Dans un centre d’imagerie, le PACS n’est pas un simple serveur d’archives. Il concentre des flux DICOM, des comptes utilisateurs, des consoles de lecture, des liaisons avec le RIS, parfois des passerelles vers le cloud, et surtout des données patients qui doivent rester disponibles en permanence. À l’approche d’un audit cyber, la bonne question n’est donc pas « le système fonctionne-t-il ? », mais « peut-il continuer à fonctionner si l’environnement est attaqué, dégradé ou mal configuré ? ».

La préparation gagne à être méthodique. Un audit réussi repose rarement sur une réponse unique ; il s’appuie plutôt sur une chaîne de contrôles simples, documentés et vérifiables. Si vous découvrez nos autres dossiers, parcourez aussi notre page d'accueil pour retrouver l’ensemble des publications de Med-Image Mag.

Avant l’audit : cadrer le périmètre clinique et technique

Un PACS ne se limite pas à un serveur central. L’auditeur cherchera à comprendre les liens entre les modalités, les postes de diagnostic, les serveurs applicatifs, l’annuaire d’entreprise, les outils de téléexpertise et les éventuelles interfaces avec l’hébergement externe. Plus le périmètre est clair, plus les écarts sont visibles. À l’inverse, un inventaire flou masque souvent des accès oubliés, des versions hétérogènes ou des partages réseau non maîtrisés.

Le point de départ consiste donc à cartographier les actifs : machines physiques et virtuelles, versions logicielles, flux entrants et sortants, dépendances métier, comptes de service et procédures de reprise. Cette vue d’ensemble doit être compréhensible par l’équipe informatique comme par la biomédecine ou la radiologie, car l’audit cyber vérifie autant l’organisation que la technologie.

Les 8 verrous à vérifier sans attendre

1. 1Inventaire exact des flux et des équipements

   Listez toutes les modalités reliées, les viewers, les consoles de post-traitement, les passerelles HL7/DICOM et les exports vers l’extérieur. Un flux non documenté est, par définition, un flux à risque.

2. 2Gestion des identités et des droits

   Vérifiez les comptes nominatifs, les comptes génériques, les habilitations minimales et la revue des droits après départ ou changement de poste. L’auditeur attend une logique de moindre privilège, pas une accumulation de droits « temporaires » devenus permanents.

3. 3Segmentation réseau et exposition maîtrisée

   Le PACS, les stations de diagnostic et les accès distants doivent être séparés du reste du système d’information. Les VLAN, pare-feu et règles de filtrage doivent être lisibles, testés et justifiés par les usages réels.

4. 4Durcissement des serveurs et postes

   Désactivez les services inutiles, verrouillez les ports ouverts, contrôlez les comptes locaux et imposez des politiques de sécurité cohérentes sur les systèmes d’exploitation. Un serveur PACS exposé « par commodité » est un angle mort classique lors d’un audit.

5. 5Journalisation, horodatage et supervision

   Les accès aux images, les suppressions, les échecs d’authentification et les changements de configuration doivent laisser une trace exploitable. Sans journaux consolidés et horodatés, il devient difficile d’établir la chronologie d’un incident ou de prouver l’intégrité des opérations.

6. 6Sauvegardes testées et restauration prouvée

   La sauvegarde n’a de valeur que si la restauration est testée. L’audit vérifie la fréquence des copies, leur protection contre l’altération, la séparation des environnements et la capacité à remonter une chaîne d’images en temps compatible avec l’activité clinique.

7. 7Correctifs, versions et obsolescence

   Les systèmes vieillissants, les librairies non maintenues et les applications non patchées constituent une cible évidente. Documentez la politique de mise à jour, les fenêtres de maintenance et les éventuelles dérogations validées par le métier.

8. 8Tiers, contrats et gestion de crise

   Éditeur du PACS, intégrateur, infogérant, hébergeur, télémaintenance : chaque acteur doit avoir un rôle explicite, des engagements de sécurité et un canal d’escalade. Le plan de continuité, le plan de reprise et la procédure de crise doivent pouvoir être exécutés sans improvisation.

Le passage souvent oublié : la preuve documentaire

À première vue, cela peut sembler éloigné des enjeux PACS. Pourtant, la même exigence de traçabilité se retrouve dans d’autres sujets éditoriaux, comme ceux évoqués dans Repères Bien-Être, où la qualité du cadre d’information conditionne la compréhension avant toute décision. Pour un audit cyber, cette logique se traduit par des preuves simples : procédures datées, journaux conservés, tests de restauration, comptes rendus de revue et arbitrages formalisés.

Ce que l’auditeur veut voir le jour J

Le jour de l’audit, les questions sont souvent très concrètes. Qui peut ouvrir une session sur le PACS ? Où sont stockées les sauvegardes ? Quel est le délai de reprise après panne d’un serveur critique ? Comment isole-t-on une modalité compromise ? Qui décide d’une coupure temporaire de service, et selon quel protocole ? Ces questions ne sont pas théoriques : elles testent la capacité du centre à préserver l’activité tout en limitant l’impact d’un incident.

Présenter des schémas à jour, des listes d’équipements signées, des exports de journaux, un plan de continuité et une procédure de gestion des vulnérabilités est souvent plus convaincant qu’un discours général sur la « sécurité ». L’audit devient alors un outil d’amélioration continue, et non un simple contrôle de conformité.

Conclusion : transformer la contrainte en routine utile

La cybersécurité d’un PACS ne se résume ni à un antivirus ni à une clause contractuelle. Elle repose sur un enchaînement de décisions d’architecture, d’exploitation et de gouvernance. En vérifiant ces 8 verrous avant l’audit, un établissement réduit la probabilité d’incident, améliore sa réactivité et sécurise le cœur du parcours d’imagerie.

Pour aller plus loin dans nos dossiers techniques et nos actualités imagerie, retrouvez également les autres ressources de Med-Image Mag et de la rédaction.