PACS chiffré, traitements à l'arrêt : le guide cyber du cabinet d'imagerie
Un matin, le PACS est chiffré : plus aucune image, traitements suspendus, données patients en fuite. Le guide pour anticiper la cyberattaque en imagerie.
- Le PACS et les données d'imagerie concentrent des données de santé hautement sensibles, cible privilégiée des rançongiciels.
- Une attaque peut suspendre l'activité : images inaccessibles, planning de radiothérapie à l'arrêt, patients déprogrammés.
- Une violation de données de santé impose une notification à la CNIL et expose à des sanctions RGPD.
- L'assurance cyber finance la remédiation, la perte d'exploitation et la gestion de crise ; la multirisque protège le matériel.
Pourquoi l'imagerie est une cible de premier choix
Un cabinet d'imagerie ou un service de radiothérapie n'est pas un acteur informatique anodin : c'est un concentrateur de données de santé. Le PACS — le système d'archivage et de transmission des images — stocke des milliers d'examens nominatifs, associés à des comptes rendus, des historiques et des données d'identité. Pour un cybercriminel, c'est une cible à très forte valeur.
Deux raisons en font une proie privilégiée des rançongiciels :
- La criticité opérationnelle : sans accès aux images, l'activité s'arrête net. Cette dépendance totale rend la victime particulièrement encline à payer une rançon pour reprendre le travail.
- La sensibilité des données : les données de santé figurent parmi les plus protégées et les plus monnayables. Leur vol permet le chantage à la divulgation, en plus du chiffrement.
S'ajoute une réalité technique : les environnements d'imagerie reposent souvent sur des équipements et logiciels spécialisés, parfois anciens, difficiles à mettre à jour sans interrompre l'activité. Cette dette technique ouvre des brèches que les attaquants savent exploiter.
Le scénario : un matin sans images
Imaginez l'arrivée au cabinet un lundi matin. Les postes affichent un message de rançon. Le PACS est chiffré : aucune image n'est consultable, ni les examens du jour ni les antériorités. Le logiciel de planification de radiothérapie est lui aussi bloqué.
Les conséquences se cascadent en quelques heures :
- Les examens du jour sont déprogrammés : impossible d'interpréter sans accès aux acquisitions.
- Les séances de radiothérapie sont suspendues : les plans de traitement sont inaccessibles, et interrompre une série d'irradiation a des conséquences cliniques pour les patients.
- Les comptes rendus en attente sont gelés, retardant la prise en charge en aval.
- La question du paiement se pose, avec son lot de dilemmes éthiques et juridiques.
Au-delà de la paralysie, une seconde menace plane : les attaquants ont peut-être exfiltré les données avant de les chiffrer. La crise n'est alors plus seulement opérationnelle, elle devient une violation de données de santé avec toutes ses obligations légales. C'est précisément ce double risque — interruption d'activité et fuite de données — que couvre une assurance cyber dédiée aux professionnels de santé.
Le volet RGPD : une violation de données de santé
Les images médicales et leurs métadonnées sont des données de santé, catégorie particulière bénéficiant d'une protection renforcée. Une cyberattaque qui compromet leur confidentialité constitue une violation de données personnelles au sens du RGPD, déclenchant des obligations strictes.
Vos responsabilités en tant que responsable de traitement :
- Notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation, lorsqu'elle présente un risque pour les personnes.
- Informer les patients concernés lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
- Documenter l'incident dans un registre des violations, que la CNIL peut contrôler.
Le défaut de notification ou l'insuffisance des mesures de sécurité expose à des sanctions administratives, sans compter l'atteinte à la réputation et la perte de confiance des patients. La gestion d'une violation de données de santé exige des compétences juridiques et techniques que peu de cabinets possèdent en interne. C'est l'un des apports majeurs d'une assurance cyber : elle mobilise des experts en gestion de crise, juristes spécialisés et communicants, dès les premières heures.
Ce que couvre une assurance cyber en imagerie
Face à un sinistre cyber, les postes de coût se multiplient bien au-delà de la seule rançon. Une assurance cyber adaptée à un cabinet d'imagerie ou de radiothérapie intervient sur plusieurs fronts :
| Garantie | Ce qu'elle prend en charge |
|---|---|
| Remédiation technique | Experts en sécurité, restauration des systèmes, reconstruction du PACS |
| Pertes d'exploitation | Indemnisation de l'activité interrompue pendant l'immobilisation |
| Gestion de crise | Cellule de crise, juristes RGPD, notification CNIL, communication |
| Responsabilité civile | Réclamations de patients dont les données ont fuité |
| Frais de notification | Information des patients concernés |
La perte d'exploitation est souvent le poste le plus lourd : un cabinet d'imagerie immobilisé plusieurs jours, voire semaines, subit une perte de chiffre d'affaires considérable, sans interruption de ses charges fixes. L'assurance cyber comble ce manque à gagner, là où une RC Pro classique ne couvre que la responsabilité médicale et reste muette sur le risque numérique.
Réduire le risque : hygiène numérique et continuité
L'assurance absorbe le choc, mais la prévention reste la première ligne de défense. Quelques mesures réduisent fortement la probabilité et l'impact d'une attaque :
- Des sauvegardes isolées et testées : une copie déconnectée du réseau, restaurée régulièrement à blanc, est votre meilleure protection contre le chiffrement. Une sauvegarde jamais testée est une fausse sécurité.
- La segmentation du réseau : isoler le PACS et les équipements médicaux du reste du système limite la propagation d'une infection.
- La mise à jour des systèmes et le remplacement progressif des équipements obsolètes, principal vecteur d'intrusion.
- L'authentification forte et la limitation des accès aux seuls comptes nécessaires.
- Un plan de continuité : que faire concrètement, le matin où le PACS est chiffré ? Procédures de bascule, contacts d'urgence, protocole de déprogrammation des patients.
Au-delà du numérique, n'oubliez pas que vos serveurs, vos postes et votre plateau technique sont aussi des biens physiques exposés à l'incendie, au dégât des eaux ou au vol : une multirisque professionnelle protège ce matériel, là où le cyber protège les données et l'activité. Les deux couvertures sont complémentaires. Pour une vue d'ensemble des garanties pertinentes selon votre situation, la fiche radiologue radiothérapeute détaille les produits adaptés.
Questions fréquentes
Parce qu'il concentre des données de santé hautement sensibles et monnayables, et parce que son activité dépend totalement de l'accès aux images. Cette criticité rend la victime plus encline à payer pour reprendre le travail. Les équipements et logiciels spécialisés, parfois anciens, ajoutent des vulnérabilités techniques exploitées par les attaquants.
Une fuite de données de santé est une violation au sens du RGPD. Vous devez notifier la CNIL dans les 72 heures si la violation présente un risque, informer les patients concernés en cas de risque élevé, et documenter l'incident dans un registre. Une assurance cyber mobilise des juristes et experts pour piloter ces obligations dès les premières heures.
Oui. La garantie pertes d'exploitation indemnise la perte de chiffre d'affaires pendant l'immobilisation du cabinet, alors que les charges fixes continuent de courir. C'est souvent le poste le plus lourd d'un sinistre cyber, bien au-delà de la rançon, et une RC Pro classique ne le couvre pas.
Elle est essentielle mais pas suffisante. La sauvegarde doit être isolée du réseau (déconnectée) et testée régulièrement par des restaurations à blanc, sinon elle peut être chiffrée en même temps que le reste ou s'avérer inexploitable. Elle ne couvre pas non plus le risque de fuite de données ni les obligations RGPD, d'où l'intérêt d'une assurance cyber dédiée.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Radiologue Radiothérapeute — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Radiologue Radiothérapeute →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.