La cybersécurité dans les hôpitaux ne va pas bien

Pour quiconque n’a pas vécu sur une autre planète ces derniers mois, les résultats du rapport ANSSI – Secteur Santé « Etat de la menace informatique » ne surprendront pas. L’hôpital est gravement malade en matière de cybersécurité. Et les médicaments vont coûter cher !

Sur la période allant de début 2022 à fin 2023, l’Agence nationale explique que les établissements de santé ont vu exploser leur « contribution » aux incidents et signalements auxquels elle a dû faire face sur la période. Ils représentaient 2,87% du total en 2020, ils ont atteint 11,4% en 2023.

Cette ampleur résulte d’abord du sous-investissement chronique de l’ensemble des acteurs du secteur, qui ont négligé pendant des années tant les mises à jour des systèmes et les correctifs de sécurité que les politiques de sensibilisation du personnel. Avec des dérives parfois spectaculaires comme lorsque la CNIL avait pointé il y a quelques mois l’insouciance de certains médecins qui communiquaient leurs codes d’accès au dossier personnel de leurs patients aux services administratifs, pour ne pas être dérangés à chaque fois que ces derniers avaient besoin d’un renseignement.

Conséquences de toute cette négligence : compromission des comptes de messagerie, chiffrement par ransomware et exfiltration de données ou indisponibilité temporaire liée à un déni de service.
Encore récemment, à la mi-novembre, les données sensibles de plus de 750 000 Français ont été mises en vente sur le darkwebaprès avoir été volé grâce à une intrusion dans l’application open Source Mediboard, utilisée par les établissements de santé pour gérer les dossiers des patients et organiser les rendez-vous.

Là aussi, rien de nouveau : en mai dernier, l’ANS (Agence Nationale de la Santé) signalait près de 60 incidents dans les hôpitaux conduisant à une fuite de données personnelles et sensibles… Tout en saluant une relative stabilisation.

Une autre explication, l’intérêt financier des cyberattaquants reste fort. D’une part paiement de rançons n’est pas rare. D’un autre côté, certains acheteurs » peuvent manifester un intérêt pour des données sensibles sur la santé des personnes (assureurs, banques, etc.).
Enfin, et c’est Milos Brkovic, directeur général France de Commvault, qui précise : « une attaque réussie contre un hôpital est un trophée pour un pirate informatique ».

On rappelle que les hôpitaux français font partie de l’OIV (opérateurs d’importance vitale), normalement éligibles à 2 NIS.

On le voit, il y a encore du travail à faire et l’ANSSI appelle à des approches globales de sécurité, avec des étapes connues : cartographie des actifs à protéger, analyse de l’état du SI et des compétences des équipes, de la nature des menaces, des risques et des priorités, etc.
Ajoutons, comme le faisait Christian Sarazin, CIO du Centre Hospitalier de Martigues dans ces colonnes le mois dernier, la nécessité de concevoir une ARP médicalement réaliste : comment continuer à fonctionner quand le SI est fortement dégradé ? La question peut paraître insensée à l’heure du numérique, mais ceux qui regardent en ce moment l’excellente série Hippocrate, et voient des médecins lutter – ici contre le manque de moyens – pour assurer malgré tout leur mission fondamentale, à savoir sauver des vies, comprendront son pleine légitimité.

Source : Etat de la menace informatique dans le secteur de la santé par l’ANSSI | Agence de santé numérique

Des conséquences dramatiques

Vous n’avez pas besoin de vous y habituer. La longue liste des cyberattaques contre les établissements de santé ne doit pas nous blaser. Le dernier rapport de Proofpoint Cyber-insécurité dans les soins de santé est très utile en ce sens.

D’abord en rappelant que le problème n’est pas seulement français : ainsi, 92 % des établissements de santé américains interrogés ont subi au moins une cyberattaque au cours des 12 derniers moiscontre 88 % en 2023.

Puis dans se souvenir des conséquences : dans 69 % des cas, cela a entraîné une perturbation des soins aux patients. De mauvais résultats ont été signalés en raison de retards dans les procédures et les tests (56 %), et de complications accrues liées aux procédures médicales (53 %). Mais surtout, et c’est dramatique, les taux de mortalité ont augmenté – de cinq points de pourcentage par rapport à l’année précédente.

A LIRE AUSSI :

A LIRE AUSSI :

A LIRE AUSSI :

Nous vous enverrons un email de validation !