Une surface d'attaque qui s'étend plus vite que les moyens de défense
Les établissements de santé figurent parmi les secteurs les plus touchés par les incidents de cybersécurité, aux côtés de l'administration et de la finance. Les données disponibles publiquement sur les signalements d'attaques placent régulièrement le secteur de la santé en tête des volumes déclarés, avec une part importante d'incidents impliquant des rançongiciels.
Cette exposition s'explique par une combinaison de facteurs structurels. Les hôpitaux exploitent un nombre élevé de systèmes hétérogènes, souvent anciens, connectés entre eux pour partager dossiers patients, imagerie et résultats de laboratoire. Chaque interconnexion crée un point d'entrée supplémentaire, et la moindre compromission peut se propager latéralement d'un service à l'autre.
À cela s'ajoute une contrainte de disponibilité. Un hôpital ne peut pas interrompre son activité pour appliquer une mise à jour de sécurité. Les fenêtres de maintenance sont rares, et beaucoup d'équipements médicaux ne supportent pas de correctifs sans validation du fabricant.
Ce que change concrètement un blocage des systèmes
Lorsqu'un rançongiciel chiffre les serveurs d'un établissement, ce ne sont pas seulement des fichiers administratifs qui deviennent inaccessibles. Les logiciels de prescription, la planification des blocs opératoires et l'accès aux antécédents des patients peuvent être neutralisés simultanément. Le personnel bascule alors sur des procédures papier, plus lentes et plus exposées aux erreurs. À consulter également : daveweb.fr.
Les conséquences se mesurent d'abord en délais. Reports d'interventions, déprogrammation de consultations, allongement des passages aux urgences : ces effets sont documentés dans plusieurs retours d'expérience publiés par des agences sanitaires. Dans les cas les plus graves, des transferts de patients vers d'autres établissements ont été nécessaires.
Le coût de la remise en service dépasse largement la rançon éventuellement demandée. Il faut compter la restauration des sauvegardes, l'audit des systèmes compromis, le remplacement de matériel et la communication vers les patients dont les données ont pu être consultées. Les autorités de protection des données imposent par ailleurs une notification en cas de violation touchant des informations personnelles de santé.
Les leviers de réduction du risque à l'échelle de l'établissement
Les recommandations publiées par les agences nationales de cybersécurité convergent sur quelques principes. Le premier est la segmentation des réseaux : isoler les équipements médicaux critiques du réseau bureautique limite la propagation d'une attaque. Le second est la gestion rigoureuse des comptes à privilèges, car les identifiants administrateurs constituent une cible privilégiée des attaquants.
La sauvegarde hors ligne occupe une place particulière. Une copie déconnectée du réseau ne peut pas être chiffrée par un rançongiciel, à condition qu'elle soit testée régulièrement. Beaucoup d'établissements découvrent au moment de l'incident que leurs sauvegardes étaient accessibles depuis le système compromis.
Trois mesures reviennent le plus souvent dans les plans de remédiation :
- la généralisation de l'authentification multifacteur sur les accès distants et les messageries ;
- la cartographie des équipements connectés, avec un inventaire à jour des logiciels et de leurs versions ;
- des exercices de crise simulant une attaque, pour tester la coordination entre direction, service informatique et soignants.
Ces mesures ont des limites. Elles réduisent la probabilité et l'ampleur d'un incident, mais ne l'empêchent pas. Un hôpital reste une cible attractive parce que la pression sur la disponibilité des soins pousse les victimes à payer rapidement. La coopération entre établissements, via des centres régionaux d'appui ou des partages d'information sur les incidents, constitue un complément utile, sans remplacer les investissements propres à chaque structure.
