administrateur** : compte permettant d'effectuer des modifications affectant les utilisateurs (modification des paramètres de sécurité, installer des logiciels...).

**Cloud** : désigne les serveurs accessibles sur Internet, ainsi que les logiciels et bases de données qui fonctionnent sur ces serveurs. Les serveurs situés dans le cloud sont hébergés au sein de datacenters répartis dans le monde entier.

**Illectronisme** : désigne les personnes qui n'ont aucune capacité numérique : qui ne se sont pas servi d'internet au cours des 12 derniers mois ou qui ne possèdent pas les compétences numériques de base.

**Hacker** : spécialiste d'informatique, qui recherche les moyens de contourner les protections logicielles et matérielles. Synonyme de pirate informatique.

**Logiciel espion** : logiciel malveillant qui s'installe dans un ordinateur afin de collecter et transférer des données et des informations, souvent à l'insu de l'utilisateur.

**Fournisseur d'Accès Internet (FAI)** : organisme (entreprise ou association) offrant une connexion à Internet.

**Mise à jour** : action qui consiste à mettre à niveau un outil ou un service informatique en téléchargeant un nouveau programme logiciel.

**Pare-feu (firewall)** : logiciel et/ou matériel permettant de protéger les données d'un réseau en filtrant les entrées et en contrôlant les sorties selon les règles définies par son utilisateur.

**Phishing (hameçonnage)** : méthode d'attaque qui consiste à imiter les documents ou pratiques d'une institution ou d'une société (banque, services des impôts) pour inciter le destinataire à fournir des informations personnelles.

**Système d'exploitation** : logiciel qui, dans un appareil électronique, pilote les dispositifs matériels et reçoit des instructions de l'utilisateur ou d'autres logiciels.
**WEP** : protocole de sécurité permettant de fournir aux utilisateurs de réseaux locaux sans fil une protection contre le piratage (obsolète).

**Wi-Fi** : connexion Internet sans fil.

**WPA 2** : standard de sécurité protégeant les utilisateurs contre le piratage des réseaux sans fil.
<figure><img src="image_35.png" /></figure>

RÉPUBLIQUE
FRANÇAISE

Liberté
Egalité
Fraternité

Légifrance
Le service public de la diffusion du droit

### Code pénal

### Article 226-16

**Version en vigueur depuis le 01 juin 2019**

Partie législative (Articles 111-1 à 727-3)

Livre II : Des crimes et délits contre les personnes (Articles 211-1 à 227-33)

Titre II : Des atteintes à la personne humaine (Articles 221-1 à 227-33)

Chapitre VI : Des atteintes à la personnalité (Articles 226-1 à 226-32)

Section 5 : Des atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques. (Articles 226-16 à 226-24)

**Article 226-16**

Le fait, y compris par négligence, de
procéder ou de faire procéder à des

traitements de données à caractère personnel sans qu'aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

Est puni des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l'objet de l'une des mesures prévues au 3° du III de l'article 20 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

**Version en vigueur depuis le 01 juin 2019**

Modifié par Ordonnance n°2018-1125 du 12 décembre 2018 - art. 13

**NOTA :**

Conformément à l'article 29 de l'ordonnance n° 2018-1125 du 12 décembre 2018, ces dispositions entrent en vigueur en même temps que le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés au 1er juin 2019.
# Questionnaire

## Cyber-sécurité en médecine générale

Ces derniers mois, des hôpitaux, des cliniques et des centres de santé ont été victimes d'attaques informatiques. Les pirates ont bloqué le fonctionnement des ordinateurs puis exigé le paiement d'une rançon pour permettre leur redémarrage, ou bien ont dérobé les données contenues dans les dossiers médicaux des patients et menacé de les diffuser si une rançon ne leur était pas versée.

Les médecins généralistes sont eux aussi exposés à ces difficultés liées à l'usage des outils informatiques.

Il est apparu nécessaire d'évaluer la cyber-sécurité des médecins libéraux dans ce contexte de Pandémie qui incite de plus en plus à utiliser l'outil informatique.

Je vous propose donc de répondre à ce questionnaire rapide et vous remercie par avance de votre participation.

Une enveloppe de retour prépayée est à votre disposition pour l'envoi du questionnaire. Si vous souhaitez, le questionnaire est réalisable en ligne via le lien suivant :

https://form.dragnsurvey.com/survey/r/f3b238bf

<figure><img src="image_36.png" /></figure>

### 1) Quel est votre sexe ?

- Homme

- Femme

### 2) Quelle est votre tranche d'âge ?

- De 25 à 30 ans

- De 30 à 35 ans

- De 35 à 40 ans

- De 40 à 45 ans

- De 45 à 50 ans

- De 50 à 55 ans

- De 55 à 60 ans

- De 60 à 65 ans

- Plus de 65 ans

### 3) Vous exercez :

- En milieu urbain

- En milieu semi-rural

- En milieu rural

### 4) Vous travaillez :

- En cabinet individuel

- En cabinet de groupe

- En Maison de Santé Pluridisciplinaire
**5) Vous disposez :**

- D'aucun ordinateur (arrêt du questionnaire : Merci beaucoup pour votre participation)

- D'un seul ordinateur

- De plusieurs ordinateurs d'usage individuel mais non reliés en réseau

- De plusieurs ordinateurs (ou tablettes) reliés en réseau

**6) Utilisez-vous votre ordinateur pour effectuer des téléconsultations ?**

- Oui

- Non

**7) Êtes-vous à l'aise avec l'utilisation de l'outil informatique ?**

EN de 0 à 10 : 0 = pas du tout et 10 = très à l'aise

**8) Faites-vous appel à un prestataire informatique ?**

- Oui

- Non (passage question 10)

**9) Votre prestataire informatique dispose-t-il d'un accès à distance ?**

- Oui

- Non

- Je ne sais pas

**10) Faites-vous régulièrement les mises à jour de votre système d'exploitation et des logiciels tiers ?**

- Oui, de manière automatique ou manuelle par mes soins

- Oui, par un prestataire

- Non

- Je ne sais pas

- Je pense que mon prestataire s'en occupe

**11) Vous avez choisi un mot de passe pour votre ordinateur :**

- Mot de passe simple, type 12345, ou type : nom de mes enfants, date de naissance...

- Mot de passe par défaut ou aucun mot de passe

- Mot de passe complexe (type 12 caractères avec majuscule, nombre, caractères spéciaux), identique pour tous mes logiciels

- Mot de passe évolué (différent d'un mot de passe simple ou par défaut) mais non complexe, identique pour tous les logiciels

- Mots de passe évolué (différent d'un mot de passe simple ou par défaut) mais non complexe, différent pour chaque logiciel

- Complexe et différent pour chaque logiciel
12) Votre ou vos ordinateurs disposent de logiciels de protection :

- Oui, un antivirus

- Oui, un pare-feu

- Non

- Je ne sais pas

13) Vous utilisez un réseau sans fil Wi-Fi ?

- Oui

- Non (passage question 15)

- Je ne sais pas (passage question 15)

14) Quel type de sécurité utilisez-vous ?

- Je ne sais pas

- J'ai un prestataire qui s'en occupe

- Une clé WEP ou un mot de passe fourni sur le routeur ou la box

- Un mot de passe avec un protocole de sécurité type WPA 2 ou supérieur

15) Lorsque vous utilisez votre ordinateur, utilisez-vous un compte administrateur ?

- Je ne sais pas

- J'ai un prestataire qui s'en occupe

- Toujours

- Uniquement si je fais une mise à jour ou si j'installe un logiciel

16) A quel rythme effectuez-vous vos sauvegardes ?

- Quotidien

- Hebdomadaire

- Mensuel

- Jamais

- Je ne sais pas

- J'ai un prestataire qui s'en occupe

17) Comment faites-vous vos sauvegardes ?

- Je ne sais pas

- J'ai un prestataire qui s'en occupe

- Sur un Cloud

- Sur un support physique externe avec chiffrement

- Sur un support physique externe sans chiffrement
18) Vérifiez-vous l'intégrité de vos sauvegardes ?

- Oui

- Non

19) Votre ou vos ordinateurs sont utilisés :

- Exclusivement dans le cadre professionnel, pas d'achat sur internet et pas de navigation sur internet autre que les sites professionnels

- Un usage mixte professionnel et personnel

20) Votre ou vos ordinateurs sont éteints ou mis en veille après chaque utilisation avec un verrouillage de session par mot de passe :

- Tous les jours

- Dès que je m'absente de mon poste

- Jamais

21) Quand vous renouvelez vos ordinateurs, que faites-vous de votre ou de vos anciens ordinateurs ?

Réponse libre

22) Connaissez-vous un autre équipement informatique que vous possédez qui pourrait conserver vos données personnelles ?

Réponse libre

23) Pensez-vous que vos données informatiques peuvent intéresser des pirates informatiques ?

EN de 0 à 10 : 0 = pas du tout intéresser et 10 = intéresser vivement

24) Pensez-vous que votre système informatique est sûr ?

EN de 0 à 10 : 0 = pas du tout et 10 = très sûr

25) Connaissez-vous la peine encourue en cas de perte de données relatives à la loi n° 2018-493 du 20 juin 2018 ?

- Oui

- Non

Merci beaucoup pour votre participation.
Cybersécurité des médecins généralistes libéraux de Picardie.
**Introduction** : Ces derniers mois, des hôpitaux, des cliniques et des centres de santé ont été victimes d'attaques informatiques. Les pirates ont bloqué le fonctionnement des ordinateurs puis exigé le paiement d'une rançon pour permettre leur redémarrage, ou bien ont dérobé les données contenues dans les dossiers médicaux des patients et menacé de les diffuser si une rançon ne leur était pas versée. Les médecins généralistes Picards sont eux aussi exposés à ces difficultés liées à l'usage des outils informatiques.

Il est apparu nécessaire d'évaluer la cybersécurité des médecins libéraux dans ce contexte de Pandémie qui incite de plus en plus à utiliser l'outil informatique.

**Matériel et méthodes** : Etude descriptive, quantitative et observationnelle de l'utilisation de l'outil informatique via une enquête par questionnaire anonyme transmis à plus de 1000 médecins généralistes libéraux de Picardie.

**Résultats** : Parmi les 167 répondants, 57,4% effectuaient des mises à jour automatiques et régulières, 8,7% utilisaient des mots de passes complexes et différents, 71,4% disposaient d'un antivirus et 40,4% d'un pare-feu, 5% connaissaient le cadre légal concernant les pertes de données.

**Discussion** : Les résultats mettent en évidence un ensemble de failles qui, lorsqu'elles sont associées, révèlent un taux de profils potentiellement non sécurisés de plus de 96,5%.

**Conclusion** : L'évaluation de la cybersécurité des médecins généralistes libéraux de Picardie présente un niveau de sécurisation insuffisant face au risque de piratage grandissant et à l'importance des données à protéger. Une sensibilisation à la cybersécurité des médecins libéraux serait souhaitable.

**Mots-clés** : médecine générale, cybersécurité, piratage, sécurité informatique, protection des données patients.

## Cybersecurity of private general practitioners in Picardy

**Introduction:** In recent months, hospitals, clinics and health centers have been victims of cyber-attacks. In some cases, the hackers blocked the operation of computers and then demanded the payment of a ransom to allow them to restart, in others they stole data contained in the medical files of patients and threatened to release them if a ransom was not paid to them. Picard general practitioners are also exposed to these difficulties related to the use of technology. It appeared necessary to evaluate the cybersecurity arrangements of private practitioners in Picardy, particularly in the context of the COVID-19 Pandemic which led to an increase in the use of technology and remote access solutions.

**Materials and methods:** A descriptive, quantitative and observational study of the use of technology with an anonymous questionnaire survey sent to more than 1000 private general practitioners in Picardy.

**Results:** Of the 167 respondents, 57.4% performed automatic and regular systems updates. 8.7% used complex and different passwords. 71.4% had an antivirus and 40.4% a firewall. 5% knew the legal framework regarding data loss

**Discussion:** The results highlight a set of vulnerabilities which, together, reveal a rate of potentially insecure profiles of more than 96.5%.

**Conclusion:** The evaluation of the cybersecurity of private general practitioners in Picardy presents an insufficient level of security in the face of the growing risk of hacking and the vulnerability of the data to be protected. Increased awareness of Cybersecurity among private doctors would be desirable.

**Keywords:** general medicine, cybersecurity, hacking, computer security, protection of patient data.