Sécurité numérique et santé au programme des rencontres Cybersécurité à Lyon

Après une matinée de conférences plénières, les participants se sont répartis pour une séance de travail de deux heures, dans les huit ateliers thématiques de l’après-midi, dont un, dédié à la santé, que j’ai eu le plaisir de coanimer avec Stéphane Pasquier, FSSI adjoint pour les Ministères en charge des affaires sociales et Jean-Philippe Grangette, Conseiller défense et sécurité à l’ARS Auvergne-Rhône-Alpes.
Stéphane Pasquier a commencé par un état des lieux de la menace. Même si les incidents apparaissent plus fréquemment dans des petites structures, « chaque semaine, un Ehpad est victime d’un incident de sécurité numérique » a-t-il rappelé, les établissements de grande taille ne sont pas épargnés, notamment par des attaques « opportunistes », de type rançongiciel, comme en ont récemment fait les frais, le CHU de Montpellier, le groupe Ramsay ou encore les laboratoires Eurofins.
Jean-Philippe Grangette et Stéphane Pasquier sont ensuite revenus sur l’obligation de déclaration des incidents de sécurité numérique, entrée en vigueur il y a tout juste deux ans, ainsi que le travail d’accompagnement et de sensibilisation réalisé par la cellule ACSS.
Après avoir brièvement présenté les lignes directrices du programme Ma Santé 2022, Stéphane Pasquier a annoncé qu’une campagne relative à la cybersécurité en santé, serait prochainement lancée par la Ministre Agnès Buzyn, témoignant de son implication dans ce sujet actuel, transverse et surtout incontournable qu’est la sécurité des SI de santé.

Nous avons ensuite débattu sur les difficultés relatives à la sécurisation des SI de santé.
Malgré un début de prise de conscience, de nombreux Directeurs d’établissements manquent encore de sensibilité sur le sujet. L’ensemble des participants de l’atelier, qu’ils appartiennent à un établissement de santé, qu’ils soient fournisseurs de solutions de sécurité ou encore prestataires de services, font un constat unanime : le secteur de la santé fait face à cruel un manque de budget accordé à la sécurité de SI.

Des équipes IT et SSI sous dimensionnées, des « informaticiens » non formés ou non sensibilisés aux risques numériques, des populations complexes à gérer, des dispositifs médicaux « intouchables », des éditeurs manquant de maturité, et un historique parfois lourd de mauvaises pratiques na facilitent pas la tâche aux RSSI du secteur de la santé.

C’est avec quelques conseils, astuces et retours d’expériences que nous avons conclu que nous devons, comme l’a souligné Guillaume Poupard lors des récentes Assises de la sécurité, inventer une cybersécurité positive, pour nous permettre d’avancer.

Retrouvez les discours, présentations, et RETEX des ateliers des RCyberARA du 24 octobre 2019