NOUSEC traite les deux modes de défaillance humaine du secteur de la santé, et pas seulement celui contre lequel les éditeurs vendent. La tromperie est couverte par des simulations sur huit canaux avec un retour détaillé à chaque réponse ; l'erreur, par la mesure et la responsabilisation : classification de l'engagement, accusé de lecture des politiques avec suivi des versions et achèvement impossible à falsifier, le tout affecté selon l'échec mesuré plutôt que selon un calendrier annuel. Comme les soignants travaillent en horaires postés et partagent souvent un poste, l'achèvement est vérifié côté serveur en secondes visionnées : un module ouvert puis abandonné entre deux patients ne compte pas comme terminé.
La surface e-mail, en ses propres chiffres.
La santé connaît deux modes de défaillance humaine. La plupart des programmes n’en traitent qu’un.
La tromperie attire toute l’attention. Dans ce secteur, l’erreur fait partie des trois premiers schémas.
La tromperie
Intrusion système et ingénierie sociale. Phishing d'identifiants visant les portails cliniques, prétextes de rappel adressés au support informatique, leurres par QR code sur des documents imprimés dans les espaces publics.
Notre réponse : simulation multicanal, retour détaillé à chaque réponse qui nomme l'indice, et affectation adaptative en cas d'échec.
L'erreur
Erreur de destinataire, mauvaise configuration, mauvaise pièce jointe, session partagée restée ouverte.
Notre réponse aujourd'hui : le module sur les pièces jointes et liens malveillants ; l'accusé de lecture de votre propre politique de traitement des données, avec suivi des versions ; une classification de l'engagement qui distingue ceux qui lisent de ceux qui cliquent sans lire ; et le contrôle de couverture côté serveur, qui empêche un module à moitié fait de compter comme terminé.
Un programme qui n'entraîne que la méfiance laisse intact le troisième schéma de violation du secteur. C'est pourquoi cette page n'est pas une copie de la page consacrée aux services financiers.
Une infirmière de nuit ne restera pas vingt minutes devant un module.
Ici, la portée est un problème de format et de canal avant d’être un problème de formation. Trois populations, trois réponses différentes.
Soignants en horaires postés
Des micro-formats. Affiches et infographies pour les services ; modules courts qui reprennent là où ils s’étaient arrêtés ; simulation par QR code, parce que c’est le canal qui atteint quelqu’un loin d’un poste. Rien qui exige un appareil personnel.
Postes de travail partagés
L’achèvement est attribué côté serveur, en secondes visionnées : un module ouvert sur un poste partagé puis abandonné ne compte pas comme terminé. La classification de l’engagement distingue « Ignoré » de « Très engagé » au lieu de compter les deux comme faits.
Administration et fonctions support
La population où les erreurs d’envoi et la fraude au président frappent réellement. Simulation par e-mail, SMS et rappel téléphonique, avec les modules livrés sur la compromission de messagerie et les pièces jointes malveillantes.
14 formats répartis entre les offres, 30 langues, dont 9 entièrement localisées aujourd'hui et 21 autres sur demande, et un programme qui couvre la compromission de messagerie, le vol d'identifiants, les pièces jointes et liens malveillants, et l'hygiène des mots de passe.
L’article, et la pièce qui y répond.
| Texte | Article | Ce qu’il exige | Comment NOUSEC en apporte la preuve |
|---|---|---|---|
| NIS2[3] | Art. 21(2)(g) | Cyberhygiène et formation à la cybersécurité au titre des mesures minimales obligatoires. La santé est le secteur 5 de l’annexe I : prestataires de soins, laboratoires de référence de l’UE, recherche et fabrication pharmaceutiques, fabricants de dispositifs critiques en cas d’urgence de santé publique. | Contrôle d’achèvement côté serveur ; tableau de conformité ajusté pour l’audit. |
| NIS2 | Art. 20(2) | La formation de l’organe de direction est obligatoire ; celle des salariés est encouragée ici et imposée par l’article 21(2)(g). | Une cohorte dédiée au conseil, avec ses propres certificats. |
| RGPD | Art. 39(1)(b), Art. 32 | Sensibilisation et formation dans le périmètre de contrôle du DPO ; mesures techniques et organisationnelles appropriées. | Accusé de lecture des politiques avec suivi des versions ; journal d’audit ; export SIEM. |
| ISO/IEC 27701:2022 | — | Extension pour le management des informations relatives à la vie privée. | Sélectionnable pour chaque client. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Compétences, sensibilisation, formation. | Page de vérification publique des certificats. |
Ces résumés réglementaires sont donnés à titre indicatif et ne constituent pas un avis juridique. Le champ d’application et la classification dépendent de la transposition dans votre État membre. Le contrôle d’achèvement et le tableau de conformité sont inclus dès l’offre Essentials ; l’accusé de lecture des politiques et la vérification publique des certificats à partir de Professional ; le journal d’audit et l’export SIEM dans Enterprise.
Les quatre mécanismes sur lesquels repose cette page.
L’achèvement mesuré en secondes visionnées
Des canaux qui atteignent un service de soins
Classification de l’engagement
Un retour détaillé à chaque réponse
À lire aussi : les attaques de phishing par QR code, et les entrées du glossaire sur la compromission de messagerie professionnelle et le credential stuffing. Notre propre posture est décrite sur les pages Confiance et Sécurité.
Questions
Ce que demandent d’abord le RSSI et le DPO d’un hôpital.
Chaque chiffre de cette page, et sa provenance
Dernière vérification : 21 octobre 2026. Les références réglementaires sont vérifiées sur le texte consolidé d’EUR-Lex à chaque révision.
- 2026 Data Breach Investigations ReportVerizon Business — section sectorielle, p. 84 pour la finance et l’assurance (NAICS 52). Corpus : plus de 31 000 incidents, plus de 22 000 violations confirmées, 145 pays, oct. 2024 – nov. 2025 · 2026Utilisé pour : Santé (62) : 1 492 incidents ; 54 % d’élément humain ; 14 % de phishing contre 20 % d’exploitation de vulnérabilités ; les erreurs diverses et l’ingénierie sociale parmi les trois schémas qui couvrent 81 % des violations.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024Département de la Santé et des Services sociaux des États-Unis (HHS), Office for Civil Rights — p. 8–14 · 2024Utilisé pour : 663 violations majeures, dont 164 survenues par e-mail ; 534 incidents de piratage ou informatiques (81 % des déclarations) touchant 241 582 022 personnes, soit 99 % des personnes concernées.
- Health Threat LandscapeENISA — période de janvier 2021 à mars 2023 · 2023Utilisé pour : Part du phishing dans les incidents significatifs du secteur de la santé déclarés au titre de NIS : 8 % en 2021, 26 % en 2022. Citée à la place de la part d’ingénierie sociale du rapport, car le vecteur d’accès initial était inconnu dans 95,3 % des cas observés.
- Directive (EU) 2022/2555 (NIS2)Journal officiel de l’Union européenne, JO L 333, 27.12.2022 · 2022Utilisé pour : Articles 3, 20(2) et 21(2)(g) ; secteur 5 de l’annexe I et appartenance des fabricants de dispositifs médicaux généraux à l’annexe II.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organisation internationale de normalisation — 3ᵉ édition · 2022Utilisé pour : Clauses 7.2 et 7.3 ; intitulé de la mesure 6.3 de l’annexe A.