Cybersécurité

Les incidents de sécurité du système d'information sont à déclarer sans délai. Les déclarations concernent les incidents dits significatifs mais aussi ceux ayant un retentissement potentiel sur l'organisation ou affectant d'autres établissements.

Des manquements techniques et organisationnels à l'origine d'une fuite de données de santé de près de 500 000 personnes ont conduit la Cnil à prononcer une amende à l'encontre de Dedalus biologie. Ce dernier a depuis pris des mesures.

Le chiffre a presque doublé entre 2020 et 2021 pour s'établir à 733. Il s'explique par une augmentation des déclarations mais pas seulement... L'observatoire des signalements d'incidents de sécurité des SI pour le secteur santé dessine ce qui se joue en coulisse et permet de surligner les points de vigilance.

23 mesures de sécurité. La directive Nis, en place depuis le 1er septembre dernier pour les OSE, implique de nombreux ajustements pour les établissements de santé. Le CHU de Rouen fait part de son expérience. De premières problématiques se dessinent.

Destiné à harmoniser les usages et la qualité des SI hospitaliers, le référentiel Maturin'h se construit. Une première version, disponible fin 2022, intégrera plus de 140 critères sur la sécurité des SI. Sa généralisation est attendue pour 2024.

Si les cyberattaques visant le secteur santé n'ont toujours pas été relevées, il n'en reste pas moins que les incidents de sécurité se multiplient. Certains affectent les établissements par ricochet. De même, la finalité des attaques évolue.

Face à une menace cyber qui se complexifie, l'Anssi appelle une fois encore les organisations à consentir les moyens nécessaires pour s'en prémunir. En 2021, les attaques par rançongiciel conservent la première place des menaces.

Victime d'une cyberattaque début août, le CH d'Arles a pu compter sur le travail fourni durant deux ans pour son dossier Hop'en, notamment sur les procédures dégradées. La robustesse des plans de reprise et de continuités d'activité a été testée.

Les lauréats de l'appel à manifestation d'intérêt qui accueilleront des démonstrateurs de cybersécurité ont été dévoilés. Sur les six retenus, quatre sont des établissements de santé : les CHU de Caen et Nancy et les GCS e-santé Bretagne et Ametis.

Loin d'être un cas isolé, le secteur de la santé connaît des cyberattaques, dont des attaques opportunistes par rançongiciels, particulièrement début 2021. Toutefois, elles ne doivent pas masquer les autres types d'attaques.