Cybersécurité des hôpitaux : ce que les incidents changent concrètement

Les attaques par rançongiciel visant des établissements de santé se comptent aujourd'hui en dizaines chaque année en France, selon les recensements publics de l'Agence nationale de la sécurité des systèmes d'information. Un hôpital paralysé l'espace de quelques jours, ce ne sont pas seulement des fichiers bloqués : ce sont des consultations reportées, des résultats d'analyses indisponibles et des transferts de patients vers d'autres sites.

Ce qui se passe quand un hôpital est bloqué

Un rançongiciel chiffre les données et rend les logiciels métiers inutilisables : dossier patient informatisé, imagerie, laboratoire, planification des blocs. Les équipes basculent alors sur des procédures papier, plus lentes et plus exposées aux erreurs de retranscription.

Les conséquences se mesurent d'abord en délais. Les urgences peuvent continuer à fonctionner en mode dégradé, mais les activités programmées sont souvent suspendues. Les patients dont l'intervention n'est pas vitale sont rappelés, parfois sans visibilité sur la nouvelle date.

La restauration des systèmes prend en général plusieurs jours, parfois plusieurs semaines pour les applications les plus anciennes. Les sauvegardes ne suffisent pas toujours : si elles ont été accessibles depuis le réseau compromis, elles peuvent avoir été chiffrées en même temps que le reste.

Les données de santé, une cible particulière

Un dossier médical contient nom, date de naissance, adresse, numéro de sécurité sociale, pathologies et traitements. Ces informations ne se remplacent pas comme un mot de passe : elles restent valables des années et servent au démarchage frauduleux, à l'usurpation d'identité ou au chantage.

Les établissements sont donc soumis à des obligations de sécurité renforcées, avec déclaration des incidents à la Commission nationale de l'informatique et des libertés. Un vol de données peut aussi exposer l'établissement à des actions en justice de la part des patients concernés.

Le risque ne s'arrête pas aux grands centres hospitaliers. Les cabinets libéraux, les laboratoires de ville et les maisons de santé disposent de moyens techniques plus limités, alors qu'ils détiennent des volumes de données comparables à ceux d'une structure de taille moyenne.

Les causes récurrentes, au-delà de la technique

Les attaques aboutissent rarement par une faille spectaculaire. Elles passent le plus souvent par un courriel piégé ouvert par un agent, par un compte dont le mot de passe a fuité ailleurs, ou par un prestataire externe dont l'accès n'a pas été retiré après la fin d'un contrat.

Trois facteurs reviennent dans les retours d'expérience des autorités sanitaires :

• des systèmes d'information anciens, maintenus faute de budget pour les remplacer, et qui ne reçoivent plus de correctifs de sécurité ;
• une segmentation réseau insuffisante, qui permet à une machine infectée de communiquer avec l'ensemble du système ;
• une gouvernance de la sécurité peu dotée, sans responsable identifié ni exercice de crise régulier.

Ces éléments ne relèvent pas uniquement de la direction informatique. La décision d'ouvrir un courriel suspect, le partage d'un mot de passe entre collègues ou l'usage d'une clé USB personnelle engagent l'ensemble du personnel, soignant comme administratif.

Ce que cela change pour les patients et les usagers

Pour le patient, le premier effet visible est l'incertitude sur les rendez-vous et les résultats d'examens. Certains établissements publient des informations sur leur site ou par téléphone lorsque les systèmes de messagerie sont eux-mêmes hors service.

Le second effet concerne la confidentialité. Lorsqu'une violation de données est avérée, les personnes concernées doivent en être informées, avec la nature des informations touchées. Cette notification arrive parfois plusieurs semaines après l'incident, le temps de déterminer l'étendue exacte de la fuite.

Les usagers peuvent, de leur côté, vérifier auprès de leur établissement quelles données sont conservées et demander la communication des informations les concernant. Ce droit d'accès existe indépendamment de tout incident, mais il prend une importance particulière après une compromission. À consulter également : www.ventes-kart-accessoires.com.

La tension reste entière : les hôpitaux doivent sécuriser des systèmes complexes tout en absorbant une charge de soins qui ne diminue pas. Les plans de renforcement annoncés au niveau national prévoient des audits et des accompagnements, mais leur application dépend des capacités locales, très inégales d'un territoire à l'autre. Un établissement doté d'une équipe sécurité dédiée et un hôpital de proximité sans informaticien à temps plein n'affrontent pas le même risque, alors qu'ils soignent les mêmes patients.