Cyberassurance : les établissements de santé appelés à améliorer leur gestion des risques

La cyberattaque est un risque que les hôpitaux ne peuvent plus ignorer. L’attaque de l’hôpital André-Mignot du centre hospitalier de Versailles, le 3 décembre 2022, en est la dernière preuve.  À la fin novembre 2022, le CERT Santé, la structure qui gère les menaces de cybersécurité pour les établissements de santé et les établissements et services médico-sociaux, a recensé 500 incidents dont 50 % d’origine malveillante. Les rançongiciels constituent la menace la plus fréquente.

Dans la nuit du 8 au 9 octobre, l’hôpital parisien Pierre Rouquès dédié à la santé de la femme se fait pirater. Tous les documents et les logiciels hébergés à l’hôpital sont cryptés, les sauvegardes sont effacées, l’accès aux mails est coupé. Grâce à l’accompagnement du CERT Santé, l’hôpital peut reconstruire peu à peu son réseau. “Le logiciel en mode Saas que nous avons déployé en salle de naissance nous a permis d’accueillir nos patientes sereinement, nous avons récupéré notre logiciel de facturation fin novembre et nos boîtes mails sont en train de remonter, nous nous rapprochons doucement d’un fonctionnement normal”, indique Brice Martin, directeur de l’hôpital Pierre Rouquès. Mais le rétablissement des liens avec l’extérieur peut s’inscrire dans un temps plus long. Le centre hospitalier de Mâcon attaqué le 27 mai 2022 n’a ouvert à nouveau ses liaisons externes qu’à la mi-novembre après avoir obtenu l’autorisation de l’Anssi. 

Des impacts difficiles à estimer à long terme 

Si une cyberattaque représente un défi organisationnel, elle a également un coût non négligeable. “Nous l’avons évalué à environ 450 000 euros auxquels il faut ajouter 90 000 euros pour l’acquisition de postes informatiques supplémentaires. Mais, il est compliqué de tout chiffrer et d’identifier les impacts“, juge Jean-Christophe Tamboloni, directeur du système d’information du centre hospitalier de Mâcon.