Leçon 19/19 · La coordination au quotidien
Sécurité informatique : les réflexes du quotidien
Mots de passe, postes partagés, hameçonnage et réaction à un incident : les gestes de sécurité qui protègent une équipe de MSP au quotidien, et ce que change le délai de 72 heures en cas de violation de données.
L'essentiel en 3 points
- La sécurité des données n'est pas affaire de spécialiste : un mot de passe unique par service et une session verrouillée en l'absence de son utilisateur règlent la plupart des incidents avant qu'ils n'arrivent.
- L'hameçonnage (phishing) se reconnaît à un signal constant : une demande urgente d'informations sensibles — mot de passe, IBAN — par un message qui se fait passer pour un tiers de confiance. Aucune administration sérieuse ne les demande ainsi.
- En cas de violation avérée de données personnelles, la structure dispose en principe de 72 heures pour notifier la CNIL une fois le fait constaté — un délai qui se compte, pas qui se rattrape.
La plupart des incidents de sécurité dans une petite structure ne viennent pas d'une attaque sophistiquée : ils viennent d'un mot de passe partagé entre trois personnes, d'une session laissée ouverte en salle de pause, ou d'un mail urgent auquel on a répondu trop vite. Cette leçon donne les réflexes qui évitent l'essentiel de ces incidents, et la marche à suivre le jour où l'un d'eux survient quand même.
Le socle : mots de passe et postes partagés
Le responsable d'un traitement de données personnelles est tenu à une obligation de sécurité : il doit prendre les mesures nécessaires pour protéger les données qu'il collecte. Pour la plupart des structures, cette obligation commence par des mesures simples, dites « d'hygiène informatique », qui constituent un socle indispensable avant toute solution technique plus poussée.
Deux gestes portent l'essentiel du risque quotidien dans une MSP :
- Un mot de passe unique par service, jamais partagé entre plusieurs personnes de l'équipe — un compte nominatif permet de savoir qui a fait quoi, un compte partagé ne le permet plus.
- Une session verrouillée dès qu'un poste est laissé sans surveillance, en particulier sur un ordinateur accessible dans une salle commune ou un secrétariat partagé.
Aller plus loinGuideCNILNational
Sécurité des données
L'obligation de sécurité expliquée par niveaux de mesures — le point de départ avant de choisir un outil ou une procédure.
Lien vérifié le 25/08/2026
Consulter la ressource
Un identifiant unique sert à toute l'équipe pour un outil
- Le mauvais réflexe
- Continuer à le partager par simplicité
- Le bon réflexe
- Demander un compte nominatif par personne auprès de l'éditeur de l'outil
Un poste reste ouvert pendant une pause
- Le mauvais réflexe
- Laisser la session active « pour quelques minutes »
- Le bon réflexe
- Verrouiller systématiquement, même pour une absence brève
Un mail urgent demande un IBAN ou un mot de passe
- Le mauvais réflexe
- Répondre vite pour ne pas bloquer un dossier
- Le bon réflexe
- Vérifier par un second canal avant toute réponse
| Situation | Le mauvais réflexe | Le bon réflexe |
|---|---|---|
| Un identifiant unique sert à toute l'équipe pour un outil | Continuer à le partager par simplicité | Demander un compte nominatif par personne auprès de l'éditeur de l'outil |
| Un poste reste ouvert pendant une pause | Laisser la session active « pour quelques minutes » | Verrouiller systématiquement, même pour une absence brève |
| Un mail urgent demande un IBAN ou un mot de passe | Répondre vite pour ne pas bloquer un dossier | Vérifier par un second canal avant toute réponse |
Reconnaître l'hameçonnage (phishing)
L'hameçonnage est une technique frauduleuse qui vise à faire communiquer des données personnelles ou bancaires en se faisant passer pour un tiers de confiance — une administration, une banque, un fournisseur habituel. Le signal qui doit alerter est presque toujours le même : une urgence artificielle, associée à une demande d'information sensible.
Le réflexe qui protège dans la quasi-totalité des cas : ne jamais communiquer d'informations sensibles par messagerie ou téléphone, quelle que soit l'urgence affichée. Aucune administration ni société sérieuse ne demande un mot de passe ou des coordonnées bancaires par ce biais.
Aller plus loinGuideCybermalveillance.gouv.frNational
Que faire en cas de phishing ou hameçonnage ?
La fiche réflexe officielle : comment reconnaître une tentative et que faire immédiatement après, avant et après avoir cliqué.
Lien vérifié le 25/08/2026
Consulter la ressource
Exemple fictif — Les Trois Rivières : le faux mail du fournisseur
« Les Trois Rivières » est une équipe fictive : elle sert de fil rouge chiffré à ces leçons.
La référente comptabilité reçoit un mail signé du nom d'un fournisseur habituel : « nouveau RIB, merci de mettre à jour le prochain virement en urgence ». Le ton est pressant, l'adresse d'expéditeur ressemble à s'y méprendre à la vraie.
Avant tout virement, elle appelle le fournisseur sur le numéro déjà connu de la structure — pas celui indiqué dans le mail — pour confirmer le changement. Le fournisseur n'a rien envoyé de tel : le mail était une tentative d'hameçonnage ciblée sur un virement. Le second canal de vérification a suffi à l'arrêter.
Réagir à un incident : le délai de 72 heures
Quand une violation de données personnelles est avérée — perte, vol, accès non autorisé, ou destruction accidentelle — le responsable de traitement dispose en principe d'un délai de 72 heures après sa constatation pour la notifier à la CNIL, si le risque pour les personnes concernées le justifie. Si ce délai est dépassé, la notification doit expliquer les motifs du retard : le délai ne disparaît pas, il se justifie.
Pour une MSP, cela suppose deux choses avant même qu'un incident survienne : savoir qui, dans la structure, doit être alerté en premier, et ne jamais attendre d'avoir « compris toute l'histoire » avant de remonter l'information — le délai court depuis la constatation, pas depuis la résolution.
Aller plus loinGuideCNILNational
Notifier une violation de données personnelles
La procédure officielle de notification, et ce qu'elle attend de vous dans les 72 heures qui suivent la constatation d'une violation.
Lien vérifié le 25/08/2026
Consulter la ressource
Guide SisaFlow — pas à pas dans l'application
Sécurité et confidentialité
Les réglages qui protègent les accès et les documents de la structure au quotidien.
Ouvrir le guide
À faire dans votre structure~10 min
Écrire votre fiche réflexe « incident », avant d'en avoir besoin
En trois lignes : qui, dans votre équipe, doit être alerté en premier si un ordinateur est volé, si un mail suspect a été ouvert, ou si un document contenant des données de patients semble avoir été envoyé par erreur ? Notez son nom, et le moyen de le joindre rapidement.
Une fiche écrite avant l'incident se lit en trente secondes le jour où elle sert vraiment ; improvisée sur le moment, elle coûte des heures qui comptent dans le délai de 72 heures.
Connectez-vous à votre espace pour rendre ce travail et le faire relire.
Selon votre rôle
Professionnel membre
Un mot de passe partagé ou un poste laissé ouvert en salle de pause n'est pas un détail technique : c'est votre nom qui apparaît dans le journal des accès si une donnée de patient en sort par ce chemin-là.
Comptable / référent comptabilité
Les tentatives d'hameçonnage visent en priorité qui manie les virements et les RIB : un mail « urgent » demandant de changer un IBAN de fournisseur mérite toujours une vérification par un second canal avant exécution.
9 questions — validez cette leçon dans votre espace
Quiz corrigé instantanément, progression conservée, attestation de réussite par parcours. Gratuit — identifiez-vous simplement.