Comment former le personnel à la cybersécurité sans l'ennuyer ? 

La cybersécurité peut sembler réservée aux départements informatiques et aux éditeurs de logiciels, mais elle est tout aussi importante pour les médecins généralistes. En effet, avec l'augmentation de l'accès numérique, les systèmes basés sur le cloud et les menaces de phishing, votre personnel est souvent la première ligne de défense - ou le premier point de défaillance. Pourtant, l'une des plaintes les plus fréquentes du personnel du NHS est que la cyberformation est soit trop technique, soit trop ennuyeuse, soit trop éloignée des rôles quotidiens. Si votre module annuel de formation à la sécurité informatique ressemble à une corvée, il est temps de repenser la façon dont vous transmettez le message. Ce guide propose des moyens pratiques d'impliquer votre équipe dans une formation à la cybersécurité significative et pertinente, sans l'endormir. 

L'importance de la cybersécurité dans les soins primaires 

Un simple clic sur un lien de courrier électronique malveillant peut exposer des milliers de dossiers de patients. Un mot de passe faible ou un appareil mal utilisé peut bloquer vos systèmes cliniques pendant des jours. Ces dernières années, les cabinets médicaux ont été confrontés : 

• Attaques par ransomware visant les systèmes cliniques des médecins généralistes.

• Courriels d'hameçonnage usurpant l'identité de fournisseurs du NHS. 

• Le personnel utilise des comptes de courrier électronique personnels pour des tâches liées au travail. 

• Perte d'ordinateurs portables ou de téléphones sans cryptage. 

• Demandes frauduleuses de données sur les patients. 

Aucune de ces situations n'est rare, et toutes peuvent être évitées - si le personnel est conscient des risques et sait ce qu'il faut faire. La cybersécurité n'est pas seulement un problème informatique, c'est un problème de sécurité des patients. 

Pourquoi la formation traditionnelle échoue souvent 

La plupart des formations IG ou cyber échouent pour l'une des trois raisons suivantes : 

1. Elle est trop abstraite- La formation évoque des concepts tels que les "actifs de données" ou les "acteurs de la menace" sans en montrer la pertinence dans le monde réel. 

2. Elle n'est pas spécifique à un rôle- Un réceptionniste, une infirmière de cabinet et un médecin généraliste sont tous confrontés à des risques différents, mais la formation est souvent unique. 

3. Elle est passive- Regarder une vidéo de 30 minutes ou cliquer sur un diaporama n'entraîne pas de changement de comportement. 

Le personnel a besoin d'une formation qui parle sa langue, qui soit en rapport avec son travail quotidien et qui suscite suffisamment d'intérêt pour que le message soit retenu. 

Cinq façons de rendre la cyberformation plus efficace (et moins ennuyeuse) 

1.Commencer par des exemples concrets de soins de santé 

Rien n'attire plus l'attention qu'un événement qui s'est réellement produit. Commencez votre prochaine mise à jour cybernétique en partageant un incident réel : 

• Une réceptionniste d'un autre cabinet qui a cliqué sur une fausse facture. 

• Un GCC local qui a dû fermer ses systèmes après une cyberattaque. 

• Un ordinateur portable GP volé dans une voiture, qui a ensuite été retrouvé sur le dark web. 

Faites en sorte qu'il soit spécifique, humain et pertinent pour votre équipe. 

2.Utiliser des briefings d'équipe courts et précis 

Il n'est pas nécessaire que chaque moment de formation soit une session formelle. Profitez de vos réunions hebdomadaires ou de vos réunions d'équipe mensuelles pour transmettre au compte-gouttes des leçons essentielles : 

• "Le conseil de la semaine : comment repérer un courriel d'hameçonnage". 

• "Petit rappel : que faire si vous perdez votre téléphone professionnel". 

• "Le saviez-vous ? NHSmail dispose d'un filtre anti-spam intégré - voici comment signaler quelque chose de suspect". 

Une formation de courte durée dispensée régulièrement est plus efficace qu'une longue session unique. 

3.Adapter les exemples à chaque rôle 

Les réceptionnistes peuvent être ciblés par de fausses demandes de rendez-vous. Les cliniciens peuvent être exposés à des risques lorsqu'ils accèdent à des dossiers à distance. Le personnel administratif peut être amené à traiter des demandes de données inhabituelles. Veillez à ce que votre formation reflète les décisions cybernétiques réelles que chaque rôle doit prendre. Envisagez des documents ou des scénarios courts et spécifiques à chaque rôle. 

4.Effectuer des simulations sur table ou des exercices de simulation. 

Les gens se souviennent de ce qu'ils vivent. Essayez de faire une courte simulation : 

• "Que feriez-vous si vous receviez ce courriel suspect ?

• "Imaginons que votre ordinateur ne démarre pas. Quelle est la première chose que vous faites ?

• "Vous recevez un appel vous demandant les coordonnées d'un patient - quelles questions devez-vous poser ?

Soyez légers, mais significatifs. Encouragez la discussion et les questions. 

5.Célébrer les bonnes pratiques et donner un retour d'information 

Si un membre de l'équipe repère et signale un courriel suspect, faites-en l'éloge. Si quelqu'un pose une bonne question sur la sécurité, partagez la réponse avec l'ensemble de l'équipe. Renforcer les comportements positifs permet d'instaurer une culture où la cyberconscience est valorisée et non redoutée. 

Ressources utiles 

Envisager d'utiliser : 

• Campagne "Keep IT Confidential" du NHS Digital- Affiches, économiseurs d'écran et messages gratuits conçus pour le personnel des soins primaires. 

• Boîte à outils de sensibilisation à la cybersécurité du NHS England- Comprend des modèles personnalisables et des études de cas réels. 

• Les équipes locales de formation de l'ICB ou du CSU- Elles peuvent proposer des formations courtes, sur place ou virtuelles, adaptées à la médecine générale. 

Mot de la fin : il ne s'agit pas de perfection, il s'agit de prise de conscience 

Il n'est pas nécessaire que chaque membre du personnel devienne un expert en cybersécurité. Mais vous avez besoin qu'ils se sentent concernés, qu'ils soient vigilants et qu'ils sachent quoi faire lorsque quelque chose ne va pas. En intégrant la formation à la cybersécurité dans les conversations quotidiennes, en la fondant sur des exemples concrets et en la rendant pertinente pour le travail des employés, vous créerez un cabinet plus résilient, plus conscient et mieux protégé - sans jamais avoir à assister à un autre jeu de diapositives ennuyeux.