350 M€ du Ségur de la santé consacrés à la cybersécurité

Le 18 février 2021, le gouvernement a présenté la stratégie nationale pour la cybersécurité. Si elle concerne en premier lieu les acteurs de la filière cybersécurité avec notamment l’objectif de voir tripler son chiffre d’affaires (passer de 7,3 Mds € à 25 Mds €) et doubler le nombre d’emplois (passer de 37 000 à 75 000) à horizon 2025. Avec un budget d’1 Md € dont 720 M€ de financements publics, la stratégie se décline autour de cinq axes : développer des solutions souveraines de cybersécurité ; renforcer les liens et synergies entre les acteurs de la filière ; soutenir l’adoption de solutions cyber par les individus, les entreprises, les collectivités et l’État ; former plus de jeunes et professionnels aux métiers de la cybersécurité ; et soutien en fonds propres.

Des mesures pour le secteur santé et plus particulièrement les établissements de soins

L’actualité récente des cyberattaques contre les centres hospitaliers de Dax et Villefranche-sur-Saône a fait l’objet d’une attention particulière au cours de cette présentation. Emmanuel Macron s’étant entretenu avec des acteurs de ces établissements. Il a d’ailleurs annoncé des mesures spécifiques pour la santé, après avoir rappelé le chiffre de l’Anssi (Agence nationale de la sécurité des systèmes d’information) selon lequel 11 % des attaques concernent le secteur. Le Président a décidé d’augmenter le budget cyber au sein de l’enveloppe de 2 Mds € consacrés au numérique dans le cadre du Ségur de la santé. Ainsi, 350 M€ “seront dédiés à renforcer la sécurité des systèmes d’informations de santé impliqués dans l’échange de données du parcours de soins”, a annoncé Emmanuel Macron. La mesure 9 du Ségur prévoit notamment des investissements pour le “rattrapage du retard sur le numérique”, plus particulièrement “dans la modernisation, l’interopérabilité, la réversibilité, la convergence et la sécurité des systèmes d’information en santé”.

Une autre annonce concerne l’intégration des enjeux de cybersécurité dans les programmes numériques des structures de santé qui “seront invitées à (y) consacrer systématiquement 5 à 10 % du budget”, a souligné le Président. Une démarche qui s’inscrit dans celle des prérequis du programme Hop’En. Présenté en 2019, ce programme d’une durée de cinq ans pour les systèmes d’information hospitaliers s’appuie sur quatre prérequis indispensables à l’attribution de financements, dont celui de la sécurité.

Création d’un nouvel observatoire pour les établissements

Le chef du gouvernement prévoit également une “sensibilisation à la cybersécurité systématiquement intégrée aux cursus de formation, un élément clé dans des professions qui sont en train de se numériser”. Il a cité aussi la “mise en place d’un observatoire permanent du niveau de sécurité des établissements de santé”. S’il existe déjà un Observatoire des signalements d’incidents de sécurité des systèmes d’information réalisé par la cellule Accompagnement cybersécurité des structures de santé (ACSS) de l’Agence du numérique en santé (ANS), cet observatoire pourrait être plus global. 

Emmanuel Sohier, responsable de la cellule ACSS, indique à mind Health que la prochaine publication de l’observatoire est prévue en mars 2021. “Nous avons constaté une activité de cyber malveillance qui a augmenté en 2020 sur la partie exploitation des vulnérabilités, en particulier sur les accès à distance. 60 % des signalements concernent des incidents dont l’origine est malveillante”, dévoile-t-il. Cela représentait 43 % des signalements en 2019, selon la dernière publication de l’observatoire. 

Enfin, Emmanuel Macron a annoncé “la montée en puissance du système national de cybersécurité en santé porté par l’ANS afin de fournir un appui, en coordination avec l’Anssi, aux établissements de santé en matière de détection de leur vulnérabilité”. La cellule ACSS intervient auprès des établissements de santé pour des audits : “Nous avons audité 40 GHT (groupements hospitaliers de territoires, ndlr). Nous constatons une amélioration de la prise en compte de la menace, même s’il y a encore des efforts à faire en termes de réactivité et de rapidité pour corriger les équipements de sécurité tout en prenant en compte la dimension opérationnelle de ces équipements. Nous avons identifié des vulnérabilités importantes sur certains équipements très utilisés pour l’accès à distance””, confie Emmanuel Sohier.