Philippe Loudenot (ministères) : « Dans les structures de soins, les cryptovirus sont le fléau numéro 1 »

D’où vient l’idée d’un signalement obligatoire des incidents de cybersécurité ?

Philippe Loudenot : En 2009, un ver informatique appelé Conficker a attaqué des entreprises, des hôpitaux, etc. Nous avons alors découvert la surface d’attaque offerte par le numérique – le ver était entré par des dispositifs biomédicaux ou des centres de gestion de bâtiment – et le désarroi de certaines structures : certaines ont des tailles physiques qui leur permettent d’avoir une direction informatique et souvent un responsable de sécurité mais d’autres n’ont pas forcément ces moyens. L’idée a germé à ce moment-là.
Avant la mise en place de la cellule Accompagnement cybersécurité des structures de santé (ACSS), il avait été créé un système de signalement reposant sur le volontariat. La déclaration a été rendue obligatoire suite à une proposition d’amendement du député PS Gérard Bapt à la loi de santé de 2016.

ACSS a maintenant un an d’exercice et a recueilli 319 déclarations d’incidents. Quel enseignement retenez-vous sur l’état de la menace ?

Emmanuel Sohier : Nous n’avons encore qu’une vue partielle.