Outre-mer : comment les territoires isolés organisent la cyber résilience

Face à la recrudescence des cyberattaques visant des établissements de santé depuis 2021, un MARS (message d’alerte rapide sanitaire) a été adressé en avril 2021 sur le sujet aux ARS et établissements publics de santé ultramarins. Dans ce document, auquel mind Health a eu accès, le ministère de la Santé demandait à “l’ensemble des établissements publics de santé ultramarins, sous le contrôle des agences régionales de santé, de mettre en œuvre dans les meilleurs délais des mesures spécifiques” pour se prémunir des cyberattaques. Ce plan d’action recommandait la sauvegarde des données, l’organisation d’audits de sécurité et de prestations de sécurité numérique et la construction d’un plan de réponse en cas d’incident de cybersécurité entre autres.

Des territoires à haut risque

Ce message levait le voile sur une situation critique sur le plan sécuritaire et sanitaire. Les territoires ultramarins ne sont pas préservés des risques de cyberattaques qui pèsent sur le milieu hospitalier. La situation géographique insulaire peut pourtant laisser l’impression inverse, comme l’a constaté Mathias Laurent, RSSI et DPO du GCS TESIS (La Réunion), contacté par mind Health : “Il y a un sentiment qui n’est pas dit explicitement, mais partagé, de se sentir plus en sécurité. Que l’on soit sur une petite île ne change rien. Pire encore, nous sommes encore plus connectés que les autres donc il y a un risque de diffusion exacerbée.” Le rançongiciel qui a frappé le CHU de la Réunion le 6 février 2023 a d’ailleurs créé un précédent, l’hôpital ayant dû couper l’accès à Internet et l’accès à distance des télétravailleurs. La continuité des soins a cependant pu être assurée grâce à une détection précoce de l’attaque.

Ce qui m’a marqué très vite, c’est le retard accumulé en matière de transformation numérique, qui est lié à la problématique budgétaire et à l’instabilité en termes de gouvernance

Rodrigue Alexander (CHU de la Martinique)

Le risque cyber est d’autant plus grand que les dettes techniques s’accumulent dans certains territoires ultramarins. En Martinique, par exemple, la maturité numérique s’est faite tardivement au CHU. Rodrigue Alexander, directeur du pôle transformation numérique, arrivé dans le DROM antillais en avril 2022, en témoigne : “Ce qui m’a marqué très vite, c’est le retard accumulé en matière de transformation numérique, qui est lié à la problématique budgétaire et à l’instabilité en termes de gouvernance. Au CHU de la Martinique, sur les 3500 PC en état de marche, 3000 PC étaient à l’époque sous Windows 7”. Ce système d’exploitation n’étant plus maintenu par Microsoft, il ne met plus à jour les patchs informatiques pour corriger les vulnérabilités.

Cet état de fait des Outre-mer met l’ANSSI en alerte. L’agence a confirmé à mind Health que “plusieurs établissements de santé ultramarins ont été identifiés par les autorités comme particulièrement sensibles et sont donc soumis à des réglementations cyber nationales et européennes. Ils bénéficient ainsi de l’accompagnement que l’Agence propose aux établissements régulés”. Des établissements ultramarins se sont aussi engagés dans des parcours de cybersécurité France Relance, précise l’ANSSI. Le CERT santé, porté par l’Agence du Numérique en santé (ANS), et le CERT FR, dépendant de l’ANSSI, sont souvent amenés à intervenir de concert sur des incidents concernant des établissements de santé.