La cyberattaque est un risque que les hôpitaux ne peuvent plus ignorer, l’attaque de l’hôpital André-Mignot du centre hospitalier de Versailles le 3 décembre en est la dernière preuve. À la fin novembre 2022, le CERT Santé, la structure qui gère les menaces de cybersécurité pour les établissements de santé et les établissements et services médico-sociaux, a recensé 500 incidents dont 50 % d’origine malveillante. Les rançongiciels constituent la menace la plus fréquente.
Dans la nuit du 8 au 9 octobre, l’hôpital parisien Pierre Rouquès dédié à la santé de la femme se fait pirater : tous les documents et les logiciels hébergés à l’hôpital sont cryptés, les sauvegardes sont effacées, l’accès aux mails est coupé. Grâce à l’accompagnement du CERT Santé, l’hôpital peut reconstruire peu à peu son réseau. “Le logiciel en mode Saas que nous avons déployé en salle de naissance nous a permis d’accueillir nos patientes sereinement, nous avons récupéré notre logiciel de facturation fin novembre et nos boîtes mails sont en train de remonter, nous nous rapprochons doucement d’un fonctionnement normal”, indique Brice Martin, directeur de l’hôpital Pierre Rouquès. Mais le rétablissement des liens avec l’extérieur peut s’inscrire dans un temps plus long, le centre hospitalier de Mâcon attaqué le 27 mai 2022 n’a ouvert à nouveau ses liaisons externes qu’à la mi-novembre après avoir obtenu l’autorisation de l’Anssi.
Une exposition multiple au risque cyber
- La santé et la banque sont les secteurs où les coûts médians des incidents cyber sont les plus élevés (300 000 €) ;
- Seuls 27 % des opérateurs de services essentiels (OES) du secteur de la santé disposent d’un programme de défense contre les ransomwares ;
- 64% des OES du secteur de la santé utilisent déjà des dispositifs médicaux connectés dans leurs opérations ;
- 40% des entreprises interrogées n’ont pas de programme de sensibilisation à la sécurité pour le personnel non informatique.
Source : NIS Investments 2022, Enisa, novembre 2022.