Les Hospices Civils de Lyon (HCL) ont renforcé les conditions d’accès à distance à leur messagerie professionnelle. Pour les agents en télétravail, se connecter au webmail HCL depuis un réseau domestique ou un appareil personnel suppose de franchir plusieurs couches de sécurité, dont certaines ont changé récemment. Comprendre ces mécanismes évite autant les blocages techniques que les risques de fuite de données de santé.
Portail RDS et mot de passe à usage unique : ce qui a changé aux HCL
Le portail d’accès à distance des HCL (portail RDS) a fait évoluer sa procédure de connexion depuis l’extérieur de l’établissement. Le changement principal concerne l’introduction d’un mot de passe à usage unique généré par une application d’authentification installée sur le téléphone personnel ou un ordinateur non HCL.
Lire également : Introduction à la sécurité des réseaux sans fil
Trois types d’applications sont compatibles avec ce dispositif : Google Authenticator, Microsoft Authenticator et Authy. Un gestionnaire de mots de passe prenant en charge la fonction TOTP (Time-based One-Time Password) peut aussi convenir.
La configuration se fait une seule fois, avant la première connexion à distance. Une fois l’application liée au compte, chaque tentative de connexion exige la saisie du code temporaire en complément de l’identifiant et du mot de passe habituels. Cette modification ne concerne pas les agents qui se connectent depuis un poste informatique HCL : ceux-ci conservent leur procédure antérieure.
A lire également : Cybersécurité : comment réagir face à une attaque en entreprise
Autre restriction à noter : les personnes situées hors Union européenne, en Suisse, ou utilisant un système d’exploitation ancien ne peuvent plus accéder au portail RDS pour le moment. Ce verrouillage géographique et technique traduit une politique de réduction de la surface d’attaque.
Sécurité du webmail HCL en télétravail : au-delà du VPN
Le portail HCL propose le téléchargement d’un client F5 (disponible pour Windows et Mac OS) qui établit un tunnel chiffré entre le poste de l’agent et le réseau interne. Ce tunnel protège les flux de données en transit, mais il ne couvre qu’une partie du problème.
Le poste personnel comme maillon faible
Un VPN ne protège pas contre un appareil compromis. Si l’ordinateur utilisé en télétravail contient un logiciel malveillant ou un navigateur non mis à jour, le tunnel chiffré transporte des données vers un environnement déjà vulnérable. La CNIL recommande aux employeurs de fournir des consignes précises sur la sécurisation des postes personnels lorsqu’ils autorisent leur usage professionnel.
En pratique, les agents des HCL qui utilisent un équipement personnel devraient au minimum vérifier ces points avant chaque session :
- Système d’exploitation et navigateur à jour, avec les correctifs de sécurité appliqués sans délai
- Antivirus actif et base de signatures récente, y compris sur Mac OS où la perception de sécurité native reste trompeuse
- Session utilisateur distincte du reste de la famille, protégée par un mot de passe propre, pour éviter qu’un tiers accède aux données professionnelles
- Aucun fichier médical ou administratif stocké localement en dehors de la session webmail, sauf nécessité avérée et chiffrement du dossier concerné
Double authentification et traçabilité des connexions
L’authentification multifacteur mise en place par les HCL s’inscrit dans une tendance plus large. Les recommandations nationales poussent les établissements de santé à imposer un second facteur pour tout accès distant aux applications sensibles, messagerie comprise. La CNIL mentionne explicitement la double authentification comme règle de sécurité applicable au télétravail.
La traçabilité des connexions constitue l’autre volet. Chaque accès au portail RDS laisse une trace (horodatage, adresse IP, identifiant). Cette journalisation permet de détecter des connexions anormales et d’alimenter une procédure de réponse en cas de violation de données.
Minimisation des données dans la messagerie : un angle négligé
La plupart des guides de sécurité en télétravail se concentrent sur les tuyaux (VPN, chiffrement, pare-feu) et peu sur ce qui circule dedans. La CNIL rappelle les principes de minimisation et de limitation de conservation prévus par le RGPD : ne collecter que les informations strictement nécessaires, ne pas conserver indéfiniment les pièces jointes, organiser des revues périodiques du contenu stocké.
Appliqué au webmail HCL, ce principe signifie par exemple qu’un agent en télétravail devrait éviter de s’envoyer un dossier patient complet par mail quand seule une partie des informations est nécessaire à la tâche en cours. Plus la quantité de données exposée dans la messagerie est faible, moins une éventuelle compromission du compte aura de conséquences.
Pièces jointes et chiffrement côté expéditeur
Envoyer un fichier sensible en pièce jointe d’un mail classique revient au fond à rendre ce fichier lisible par quiconque intercepte le message ou accède au compte. Plusieurs solutions permettent de limiter ce risque :
- Chiffrer le fichier avant envoi avec un outil tiers (7-Zip avec chiffrement AES, par exemple) et transmettre le mot de passe par un canal séparé
- Utiliser un service de transfert sécurisé qui permet de révoquer l’accès après téléchargement, plutôt que de laisser la pièce jointe indéfiniment dans la boîte du destinataire
- Préférer un lien vers un espace partagé interne (si l’infrastructure HCL le permet) avec des droits d’accès limités dans le temps
Ces précautions paraissent contraignantes au quotidien. En revanche, elles réduisent considérablement l’impact d’une fuite si un compte est compromis.
Plan de réponse aux incidents : ce que la CNIL attend désormais
Au-delà des mesures techniques, la CNIL insiste sur la nécessité de formaliser une analyse de risques et un plan de réponse spécifique aux accès à distance. Ce plan doit prévoir les conséquences potentielles d’une attaque : scénarios de fuite de données, procédure de crise interne, contacts d’urgence, et modalités de déclaration à la CNIL dans le délai réglementaire.
Pour un établissement comme les HCL, où la messagerie véhicule des données de santé protégées, tester ces dispositifs à intervalles réguliers constitue une obligation pratique autant que juridique. Un plan de réponse qui n’a jamais été simulé ne protège personne le jour où un incident survient.
Les retours terrain divergent sur la maturité réelle de ces procédures dans les établissements hospitaliers. La pression réglementaire existe, mais sa traduction opérationnelle varie d’un site à l’autre. L’accès au webmail en télétravail ne se limite donc pas à un problème de mot de passe ou de VPN : il engage la responsabilité de l’établissement sur toute la chaîne, du poste de l’agent jusqu’à la gestion de crise.
