Le WiFi invité pour les patients : pratique, mais votre propre réseau est-il vraiment séparé ?
De plus en plus de pharmacies proposent le wifi gratuit aux patients qui patientent en salle d'attente : une évidence, et un geste convivial. Mais qui installe ce réseau invité sans y réfléchir ouvre, sans s'en rendre compte, une porte vers les systèmes avec lesquels vous travaillez chaque jour.
Pourquoi le wifi invité est devenu une évidence
Les patients attendent parfois quelques minutes pour une préparation ou une prescription, et le wifi gratuit fait désormais partie d'un bon accueil, comme dans une salle d'attente, un restaurant ou un magasin. La plupart des routeurs permettent de créer en quelques clics un second nom de réseau (SSID) pour les visiteurs. Cela donne l'impression d'une solution simple, prête à l'emploi.
Le risque invisible : un seul réseau pour tout le monde
Le problème ne vient pas du second nom de réseau en soi, mais de ce qui se cache techniquement derrière. Dans de nombreuses installations, ce wifi invité soi-disant « séparé » est en réalité simplement branché sur le même réseau que votre logiciel de pharmacie, votre imprimante et votre serveur. Un nom et un mot de passe différents donnent une impression de séparation, mais sans véritable cloisonnement technique, ce qu'on appelle un VLAN, les invités et votre propre matériel partagent en fait le même espace numérique.
Un appareil infecté d'un visiteur, un smartphone porteur d'un malware par exemple, peut alors se propager plus loin via ce réseau partagé. La segmentation du réseau n'est pas une précaution excessive : c'est une mesure de base systématiquement vérifiée dans des référentiels de sécurité reconnus comme CyFun. Ce n'est que dans des cas exceptionnels qu'une pharmacie relève de la réglementation NIS2, mais même sans cette obligation, cela reste l'un des moyens les moins coûteux de rendre une attaque nettement plus difficile.
Un wifi invité sans véritable séparation n'est pas un geste d'hospitalité, c'est une porte dérobée sans surveillance vers votre logiciel de pharmacie.
Ce qui peut concrètement mal tourner
Imaginez le scénario. Un patient patiente et connecte son téléphone, à son insu déjà infecté par un malware, à votre « wifi invité ». Si celui-ci n'est pas réellement séparé de votre réseau interne, cet appareil peut alors tenter d'atteindre d'autres équipements sur le même réseau : votre imprimante, un dossier partagé, ou dans le pire des cas un ordinateur ayant accès aux données de patients et à eHealth. Même sans intention malveillante, un mot de passe invité partagé qui ne change jamais peut permettre à d'anciens visiteurs de garder l'accès à votre réseau pendant des semaines.
Pourquoi c'est particulièrement important pour les pharmacies
Votre réseau ne relie pas de simples ordinateurs entre eux. Il donne accès aux dossiers patients, à eHealth, aux prescriptions et aux données de paiement. C'est précisément pour cela qu'un réseau sans séparation claire entre « invité » et « interne » représente un risque plus élevé pour une pharmacie que pour un commerce ordinaire. C'est aussi l'un des premiers points examinés lors d'un audit de cybersécurité, et à juste titre : c'est une mesure de base peu coûteuse à mettre en ordre, mais qui évite beaucoup de dégâts en cas de problème.
Comment vérifier rapidement si tout est en ordre chez vous
Nul besoin d'être spécialiste réseau pour vous faire une première idée.
- Connectez votre propre téléphone au wifi invité. Pouvez-vous, à partir de là, atteindre votre imprimante, un dossier partagé ou d'autres équipements du réseau interne ? C'est qu'il n'y a pas de véritable séparation.
- Posez directement la question à votre installateur ou partenaire IT. Formulez-la littéralement : « Notre wifi invité est-il techniquement séparé du réseau interne par un VLAN, ou uniquement par un mot de passe différent ? » La réponse indique immédiatement si tout est en ordre.
- Vérifiez qu'aucun autre appareil n'est connecté au wifi invité. Imprimantes, disques NAS ou caméras de surveillance n'y ont jamais leur place.
Ce que vous faites concrètement
- Faites installer une véritable séparation VLAN. Un simple nom de réseau différent ne suffit pas : demandez explicitement une séparation technique entre le réseau invité et le réseau professionnel.
- Activez l'isolation client (ou isolation AP). Les appareils des invités ne pourront ainsi ni se voir ni s'atteindre entre eux.
- Utilisez le chiffrement WPA3 sur le wifi invité, ou au minimum WPA2 si WPA3 n'est pas disponible.
- Changez régulièrement le mot de passe invité, par exemple chaque trimestre, afin que les anciens visiteurs n'y aient plus accès.
- Ne placez jamais d'imprimantes, de disques ou de caméras sur le réseau invité. Ceux-ci appartiennent au réseau interne sécurisé.
- Intégrez tout votre matériel réseau à la maintenance annuelle, au même titre que vos ordinateurs : routeurs et points d'accès ont eux aussi besoin de mises à jour.
Si vous constatez que ce n'est pas séparé
Contactez votre installateur ou partenaire IT et demandez, en priorité, de séparer techniquement le wifi invité de votre réseau interne. Il s'agit généralement d'une configuration ponctuelle, pas d'un investissement important. Si vous n'êtes pas certain de votre situation, un audit CyberCheck cartographie l'ensemble de votre réseau, y compris cette séparation souvent négligée.
La leçon de fond
Hospitalité et sécurité ne doivent pas s'opposer. Une fois correctement configurée, aucun patient ne remarque la séparation entre vos réseaux, tandis que votre logiciel de pharmacie, votre serveur et les données de vos patients restent hors de portée. C'est un point que vous réglez correctement une seule fois, et qui vous apporte ensuite une tranquillité durable.
Êtes-vous certain que votre wifi invité est réellement séparé ?
Avec un audit CyberCheck, nous cartographions l'ensemble de votre réseau, du wifi invité au serveur, et nous vous montrons noir sur blanc où la séparation est en ordre, ou non.