-
Pierre Fabre
Données de santé, Essais cliniques, Innovation, Oncologie, Recherche et développement
Il y a aura un avant et un après Petya. Le 27 juin dernier, le fameux ransomware commençait à faire ses ravages aux Etats-Unis après avoir sévi en Ukraine. La première entreprise américaine à reconnaître être touchée sera le géant pharmaceutique Merck. Peu de temps après sa filiale britannique MSD (Merck Sharp & Dohme) verra ses ordinateurs hors de service.
Cette cyber-attaque d’une ampleur sans précédent a eu au moins pour mérite de sensibiliser l’industrie pharmaceutique à son exposition aux risques. Selon un expert du marché, le budget sécurité serait ainsi passé en quelques mois de 3 à 15 % du budget IT dans certaines entreprises.
Pourtant, avec Petya, les pirates qui exigeaient une rançon pour déverrouiller la base de données, que le malware avait préalablement chiffrée, ne visaient pas spécifiquement la profession. Merck faisait partie d’une longue liste de victimes de toute taille et de tout secteur d’activité.
Des cybercriminels mus par l’appât du gain
Pour Pierre-Yves Colin, DSI de Vetoquinol et président du Cedhys, association indépendante des DSI francophones du secteur des sciences de la vie, les menaces qui pèsent sur les laboratoires portent moins sur l’altération de l’activité, avec des attaques de type déni de service (DDoS), que sur l’intégrité des données sensibles. « La violation d’études cliniques ou des résultats faussés peut remettre en cause la mise sur le marché d’un médicament. Une fois sur le marché, la traçabilité du médicament est un autre enjeu d’importance en termes de pharmacovigilance. »
A ses yeux, les usines de fabrication constituent également des zones particulièrement sensibles. « Un virus ou un malware susceptible d’entraîner une modification de la formule d’un médicament pourrait avoir des conséquences désastreuses, le pire étant de s’en rendre compte plusieurs semaines ou mois après”.
Un avis partagé par Cyrille Barthelemy, PDG d’Intrinsec. Bâtis sur des architectures de type Scada (Système d’acquisition et de contrôle de données), « les systèmes d’information industriels ne sont pas nativement conçus pour la cybersécurité.