Publicité en cours de chargement...

Publicité en cours de chargement...

Quelles sont les conséquences de la compromission d’une machine ?

04 déc. 2018 - 10:08,
Tribune - Charles Blanc-Rolin
La compromission d’une machine connectée à un système d’information de santé peut avoir de multiples conséquences. Des conséquences « générales », communes à l’ensemble des systèmes d’information, mais aussi des conséquences propres au secteur de la santé, pouvant conduire, dans les cas les plus extrêmes, au décès du patient.

Au travers d’une cartographie réalisée pour l’APSSIS, prochainement disponible sur le site de l’association, je vous propose de parcourir les conséquences les plus évidentes que j’ai pu recenser  dans le cas d’une compromission.

machine_compromise

Parmi les conséquences « générales » à l’ensemble des SI, l’atteinte à l’intégrité des données est le risque le plus important, puisqu’une perte d’intégrité dans un SI de santé, peut, dans plusieurs cas (modification d’une posologie, d’une constante vitale, d’un diagnostique...), entraîner le décès d’un patient.

Une atteinte à l’intégrité des données, peut également dans plusieurs cas (données illisibles, applicatif métier inopérant, base de données corrompue…) entraîner une indisponibilité des données. Dans la sphère MCO, une indisponibilité des données peut avoir des conséquences sanitaires lourdes, dont la plus critique est, là encore, le décès du patient. Le lien de cause à effet sera d’autant plus direct en cas de compromission d’un dispositif médical.

Un vol de données, s’avère d’autant plus critique dans un système d’information de santé du fait qu’il contient des informations à caractère personnel sensibles et pourra avoir de conséquences juridiques, ainsi qu’en terme d’image pour l’établissement victime de la compromission. Mais un vol de données d’authentification peut permette de compromettre des données directement ou indirectement via un déplacement latéral, et dans ce cas encore, faire prendre un risque au patient.

La machine compromise peut également voir certaines de ses fonctionnalités, ou acquérir de nouvelle fonctionnalités si elle ne les possédait pas au départ, dans le but d’être exploitée à des fins malveillantes.

De par son rôle de serveur Web (ou « acquis » lors de la compromission), la machine peut héberger ou diffuser plusieurs types de contenus illégaux (phishing, malware, violation des droits d’auteur…).

Il en est de même pour le rôle de serveur de messagerie, la machine compromise peut émettre en masse des messages frauduleux (spam, phishing, malware...), laisser fuiter des informations potentiellement sensibles… Quel RSSI peut garantir que son serveur de messagerie « non MSSanté » ne contient aucune donnée de santé à caractère personnel ?

Devenir une machine « zombie », contrôlée par un serveur de commande et de contrôle, est de toute évidence un rôle faisant suite à une compromission. Là encore les « agissements » de la machine « possédée » auront une finalité qui va à l’encontre de la réglementation : envoi de messages frauduleux, participation à des campagnes de DDoS, proxy anonyme, fraude au clic, j’en passe et des meilleures…

En espérant que cette cartographie « version 1 » puisse vous aider dans vos analyses de risques.

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Un code de bonnes pratiques pour les modèles d'IA à usage général

Un code de bonnes pratiques pour les modèles d'IA à usage général

15 juil. 2025 - 16:57,

Actualité

-
Marguerite Brac de La Perrière

Entré en vigueur le 1er août 2024, le Règlement sur l'Intelligence Artificielle (AI Act) vise à créer un cadre juridique uniforme pour le développement, la mise sur le marché, la mise en service et l’utilisation de systèmes d'IA dans le respect des valeurs de l’Union. Parmi les systèmes d'IA encadré...

Illustration Le numérique médico-social : mutation systémique et levier d’humanité

Le numérique médico-social : mutation systémique et levier d’humanité

08 juil. 2025 - 01:07,

Actualité

- DSIH

Longtemps resté en périphérie des politiques publiques du numérique en santé, le secteur médico-social entre aujourd’hui dans une phase de transformation profonde. C’est cette bascule, inédite et structurante, que décrivent Olivier Babinet et Manon Lorenzo dans leur ouvrage Le virage du numérique en...

Illustration Mobisoins Patient : quand soignants et éditeur innovent ensemble au service du patient

Mobisoins Patient : quand soignants et éditeur innovent ensemble au service du patient

08 juil. 2025 - 00:49,

Actualité

- Maellie Vezien, DSIH

À l’heure où les soins hospitaliers se déploient de plus en plus à domicile, l’implication du patient dans son parcours de santé devient essentielle. Mais comment favoriser son autonomie tout en garantissant une prise en charge sécurisée ? C’est le défi que relèvent l’HAD Vendée et Dicsit Informatiq...

Illustration Pilotage des blocs opératoires : l’Anap dévoile une plateforme numérique intégrée pour améliorer la performance et la gouvernance

Pilotage des blocs opératoires : l’Anap dévoile une plateforme numérique intégrée pour améliorer la performance et la gouvernance

08 juil. 2025 - 00:26,

Actualité

- DSIH

L’Agence nationale de la performance sanitaire et médico-sociale (Anap) franchit un nouveau cap dans le soutien aux établissements de santé avec le lancement d’une plateforme numérique unique dédiée à l’optimisation des blocs opératoires. Ce nouvel outil regroupe 22 ressources opérationnelles destin...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.