Cybersécurité en santé : pourquoi la maîtrise des identités devient prioritaire

Les établissements de santé sont parmi les organisations les plus ciblées en matière de cyberattaques, et parmi les moins matures sur la gestion de leurs identités numériques. Ce n’est pas un hasard. Des années de priorité donnée au soin, à juste titre, des systèmes d’information construits par couches successives, des équipes IT en sous-effectif chronique : la dette s’est accumulée mécaniquement. Aujourd’hui, le constat est vertigineux.

Un retard structurel, pas un simple décalage

Sur le terrain, la réalité est connue de tous ceux qui travaillent avec les établissements de santé. Les comptes partagés entre professionnels restent une pratique courante, faute de mieux. Les applications fonctionnent en silos, sans communication entre elles, ce qui rend impossible toute vision consolidée des accès. Personne, dans beaucoup d’établissements, n’est en mesure de répondre simplement à la question : qui a accès à quoi ?

La gestion des intervenants extérieurs, vacataires, intérimaires, prestataires, est un angle mort. Ils entrent, ils accèdent, ils partent, et leurs comptes restent. Les accès ne sont pas sécurisés, les droits ne sont pas revus, les départs ne déclenchent pas de suppression automatique.

Le cas du RPPS illustre bien la profondeur du problème. Ce référentiel national, censé garantir l’identification fiable de chaque professionnel de santé, devrait être une brique élémentaire. Dans les faits, l’obtenir, le reporter correctement dans les systèmes RH et les outils métiers, traquer les erreurs de saisie et les doublons, représente une charge considérable pour des équipes IT déjà saturées. On parle de la donnée d’identification la plus basique, et elle n’est pas fiabilisée.

Ce n’est pas de la négligence. C’est le résultat d’un secteur qui n’a jamais eu les conditions pour industrialiser ce sujet.

L’État donne le cap et un calendrier

HOP’EN 2, sur la période 2026-2028, et le programme HospiConnect posent un cadre clair. Le volet 2 de HospiConnect porte explicitement sur la gouvernance des identités et la gestion du cycle de vie des accès. Les financements sont là. Les objectifs sont définis. Le message est limpide : la maîtrise des identités numériques n’est plus optionnelle, c’est une brique structurante de la transformation numérique en santé.

Le vrai défi : absorber le sujet sans s’enliser

Le risque maintenant, c’est que les établissements se retrouvent face à un mur. Des obligations à respecter, des financements à mobiliser dans des délais contraints, et toujours pas plus de bras. Le secteur santé n’absorbera pas un projet de gouvernance des identités classique, étalé sur 18 mois, piloté par un cabinet de conseil externe déconnecté des réalités opérationnelles.

Ce qu’il faut, c’est une approche calibrée pour cette réalité : un déploiement rapide, un accompagnement opérationnel qui peut aller jusqu’au service managé pour les structures qui n’ont pas les ressources en interne, et une logique de résultats concrets avant une logique de fonctionnalités. Pour ce secteur plus que pour tout autre, l’accompagnement n’est pas un bonus. C’est la condition de réussite.

La gouvernance des identités est un sujet de confiance

Dans un secteur où la donnée patient est parmi les plus sensibles qui existent, savoir qui accède à quoi n’est pas un sujet IT périphérique. C’est un prérequis de confiance : confiance des patients dans la protection de leurs données, confiance des tutelles dans la conformité des établissements, confiance des équipes soignantes dans les outils numériques qu’elles utilisent au quotidien.

Les établissements qui réussiront cette transition sont ceux qui traiteront la gouvernance des identités non pas comme un projet technique de plus à absorber, mais comme le socle sur lequel repose leur transformation numérique.

François Poulet chez Youzer