Droits d’accès et rôles (RBAC) en cabinet

Pourquoi un cabinet a besoin de rôles et du moindre privilège

Dans un cabinet privé, des dizaines de personnes traversent chaque jour le même système : médecins, infirmiers, secrétariat, facturation, un administrateur et parfois des prestataires externes. Tous touchent aux données des patients, mais tous ne doivent pas voir la même chose. Lorsque chaque utilisateur a un accès complet à tout, la moindre erreur humaine ou un compte compromis devient un incident à l’échelle du système entier. La réponse du secteur s’appelle RBAC (Role-Based Access Control), le contrôle d’accès fondé sur les rôles.

L’idée est simple : au lieu de rattacher les droits à chaque personne individuellement, on définit des rôles, on rattache chaque droit à un rôle, et on affecte chaque employé au rôle adéquat. Un nouvel arrivant reçoit un rôle et dispose aussitôt exactement du bon accès, ni plus ni moins. Un principe complémentaire est le least-privilege, le moindre privilège : chaque rôle reçoit le minimum nécessaire pour faire son travail, et rien au-delà. Ensemble, ces deux principes réduisent la surface d’attaque, simplifient l’audit et facilitent le respect des exigences de confidentialité des données de santé.

Les rôles de base dans un cabinet

Avant de construire une matrice, il est utile de cartographier les rôles typiques. Ce sont un point de départ, pas une liste figée — chaque cabinet les adapte à sa réalité :

• Médecin / praticien — lit et écrit dans le dossier clinique, ouvre des visites, rédige des ordonnances, prescrit des examens.
• Infirmier — consigne les constantes, prépare la visite, gère les médicaments et vaccinations, en général avec une portée clinique plus étroite que le médecin.
• Secrétariat / accueil — gère les rendez-vous, les données démographiques et la communication, sans contenu clinique approfondi.
• Facturation / finances — travaille avec les factures, les demandes de remboursement, les paiements et les soldes, et n’a besoin que du diagnostic justificatif, pas du dossier clinique complet.
• Administrateur — configure le système, les rôles et les droits, sans nécessairement saisir le contenu clinique quotidien.
• Utilisateur externe — consultant, auditeur ou prestataire avec un accès restreint et limité dans le temps.

Qu’est-ce qu’une matrice de droits

Une matrice de droits est un tableau à deux dimensions : les rôles en lignes, les objets d’accès (les types de données et d’actions) en colonnes, et dans chaque cellule le niveau de droit — aucun accès, lecture seule, lecture et écriture, ou administration. La matrice transforme une question floue (« qui peut toucher à quoi ? ») en un document explicite que l’on peut réviser, maintenir et expliquer. C’est aussi le contrat auquel se mesure toute demande d’accès inhabituelle.

Exemple de matrice

Objet / Rôle	Médecin	Infirmier	Accueil	Facturation	Admin	Externe
Rendez-vous	Lecture/Écriture	Lecture/Écriture	Lecture/Écriture	Lecture	Configuration	Restreint
Dossier patient	Complet	Clinique, étroit	Démographie seule	Limité	Aucun	Restreint
Visites et formulaires	Écriture	Écriture partielle	Aucun	Lecture pour codage	Aucun	Lecture restreinte
Ordonnances	Écriture	Lecture	Aucun	Aucun	Aucun	Aucun
Finances	Lecture	Aucun	Lecture	Complet	Lecture	Aucun
Administration et droits	Aucun	Aucun	Aucun	Aucun	Complet	Aucun

Ce tableau n’est qu’un point de départ. Dans un cabinet réel, le nombre d’objets est bien plus grand — chaque type de formulaire, chaque module et chaque action sensible peut constituer un objet distinct.

Droits au niveau du formulaire et du champ

Le contrôle au niveau du module ne suffit pas toujours. Deux rôles peuvent tous deux « écrire une visite », mais un seul devrait toucher à un formulaire psychosocial sensible ou à une note interne. Un contrôle mature permet donc des droits au niveau du formulaire individuel, et parfois au niveau du champ individuel : un champ visible pour un rôle et masqué pour un autre. Cette granularité permet d’ouvrir l’essentiel du système à l’équipe large tout en verrouillant ponctuellement le plus sensible, sans dupliquer d’écrans.

Journal d’audit et détection des anomalies

Une bonne matrice définit ce qui est permis ; un journal d’audit (audit log) consigne ce qui s’est réellement passé. Chaque consultation, modification, export ou impression d’information sensible est enregistré : qui, quand, quel enregistrement et quelle action. La valeur du journal dépend de son intégrité — s’il peut être modifié discrètement, il n’a aucun sens. C’est pourquoi les lignes sont généralement protégées contre toute modification rétroactive.

Pour repérer les anomalies, cherchez des schémas : un employé accédant à un dossier sans lien de soin avec lui, un volume inhabituel de consultations sur un court intervalle, une activité en dehors des heures de travail, ou un export massif de données. Une revue périodique du journal le fait passer d’archive passive à outil de détection actif.

Break-glass — l’accès d’urgence comme concept

Il faut parfois un accès urgent à des informations que le rôle habituel n’autorise pas — par exemple un patient en situation d’urgence qui n’est pas le patient habituel du médecin présent. Un mécanisme break-glass est l’idée de « briser la vitre » : le système autorise une exception contrôlée, mais exige une justification explicite, marque l’accès comme inhabituel et génère une alerte et une revue renforcée a posteriori. Le break-glass est un concept de conception bien établi qu’il est utile de connaître ; vérifiez auprès de votre fournisseur comment chaque système traite précisément l’accès d’urgence, plutôt que de supposer qu’il existe par défaut.

Départ d’un employé ou changement de rôle

Les droits ne sont pas statiques. Lorsqu’un employé change de rôle, mettez à jour son affectation et retirez les anciens droits — sinon s’accumule une « dérive des droits », où les personnes collectent des accès de chaque rôle qu’elles ont occupé. Lorsqu’un employé part, révoquez l’accès immédiatement, pas une semaine plus tard. Gardez à l’esprit que révoquer l’accès n’efface pas la trace d’audit : les actions historiques de l’utilisateur sont conservées pour revue, même après désactivation du compte lui-même.

Check-list de configuration des droits

• Cartographiez tous les rôles réels, y compris externes et temporaires.
• Définissez pour chaque rôle le droit minimal nécessaire (least-privilege).
• Construisez une matrice de droits explicite et documentez-la.
• Verrouillez ponctuellement les formulaires et champs sensibles au niveau du rôle.
• Assurez-vous que le journal d’audit est actif et protégé contre toute altération.
• Établissez une procédure d’accès d’urgence (break-glass) avec votre fournisseur.
• Définissez un processus clair de départ et de changement de rôle, avec révocation immédiate de l’accès.
• Planifiez une revue périodique des droits et du journal d’audit.

Ce qui est confirmé dans CareOS

Le module d’administration de CareOS comprend une matrice de droits de 65 objets d’accès répartis sur 6 rôles, aux côtés de 492 paramètres de configuration par domaines et d’un concepteur de formulaires ne nécessitant aucun développement (F-M10). Les droits ne s’arrêtent pas au niveau du module : ils peuvent être définis au niveau du formulaire individuel à l’intérieur d’une visite (F-M3). Le journal d’audit est enregistré avec une signature d’intégrité sur chaque ligne (F-M10), et l’enregistrement des soins comprend un journal d’accès complet à l’enregistrement — qui l’a consulté et quand (F-M8). CareOS a été conçu en tenant compte des exigences de confidentialité des données de santé en Israël, mais ne revendique aucune norme ni certification.

Conclusion

Une bonne matrice de droits n’est pas un projet ponctuel mais une pratique continue : définir clairement les rôles, donner à chaque rôle le minimum, tout documenter dans une matrice explicite, l’appuyer sur un journal d’audit fiable et réviser en permanence. C’est ainsi qu’un cabinet protège les données de ses patients sans paralyser le travail de son équipe.

Vous voulez voir à quoi ressemble une matrice de droits en pratique ? Réservez une démonstration de CareOS et parcourons ensemble les rôles, les droits au niveau du formulaire et le journal d’audit de votre cabinet.

Retour au blog