Cyberattaque
Un rançongiciel chiffre les serveurs, le SI est isolé pour l’enquête : plus aucun accès au dossier patient, parfois pendant des semaines.
CARYLIA SAFEVAULTProgramme pilote · Belgique & France
Continuité documentaire médicale. Même lorsque le SI ne répond plus.
CARYLIA SafeVault garde une copie consultable des documents des patients à l’intérieur de l’établissement : sur une appliance installée chez vous, et jusque sur les postes de soins. Cyberattaque, panne du DPI, réseau coupé : les équipes continuent de lire comptes rendus, prescriptions et résultats.
Sur siteDonnées localesLecture hors ligne sur le posteAucun flux sortant
Produit développé et éprouvé en laboratoire ; nous ouvrons des pilotes accompagnés en Belgique et en France.
Le besoin
Quand le SI s’arrête, les soins ne s’arrêtent pas.
Dès que le dossier patient informatisé devient indisponible, comptes rendus, prescriptions et résultats cessent d’être consultables. Les décisions cliniques continuent — sans historique, reconstitué au téléphone, sur papier ou de mémoire, et sans trace de qui a consulté quoi.
Panne du DPI
Un bug applicatif, une mise à jour qui échoue, une base indisponible : les documents existent, mais plus rien ne les affiche.
Réseau coupé
Lien télécom, cœur de réseau, panne d’un local technique : le poste de soins ne joint plus le serveur.
Maintenance qui déborde
Une intervention planifiée dure plus longtemps que prévu, pendant que les soins continuent.
764incidents de sécurité déclarés au CERT Santé en 2025, par 606 structures
288signalements ont imposé un mode dégradé ou interrompu une prise en charge, soit 38 % du total — un nombre en hausse de 24 % sur un an
75 %de ces modes dégradés ne viennent pas d’une attaque : lien télécom coupé, bug applicatif — souvent sur le DPI —, infrastructure locale
3 sur 4hôpitaux belges doivent encore progresser pour atteindre le niveau de maturité cyber requis : seuls 23,8 % des contrôles de base l’atteignent aujourd’hui
Sources : France — ANS / CERT Santé, Observatoire des signalements d’incidents de sécurité des systèmes d’information pour les secteurs santé et médico-social, rapport 2025. Belgique — SHIELD vzw, « State of Cybersecurity in Belgian Hospitals », janvier 2026 (mesures de maturité dans plus de cinquante hôpitaux).
La réponse SafeVault
Une couche de continuité indépendante, complémentaire au DPI.
SafeVault ne remplace ni le dossier patient ni l’archivage : il garde une copie consultable des documents utiles pour le jour où le système principal ne répond plus. Un périmètre limité, un déploiement court, une cohabitation prévue dès la conception.
Une appliance installée chez vous
Une machine virtuelle Debian, installée depuis une image ISO sur votre hyperviseur (qualifiée sous Hyper-V). Chiffrement du volume de données, sauvegardes chiffrées, mises à jour signées avec retour arrière automatique. Les données ne quittent pas l’établissement.
L’agent SafeVault Edge sur les postes de soins
Un service Windows garde sur chaque poste critique — urgences, médecin de garde, soins infirmiers — un cache chiffré des documents de son service. Réseau coupé ou appliance arrêtée, le soignant ouvre le portail du poste, cherche le patient et lit le document.
Une console web, en français
Recherche patient et lecture pour les soignants ; sources, comptes, supervision et audit pour la DSI. L’exploitation courante se fait depuis le navigateur, sans accès SSH à l’appliance.
Ce qui fait la différence avec une copie de fichiers : des documents lisibles sans réseau, rattachés au bon patient, sous des accès tracés — et une supervision qui dit vrai.
Lisible même hors ligne
Chaque poste critique garde un cache chiffré des documents de son service, et affiche l’ancienneté de sa dernière synchronisation.
Branché sur votre SI
Les documents arrivent par les flux que vos applications produisent déjà — HL7, FHIR, dépôt de fichiers —, sans ressaisie.
Le bon patient
L’identité vient du message du SIH (IPP, identifiant national quand la source le fournit) ; quand une source ne fournit qu’un nom de fichier, le soignant le voit au lieu d’une certitude affichée à tort.
Accès maîtrisés
Chaque soignant ne voit que les documents des unités de service auxquelles il a droit, sur le poste comme dans la console.
Un audit vérifiable
Journal en ajout seul, chaîné par HMAC avec une clé hors base : une modification ou une suppression se voit, et lève une alerte.
Une supervision honnête
Elle n’affiche rien qu’elle n’ait constaté : un dépôt orphelin, un poste qui ne reçoit plus, une écoute HL7 arrêtée se voient avant le jour de la panne.
Aperçu
La console, telle qu’elle est aujourd’hui
Quatre écrans de la console d’administration et de consultation, capturés sur une appliance de démonstration.
Captures de la version 0.7.27, appliance de démonstration : patients et documents fictifs.
Architecture
Une architecture pensée pour le mode dégradé
Les documents arrivent en continu des applications existantes, l’appliance les range au bon patient et les redistribue aux postes de soins. Le jour de la panne, chaque maillon fonctionne sans le précédent : le poste lit son cache même si l’appliance ne répond plus.
Sources documentaires
- DPI / SIH : HL7 v2 (MDM) en MLLP
- Connecteur FHIR R4
- Dépôt SFTP par compte dédié
- Dépôt HTTPS par clé d’API
- Dossiers surveillés
CARYLIA SafeVault
Machine virtuelle sur votre hyperviseur • données locales
- Chiffrement du volume de données
- Indexation & recherche patient
- Comptes, rôles, double authentification
- Sauvegardes chiffrées quotidiennes
Postes de soins (agent Edge)
- Cache chiffré par service
- Lecture réseau coupé
- Recherche patient sur le poste
- Urgences, garde, soins infirmiers
Supervision & SIEM
- Tableau de bord et alertes
- Journal d’audit chaîné
- Syslog TLS vers votre SIEM
- Score de posture de l’appliance
DisponibilitéIntégritéConfidentialitéTraçabilité
Sécurité
Des mécanismes qu’un RSSI peut contrôler.
L’appliance mesure elle-même sa posture : un score de sécurité daté, calculé sur une quinzaine de critères vérifiés sur la machine, plafonné tant qu’un critère critique échoue. Le dossier de sécurité remis au RSSI décrit chaque mécanisme — et ses limites connues.
Chiffrement au repos
Volume de données en LUKS2 sur l’appliance ; cache des postes Edge en AES-256-GCM, indéchiffrable sans authentification réussie.
Chiffrement en transit
HTTPS pour la console et les postes, certificat du serveur épinglé côté Edge ; HL7 MLLP en TLS, mutuel si besoin.
Comptes et sessions
Comptes nominatifs, double authentification TOTP exigible par compte, verrouillage après échecs, sessions courtes fermées à chaque redémarrage.
Audit vérifiable
Journal chaîné HMAC-SHA256 avec une clé hors base, en ajout seul au niveau de la base, vérifié chaque jour : une altération ouvre une alerte critique.
Mises à jour signées
Paquets signés Ed25519, sauvegarde et retour arrière automatique ; agent des postes signé Authenticode et vérifié avant installation.
Surface réduite
Aucun flux sortant vers l’éditeur, réception HL7 fermée par défaut, SSH désactivable depuis la console, pare-feu de l’hôte.
Conformité · Belgique & France
Conçu en tenant compte des exigences du secteur
SafeVault contribue à votre démarche de conformité ; il ne la remplace pas. Les certifications s’appliquent à des organisations — hébergeurs, établissements —, pas à un logiciel.
RGPDDonnées dans l’établissement, conservation paramétrable ; fiche RGPD fournie pour votre registre et votre AIPD.
NIS2Contribue au volet continuité d’activité, selon la transposition nationale (en Belgique : loi du 26 avril 2024).
ISO 27001Contrôle d’accès, journalisation, chiffrement et sauvegardes pensés pour s’inscrire dans votre SMSI.
HDSFrance : la certification vise les hébergeurs. Sur site, l’établissement reste hébergeur de ses données.
HAS · accréditationDes éléments de preuve sur la continuité d’accès au dossier, pour la certification (France) ou l’accréditation (Belgique).
SIEMJournaux de sécurité en syslog RFC 5424 sur TLS vers votre SIEM existant.
CARYLIA ne détient à ce jour aucune certification (ISO 27001, HDS ou autre) et ne s’en prévaut pas. Les référentiels ci-dessus sont des cadres d’exigences dont SafeVault tient compte ; leur application dépend de votre établissement, de son pays et de son périmètre.
Secteurs
Pour les établissements où l’accès au dossier ne peut pas attendre
En Belgique comme en France, SafeVault s’adresse aux structures dont les soins continuent quand le système d’information s’arrête.
Hôpitaux & cliniques
Urgences, services de soins, médecins de garde : les postes critiques gardent les documents de leur service.
Groupements & réseaux
GHT en France, réseaux hospitaliers en Belgique : un déploiement par établissement, des règles communes.
Médico-social
EHPAD, maisons de repos et de soins : les documents essentiels des résidents restent lisibles pendant une panne.
Laboratoires & plateaux techniques
Comptes rendus et résultats au format PDF, reçus par HL7, FHIR ou dépôt sécurisé. L’imagerie DICOM n’est pas couverte.
Programme pilote
Nous cherchons nos premiers établissements pilotes.
Le produit est développé et éprouvé en laboratoire ; l’étape suivante est l’épreuve du réel. Un pilote porte sur un service et quelques postes, pendant trois à six mois. Il est gratuit et n’engage pas à acheter.
- 01
Cadrage
Choix du service, des postes et des sources ; référents DSI, RSSI, DPO et cadre de santé ; convention de pilote.
- 02
Installation
L’appliance sur votre hyperviseur : deux disques virtuels, chiffrement du volume de données, certificat TLS.
- 03
Paramétrage
Unités de service, comptes nominatifs avec double authentification, sources documentaires, durées de conservation.
- 04
Postes Edge
L’agent signé installé sur les postes retenus, approuvés un par un dans la console.
- 05
Exercice de coupure
On simule l’indisponibilité du SI : les soignants retrouvent-ils les documents utiles, et en combien de temps ?
- 06
Bilan
Mesure des critères fixés au départ, puis décision : désinstallation, ou passage en production.
Ce qu’il faut de votre côté
- Un hyperviseur : Hyper-V, qualifié ; VMware, Proxmox ou Nutanix, qualifiés avec vous pendant le pilote.
- Une machine virtuelle avec deux disques (système et données).
- Des postes de soins sous Windows pour l’agent Edge.
- Au moins une source documentaire : export du DPI, flux HL7, dépôt de fichiers.
Le projet
CARYLIA, une jeune entreprise de la santé numérique.
CARYLIA conçoit et édite SafeVault. La société est en cours de constitution en Wallonie, en Belgique, et vise les établissements de santé belges et français.
Le produit est né d’un constat d’ingénieur : au moment d’une cyberattaque ou d’une panne, la continuité des soins repose encore sur le papier, le téléphone et des scripts maison. SafeVault est conçu, développé et éprouvé par son fondateur, ingénieur, au fil de versions livrées chacune avec son cahier de recette.
- Stade
- Produit développé (version 0.7, octobre 2026), éprouvé en laboratoire ; premiers pilotes en préparation.
- Qualité
- Chaque version passe un cahier de recette de plus de 400 contrôles avant publication.
- Modèle
- Licence d’utilisation sur site, à durée déterminée, chiffrée sur devis selon les services, les postes et les sources.
- Marchés
- Belgique et France : hôpitaux, cliniques, médico-social.
Nous échangeons volontiers avec
établissements candidats au pilote, intégrateurs et partenaires du secteur, structures d’accompagnement, investisseurs d’amorçage.
Prendre contactRessources
Le kit pilote, pour chacun de vos interlocuteurs
Trois documents de travail, envoyés sur demande avec la version du produit qu’ils décrivent. Indiquez dans le formulaire ceux qui vous intéressent.
Fiche produit
Ce que fait SafeVault, ce qu’il n’est pas, et le déroulé d’un pilote.
Demander le documentDossier de sécurité
Architecture, ports et flux, chiffrement, authentification, audit, mises à jour — et limites connues.
Demander le documentFiche RGPD
Traitements, durées de conservation, rôles de chacun : de quoi alimenter votre registre et votre AIPD.
Demander le documentQuestions fréquentes
Ce que les DSI, RSSI et DPO nous demandent
Nos données patient transitent-elles chez CARYLIA ?
Non. Tout est installé dans vos murs : aucune télémétrie, aucun appel sortant vers l’éditeur. La licence est un fichier signé, vérifié hors ligne.
Comment les documents entrent-ils dans SafeVault ?
Par les flux que vos applications savent déjà produire : messages HL7 v2 (MDM) en MLLP, connecteur FHIR R4, dépôt SFTP par compte dédié, dépôt HTTPS par clé d’API ou dossier surveillé. Les documents sont des PDF.
Et si l’identité du patient est ambiguë ?
L’identité est reprise du message du SIH : IPP, et identifiant national quand la source le fournit — INS en France, NISS en Belgique, dont la clé de contrôle est vérifiée. Quand une source ne fournit qu’un nom de fichier, le soignant le voit affiché comme tel : SafeVault ne présente pas une certitude qu’il n’a pas.
Que se passe-t-il si la licence expire, ou si l’éditeur disparaît ?
La licence n’arrête jamais le soin : trente jours de grâce sans restriction, puis seul l’ajout de comptes, de sources ou de postes est suspendu. Consultation, synchronisation et ingestion continuent. La pile repose sur des composants standards (Debian, PostgreSQL, Docker).
Et si l’appliance elle-même est attaquée ?
Volume chiffré, journal d’audit qui signale toute altération, sauvegardes chiffrées restaurables sur une machine neuve — et des postes de soins qui continuent de servir leur cache, sans l’appliance.
Peut-on l’installer sur Windows Server ?
Non, c’est un choix assumé : l’appliance est une machine virtuelle Linux installée depuis une image, pour des mises à jour reproductibles et réversibles. Une VM sur votre hyperviseur suffit. Les postes de soins, eux, sont sous Windows.
Comment se branche notre SIEM ?
Les journaux de sécurité partent en syslog RFC 5424 sur TLS vers votre collecteur. Les alertes peuvent aussi être envoyées par courriel ou par webhook.
Le produit est-il déjà déployé quelque part ?
Pas encore en production : nous ouvrons les premiers pilotes. Vous ne serez pas le vingtième client d’un produit figé ; vous serez parmi les premiers à en orienter les priorités.
Comment se construit le tarif ?
Sur devis, après un cadrage : le nombre de services, de postes critiques et de sources à raccorder varie trop d’un établissement à l’autre pour un prix catalogue. Le pilote est gratuit.
ContactRéponse sous deux jours ouvrés Échange direct avec le fondateur Aucune donnée patient
Parlons de votre continuité documentaire
Une démonstration d’une heure en visioconférence ou sur votre infrastructure, le cadrage d’un pilote, le kit pilote, ou un échange sur le projet : dites-nous ce qui vous est utile.
Un accusé de réception part dès l’envoi du formulaire.
Un échange technique, sans intermédiaire commercial.
La démonstration se fait sur des données fictives.
Prise de contact
Demander une démonstration
Décrivez votre structure, votre rôle et votre demande ; nous revenons vers vous pour organiser un premier échange.