Les établissements de santé, en proie aux attaques informatiques, déploient des efforts soutenus pour sécuriser leurs réseaux et venir à bout des failles avant qu’elles ne soient exploitées. Le responsable sécurité du système d’information (RSSI) est le premier de cordée dans ce combat. Il n’a pourtant pas toujours la pleine maîtrise des équipements biomédicaux connectés, multiples et hétérogènes.
Nicolas Terrade fait partie de ceux qui ont repensé entièrement leur stratégie cyber après avoir subi une attaque d’ampleur au centre hospitalier de Dax en février 2021, où il occupait déjà à l’époque le poste de RSSI. Toute la sécurité de l’hôpital a été rehaussée d’un cran, parc biomédical compris. La DSI et le service biomédical, d’ordinaire séparés, ont travaillé de concert au CH de Dax pour “garder la maîtrise des équipements qui se connectent au réseau” évoque Nicolas Terrade. Pour les équipements obsolètes et non pris en charge par la DSI, “nous essayons de les cloisonner dans des sous réseaux étanches, pour ne laisser passer que le flux minimum nécessaire à l’activité” précise le responsable. Une cartographie des flux est réalisée au niveau des équipements connectés vers l’extérieur (IRM, scanners, etc.). “Des outils de gestion de mise à jour sont utilisés pour scanner l’intégralité de notre parc et indiquer l’écart entre les dernières mises à jour et ce qui apparaît sur notre SI”, note Nicolas Terrade.
Plongée dans un hôpital en crise
Nicolas Terrade n’a pas oublié les circonstances de la cyberattaque : “La nuit où cela s’est produit, j’ai été interpellé par la personne du service informatique d’astreinte, qui n’arrivait plus à se connecter à distance. Nous avons trouvé la présence d’un fichier contenant les trois lettres “RYK”, les initiales du rançongiciel Ryuk. Les dégâts étaient déjà d’envergure quand nous sommes intervenus, car la quasi-totalité de nos serveurs étaient impactés, de même que les sauvegardes sur disque”. Pourtant, deux ans après l’incident, “le vecteur d’infection n’a toujours pas été validé à 100%” constate le RSSI. Il n’exclut pas la possibilité d’infection via des appareils en fonctionnement. Pour Nicolas Terrade, il ne fait aucun doute que la reconstruction d’une nouvelle infrastructure après l’attaque a permis de se débarrasser des mauvaises habitudes : “On nous demande d’implémenter de nouveaux systèmes dans le SI de manière plus ou moins urgente, sans nécessairement prendre en considération l’aspect technique de la solution choisie.