Les risques liés à l’AVAP dans le secteur de la santé

1. Risque accru d’atteintes à la sécurité des données

Les appareils personnels ne bénéficient souvent pas du même niveau de protection que les appareils gérés par l’organisation. Lorsqu’un appareil est perdu, volé, partagé ou compromis, des renseignements personnels sur les patients peuvent être exposés. De plus, l’utilisation de réseaux Wi-Fi non sécurisés, de logiciels désuets ou d’applications non autorisées augmente le risque de fuite ou de compromission des données sensibles (Centre canadien pour la cybersécurité, 2020).

2. Visibilité et contrôle limités

De nombreuses équipes des TI du secteur de la santé disposent d’une visibilité limitée sur les configurations des appareils, les applications installées, les mises à jour des systèmes d’exploitation et les vulnérabilités. Selon une étude récente, 42,7 % des organisations de santé signalent des lacunes en matière de visibilité et d’analytique, ce qui complique la détection des menaces et la rapidité d’intervention lors d’incidents de sécurité (CDW Canada, 2026). En l’absence d’une supervision centralisée, il devient difficile de maintenir des normes de sécurité uniformes.

3. Défis liés à la gestion des identités et des accès

Les appareils personnels ne prennent pas toujours en charge des mots de passe robustes, l’authentification multifacteur (AMF) ou les contrôles biométriques, ce qui accroît le risque d’accès non autorisé aux systèmes cliniques et aux dossiers des patients. Cette situation demeure une préoccupation importante, puisque 48,5 % des organisations du secteur de la santé considèrent la gestion des identités et des accès comme leur plus grande faiblesse en matière d’architecture Zero Trust (CDW Canada, 2026). De plus, certains défis peuvent découler d’une incompatibilité entre les applications et les différents systèmes d’exploitation mobiles (par exemple, iOS et Android), ce qui peut nuire à la fonctionnalité des applications, à l’efficacité des contrôles de sécurité et à l’expérience utilisateur. Les organisations de santé peuvent également être confrontées à des limites liées aux infrastructures de recharge, ainsi qu’à un risque accru de perte ou de vol des appareils personnels. Ces situations augmentent les risques d’exposition des données, d’accès non autorisé et d’interruptions dans la prestation des services de santé.

4. Risque accru d’hameçonnage et d’ingénierie sociale

Les cybercriminels ciblent régulièrement les travailleurs de la santé au moyen de courriels malveillants, de messages texte frauduleux, de vols d’identifiants, d’hameçonnage par texto (smishing), d’hameçonnage vocal (vishing) et d’autres techniques similaires. Les appareils non gérés peuvent offrir aux attaquants des occasions supplémentaires d’accéder à des systèmes et à des renseignements sensibles. Selon la recherche, 53,4 % des organisations de santé considèrent l’ingénierie sociale comme l’une des principales menaces en cybersécurité (CDW Canada, 2026). En mettant en œuvre une solution intégrée au chevet du patient, les établissements de santé peuvent réduire leur dépendance aux appareils personnels non gérés, transmettre de l’information fiable au moyen d’une plateforme sécurisée administrée par l’hôpital et limiter l’exposition aux attaques d’hameçonnage et d’ingénierie sociale.

5. Risques liés à la conformité et à la protection de la vie privée

Une étude publiée dans la Technology Innovation Management Review a révélé que 81 % des organisations de soins de santé entreposent des données sensibles de patients sur des appareils mobiles, que 49 % n’offrent aucune mesure de protection de sécurité pour ces données et que 71 % des organisations qui autorisent le programme Apportez votre appareil personnel (AVAP) ne disposent d’aucune politique officielle à cet égard (Marshall, S., 2014). Les organisations du secteur de la santé doivent se conformer à des règlements rigoureux en matière de protection des renseignements personnels sur la santé. L’application inégale des contrôles de sécurité sur les appareils personnels accroît le risque d’atteintes à la vie privée, de sanctions réglementaires, de responsabilités juridiques ainsi que de dommages à la réputation de l’organisation.

6. TI fantôme et applications non autorisées

Les applications de messagerie, les plateformes de partage de fichiers et les services de stockage infonuagique non approuvés peuvent stocker ou transmettre des données sur les patients à l’extérieur des environnements autorisés. Cela crée des angles morts en matière de sécurité et augmente le risque de fuite de données (ClearDATA, 2019).

7. Défis liés à la perte, au vol des appareils et à la gestion des incidents

L’enquête sur des appareils appartenant aux employés peut entraîner des obstacles juridiques et opérationnels (Commissariat à la protection de la vie privée du Canada, 2025). Lors d’un incident de cybersécurité, les organisations disposent souvent d’une autorité limitée pour inspecter, isoler ou effacer à distance les appareils personnels (Amplify Care, 2025).

8. Expérience des patients et préoccupations liées à l’équité

Tous les patients n’ont pas accès à des appareils adéquats, à une connexion Internet fiable ou aux compétences numériques nécessaires pour utiliser efficacement les applications de soins de santé (Johns Hopkins Bloomberg School of Public Health, 2025). Les personnes âgées, les patients vivant avec un handicap, les patients hospitalisés pour de longues périodes ainsi que les populations vulnérables peuvent faire face à des obstacles lorsque les services reposent fortement sur l’utilisation d’appareils personnels (Organisation mondiale de la Santé, 2025).

9. Exigences accrues en matière de TI, de sécurité et de gouvernance

La mise en œuvre réussie d’un programme d’AVAP (Apportez votre propre appareil) exige une infrastructure réseau sécurisée, une surveillance de la cybersécurité, l’application de politiques, la formation des utilisateurs, la gestion des appareils ainsi qu’un soutien continu, ce qui vient souvent atténuer les économies perçues liées aux coûts du matériel (Ontario Health, 2026) et (Centre canadien pour la cybersécurité, 2022). De plus, les initiatives d’AVAP peuvent accroître les responsabilités opérationnelles du personnel de première ligne dans le secteur de la santé. Les membres du personnel peuvent être appelés à aider les patients et leurs proches à connecter leurs appareils personnels au réseau Wi‑Fi de l’hôpital, à télécharger et configurer les applications de l’établissement, à résoudre des problèmes d’accès et à fournir un soutien technologique de base. Ces responsabilités supplémentaires peuvent alourdir leur charge de travail, accaparer du temps clinique et détourner leur attention des soins directs aux patients, particulièrement dans les milieux où les ressources de soutien technique sont limitées.