Prêt à sécuriser vos accès distants et être en conformité avec CaRE ?
Nos experts sont à votre disposition pour vous présenter notre plateforme souveraine de sécurisation des accès distants.
750 M€ engagés, des dizaines d’hôpitaux victimes de ransomware, une deadline 2027 : le programme CaRE impose aux établissements de santé de traiter enfin le problème numéro un — leurs accès distants non sécurisés. Voici ce que ça signifie concrètement, et comment y répondre.
1. La santé, secteur parmi les plus ciblés par les cyberattaques
Les chiffres publiés par l’ANSSI et le CERT Santé sont sans équivoque : le secteur de la santé figure parmi les secteurs les plus touchés par les cyberattaques en France. Les établissements publics de santé représentent à eux seuls 10 % des attaques par rançongiciel recensées par l’ANSSI, et le CERT Santé a enregistré plus de 1 173 déclarations d’incidents en 2022 et 2023. En deux ans, une trentaine d’hôpitaux français ont été victimes de ransomware — avec des conséquences opérationnelles majeures : déprogrammation d’opérations, retour au papier, fuite de données patients.
Dans ce contexte, le principal vecteur d’intrusion reste le même : un accès distant mal sécurisé. Un port RDP exposé sur internet, un VPN sans MFA, un accès prestataire permanent non contrôlé — autant de portes d’entrée que les attaquants savent parfaitement exploiter. C’est ce constat qui est au cœur du programme CaRE.
2. Ce que change le programme CaRE — budget, logique et domaines
Lancé en décembre 2023 par la DNS (Délégation au Numérique en Santé), l’ANS et les ARS, le programme CaRE — Cybersécurité Accélération et Résilience des Établissements — est le plan national de rattrapage cybersécurité pour les hôpitaux, cliniques et établissements médico-sociaux français. Son postulat : la majorité des établissements accusent plusieurs années de retard face aux menaces actuelles. CaRE est là pour accélérer ce rattrapage, avec des financements publics structurés et des objectifs mesurables.
Un budget sans précédent, structuré en deux temps
Le programme est doté d’un budget global d’environ 750 millions d’euros jusqu’en 2027, avec une première enveloppe de 250 M€ engagée jusqu’en 2025. En 2024-2025, une enveloppe spécifique de 60 à 65 M€ a été mobilisée pour des plans de remédiation cyber — réduction des failles exploitables, limitation de la propagation des malwares, fermeture des expositions internet non justifiées.
Ce n’est pas un budget « IT pour l’IT ». CaRE finance des actions concrètes de réduction de surface d’attaque, documentées, auditées, avec des objectifs à atteindre pour débloquer les paiements. La logique est celle d’un projet structuré, pas d’une subvention à guichet ouvert.
Les axes et domaines du programme
Annuaires techniques & exposition internet
Cartographie des services exposés, audit d’exposition, fermeture des accès non justifiés. Guichet D1 bis ouvert depuis février 2026.
Stratégie de continuité et reprise d’activité
Plans de reprise, sauvegardes hors-ligne, résilience face aux ransomwares. Troisième appel à financement ouvert depuis septembre 2025.
Sécurisation des accès & identités numériques
Authentification forte, gestion des identités, sécurisation des accès distants du personnel et des prestataires. Guichet ouvert depuis janvier 2026.
Sécurité opérationnelle
EDR, supervision des postes, SOC, détection des menaces et capacité de réponse à incident.
« Le programme CaRE ne finance pas de l’infrastructure pour l’infrastructure. Il finance des actions mesurables de réduction du risque cyber — dont la sécurisation des accès distants est l’une des priorités les plus directement opérationnelles. »
3. Focus accès distants : le point noir des établissements de santé
Parmi toutes les failles cyber des établissements de santé, les accès distants non sécurisés sont le vecteur d’intrusion numéro un. Et pour cause : un hôpital ou une clinique, ce sont des dizaines de prestataires, d’éditeurs, d’intégrateurs et de praticiens libéraux qui se connectent quotidiennement aux systèmes d’information — souvent sans aucun contrôle centralisé.
Deux types d’accès distants, deux niveaux de risque
- Administrateurs IT internes (SSH, RDP admin, consoles de supervision)
- Prestataires de maintenance système, infogérants, éditeurs de logiciels
- Techniciens biomédicaux accédant aux dispositifs médicaux connectés
- Intégrateurs réseau et équipes de cybersécurité externalisées
- L’anesthésiste libéral qui consulte les dossiers patients depuis son cabinet avant chaque intervention
- Le radiologue qui lit des images DICOM depuis son domicile le soir et le week-end
- Le chirurgien qui vérifie les comptes-rendus post-opératoires entre deux établissements
- Le cardiologue qui accède aux données de monitoring en téléconsultation
- Le DIM (Département d’Information Médicale) qui travaille sur des données sensibles en télétravail
Ces accès cliniques partagent un point commun : ils ne passent pas par le DSI. Ils ont été mis en place pour répondre à un besoin opérationnel urgent, souvent via du RDP natif exposé directement sur internet — sans MFA, sans journalisation, sans aucun contrôle sur l’état du poste utilisé.
Pourquoi le RDP natif est incompatible avec CaRE
- Port 3389 ouvert sur internet : l’un des ports les plus scannés par les attaquants — un serveur exposé est détecté en quelques minutes
- Brute force massif : des milliers de tentatives automatisées par jour sur chaque IP exposée
- Vulnérabilités critiques non patchées : BlueKeep, DejaBlue, PrintNightmare — des failles permettant l’exécution de code à distance
- Aucune MFA native : un identifiant + mot de passe — non conforme CaRE dès maintenant
- Zéro traçabilité exploitable : impossible d’auditer qui a fait quoi, quand, depuis quel poste
- Mouvement latéral facilité : une fois connecté, l’attaquant accède au réseau interne sans restriction
Ce que CaRE exige concrètement sur les accès distants
- Inventaire complet de tous les accès distants actifs — personnel et prestataires, avec élimination des accès « fantômes »
- Authentification multifacteur (MFA) obligatoire pour tout accès distant aux données de santé
- Intégration aux référentiels d’identité (IAM, annuaire, SSO) pour maîtriser le cycle de vie des comptes
- Principe du moindre privilège — chaque utilisateur accède uniquement aux ressources nécessaires
- Désactivation des accès non utilisés et revue régulière des droits accordés
- Fermeture des services exposés inutilement (notamment RDP natif sur internet)
- Passage obligatoire par un bastion ou une passerelle d’administration sécurisée pour tous les accès prestataires
- Comptes nominatifs et tracés — suppression des accès partagés non identifiés
- Activation à la demande, pour une durée limitée — fin des VPN permanents ouverts aux prestataires
- Journalisation fine et exhaustive de toutes les sessions tiers
- Revue régulière des droits et de la liste des prestataires autorisés
4. Où Reemo s’intègre dans ce paysage CaRE
Reemo est une solution française d’accès distant sécurisé basée sur le Zero Trust Network Access (ZTNA). Elle a été conçue pour répondre précisément aux exigences CaRE sur les accès distants — aussi bien pour les praticiens cliniques que pour les accès prestataires — tout en fournissant les métriques et rapports nécessaires à la justification des financements obtenus.
Reemo vs RDP natif — la mise en conformité CaRE en un coup d’œil
RDP natif — Non conforme CaRE
- Port 3389 exposé sur internet
- Authentification simple, sans MFA
- Accès réseau large, mouvement latéral possible
- Aucun contrôle de l’endpoint client
- Journalisation nulle ou inexploitable
- Accès prestataires permanents non tracés
- Aucune métrique exportable pour dossier CaRE
Reemo — Conforme CaRE
- Zéro port exposé — architecture Zero Trust
- MFA natif, SSO, identité forte intégrée
- Accès à la ressource uniquement, réseau isolé
- Vérification de conformité du poste à la connexion
- Journalisation complète + enregistrement vidéo des sessions
- Accès tiers on-demand, durée limitée, 100% tracés
- Rapports d’audit exportables pour justification CaRE
Trois fonctions clés pour les directions d’établissement
- Inventorier les accès : Reemo centralise et cartographie l’ensemble des sessions distantes — personnel et prestataires — en temps réel
- Contrôler finement qui se connecte, quand et comment : politiques MFA, durée des sessions, ressources accessibles, conformité du poste — tout est configurable et auditable
- Produire les preuves pour les dossiers CaRE : rapports de sessions, métriques d’accès, journaux exportables — les éléments que les auditeurs ARS demandent sont générés automatiquement
Et si vous avez déjà un bastion ?
Les bastions (Wallix, CyberArk, BeyondTrust) couvrent efficacement les accès techniques des équipes IT. Mais ils ont été conçus pour des profils informatiques — pas pour les praticiens libéraux qui accèdent au DPI depuis leur cabinet personnel. Reemo est complémentaire à votre bastion existant : il couvre le périmètre clinique et la mobilité des praticiens que les bastions ne peuvent pas adresser.
- ✅ Bastion — Accès administrateurs IT, comptes à privilèges, maintenance système
- ✅ Reemo — Accès praticiens libéraux depuis postes personnels non managés
- ✅ Reemo — Accès aux applications métier santé (SIH, PACS, DPI) en mobilité
- ✅ Reemo — Streaming haute qualité pour la téléradiologie et l’imagerie médicale
- ✅ Reemo — Accès clientless sans installation pour les non-IT
- ✅ Reemo — Rapports d’audit CaRE directement exploitables
3 cas d’usage concrets — conformité CaRE immédiate
🩺 L’anesthésiste libéral — Du cabinet au DPI, enfin sécurisé
Accès au dossier patient et aux résultats biologiques depuis le cabinet privé, avant chaque intervention. Remplacement du RDP natif exposé par un accès Reemo Zero Trust, conforme CaRE HospiConnect.
- Aucune installation sur son poste personnel — navigateur standard suffisant
- MFA activé, identité vérifiée à chaque session
- Accès limité au seul DPI autorisé — zéro visibilité sur le reste du SI
- Session chiffrée, journalisée, horodatée — rapport d’audit généré automatiquement
- Port RDP fermé sur internet — surface d’attaque éliminée
🩻 Le radiologue téléradiologiste — Qualité diagnostique préservée
Lecture d’images DICOM depuis le domicile. La qualité d’image n’est pas un confort — un artefact de compression peut induire une erreur diagnostique. Reemo délivre un streaming jusqu’à 4K à 120 FPS, comparable à un accès local.
- Streaming du viewer DICOM en qualité native, sans dégradation
- Accès isolé au PACS uniquement — conformité CaRE sur l’isolation des ressources
- Traçabilité complète de chaque session pour audit et justification de financement
🔧 Le technicien biomédical — Télémaintenance conforme CaRE
Intervention à distance sur un dispositif médical connecté. CaRE interdit les accès VPN permanents aux prestataires. Reemo les remplace par des accès on-demand, tracés et révocables.
- Accès créé en 2 minutes, limité à l’équipement concerné, pour une durée définie
- Lien unique qui expire automatiquement — zéro accès permanent
- Session observable en temps réel par le RSSI, révocable instantanément
- Rapport d’intervention exportable pour justification du dossier CaRE
Laisser un commentaire