Transcription

• Speaker #0

  Alors, Bénédicte Steinhard, bonjour, bienvenue sur la chaîne. Je suis très heureux de vous avoir sur la chaîne, puisqu'on va discuter de deux sujets importants. Alors, ce n'est pas forcément les plus drôles, mais c'est la réalité, donc c'est bien que l'on s'y attache. Donc, je vous propose de discuter effectivement de sécurité en officine, avec deux aspects, donc à la fois la sécurité physique en officine et une sécurité, on va dire, informatique, puisqu'on va aussi parler de... tout ce qui est cyberattaque et sécurité informatique. Vous, vous êtes effectivement spécialiste sécurité officine. Vous travaillez pour un organisme de formation à Lorevens et vous êtes effectivement spécialisé en tout ce qui est cybersécurité informatique en officine. Et on va pouvoir nous parler de tout ça. Alors la première question que j'ai pour vous, c'est comment on devient spécialiste en cybersécurité et notamment dans le domaine de l'officine. C'est quand même assez particulier.

• Speaker #1

  Oui, tout à fait. Avant tout, je voulais vous remercier pour ce moment qui nous permet d'avoir une visibilité sur un sujet qui est un peu plus compliqué. Moi, j'ai démarré il y a 15 ans dans la sécurité en entreprise et la gestion des risques. Je me suis rapidement spécialisée en pharmacie dans un créneau un petit peu particulier qui est la lutte contre la démarque inconnue. le secteur de la santé m'a toujours... Intéressée dans le sens où mes premières parts, en tout cas en tant qu'étudiante, devaient s'orienter dans le monde de la santé, en tant qu'infirmière, assistante sociale, enfin la santé ou sociale. J'ai fait des stages, j'y ai travaillé pendant mes vacances scolaires. C'est un domaine d'activité qui m'a élargie non plus, mais qui n'était pas forcément fait pour moi, dans le sens où il fallait avoir un certain détachement par rapport aux patients. parce que je n'arrivais absolument pas à faire. Et je me suis dit, il va falloir faire un autre choix. Et je suis partie dans un tout autre domaine. Et de fil en aiguille, je suis arrivée effectivement dans la sécurité. Et on va dire un peu naturellement, et parce que j'ai rencontré les bonnes personnes qui m'ont accompagnée et m'ont formée dans la santé et plus précisément en pharmacie, j'ai intégré au fur et à mesure effectivement... ce secteur d'activité qui m'a très très vite happée et passionnée. La cybersécurité est entre guillemets devenue un peu une évidence avec toutes les problématiques que l'on a pu rencontrer, qu'on rencontre aujourd'hui avec l'émergence de l'IA, avec les obligations du RGPD. Ça devenait, on va dire, évident. que je puisse continuer mon chemin sur la protection des données et après m'être occupée de la protection des personnes et la protection des établissements.

• Speaker #0

  D'accord, très bien. C'est un beau parcours et c'est vrai qu'il y a plein de façons de servir les patients.

• Speaker #1

  Oui, exactement.

• Speaker #0

  Parfois directement, parfois indirectement. Donc, c'est super. Alors, écoutez, je vous propose de... commencer par la partie sécurité physique en officine. Et ça m'a intéressé, en tant qu'ancien pratiquant d'arts martiaux, c'est quelque chose auquel je suis un peu sensible. Et surtout, en préparant cet entretien, effectivement, j'ai fait quelques recherches et on se rend compte que il y a vraiment une recrudescence d'agressions en officine.

• Speaker #1

  complètement.

• Speaker #0

  plus que mon époque quand j'étais en stage en officine, avec des situations vraiment différentes. J'ai vu des images d'officines saccagées, des rayons complètement dévestés. C'est quelque chose, c'est terrible à la fois pour les équipes et pour les patients aussi. Donc je suis très heureux encore une fois de discuter de cette thématique. Alors je vous propose de commencer par rappeler les chiffres de l'ordre, parce qu'il y a quelques chiffres qui existent, qui sont sous-estimés, mais bon, il faut bien partir de quelque part. Donc, 468 agressions déclarées en 2025, dont 17% donnent lieu à une plainte, et surtout 80% de ces agressions qui surviennent pendant les horaires d'ouverture. Ce ne sont pas des choses qui arrivent après le travail, mais c'est vraiment pendant le travail, en pleine journée. Et alors, la première question que j'ai pour vous pour ce volet sécurité physique, c'est quelles sont les principales causes d'agressions en officine ?

• Speaker #1

  Alors, c'est un vaste sujet. Effectivement, la première raison reste... La recherche de médicaments a un potentiel addictif, notamment les stupéfiants ou certains psychotropes. On va retrouver également des tensions liées au refus de délivrance. Il y a, on va dire, un grand stress au niveau des patients par rapport surtout à une communication, on va dire, des médias qui vont peut-être surenrichir une peur ou en tout cas nourrir certaines craintes de patients. Ils ont extrêmement peur. surtout avec des pathologies lourdes, de ne pas trouver leurs médicaments. Et les ruptures de stock, le temps d'attente ou encore un contexte social un peu plus tendu peut engendrer du stress et des montées en tension qui sont assez importantes. Il faut aussi rappeler qu'une pharmacie manipule de l'espèce, des médicaments coûteux, des produits recherchés. Donc forcément, elle est perçue comme une cible. Et malheureusement, on va dire que la violence se banalise. Ce n'est plus du tout quelque chose d'exceptionnel. Elle fait partie aujourd'hui des risques que l'officine doit apprendre à gérer. Et ça devient un véritable sujet parce que de façon régulière, on me demande d'avoir un avis ou en tout cas de... mettre quelque chose en place ou de réfléchir à des solutions pour pouvoir effectivement tempérer ou apprendre à l'équipe de réagir.

• Speaker #0

  Tout à fait. Alors justement, avant de parler comment réagir face à l'agression, je voulais commencer. Est-ce que vous avez déjà un témoignage d'agression qui vous a particulièrement marqué ? Je sais que quand on discutait en off, vous m'aviez raconté des choses, c'était assez hallucinant. Donc voilà, je voulais savoir si vous avez un fait qui vous a particulièrement marqué.

• Speaker #1

  Alors effectivement, il y a une histoire qui m'est revenue assez rapidement, je me souviens, il y a 4-5 ans maintenant, un titulaire que j'avais accompagné dans la sécurisation de son officine m'a demandé de venir à la pharmacie suite à une agression. Ce que j'ai fait assez rapidement, il ne m'avait pas donné le contexte. Et lorsque je suis arrivée, rapidement, il m'a assise à son bureau et m'a... à commencer à montrer les images et à commenter les images qui m'ont sincèrement fait froid dans le dos parce que déjà on s'attache, ou en tout cas, moi ma vision des choses, on accompagne des titulaires d'officine et on va dire des équipes, je veux dire parfois sur des durées un petit peu plus longues, et on apprend à les connaître. Là les images, je les ai trouvées... En tout cas, pour moi, terrible. Je crois que c'est les pires images que j'ai pu avoir, en tout cas de mon point de vue. Un homme est rentré avec un sac à dos de façon extrêmement normale. Il a commencé à faire la queue, rien de particulier. Au moment où il est arrivé au niveau de la caisse, il a ouvert son sac à dos et a monté un fusil à pompe et a mis en jeu toute l'équipe officinale. Moi, j'ai regardé attentivement la réaction du personnel que j'ai trouvé incroyablement calme et qui ont permis au personnel et aux patients qui étaient présents dans l'officine de ne pas paniquer. Ils mettaient en joue le personnel et puis après une des personnes qui était en caisse pour qu'elle l'ouvre. forcément, l'endroit où il y avait de l'argent, il n'y avait pas grand-chose. Donc du coup, au vu, et c'est très bien puisque la caisse avait été vidée dans la journée, il a semblé, Fermin, que ça ne l'intéressait pas puisqu'il n'y avait pas suffisamment d'argent. À ce moment-là, il a fait le tour et a repéré très rapidement des produits qui lui semblaient intéressants. Il les a mis dans son sac à dos. Il a demandé à l'une des préparatrices de l'aider à remplir son sac. Il a fait tomber des médicaments. Un geste qui m'a marquée parce qu'il y a des produits qui sont tombés. Il les a ramassés, les a remis sur l'étagère. Pendant ce temps, l'équipe a appuyé sur un bouton d'urgence. Et là, je me suis dit, mon Dieu, cette officine, je l'ai équipée il y a... Il y a très peu de temps, si on n'avait pas mis ce dispositif en place, qu'est-ce qui aurait pu se passer ? Grâce à ça, il y a toute la partie télésurveillance qui a pu, on va dire, prendre en compte la situation. La police est arrivée de façon discrète. Lui a quitté l'officine de façon extrêmement, on va dire, tranquille, a rangé en fait son arme dans le sac. et le fait d'avoir pu... Prévenir rapidement les forces de l'ordre, il a été attrapé un peu plus loin. Les personnes qui étaient présentes ont eu un courage incroyable parce qu'il y avait des regards pour voir si tout le monde allait bien ou en tout cas n'était pas, on va dire, terrorisé. Et moi, quand j'ai vu ces images, c'est moi qui étais terrorisé. Et j'ai échangé sur cet épisode avec le titulaire. qui lui restait très calme. Et ce qui était très important en fait pour moi, c'était de comprendre l'après-té. S'il y avait eu un besoin, une demande, effectivement d'une cellule psychologique, et effectivement il avait demandé à ses collaborateurs et collaboratrices s'ils en avaient besoin. Certains ont effectivement émis la volonté de discuter et d'échanger sur ce qui était arrivé. C'est vraiment un épisode qui m'a marquée parce que malgré le calme de cette personne, la violence des gestes et cette arme qui était pour moi immense m'a vraiment marquée.

• Speaker #0

  D'accord. Là, c'est une bonne transition pour la prochaine question, qui est comment réagir face à une agression ? Peut-être pas sans prendre le cas du braquage directement, mais il y a un échelon en dessous, en fait.

• Speaker #1

  La première règle, elle est simple. Il n'y a qu'une caisse, il n'y a aucun médicament qui vaut effectivement une vie. Donc, s'il y a quelqu'un qui souhaite prendre une caisse, des médicaments, bien évidemment, il faut le donner. Il ne faut jamais chercher, en fait, l'affrontement. ça c'est extrêmement important et le rôle en fait de l'équipe c'est d'observer discrètement, de mémoriser les éléments utiles si possible sans se mettre bien évidemment en danger et de déclencher les dispositifs d'alerte lorsqu'ils existent pour pouvoir se protéger et protéger les patients qui sont présents dans l'officine on va dire que l'erreur la plus fréquente est de vouloir Euh... négocier ou en tout cas montrer peut-être une résistance, ce qui peut aggraver en fait la situation et ce n'est absolument pas ce qu'il faut faire. Je veux dire, il faut, le plus rapidement possible en tout cas, la tension redescend, donc la personne puisse être éloignée. Parfois, le fait de passer, on va dire, la main à quelqu'un d'autre, à un titulaire ou à une personne qui est désignée, Et souvent, moi, j'incite les équipes à... On va dire prévoir ce genre de situation pour savoir ce qu'il faut faire, si malheureusement ça arrive, et d'avoir peut-être un endroit pour pouvoir comprendre pourquoi la personne est montée en tension, ou tout simplement laisser le plus rapidement possible la personne s'en aller.

• Speaker #0

  D'accord, très bien. Et alors, quels seraient vos conseils, les choses à mettre en place juste après une agression ? Vous avez parlé de... de cellules de soutien psychologique, donc j'imagine que ça fait partie de ces éléments. Mais est-ce qu'il y aurait d'autres choses ?

• Speaker #1

  Alors, en fonction du type de réaction, parce que je vous ai fait part d'une attaque effectivement un peu particulière, mais malheureusement, il y a également des attaques, j'ai pu, alors de façon très ponctuelle, je veux dire, des attaques au couteau. Il faut s'assurer que tout le monde est en sécurité et éloigner les patients ou l'équipe. la zone dangereuse et vérifier déjà dans un premier temps que l'agresseur ou les agresseurs ont bien quitté les lieux. Donc ça, c'est extrêmement important. Ne jamais aussi poursuivre ni tenter de récupérer, en fait, on va dire des produits volés, parce que certains ont ce réflexe. Il y a de nombreuses années, j'ai travaillé en magasin et j'ai eu effectivement, avant ma formation sur Reflexe, de vouloir, parce que Je ne sais pas, dans l'énervement, j'ai voulu récupérer un produit. Et on m'avait dit, mais au grand seigneur, jamais, parce que vous ne savez pas qui peut attendre sur le parking et vous risquez d'avoir un coup de couteau. Donc ça, c'est effectivement extrêmement important. Si jamais, pour x ou y raison, une personne est agressée et on le voit effectivement en officine et des titulaires, on voit de temps en temps, heureusement pas si souvent que ça, mais sur les réseaux sociaux. Les gens qui ont pu être agressés physiquement, c'est d'appeler les secours, de composer immédiatement le 17, le 112, le 15, le 18, et indiquer si une personne est blessée. Si c'est le cas, c'est indiquer l'adresse, le nombre d'agresseurs, donner un maximum d'éléments pour pouvoir aider et en tout cas adapter la réponse à la problématique, parce que souvent, on se rend compte que... Mais quand les forces de l'ordre ou l'ambulance arrivent, ils n'ont pas suffisamment d'éléments. Parfois, il y a des formations qui existent. Il faut pouvoir porter secours sans se mettre en danger. Donc, installer éventuellement des personnes blessées ou choquées dans un endroit au calme. Dans la plupart des cas, ça marque pas mal les préparateurs ou les préparatrices. et donc il peut y avoir effectivement... du mal à respirer ou je veux dire un certain choc et il faut pouvoir effectivement isoler la personne et la mettre au calme pour qu'elle puisse retrouver ses esprits et lui permettre de retrouver on va dire un peu plus de calme et dans certains cas effectivement pouvoir constater des blessures ou même légères par un médecin.

• Speaker #0

  Oui,

• Speaker #1

  tout à fait.

• Speaker #0

  D'ailleurs, c'est marrant parce que j'ai une histoire similaire d'une amie qui travaille en officine aussi, qui avait repéré un vol à la caméra qui était partie de l'officine pour suivre le voleur. Je lui ai dit que c'était extrêmement pas stupide, mais pas du tout ce qu'il faut faire. On ne sait pas si la personne est toute seule ou s'il y a d'autres personnes. Et puis, On peut y avoir aussi les représailles, parce que vous, quelqu'un qui travaille en officine, on sait très bien où il travaille tous les jours de la semaine, avec des horaires fixes.

• Speaker #1

  C'est ça. Ils vont repérer. Vous faites bien de le mentionner, parce que pareil, dans une ancienne vie qui n'est pas si lointaine que ça, j'ai eu aussi, et c'est pour ça que j'en parle avec conviction et avec beaucoup de force, Un soir, dans une enseigne de paras bien connus, personne un peu particulière, et effectivement, j'ai eu, on va dire, le bon réflexe. Et les personnes m'ont dit, on va t'attendre à la sortie. Et effectivement, ils m'attendaient bien à la sortie. Et à ce moment-là, vous êtes un peu démuni. Qu'est-ce que vous faites ? Comment vous réagissez ? Vous n'en avez aucune idée. donc oui C'est important, effectivement, d'avoir les bons réflexes et de savoir surtout ce qu'on peut faire et ce qu'il ne faut pas faire, puisque une fois que c'est fait, c'est un peu trop tard.

• Speaker #0

  Oui, tout à fait. Après, on en parlera aussi pour la cyber-sécurité, mais c'est beaucoup de préparation en amont, parce qu'effectivement, quand ça survient, c'est déjà trop tard.

• Speaker #1

  C'est exactement ça.

• Speaker #0

  Alors, pour la pleine question, est-ce qu'il y a un moyen de sécuriser son officine pour limiter les agressions ? sans nécessairement transformer son officine en poste de sécurité. Mais je pense que vous avez parlé de vidéosurveillance, ça doit faire partie d'un des éléments.

• Speaker #1

  Oui, complètement. Alors oui, il est possible de sécuriser fortement une officine. Le risque zéro n'existe pas. Il faut en avoir tout à fait conscience. Maintenant, je vois beaucoup d'officines qui ont mis en place des éléments. Mais souvent, je trouve que ça manque de cohérence et la sécurité repose vraiment sur un principe de défense avec plusieurs couches de protection qu'il faut effectivement associer pour avoir un maximum de sécurité. Ça veut dire quoi ? Ça veut dire, en globalité, il faut dissuader avant l'agression. L'objectif est que le délinquant choisisse une autre cible. Alors, c'est un peu... C'est toujours un peu particulier quand je dis ça, mais il y a des éléments matériels et immatériels, c'est-à-dire parfois une vitrine bien éclairée, la visibilité dans la rue, un affichage qui indique la présence de vidéosurveillance, un coffre, peu de liquidité en caisse, des caméras visibles, un système d'alarme professionnel permet effectivement de rendre l'officine moins attractive. Aujourd'hui, la vidéosurveillance moderne, ce n'est plus uniquement un système qui permet d'enregistrer en cas de problème. Il y a des nouvelles générations de caméras qui sont capables de détecter automatiquement une intrusion, une personne masquée, un franchissement de zone qui ne doit pas l'être, un comportement agressif ou une présence après fermeture. Et là, je le répète, en automatique. Aujourd'hui, ce sont des vidéosurveillance qui sont dotées de technologies d'intelligence artificielle et qui permettent de différencier un client d'un individu errant ou suspect. Ça, c'est extrêmement important puisque ça permet de réduire le temps de réaction. Ça va permettre également, lorsqu'il y a un dispositif qui est le plus commun dans les officines, c'est-à-dire vidéo et alarme, Mais ce qu'on voit très peu aujourd'hui, c'est la présence de boutons anti-agression, dont je parlais dans mon expérience, qui permettent de façon discrète d'alerter l'extérieur, qui est souvent soit sous le comptoir, mais qui peut être aussi porté en pendentif, intégré à une montre connectée ou même sous forme de pédale connectée. Enfin, il y a énormément de choses. L'objectif, c'est avec une pression de manière simple, c'est d'envoyer une alerte au centre de télésurveillance. Qu'est-ce qui va se passer ? Il va prendre la main en automatique et va permettre de déterminer et de voir si rapidement ils vont pouvoir envoyer les forces de l'ordre, avec des images en direct, d'alerter le titulaire s'il est absent et sans avoir besoin de téléphoner ou d'attendre l'escalade ou la montée de l'agression ou de la violence. Donc ces images elles sont essentielles parce que ça permet de collecter des preuves, d'identifier les agresseurs, éventuellement le véhicule avec une chronologie des faits et voir s'il y a une arme. Bien évidemment il faut que la vidéo soit de bonne qualité et un élément que je remarque souvent manquant c'est la déclaration préfectorale. Les titulaires d'officine sont un peu fâchés. Lorsque je parle de RGPD, et je peux comprendre tout un tas de paperasses pour leur vision des choses, la déclaration préfectorale est un document supplémentaire. L'intérêt de celui-ci, première chose, c'est qu'il est complètement gratuit. Et en cas d'agression, ça permet, si on retrouve effectivement les personnes, de pouvoir porter plainte. Sans ce document qui est indispensable à l'officine. La vidéo surveillance, elle ne sert à rien. Donc, c'est ce qui est dommage. Aujourd'hui, vous avez des caméras qui combinent plusieurs fonctionnalités. L'intelligence artificielle, j'en ai parlé. Des haut-parleurs intégrés, des microphones, qui permettent, on va dire, en automatique, de délivrer des messages si jamais, pour x ou y raison, personne ne peut le faire. du type, vous êtes filmé, les forces de l'ordre ont été alertées, quitté immédiatement les lieux, ça permet soit de faire fuir la plupart des agresseurs, ou en tout cas de faire croire qu'il y a une personne physique qui est en train de les voir, et pas une IA qui a détecté des gestes suspects.

• Speaker #0

  Oui, c'est intéressant, je pense, parce qu'on se voit que la technologie de la surveillance a évolué, c'est pas juste effectivement une... une caméra qui enregistre, mais voilà, c'est beaucoup plus évolué maintenant. Donc, oui, c'est très intéressant.

• Speaker #1

  Exactement, et ce qui est dommage, c'est que, en fait, tous ces outils l'ont déjà, mais ils n'ont pas conscience des, on va dire, des possibilités de leur caméra de surveillance.

• Speaker #0

  Très bien. Eh bien, justement, pour un titulaire qui voudrait former ses équipes à la sécurité, qu'est-ce que vous proposeriez, qu'ils soient à la fois, on va dire, Voilà. c'est un peu exigeant mais qui soit à la fois efficace et rapide parce que j'imagine que les titulaires n'ont pas forcément envie de passer tout leur temps en formation pour ces sujets notamment donc la première chose c'est qu'au même temps ça va durer c'est

• Speaker #1

  la réalité effectivement du terrain alors oui il y a des formations qui qui... qui peuvent être délivrées rapides et intéressantes, et surtout pratiques et adaptées aux contraintes de l'officine. Aujourd'hui, on se rend compte que quelques heures suffisent pour acquérir des bons réflexes face aux agressions, à condition que le personnel puisse s'entraîner sur des scénarios qui peuvent réellement rencontrer au comptoir.

• Speaker #0

  D'accord, donc des mises en situation.

• Speaker #1

  Exactement. Donc ça, c'est précisément l'objectif de formation qu'on est en train de finaliser. On va dire qu'il y a une partie théorique, mais ce qui est important, c'est vraiment la partie atelier pratique, les jeux pédagogiques, les simulations, et surtout avec des professionnels qui ont l'habitude, en fait, de ce type de situation, de monter en tension, d'avoir, en fait, on va dire un peu un protocole pour pouvoir désamorcer. des situations compliquées. Ce sont des professionnels, gendarmerie, police, etc., qui interviennent sur une demi-journée, des personnes expérimentées, pour apprendre à désamorcer des situations de conflit. Ça permet effectivement, suite à ça, parce que souvent, ce sont des personnels féminins qui sont un peu, on va dire, tendus par rapport à... L'augmentation effectivement d'agressions verbales, d'avoir la bonne posture et d'utiliser en fait une communication apaisante et qui permet aussi de protéger les autres patients parce que des personnes peuvent être prises à partie et la situation peut devenir plus dangereuse qu'au départ.

• Speaker #0

  Oui, puis c'est important aussi, on ne sait pas comment les patients vont réagir.

• Speaker #1

  C'est ça.

• Speaker #0

  C'est un autre facteur aléatoire pour le coup. Très bien. Écoutez, merci pour ce premier volet, on va dire, sécurité physique. Je vous propose du coup de passer sur l'aspect cybersécurité maintenant. On vous voit parler de ça en profondeur sur les réseaux. alors euh euh Quels sont les principaux modes opératoires de cyberattaque en officine ? Comment ça se passe de façon générale ?

• Speaker #1

  Alors, l'un des points les plus importants, c'est les failles humaines. Concrètement, c'est ce qu'on rencontre dans 80% des cas. D'ailleurs, c'est des clics sur les emails frauduleux. Sur des emails, oui. Voilà, des mots de passe faibles, des failles dans les logiciels. D'ailleurs, aujourd'hui, il y a une des grosses problématiques, c'est qu'il y a des mises à jour à faire. De toute façon, c'est même plus régulière qu'ils ne sont pas faites. Des navigateurs, des logiciels qui sont obsolètes, des failles réseau. J'ai donné un exemple, le Wi-Fi invité qui est mal isolé, mais des problématiques de réseau. C'est pour ça que la partie cybersécurité était pour moi destinée dans le sens où cette histoire de réseau, on plaçait les caméras justement sur un réseau à part. sécurisé pour ne pas infecter les autres parties, c'est-à-dire les LGO, les TPE, les postes administratifs. Par contre, dans les faits, on se rend compte que tout est sur le même réseau et c'est ça qui va poser problème. On va avoir des pare-feux mal configurés, des accès à distance. Je vais donner un autre exemple, le robot, où il y a, par exemple, d'un maintenance qui euh... où les ports peuvent rester inutilement ouverts. La maintenance de prestataires autres, qui laissent par facilité, effectivement, également des ports ouverts. Enfin, il y a des failles organisationnelles, des sauvegardes jamais testées. Enfin, c'est sans fin, en fait. Donc, ce que font les pirates, c'est de rechercher la meilleure porte d'entrée. Ils cherchent celle qui est la plus facile, donc pour les réseaux, pour montrer que... En fait, les attaques ne passent pas uniquement par les emails, elles peuvent passer aussi par WhatsApp, par des QR codes, par des clés USB, par des sites web compromis. C'est extrêmement large. Et il y a, on va dire, toute la problématique et la difficulté.

• Speaker #0

  D'accord. Alors, si je devais vous demander comment ça se passe sur une cyberattaque typique, comme vous l'avez dit, j'imagine que le hacker cherche une porte d'entrée, donc il finit par la trouver. Et ensuite, qu'est-ce qui se passe ? On est sur blocage de logiciels, siphonnage de données ?

• Speaker #1

  Alors, moi, j'aimerais revenir sur une première phase qui est hyper importante et qui ne semblait pas, en tout cas jusque-là, si sensible. Puisqu'avant d'attaquer, les cybercriminels collectent des informations sur la pharmacie. Et c'est extrêmement simple. C'est-à-dire que sur Internet, on va retrouver le nom du titulaire, le nom des salariés. parce qu'ils font la promotion de leur pharmacie.

• Speaker #0

  Oui, bien sûr.

• Speaker #1

  On va retrouver les logiciels de gestion d'officine utilisés, on va retrouver le prestataire informatique, on va retrouver les fournisseurs, on va retrouver les horaires d'ouverture, les outils de télémaintenance, les informations que l'on met sur LinkedIn, sur Facebook, sur les sites Internet. L'objectif de tout ça, c'est de comprendre le mode de fonctionnement de l'officine. Et le plus important, c'est d'avoir un message le plus crédible possible.

• Speaker #0

  Donc, si on demande une mise à jour urgente du logiciel de facturation qui est présent dans l'officine, c'est beaucoup plus simple. Une facture impayée du grossiste, un problème de télétransmission avec l'assurance maladie, un nouveau document à consulter. Plus les informations sont précises, plus il est facile d'avoir un point d'entrée. Donc, l'attaquant va chercher effectivement à s'introduire dans le réseau informatique. d'une façon, on va dire, la plus naturelle et qui va sembler le plus normal possible. Donc, effectivement, en général, un salarié reçoit un email pouvant provenir du titulaire, d'ailleurs, du comptable, d'un laboratoire, d'un grossiste, quelque chose d'habituel et des choses qui arrivent tous les jours. Et donc, du coup, le salarié, qu'est-ce qu'il fait ? Il clique. Sur le lien, il saisit son code, son identifiant, son mot de passe et l'attaquant récupère alors les accès de la messagerie. Donc, la problématique de ça, c'est qu'il va pouvoir lire les emails, il va pouvoir récupérer les factures, identifier les prestataires, envoyer de faux messages depuis la véritable boîte email, demander des changements de coordonnées bancaires, il va pouvoir chercher les mots de passe enregistrés. Il va pouvoir infecter des pièces jointes, émettre des fausses factures. Il va pouvoir, lorsqu'il y a un fichier qui est ouvert, installer un logiciel discrètement sur le poste. Il va pouvoir introduire un accès à distance qui est mal protégé. Et des accès à distance mal protégés, il y en a malheureusement plein. Parce que le prestataire informatique lui-même utilise des postes pour intervenir sur la pharmacie et si chaque fois il demande l'accès, il ne le fait pas, donc il laisse ouvert. On va retrouver des mots de passe qui sont très très faibles en termes de sécurisation. Je veux dire, il y a énormément de possibilités, il y a énormément de failles qui sont non corrigées aujourd'hui. Il va pouvoir rentrer dans les... logiciels, dans des postes encore... Parfois, on se rend compte qu'il y a des postes qui existent toujours, mais qui ne sont plus maintenus parce qu'ils ne sont jamais utilisés. Et c'est là aussi où, lorsqu'on fait des audits, on se rend compte qu'il y a des licences qui sont toujours attribuées, mais qui ne sont plus utilisées, qu'il y a des postes, effectivement, qui n'ont plus à être ouverts. On se rend compte que les caméras ou les équipements sont mal sécurisés. Donc les failles sont extrêmement nombreuses et l'attaquant va utiliser cette faiblesse pour entrer au sein de l'officine. Et ça, c'est pas discrète.

• Speaker #1

  Oui, c'est inquiétant tout ce qu'on dit. On se rend compte qu'une fois qu'on arrive à mettre la main sur l'identifiant et le mot de passe, tout ce qui est possible de faire, c'est assez effrayant.

• Speaker #0

  C'est énorme, en fait.

• Speaker #1

  Vous avez mentionné des choses que je n'avais même pas idée, faire des fausses factures, ce genre de choses.

• Speaker #0

  C'est exactement ça. On peut vider les comptes, on peut arrêter la pharmacie en entier, on peut se déplacer dans tout le réseau de la pharmacie, on peut circuler du poste de la comptabilité vers le serveur, du poste d'utilisateur vers le logiciel métier. On peut vraiment tout faire.

• Speaker #1

  Pour ma prochaine question, je voulais vous demander quelles étaient les conséquences d'une cyberattaque pour une officine. On a commencé déjà à toucher le sujet du doigt. Mais après, comment ça peut se traduire pour une officine quand on imagine des pertes d'argent, des pertes de temps, des blocages ?

• Speaker #0

  C'est un peu tout ça en même temps. C'est extrêmement large parce que déjà, il faut se poser la question de ce qui va arriver lorsque la pharmacie est compromis, comment ça va se passer par rapport à l'ensemble du personnel. Déjà, tous les postes vont se mettre en mode normalement dégradé. Mais avant ça, c'est à quel moment l'ensemble du personnel va se rendre compte qu'il y a une problématique. Parce que souvent, au début... On ne se rend pas forcément compte qu'il y a eu une cyberattaque. Parfois, il peut se passer quelques jours avant qu'elle va vraiment se déployer au sein de la pharmacie. Donc, ça peut toucher forcément les ordinateurs, mais tout ce qui est délivrance de médicaments, tout ce qui est sécurité des données patients. Ça pose souci. La trésorerie, parce qu'effectivement, ça peut toucher les factures, etc. Mais ça peut également bloquer le paiement de certaines factures. Il faut se dire que la TAC, elle a plusieurs étages et le numérique, en fait, n'est qu'une seule partie. Ça va dégrader l'intégralité de l'activité.

• Speaker #1

  Oui, bien sûr.

• Speaker #0

  Il y a les dossiers patients ou tout ce qui est historique de délivrance qui ne seront plus accessibles. Et pour certains patients, ça va être compliqué puisqu'il faut avoir en tout cas accès aux dossiers de ce dernier. C'est toutes les problématiques d'information sur les interactions médicamenteuses, c'est les télétransmissions. C'est les outils de vaccination, de dépistage, la téléconsultation, les plannings, les fichiers, les documents administratifs. Enfin, c'est sans fin. Ça veut dire qu'ils vont passer en mode dégradé. Donc, toutes les vérifications vont devoir être manuelles. Les délivrances, elles vont être différées. Il va y avoir beaucoup d'enregistrements papiers. On va devoir limiter certains services et les reprendre à plus tard. Ça va augmenter forcément le temps d'attente, la fatigue, le risque d'erreur. Et puis, il y a une des problématiques qui est hyper importante, c'est la sécurité des patients. S'il y a des données qui sont indisponibles, altérées, ça peut avoir des conséquences cliniques. J'imagine que vous avez plein d'exemples là-dessus. Mais quand c'est impossible effectivement de vérifier une présidente des livrances, Des allergies, des contre-indications. Oui, bien sûr. Mais il y a aussi tout ce qui est délivrance d'un double traitement, une mauvaise lecture d'une ordonnance falsifiée, des erreurs de dosage. Là, on se rend compte que la problématique réelle n'est pas que matérielle ou financière, c'est vraiment par rapport aux patients.

• Speaker #1

  Oui, il y a ces deux aspects.

• Speaker #0

  C'est ça, et c'est extrêmement dangereux. Et là, on parle en fait de l'atteinte à l'intégrité des données. Elle peut être volée, elle peut être altérée. Et en cas de dommage subi par un patient, la responsabilité de l'officine ou du professionnel peut être recherchée selon les circonstances. Il faut d'organisation, insuffisance de contrôle, absence de procédure, effectivement en mode dégradé. C'est ce qu'on disait, c'est un peu comme les agressions. Aujourd'hui, l'objectif, c'est de se poser la question Si demain, effectivement, je subis une cyberattaque, qu'est-ce que je fais ? Qu'est-ce que j'ai prévu pour continuer à fonctionner ? Est-ce que j'ai des outils ? Sans parler, effectivement, de la perte d'exploitation, parce que forcément, il y aura une baisse de chiffre d'affaires, avec la baisse du nombre des prescriptions, enfin, voilà, l'impossibilité de réaliser certaines missions qui sont rémunérées. etc. Et puis, la perte de certaines factures qu'on ne va pas retrouver, c'est assez compliqué. C'est exactement ça. Même si on redémarre le logiciel, parfois, les pertes, elles continuent. Il faut ressaisir des opérations, il faut contrôler les stocks. On va dire qu'une attaque peut avoir des conséquences souvent sur des semaines et des semaines, et parfois même des mois.

• Speaker #1

  Justement, je voulais vous demander combien de temps ça durait l'impact d'une cyberattaque. Effectivement, ça peut aller sur plusieurs mois.

• Speaker #0

  C'est ça, c'est ça, c'est ça.

• Speaker #1

  Ok. Du coup, vous nous avez présenté les risques. J'ai envie de vous demander quels sont les moyens de protection face à tout ça.

• Speaker #0

  Alors déjà, c'est ce que je disais, c'est de se poser la question. De façon vraiment pragmatique, demain ça m'arrive, qu'est-ce que je fais ? Parce qu'on n'en a pas parlé, mais je veux dire, s'il y a une problématique, il faut prévenir l'acnil dans les 72 heures et démarrer effectivement un plan de reprise. Il y a tout un protocole à mettre en place. La première chose qu'on va demander après une cyberattaque, Merci. ce fameux RGPD. Est-ce qu'on est conforme ou pas ? Et l'une des grosses problématiques que je rencontre, c'est lorsque je pose la question, ça ne l'est pas du tout, parce que pour les titulaires d'officine, c'est compliqué, ils n'ont pas envie. Alors, je comprends tout à fait, ils sont un peu sous l'eau. Quand on commence à lire tout ce qui est demandé, on se dit, oh là là, c'est compliqué, je vais reprendre. je vais remettre à plus tard, ils ne vont pas le faire. Il y a plusieurs choses. Alors, pardon, je me suis perdue. La question allait être...

• Speaker #1

  Quels sont les moyens de protection face à toutes ces cyberattaques et risques associés ?

• Speaker #0

  Alors, il y a... C'est ce que je disais déjà, ce fameux RGPD qui permet d'identifier, en fait, de façon précise, toutes les problématiques que peut rencontrer une officine.

• Speaker #1

  Oui.

• Speaker #0

  Il ne faut pas le voir comme un tas de papiers qui va se mettre sur une étagère et en cas de problématique, les ressortir en disant « c'est bon, j'ai fait, fichez-moi la paix » . Ça permet vraiment de faire un point sur les prestataires et justement toutes les problématiques dont on n'a pas forcément conscience. Ça permet aussi parfois de remettre à plat certains contrats qui n'ont plus lieu d'exister et de gagner un petit peu d'argent. Oui. C'est de prendre conscience déjà des failles des sous-traitants, puisque aujourd'hui, on doit s'assurer que ces sous-traitants soient aussi RGPD, parce que si l'un ne l'est pas complètement, c'est le titulaire qui sera mis en porte-à-faux par rapport à ça. Je veux dire, la première chose à faire, c'est, je pense, former les équipes, parce que la faille humaine est l'un des éléments les plus importants. On a tous des données qui sont sur le dark web, on est tous aujourd'hui sensibles à ce genre de problématiques, mais on n'en prend pas forcément conscience. Moi, à titre personnel, j'ai eu une problématique avec un service qu'on connaît bien qui s'appelle Doctolib, qui selon moi aujourd'hui n'est toujours pas résolue, mais en tout cas... Une tierce personne reçoit un message d'un hôpital me concernant. J'appelle quand même l'hôpital parce que j'ai vu le message, j'avais compris que c'était une tentative de fraude. Et quand vous appelez l'hôpital, en fait, malheureusement, le discours, moi, je l'ai trouvé assez incroyable. Ils ont dit, rappelez la personne qui vous a envoyé les SMS. Je veux dire, c'est absolument pas déchirant. Oui, et oui. Oui, et ce sont des choses absolument pas à faire. Donc, j'ai creusé du côté de l'hôpital et bien évidemment du côté de Doctolib. De ce côté-là, les réponses sont assez lunaires et je doute que ce soit un humain qui soit derrière les réponses faites par, en tout cas, des messages que j'ai pu recevoir. Il faut absolument former le personnel à des bonnes pratiques qui sont simples ou en tout cas de dire, si vous avez un doute, rappelez le prestataire, etc. Nous, c'est ce qu'on fait à travers nos formations. On essaye de remettre à jour avec toutes les nouvelles attaques. Et puis après, effectivement, c'est de comprendre que le mot de passe, un, deux, trois, quatre, c'est tout possible.

• Speaker #1

  Cinq, six.

• Speaker #0

  C'est ça. Et moi, j'avais une réunion encore ce matin. On va dire 80, voire 90 % du parc. Alors, on est plus proche des 90 % du parc. Des officines ont une adresse Gmail. Merci. Voilà. ce qui est extrêmement embêtant. Alors, ils ne voient pas la problématique, mais aujourd'hui, quand on envoie une ordonnance par Gmail, effectivement, on envoie nos données en 6 jours. Donc ça, c'est effectivement des soucis. On a voulu voir, en fait, de façon vraiment globale, justement, de pouvoir répondre à cette question. Ça passe par la formation, ça passe par certains outils. On ne dit pas qu'il faut prendre tel ou tel outil, ce n'est pas du tout le but. Mais aujourd'hui, effectivement, vous avez des clés qui vous permettent de générer des mots de passe en aléatoire sans avoir effectivement cette question que tout le monde se pose. Mars, qu'est-ce que j'avais mis comme mot de passe sur ce site ? De pouvoir crypter, d'anonymiser, de pseudonymiser, de chiffrer certaines données. qui sont extrêmement sensibles. Aujourd'hui, il y a des logiciels qui permettent, parce qu'on a tous... à un moment ou à un autre, prie son téléphone portable, mis des éléments plus ou moins sensibles. Moi, je sais qu'en pharmacie, on va mettre des ordonnances sur... On va faire une photo dans le chat GPT pour avoir des équivalents ou autres. Mais que va devenir effectivement cette ordonnance, ces éléments-là ? Donc, il y a des réponses à toutes les problématiques. On a aussi des réponses par rapport à... aux assurances. On dit pas de prendre telle et telle assurance, encore une fois, on leur dit, mais posez, ayez la curiosité de demander à votre assureur, est-ce qu'il prend en charge les risques cyber à quelle hauteur ? Si demain, effectivement, vous ne pouvez pas ouvrir votre officine, est-ce que la paire d'exploitation est prise en compte ? C'est vraiment toutes ces choses-là qui vont permettre à la pharmacie de pouvoir continuer à fonctionner euh... on va dire, de façon sereine et correctement, en fait.

• Speaker #1

  Très bien. Vous l'avez mentionné, vous avez parlé du RGPD, donc on se doute que c'est un peu la feuille de route pour protéger son officine. Est-ce qu'il y a... C'est un peu la même question que j'ai pour la formation en sécurité physique, mais est-ce qu'il y a des formations efficaces et rapides pour... rendre conforme son officine et sa protection informatique, j'ai envie de dire.

• Speaker #0

  Alors, rapide, ça dépend en fait du type de pharmacie. On essaye au maximum de s'adapter aux contraintes de l'officine. La première chose, c'est qu'on va véritablement former les salariés sur... Le temps dont ils disposent, il n'y a pas d'obligation de suivre l'intégralité en une fois de la formation. Donc ils vont pouvoir la découper pour s'adapter un maximum aux besoins et aux contraintes de la pharmacie. La mise en conformité est faite notamment par ma collègue et moi, où on va contacter l'intégralité des prestataires, des sous-traitants, faciliter en fait justement cette mise en conformité et permettre que les gens au titulaire, c'est pas de s'occuper de ça, mais de déléguer une partie. C'est ça qui va être chronophage. Et d'aller dans un détail effectivement qui pour nous est important, mais il n'a pas forcément les éléments techniques pour aller chercher parce que c'est pas son métier. Son métier reste la délivrance. de médicaments, la gestion d'équipe et s'assurer que sa trésorerie puisse permettre d'avoir une activité sereine. Donc à ce moment-là, on va s'occuper d'une très très grosse partie et c'est ce qui fait peut-être la force de notre collectif parce qu'on va chercher les bonnes informations et peut-être mettre le doigt sur eux. des éléments dont il n'avait pas forcément conscience et lui permettre d'avoir, on va dire, un peu un sac de course ou en tout cas un protocole qui va lui permettre d'améliorer ou de mettre le doigt sur des améliorations qui sont classées par ordre d'importance.

• Speaker #1

  Oui, d'accord. Très bien. Bénédicte, on arrive sur la fin de cette entretienne. Déjà, merci encore une fois pour... Pour votre temps, j'ai une dernière question pour vous. Si vous aviez un message à transmettre aux titulaires d'officine qui nous écouteraient, quel serait ce message ?

• Speaker #0

  Déjà, merci de m'avoir écoutée, parce que vous avez vu que j'étais très bavarde.

• Speaker #1

  On habite au fond d'un long.

• Speaker #0

  Mais ça, c'est comme toujours, les gens qui me connaissent savent que c'est toujours que je vais faire simple et court. Et puis, parfois, je n'y arrive pas, mais c'est un sujet vraiment qui... qui est important j'ai été de l'autre côté c'est peut-être ça aussi qui fait que je suis beaucoup plus touchée et que j'étais responsable de mes équipes et effectivement dans ce qu'il y a violence, agression, etc c'était toujours des moments extrêmement pénibles en tout cas pour moi chaque personne le vit différemment vraiment ça se vit mal donc C'est ça. Alors moi, je souhaiterais changer, enfin on va dire, aller sur un sujet un petit peu différent pour avoir un message et pas avoir quelque chose, on va dire, en disant il faut faire le RGPD, tout le monde l'a compris, tout le monde le sait. On va dire que la meilleure cybersécurité ne consiste pas seulement à empêcher le vol des données, elle consiste aussi à garantir l'intégrité. Ça, c'est une notion dont on n'a pas forcément évoqué, mais qui est importante, parce que justement avec l'IA, on peut avoir la possibilité d'avoir des données qui sont erronées, altérées, mal interprétées, qui peuvent produire autant de conséquences qu'une fuite de données. C'est pour ça qu'il faut... S'assurer en fait d'avoir ou en tout cas de disposer d'informations fiables. Il y a des acteurs qui sont effectivement, ou en tout cas des références dans le domaine qui sont très carrés là-dessus. Je pense notamment à Gersdata, qui aujourd'hui constitue un acteur majeur dans les décisions éclairées, en tout cas au service des professionnels de santé. Cette partie-là, elle est extrêmement importante parce qu'il y a des nouvelles problématiques concernant la irréputation. J'ai fait un point et ça fait partie effectivement d'un des éléments de la formation. On l'a évoqué très rapidement, mais le fait d'avoir des éléments sur le net peut avoir une incidence importante sur l'activité de la pharmacie. Et le fait d'avoir des données médicales, scientifiques, peu importe, peut avoir des conséquences assez graves. Donc il faut, quoi qu'il arrive, vérifier les données que nous avons. Et l'œil humain restera toujours la partie la plus importante.

• Speaker #1

  Oui, on a encore besoin d'un peu d'humain.

• Speaker #0

  Exactement, c'est la partie essentielle clé et l'IA n'a pas de sens si l'humain n'apporte pas sa vision. Et effectivement, l'IA nous permet d'aller plus vite, de générer des éléments ou en tout cas des rapports parfois qu'on mettrait énormément plus de temps, mais la pertinence reste le domaine de nous les hommes et c'est ce qui est le plus important.

• Speaker #1

  Voilà, un bon entendeur. Écoutez, merci à Bénédicte. N'hésitez pas à suivre sur les réseaux si vous voulez toutes les actualités sur sécurité informatique, RGPD. C'est la bonne adresse. Et des actualités. Encore merci et je vous souhaite une très bonne continuation.

• Speaker #0

  Merci à vous aussi.

• Speaker #1

  Merci d'avoir écouté cet épisode d'Entretien Pharmaceutique. Si cet épisode t'a plu, pense à le partager et à laisser un commentaire sur ta plateforme d'écoute préférée. Ça m'aide énormément à faire connaître le podcast. A très bientôt pour un nouvel entretien.