Cellule de crise SSI : qui mobiliser ?

 Par Kevin Delmotte, Consultant WELIOM 

La gestion de crise : anticiper pour réagir plus efficacement

Une cyberattaque dans un établissement de santé est avant toute chose une crise organisationnelle. La cellule de crise doit donc permettre de minimiser les conséquences organisationnelles entrainées par l’attaque et sa remédiation, tout en permettant la communication efficace des multiples acteurs travaillant sur les solutions techniques à mettre en place. 

Ainsi, plusieurs modes de fonctionnement existent : 

• Une cellule de crise unique réunissant l’ensemble des acteurs de l’établissement ;
• Deux cellules de crises distinctes, organisationnelle et technique, travaillant de concert à la résolution de la crise.

Concernant la question de la composition, la réponse dépendra de multiples facteurs : 

• La taille de l’établissement : une clinique privée de 100 lits n’aura pas à sa disposition les mêmes profils et la même répartition de responsabilités qu’un établissement support de GHT…
• La maturité de l’établissement : une cellule de crise restreinte et efficace devra reposer sur des processus formalisés (communication aux métiers, processus de remontée des incidents…), connus de tous et des responsabilités clairement définies ;
• L’architecture du système d’information : par exemple, un groupe privé disposant d’un SI centralisé avec des équipes techniques situées au siège nécessitera un fonctionnement spécifique : une cellule de crise technique groupe unique associée à des cellules de crise organisationnelles par établissement

Quid des profils à retenir ?

La taille réduite d’un établissement limite par définition le nombre d’acteurs et les strates de management, rendant possible la tenue d’une cellule de crise unique. Dans le cas d’un petit établissement, les acteurs à rassembler autour de la table peuvent être : les membres de la Direction / le RSSI / le Responsable informatique / le RAQ / le Responsables métiers des services critiques / le RH. A noter, il sera important de réfléchir en amont aux responsabilités et aux rôles dans cette cellule en l’absence d’associations évidentes. Par exemple : qui sera chargé de réaliser la communication interne et externe en l’absence de responsable de communication ? 

Dans le cas d’un établissement de taille modérée ou grande taille, il sera envisageable de mobiliser deux cellules de crises distinctes. A titre d’exemple, la composition peut être : 

À découvrir → La mise en place de « référents logiciels » comme première étape d’une mutation des DSI hospitalières

• Cellule de crise organisationnelle : les membres de la direction / le RSSI / le DSI / le DRH

o Pour la communication interne : Il serait de bon ton de définir des référents pour la continuité d’activité dans les services ou dans les pôles. Un « super référent » serait quant à lui membre de la cellule de crise organisationnelle, avec pour rôle d’être le représentant et le point de relai unique au sein de cette cellule.

o Pour la communication externe : le Responsable de communication 

• Cellule de crise technique :  le RSI / les Responsables techniques / le Responsable de la sécurité opérationnelle (SOC, MCS…)

La préparation à la crise cyber était d’ores et déjà un sujet inévitable en 2022 et dévient par le biais de la réglementation et du contexte cyber, le sujet numéro 1 pour les établissements de santé en ce début d’année. L’équipe WELIOM accompagne les établissements de santé dans la réponse aux prérequis aux financements des exercices, ainsi que dans leur animation. N’hésitez pas à prendre contact avec nous :  

[1] 

[2] INSTRUCTION N° SHFDS/FSSI/2023/15 du 30 janvier 2023 relative à l’obligation de réaliser des exercices de crise cyber dans les établissements de santé et à leur financement