Les cinq premières étapes pour assurer a minima la sécurité de son SIH

La semaine du 25 mars 2019, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a dû intervenir auprès de deux établissements de santé touchés par une attaque informatique. Philippe Loudenot, fonctionnaire de sécurité des systèmes d’information des ministères sociaux, a partagé ces deux cas à l’occasion du 7e congrès national de la sécurité des systèmes d’information de santé, organisé au Mans du 2 au 4 avril 2019. Un cryptovirus a touché le système d’information (SI) d’un centre hospitalier de 200 lits, rendant les données complètement indisponibles pendant plusieurs jours. “Le virus a même gêné l’ensemble des sauvegardes. Je vous laisse imaginer l’état de désespoir”, a commenté Philippe Loudenot. Ce CH n’avait pas de direction des SI “et encore moins de responsable de la sécurité des systèmes d’information (RSSI)”. La directrice a contacté le Centre opérationnel de réception et de régulation des urgences sanitaires et sociales (Corruss) du ministère de la Santé, déclenchant une intervention de l’Anssi qui lui a fourni un programme déchiffrant les données. Dans le deuxième cas, un centre hospitalo-universitaire (CHU) a subi un virus polymorphique qui s’est propagé à plusieurs services, dont les urgences et la réanimation, rendant indisponible pendant quatre jours le dossier patient informatisé (DPI) et plusieurs services support comme les messageries. Là encore le Corruss a été alerté et l’Anssi est intervenue à distance et sur site. Des opérations et des consultations ont dû être reportées. Les services touchés ont fonctionné en mode dégradé. Par exemple, le service d’urgences a tourné avec deux ordinateurs : l’un pour accéder aux sauvegardes des DPI des patients déjà venus, l’autre pour gérer les entrées et admissions, avant une réintégration manuelle une fois le SI rétabli.

Les pertes se sont avérées essentiellement financières pour ces deux établissements, loin des démonstrations de piratage de pacemakers – allant jusqu’à déclencher une décharge mortelle – et de scanner 3D – jusqu’à l’ajout d’images de tumeurs malignes que l’algorithme d’intelligence artificielle ne différencie pas. Loin encore du ver informatique Conficker qui en 2009 a largement infesté les hôpitaux français. Pour autant, les incidents que relève la cellule ministérielle ACSS, pour Accompagnement cybersécurité des structures de santé, vont croissant et montrent la vulnérabilité des SI hospitaliers (SIH). “Ça rentre par un lave-vaisselle interconnecté au réseau d’un hôpital, par une chaufferie, par du matériel biomédical”, constate Philippe Loudenot. La moitié de ces signalements – obligatoires – relèvent d’une malveillance mais la cybersécurité recouvre également les erreurs humaines, les bugs logiciels ou l’indisponibilité du réseau ou d’une application. Moins impressionnants, ils peuvent pourtant eux aussi s’avérer dangereux, et entraîner par exemple des erreurs de prescription, quand ce ne sont pas des décès comme à Épinal, en 2006, où 5 500 patients ont été surirradiés à la suite d’un mauvais paramétrage d’un logiciel.