Les chiffres remontés par l’Anssi et le CERT-Santé montrent une forte augmentation des attaques en 2021. Quel bilan faites-vous ?
Nous avons clairement une augmentation des incidents de sécurité, c’est-à-dire des incidents avérés et déclarés au CERT-Santé, qui ont doublé entre 2020 et 2021. Cela n’est pas spécifique au secteur santé mais en partie dû à l’impact d’incidents chez des fournisseurs, qu’il s’agisse de fournisseurs d’infrastructures type IaaS, donc génériques (non dédiés au secteur de la santé), ou de fournisseurs de type SaaS qui proposent des solutions spécifiques au secteur de la santé, comme des DPI par exemple. Ces impacts ont parfois touché plus d’une centaine d’établissements et soulèvent la question du risque systémique, c’est-à-dire risque pouvant affecter la chaine sanitaire en impactant des établissements de santé de première ligne, un nombre d’établissements de santé important, des services métiers nationaux ou des établissements de santé avec des possibilités de repli plus complexes (comme dans les territoires d’Outre-mer).
Le secteur de la santé n’est pas spécifiquement ciblé à ce jour, il est chassé au fil de l’eau, par opportunisme.
Quelle est la typologie de ces attaques ? Est-ce encore de l’opportunisme ou avez-vous noté des attaques ciblées ?
Le secteur de la santé n’est pas spécifiquement ciblé à ce jour, il est chassé au fil de l’eau, par opportunisme, et subit l’augmentation continue des attaques et l’évolution de leur nature. Il faut toutefois noter une prise de conscience du risque cyber et ceci à tous les niveaux depuis deux ou trois ans. Les établissements de santé s’adaptent à cette menace nouvelle et ont commencé à se renforcer. Nous sommes encore loin d’une situation optimale, mais les choses avancent. C’est d’ailleurs tout l’enjeu du plan de renforcement cyber des établissements de santé dont une part des mesures sont déjà opérationnelles et qui va se poursuivre en 2022.
Une autre évolution porte sur la communication, avec de plus en plus de témoignages d’hôpitaux touchés par une cyberattaque…
Le retour d’expérience est essentiel. L’un des premiers « RETEX » marquant, à mon sens, est celui du CHU de Rouen, qui a été un des premiers CHU à subir un incident cyber majeur. Son retour d’expérience très complet a largement contribué à la sensibilisation des autres établissements.
Vice-présidente du GESTE
Secrétaire générale de la société Droits Voisins de la Presse
Membre du conseil d’administration du Spiil