MDM santé : sécuriser les terminaux à l'hôpital et en pharma

Un MDM en santé ne sert pas à « gérer des téléphones ». Il sert à garantir qu'une tablette posée sur un chariot de soins, prise par quatre soignants dans la journée, ne laisse rien traîner du patient précédent. C'est la différence entre un projet de mobilité hospitalière qui passe en comité de sécurité et un projet qui s'arrête là.

Les contraintes du secteur sont connues : secret médical, hébergement des données de santé, continuité des soins, dispositifs médicaux connectés. Ce qui est moins souvent explicité, c'est la façon dont elles se traduisent en réglages concrets sur un terminal iOS ou Android. Cet article part de la menace, puis descend au niveau du paramétrage.

Où en est la menace ? Des signaux très clairs

En 2024, 749 incidents ont été déclarés dans la santé et le médico-social en France, soit 29 % de plus qu'en 2023, une hausse liée pour partie à une meilleure remontée d'information. Source : ANS/CERT Santé, Observatoire 2024.

En Europe, la santé reste parmi les secteurs les plus visés, avec environ 45 % d'incidents de type ransomware et 28 % d'atteintes aux données. Conséquence directe : retours au mode dégradé, reports d'actes, transferts de patients (CERT-FR/ANSSI).

Pourquoi la santé et la pharma sont des cibles critiques

Combinaison à haut risque : des données sensibles (dossier patient informatisé, essais cliniques, secrets industriels), des systèmes complexes (SIH, LIMS, MES/EBR, IoMT, cloud) et des exigences réglementaires cumulées (RGPD, NIS2). Le ministère souligne l'impact potentiel sur la continuité des soins dans son dossier cybersécurité. Côté pharma, l'ENISA rappelle l'attrait des données de R&D et de la chaîne d'approvisionnement.

Le secret médical se joue aussi sur l'écran

Le secret professionnel s'applique à toute information venue à la connaissance d'un professionnel de santé. Quand cette information s'affiche sur une tablette tenue à bout de bras dans un couloir, la protection ne dépend plus du serveur mais du terminal.

Quatre réglages font l'essentiel du travail, et un MDM les applique de façon homogène sur toute la flotte plutôt qu'appareil par appareil :

• Verrouillage automatique court. Trente secondes, pas cinq minutes. Un écran de chambre qui reste allumé pendant qu'on répond à un appel, c'est une divulgation.
• Blocage des captures d'écran dans les applications métier, pour éviter que le dossier d'un patient se retrouve dans une galerie photo personnelle puis dans une sauvegarde grand public.
• Notifications masquées sur l'écran verrouillé. Un aperçu de message contenant un nom et un service suffit à trahir une hospitalisation.
• Chiffrement de l'appareil et code fort imposés à l'enrôlement, et non laissés au choix de l'utilisateur.

La CNIL détaille les attendus dans sa fiche Sécuriser l'informatique mobile, et son espace santé reprend les obligations propres au secteur.

Un point souvent oublié : le canal de messagerie. Si les équipes s'échangent des photos de plaies ou des résultats par messagerie grand public parce que l'outil officiel est trop lent, aucun réglage MDM ne rattrapera le problème. La bonne réponse est de distribuer l'application de messagerie sécurisée sur tous les terminaux, préconfigurée, sans que le soignant ait à chercher quoi que ce soit. C'est exactement le rôle d'un catalogue d'applications d'entreprise.

Hébergement HDS : ce que la certification couvre, et ce qu'elle ne couvre pas

La certification HDS vise les hébergeurs de données de santé. Prévue par l'article L.1111-8 du code de la santé publique, elle s'impose à tout organisme qui héberge, exploite ou sauvegarde des systèmes d'information de santé pour le compte d'un tiers, et se décline en deux périmètres : hébergement d'infrastructure physique et hébergement infogéré. Les certificats sont valables trois ans, avec audit de surveillance annuel (ANS, certification HDS).

Il faut être précis sur ce que cela implique pour un MDM, parce que la confusion est fréquente en appel d'offres.

Un MDM n'héberge pas de données de santé. Il gère les terminaux qui y accèdent. Ce qu'il stocke, c'est un inventaire d'appareils, des identifiants d'utilisateurs, des versions d'OS, des listes d'applications installées et des journaux d'événements. Aucune donnée de patient n'a de raison d'y transiter. Si votre solution de gestion de flotte contient des données de santé, le problème n'est pas la certification, c'est la conception.

Disons donc les choses telles qu'elles sont : Appaloosa n'est pas hébergeur certifié HDS, et n'est pas certifié ISO 27001. Appaloosa est hébergé en France sur une infrastructure qualifiée SecNumCloud par l'ANSSI, et l'éditeur relève du droit français. La certification HDS reste exigible de l'hébergeur de votre SIH ou de votre DPI, ce qui est un sujet distinct de celui du pilotage des terminaux.

Cette question de juridiction n'est pas théorique. Devant la commission d'enquête sénatoriale sur la commande publique, le 10 juin 2025, le directeur des affaires publiques et juridiques de Microsoft France a répondu « Non, je ne peux pas le garantir » à la question de savoir si les données de citoyens français confiées à son entreprise ne seraient jamais transmises à la suite d'une injonction du gouvernement américain (compte rendu du Sénat). Pour un établissement de santé, la localisation des serveurs et le droit auquel est soumis le fournisseur sont deux questions différentes, et la seconde décide.

Appareils partagés entre soignants : l'appareil appartient au poste, pas à la personne

C'est le point où la mobilité hospitalière diffère le plus de la mobilité en entreprise. Un smartphone d'entreprise a un propriétaire. Une tablette de service n'en a pas : elle passe de l'équipe de jour à l'équipe de nuit, du chariot de soins à la salle de transmission.

Les conséquences pratiques :

• Pas de session résiduelle. Le soignant suivant ne doit jamais retrouver la session du précédent. La déconnexion doit être imposée par la configuration, pas par la discipline.
• Le même appareil, plusieurs profils d'usage. Une tablette de bloc n'a pas besoin des mêmes applications qu'une tablette de consultation externe.
• Le retour à un état connu. Après une panne ou une perte, l'appareil de remplacement doit se reconfigurer seul et rejoindre le même pool de règles.
• Le nettoyage physique. Les terminaux passent au détergent plusieurs fois par jour. Ils tombent. Le taux de remplacement est plus élevé qu'ailleurs, ce qui rend l'enrôlement automatisé encore plus rentable.

Le mode kiosque est l'outil central de ce scénario : l'appareil est verrouillé sur une ou quelques applications, l'utilisateur ne peut pas s'égarer dans les réglages ou un navigateur, et la remise à zéro entre deux mains est prévisible. Notre page appareils partagés détaille le fonctionnement par pool.

Terminaux au lit du patient

Tablette de rééducation, terminal de saisie des constantes, application d'éducation thérapeutique remise au patient : ces usages mettent un appareil de l'établissement entre les mains de quelqu'un qui n'est ni salarié ni formé, dans une chambre où passent des visiteurs.

Le paramétrage qui tient dans la durée :

• Verrouillage mono-application pendant toute la durée de l'usage patient, sans accès au navigateur ni aux réglages.
• Aucun compte professionnel présent sur l'appareil pendant cette phase. Si le même parc sert aux soignants et aux patients, il faut deux configurations distinctes, pas une configuration à géométrie variable.
• Effacement des données à la sortie du patient, déclenché depuis la console et non laissé à la charge du service.
• Réseau restreint. Un terminal patient n'a rien à faire sur le même VLAN que les dispositifs médicaux.

Sur ce dernier point, l'ANSM et le MDCG rappellent les attentes propres aux dispositifs médicaux connectés : recommandations ANSM et MDCG 2019-16. Un MDM ne gère pas un pousse-seringue. Il gère les terminaux qui l'entourent, et c'est déjà beaucoup.

Angle mort prioritaire : terminaux mobiles et IoMT

Une précision utile quand le BYOD entre dans le débat, parce que la question revient systématiquement en CSE : sur un appareil personnel enrôlé en mode BYOD, iOS comme Android, la localisation n'existe pas dans la console Appaloosa. Ce n'est pas une option désactivée, c'est une fonction absente. Sur Android personnel, les applications et données professionnelles vivent dans un profil professionnel séparé imposé par Android, et l'effacement se limite à la suppression de ce profil. Voir la page appareils personnels.

En cas d'incident : isoler, verrouiller, réinitialiser, réenrôler

Le point faible de ces trois lignes, ce n'est pas la technique, c'est l'heure. Un vol de tablette à 3 h du matin ne se traite pas si personne n'a accès à la console. Nommez deux personnes d'astreinte avec le droit de verrouiller et d'effacer, et testez la procédure une fois par trimestre.

Intégrer la cyberattaque dans les PCA et PRA

Intégrez des scénarios cyber aux plans de continuité et de reprise : bascule, sauvegardes testées et isolées, exercices réguliers (guide ANSSI, crise d'origine cyber). Le programme CaRe (ANS/DNS) finance la montée en maturité sur l'exposition, la continuité et les sauvegardes, les accès distants et la supervision des postes : présentation et Axe 4.

CaRe, RGPD et NIS2 : les attendus côté terminaux

Traçabilité des accès, segmentation des usages (conteneur professionnel, profils dédiés, kiosque), conformité des terminaux (OS, chiffrement, correctifs), supervision et remédiation rapides. Références : Axe 4 CaRe, guide sécurité CNIL 2024, directive NIS2. Notre article sur NIS2, DORA et la conformité des terminaux reprend le sujet en détail.

Bonnes pratiques prioritaires pour une DSI ou un RSSI santé

• Enrôler 100 % des terminaux dans un MDM ou EMM, iOS et Android, et imposer chiffrement, code fort, verrouillage court et mises à jour.
• Durcir l'accès : certificats machine, authentification multifacteur, accès conditionné à la conformité du terminal.
• Segmenter les usages : conteneur professionnel ou profil de travail, modes kiosque pour les postes de soins, l'atelier et le prélèvement.
• Bloquer l'installation depuis des sources inconnues, appliquer des listes blanches, journaliser installations et droits.
• Superviser la posture (version d'OS, jailbreak ou root, réseau) et isoler automatiquement un équipement non conforme.
• Préparer des playbooks : perte ou vol, terminal compromis, réenrôlement, avec des noms de personnes en face.
• Étendre le PRA et les sauvegardes aux flux mobiles critiques (ePRO/eCOA, dossiers de lot) avec des tests réguliers.
• Isoler l'IoMT (802.1X, VLAN dédié), gouverner firmware et comptes, planifier les mises à jour.
• Encadrer la chaîne de sous-traitance par des exigences cyber contractuelles et des audits, former et entraîner les équipes.

Kiosque : Apple, App Lock et Android, appareils dédiés.

Ce qu'Appaloosa apporte en santé

Appaloosa est un MDM iOS, Android, Windows et macOS. Il centralise l'enrôlement, applique les règles de sécurité (chiffrement, codes, posture), met en quarantaine les terminaux non conformes, gère les listes blanches et les modes kiosque mono ou multi-applications, et permet le verrouillage comme l'effacement à distance. Le support à distance couvre iOS et Android. La journalisation alimente les dossiers de conformité CaRe et NIS2 et l'intégration de la mobilité dans le PCA et le PRA.

L'hébergement est en France, sur une infrastructure qualifiée SecNumCloud, et le support parle français aux heures où votre service fonctionne. Pour le détail des fonctions et des offres, voir la gestion de flotte mobile et la page tarifs.

Sources