Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Quelles sont les conséquences de la compromission d’une machine ?

04 déc. 2018 - 10:08,
Tribune - Charles Blanc-Rolin
La compromission d’une machine connectée à un système d’information de santé peut avoir de multiples conséquences. Des conséquences « générales », communes à l’ensemble des systèmes d’information, mais aussi des conséquences propres au secteur de la santé, pouvant conduire, dans les cas les plus extrêmes, au décès du patient.

Au travers d’une cartographie réalisée pour l’APSSIS, prochainement disponible sur le site de l’association, je vous propose de parcourir les conséquences les plus évidentes que j’ai pu recenser  dans le cas d’une compromission.

machine_compromise

Parmi les conséquences « générales » à l’ensemble des SI, l’atteinte à l’intégrité des données est le risque le plus important, puisqu’une perte d’intégrité dans un SI de santé, peut, dans plusieurs cas (modification d’une posologie, d’une constante vitale, d’un diagnostique...), entraîner le décès d’un patient.

Une atteinte à l’intégrité des données, peut également dans plusieurs cas (données illisibles, applicatif métier inopérant, base de données corrompue…) entraîner une indisponibilité des données. Dans la sphère MCO, une indisponibilité des données peut avoir des conséquences sanitaires lourdes, dont la plus critique est, là encore, le décès du patient. Le lien de cause à effet sera d’autant plus direct en cas de compromission d’un dispositif médical.

Un vol de données, s’avère d’autant plus critique dans un système d’information de santé du fait qu’il contient des informations à caractère personnel sensibles et pourra avoir de conséquences juridiques, ainsi qu’en terme d’image pour l’établissement victime de la compromission. Mais un vol de données d’authentification peut permette de compromettre des données directement ou indirectement via un déplacement latéral, et dans ce cas encore, faire prendre un risque au patient.

La machine compromise peut également voir certaines de ses fonctionnalités, ou acquérir de nouvelle fonctionnalités si elle ne les possédait pas au départ, dans le but d’être exploitée à des fins malveillantes.

De par son rôle de serveur Web (ou « acquis » lors de la compromission), la machine peut héberger ou diffuser plusieurs types de contenus illégaux (phishing, malware, violation des droits d’auteur…).

Il en est de même pour le rôle de serveur de messagerie, la machine compromise peut émettre en masse des messages frauduleux (spam, phishing, malware...), laisser fuiter des informations potentiellement sensibles… Quel RSSI peut garantir que son serveur de messagerie « non MSSanté » ne contient aucune donnée de santé à caractère personnel ?

Devenir une machine « zombie », contrôlée par un serveur de commande et de contrôle, est de toute évidence un rôle faisant suite à une compromission. Là encore les « agissements » de la machine « possédée » auront une finalité qui va à l’encontre de la réglementation : envoi de messages frauduleux, participation à des campagnes de DDoS, proxy anonyme, fraude au clic, j’en passe et des meilleures…

En espérant que cette cartographie « version 1 » puisse vous aider dans vos analyses de risques.

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Mais non, la 27001 n’est pas lourdingue !

Mais non, la 27001 n’est pas lourdingue !

06 oct. 2025 - 22:14,

Tribune

-
Cédric Cartau

Récemment, je suis tombé sur un post selon lequel, en gros, la compliance (conformité) serait un mal nécessaire pour décrocher des contrats, des marchés, mais qui globalement n’aurait quasiment pas d’autre utilité, et que sa contribution à améliorer le « système » est tout sauf claire. Bref, c’est b...

Illustration FHIR : la norme qui libère la donnée de santé et ouvre de nouvelles voies

FHIR : la norme qui libère la donnée de santé et ouvre de nouvelles voies

06 oct. 2025 - 21:41,

Actualité

- DSIH

Pour fluidifier les parcours, offrir une vision exhaustive des données patients, connecter la ville et l’hôpital, et permettre aux nouvelles générations d’algorithmes de révéler tout leur potentiel, l’interopérabilité devient essentielle. Autour d’un dîner-conférence organisé par Infor, experts amér...

Illustration Horizon Santé 360 : Innovons ensemble pour notre souveraineté en santé

Horizon Santé 360 : Innovons ensemble pour notre souveraineté en santé

02 oct. 2025 - 10:31,

Communiqué

- La Poste Santé & Autonomie

Rendez-vous le 9 octobre 2025 à Paris pour la 3ᵉ édition d’Horizon Santé 360, l'événement annuel de La Poste Santé & Autonomie.

Illustration Le Data Act : une nouvelle ère pour la gouvernance des données de santé

Le Data Act : une nouvelle ère pour la gouvernance des données de santé

30 sept. 2025 - 07:15,

Tribune

-
Marguerite Brac de La Perrière

Le 12 septembre 2025 a marqué une étape décisive dans la stratégie européenne de la donnée avec l’entrée en application du Data Act (Règlement UE 2023/2854). Ce texte, pilier du marché unique de la donnée, vise à encadrer l’accès, le partage et la portabilité des données générées par les produits ...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.