Sauvegarde du cabinet : vos dossiers patients sont-ils réellement restaurables ?

Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, décrit une évolution nette des rançongiciels : les attaquants ne se contentent plus de chiffrer les fichiers pour les rendre inaccessibles, ils cherchent aussi à copier les données avant de les chiffrer, et à détruire les sauvegardes qu'ils trouvent, pour empêcher toute restauration et faire monter la pression. Le même dispositif recommande de disposer de sauvegardes déconnectées du réseau, précisément parce qu'une sauvegarde reliée en permanence peut être atteinte en même temps que le reste.

Pour un cabinet, cela déplace la question. Ce n'est plus « ai-je une sauvegarde ? », auquel presque tout le monde répond oui, mais « cette sauvegarde tiendrait-elle si le reste tombait, et suis-je sûr de pouvoir la restaurer ? ». Or les dossiers patients sont, au sens de l'article 9 du RGPD, des données d'une catégorie particulière, celles qu'on protège le plus. Une sauvegarde qui les concerne mérite donc plus qu'une case cochée. Voici comment le vérifier, et où s'arrête mon rôle.

Ce qui fait la différence, le plus souvent, c'est une copie isolée et une restauration déjà testée.

Ce que cela veut dire dans le quotidien du cabinet

En pratique, « la sauvegarde » d'un cabinet recouvre des situations très différentes. Il y a le disque externe branché en permanence sur le serveur, qui se remplit sans que personne ne vérifie. Il y a la copie que fait, ou non, votre éditeur si votre logiciel métier est hébergé chez lui. Il y a le poste de la secrétaire qui contient, en réalité, des documents qu'on croyait sur le serveur. Et il y a, parfois, une sauvegarde en ligne dont plus personne ne connaît le mot de passe.

Le point commun de ces situations, c'est qu'elles n'ont jamais été mises à l'épreuve. Une sauvegarde ne prouve sa valeur que le jour où on la restaure. Tant qu'on ne l'a pas fait, on ignore si elle est complète, si elle est lisible par votre logiciel, si elle contient les documents liés aux dossiers, ou si elle s'est simplement arrêtée un jour sans alerte.

Et il faut distinguer deux choses souvent confondues. La sauvegarde protège contre la perte : elle permet de reconstituer. La continuité, elle, protège contre l'arrêt : elle permet de travailler pendant l'incident. Les deux sont utiles, mais une bonne sauvegarde ne garantit pas à elle seule que vous pourrez consulter vos dossiers demain matin. Ce satellite parle de la première ; la seconde est traitée dans l'article sur la continuité des soins.

Ce qui lâche le jour où il faut restaurer

Trois risques reviennent quand la sauvegarde d'un cabinet repose sur une supposition.

• La perte de données : découvrir, au moment de restaurer, que la sauvegarde est incomplète, corrompue, ou arrêtée depuis un moment sans que personne ne l'ait su.
• La sauvegarde emportée avec le reste : une copie reliée en permanence au réseau qu'un rançongiciel chiffre ou détruit en même temps que les fichiers d'origine, comme le décrit Cybermalveillance.
• La divulgation : une sauvegarde de données de santé mal protégée, exposée ou volée, qui devient une fuite au sens du RGPD, avec ses obligations de notification.

Ces risques ne se découvrent pas au bon moment si on ne les teste pas. La bonne nouvelle, c'est qu'ils se vérifient à froid, sans attendre l'incident.

La règle simple que je recommande, et pourquoi

D'expérience, la façon la plus claire de tenir une sauvegarde sérieuse tient en une règle connue des professionnels : trois copies des données, sur deux supports différents, dont une isolée du système de production. L'idée n'est pas d'empiler la technique, mais de faire en sorte qu'aucun incident unique, un vol, un incendie, un rançongiciel, une erreur de manipulation, ne puisse atteindre toutes les copies à la fois.

Deux propriétés sont ici distinctes, et souvent confondues. Au moins une copie doit être isolée du système de production, par exemple hors ligne, protégée contre la modification ou administrée avec des identifiants distincts. Une copie doit aussi être conservée sur un autre site pour résister à un sinistre affectant les locaux. L'ANSSI recommande de prendre en compte des sauvegardes hors ligne et de vérifier périodiquement que les restaurations fonctionnent.

La copie isolée est le point que je souligne, parce que c'est celui que la menace actuelle vise directement. Une sauvegarde qui n'est reliée au réseau que le temps de la copie, puis isolée, reste hors de portée d'une attaque qui frappe le reste. C'est cette copie qui permet de repartir quand tout le reste a été chiffré.

Et une sauvegarde de données de santé se protège comme les données elles-mêmes : chiffrée, à accès restreint, et si elle est hébergée par un tiers, chez un prestataire certifié HDS. Une copie de dossiers patients qui traîne sur un disque non protégé est une fuite en puissance.

Une grille pour vérifier que vos dossiers sont restaurables

Ces questions n'exigent aucune compétence technique. Leurs réponses disent l'essentiel.

• Savez-vous où sont vos sauvegardes, et depuis quand la dernière est datée ?
• L'une de vos copies est-elle déconnectée du réseau, et non reliée en permanence ?
• Une restauration complète a-t-elle déjà été testée cette année, dossiers et documents liés compris ?
• La sauvegarde inclut-elle les pièces jointes aux dossiers, pas seulement la base du logiciel ?
• Si votre logiciel est hébergé chez l'éditeur, savez-vous précisément ce qu'il sauvegarde, et ce que vous pouvez récupérer par vous-même ?
• Vos sauvegardes de données de santé sont-elles chiffrées et à accès restreint ?
• Recevez-vous une alerte si une sauvegarde échoue, ou pourrait-elle s'arrêter sans que personne ne le voie ?

Où s'arrête mon rôle, où commence le vôtre

La ligne est nette, et elle vous protège. Je mets en place les copies, dont une isolée, je les chiffre, j'automatise les alertes en cas d'échec, et surtout je teste la restauration et je vous en communique le résultat daté. Ce qui reste à vous, avec votre délégué à la protection des données le cas échéant : qualifier une éventuelle fuite de sauvegarde, apprécier le risque pour les patients, décider des durées de conservation clinique. Je fournis les faits techniques ; la qualification vous revient.

Ce que la sauvegarde vous fait gagner

Recadrée sans jargon, une sauvegarde testée se traduit en trois termes.

Du temps : restaurer depuis une copie saine est en général bien plus rapide que reconstituer des dossiers perdus, quand c'est même possible. La durée réelle dépend du volume, de l'infrastructure et de l'état de la sauvegarde, d'où l'intérêt de la mesurer lors d'un test plutôt que de la supposer.

De l'argent : une base patients perdue, c'est une activité à l'arrêt et un travail de ressaisie considérable. Le coût d'une sauvegarde sérieuse est sans commune mesure.

De la responsabilité : vous restez maître de vos données et en mesure de démontrer que vous les protégez, ce que le RGPD attend d'un responsable de traitement.

Sur l'hébergement, un mot en fin de parcours : une fois la sauvegarde fiabilisée, l'endroit où vivent vos copies se vérifie en trois points distincts, la certification HDS du prestataire, la localisation contractuelle des données et vos conditions de réversibilité. C'est une destination à préparer, pas un préalable.

Par où commencer

Commencez par un test de restauration documenté : je sélectionne un dossier représentatif, je vérifie que sa base et ses documents liés reviennent complets, je mesure le temps que cela prend, et vous recevez un compte rendu indiquant ce qui fonctionne, ce qui manque et les corrections prioritaires. Vous savez alors, sur pièce, où vous en êtes.