Les gros titres en provenance de Suisse romande concernant la cybercriminalité inquiètent l’ensemble des cabinets médicaux. De manière générale, le nombre de cyberincidents ne cesse d'augmenter et les pirates informatiques sont d’avantage organisés et utilisent des moyens de plus en plus sophistiqués.

 

Statista : Nombre d'incidents de cybercriminalité déclarés au Centre national de cybersécurité (NCSC) de la Suisse de janvier 2021 à mars 2025

 

Nous vous informons volontiers sur les mesures et les activités que nos spécialistes mettent en œuvre pour rendre l'attaque d'Axenita aussi difficile que possible pour les pirates informatiques.

 

Gestion des correctifs à tous les niveaux

Dès le développement de notre logiciel pour cabinets médicaux, nous avons veillé à ce qu'Axenita ne soit pas vulnérable aux attaques de piratage. De même, lors de tous les développements ultérieurs, un scanner vérifie systématiquement le code du logiciel pour détecter les vulnérabilités et les failles de sécurité connues, les fameuses CVE (voir glossaire).

 

Système / Structure de la base de données

Le logiciel et la base de données de chaque cabinet médical fonctionnent sur une instance propre. Ainsi, si une attaque venait atteindre le logiciel, les pirates ne peuvent accéder qu'aux données d'un seul cabinet, ceci contrairement à une base de données centrale comme c’est le cas dans un système multi-clients.

 

Login avec authentification à deux facteurs

Le mot de passe pour Axenita se compose d'au moins 12 caractères. Pour que celui-ci soit le plus sûr possible, il doit contenir un certain nombre de lettres majuscules et minuscules, de chiffres et de caractères spéciaux.

La deuxième authentification consiste en un mot de passe supplémentaire à usage unique.

Afin d'éviter une attaque par force brute (de nombreuses combinaisons de mots de passe sont essayées les unes après les autres, voir glossaire), un délai a été intégré dans Axenita entre les différentes saisies de mots de passe. Ainsi, il faudrait beaucoup de temps pour qu'une liste de combinaisons de mots de passe puisse être essayée.

 

WAF

Le Web Application Firewall (WAF) est constamment adapté aux nouvelles failles de sécurité (par ex. Cross-Site-Scripting (XSS) et SQL Injection) et aux plus grandes menaces actuelles (OWASP Top Ten).

 

Pare-feu

Le pare-feu représente une autre technologie de protection contre les intrusions :

IDS (Intrusion Detection System) et IPS (Intrusion Prevention System) sont des systèmes de sécurité qui détectent et repoussent les attaques dirigées sur les systèmes informatiques.

 

Tests d'intrusion réguliers

Des ethical hackers (également connus sous le nom de white hat hackers), mandatés par nos soins, effectuent régulièrement des tests sur nos sites web, nos systèmes, nos plateformes ainsi que sur Axenita et identifient ainsi les éventuelles failles de sécurité.

 

Centre de données

Dans notre blog « Traitement de données dans le Datacenter », nous avons déjà traité en détail les thèmes de la sécurité et de la protection des données.

Dans le but d’offrir toujours plus de sécurité à nos clients, à partir du troisième trimestre 2025, notre logiciel sera exploité dans un système géo-redondant :

La géodondance signifie la garantie de la poursuite de l'exploitation des systèmes informatiques par des centres de données situés à différents endroits, c'est-à-dire qu'en cas de catastrophe ou d'autres perturbations à un endroit, il est possible d'accéder à l'autre centre de données. Cela permet d'augmenter la disponibilité du logiciel.

 

Sensibilisation et formation à la sécurité

Tous les collaborateurs d'Axonlab sont tenus de suivre des formations obligatoires sur les thèmes du phishing, de l'ingénierie sociale et de l'utilisation sécurisée des mots de passe. Afin d'accroître la sensibilité, des campagnes de phishing simulées sont réalisées à des fins de test.

 

Glossar

CVE (Common Vulnerabilities and Exposures)	Vulnérabilités et risques fréquents
Instance dans l'IT	Une unité d'exécution (un serveur, une base de données ou une application logicielle)
Authentification à deux facteurs	Autorisation d'accès avec la combinaison de deux composants (« facteurs ») différents et surtout indépendants l'un de l'autre.
Force brute (Brutforce)	Méthode systématique qui consiste à casser des mots de passe ou des clés de chiffrement par essais et erreurs. Un attaquant réessaie une liste de mots fréquents et les essaie l'un après l'autre jusqu'à ce qu'un fonctionne
WAF (Web Application Firewall)	Bouclier de protection entre Internet et le Datacenter.
Cross-Site-Scripting /XSS	Des fichiers XML sont introduits, les commandes qu'ils contiennent sont exécutées par le serveur.
OWASP Top Ten	Liste des risques de sécurité les plus critiques pour les applications web https://owasp.org/www-project-top-ten/
IDS (Intrusion Detection System)	Outil de sécurité qui surveille et analyse le trafic et signale les activités suspectes aux équipes informatiques et de sécurité.
IPS (Intrusion Prevention System)	Bloque de manière proactive le trafic malveillant afin qu'il ne puisse pas pénétrer dans leur réseau.
Ethical Hackers	Les Ethical Hackers sont des experts en sécurité informatique qui ne s'introduisent dans les systèmes informatiques qu'avec l'accord du propriétaire du système testé et qui testent ainsi les systèmes informatiques, les réseaux ou les applications à la recherche de failles de sécurité.