4ème Colloque SSI santé du Ministère (suite et fin)

Michel Raux a annoncé l’arrivée pour le mois de novembre d’un nouveau mémento sur le thème du RGPD, qui succédera au memento cybersécurité [2], ainsi qu’un mémento « Évaluation du risque numérique », qui devrait paraître au cours de l’année à venir.

La smart city, ses hôpitaux hyper connectés et le smart cyber monde ont rapidement été remis en question par l’excellente conférence de Thomas Gayet, directeur du Cert-Ubik, dédié aux objets connectés. À ce jour, il y aurait plus d’objets connectés reliés à Internet que de PC ou de tablettes. D’ici à 2020, le réseau Internet devrait interconnecter 50 milliards d’objets connectés, soit une moyenne d’un peu plus de sept objets par individu. D’après une définition d’IoT-GSI (l’Institut des standards pour les objets connectés), un objet connecté est un équipement disposant des sept attributs suivants :

• capteur ;
• connexion ;
• processeur ;
• efficacité énergétique ;
• coût optimisé ;
• fiabilité ;
• sécurité.

« Pour ma part, des objets connectés, je n’en ai jamais vu ! » a ironiquement lancé Thomas Gayet « Il n’y a pas de sécurité dans les objets connectés ». Il a ensuite rappelé la nécessité d’intégrer la sécurité dès la conception en sécurisant l’ensemble de la chaîne de valeurs et non uniquement l’objet en lui même.

La désormais célèbre table ronde « Ça n’arrive pas qu’aux autres », animée cette année par Stéphane Pasquier, a donné une fois encore la parole à des établissements victimes d’actes de « cybermalveillance », notamment de rançongiciels chiffrants qui continuent de paralyser de nombreuses petites structures, ou approchés par un pirate sur le Dark Web prétendant accéder au SIH de leur CHU.

Emmanuel Sohier, responsable de la cellule Accompagnement Cybersécurité des structures de santé à l’Asip Santé, a présenté le bilan de la première année d’activité de son groupe :

– 319 incidents ont été déclarés sur la période allant d’octobre 2017 à septembre 2018 ;

– 49 % des incidents ont contraint les établissements à mettre en place un fonctionnement dégradé du système de prise en charge des patients ;

– 47 % des incidents ont une origine malveillante ;

– 43 % des incidents ont un impact sur des données patients à caractère personnel ;

– 15 % des incidents concernent des bugs applicatifs ;

– 11 % des incidents ont mis ou auraient pu mettre en danger des patients.

La messagerie reste le point d’entrée principal dans le SIH et le type d’incident le plus constaté, suivi par les logiciels malveillants, les bugs applicatifs et les pertes de liens télécom.

Thibault Renard, responsable Intelligence économique de CCI France, a présenté l’intérêt des serious gamesdans la sensibilisation à la sécurité numérique. Daniela Parrot, déléguée à la protection des données pour les ministères sociaux, est quant à elle revenue sur la mise en œuvre du RGPD, alors que Fabien Malbranque a « challengé » l’ensemble des participants du colloque avec des « Questions pour un champion de la sécurité » en live.

La journée a été conclue par Arnaud Martin, HFDS adjoint, qui ne nous a rappelé que « La cybersécurité n’est pas un luxe » et qu’ « En matière de sécurité, l’homme peut aussi bien être le maillon fort, que le maillon faible. Nous avons une responsabilité collective dans le choix des outils ». Il a insisté sur l’utilisation du RGPD pour continuer d’améliorer la sécurité.

[1] /article/3106/4e-colloque-ssi-sante-du-ministere-vision-ministerielle-et-programme-hop-en.html

[2] https://solidarites-sante.gouv.fr/IMG/pdf/dgos_memento_ssi_131117.pdf