Sécurité

De l’usage de la pyramide de Maslow pour les RSSI/CISO

Soyons clairs : toutes les méthodes de modélisation du comportement humain ne sont jamais que des outils, des grilles de lecture. Parfois elles fonctionnent et tombent même remarquablement juste, mais parfois non. Pyramide de Maslow, sociodynamique, rosace 360° : il ne faut pas les tordre ni leur faire dire ce pour quoi elles ne sont pas prévues.

Cyber : les effets pervers de la fuite en avant perpétuelle

Une des qualités premières pour prétendre à une carrière de RSSI, c’est de garder ses yeux d’enfant. C’est ce que l’on se disait récemment, mes 52 printemps et moi-même. Illustration.

Cybersécurité et santé – protéger les hôpitaux grâce aux technologies réseaux (NDR)

Villefranche-sur-Saône, Dax, Oloron-Sainte-Marie, Albertville, Arles, Castelluccio, Saint-Dizier, Vitry-le-François, Mâcon, Paris, Corbeil-Essonnes, Versailles… Et ceci n’est qu’une courte liste des différents établissements de santé publics et privés visés par des cyberattaques ces dernières années. En pleine ouverture et mutation numérique, le secteur hospitalier a dû faire face à de multiples vagues successives de cyberattaques bloquant tout ou partie de leur activité et forçant certains à revenir à l’ère du crayon à papier. Aider les établissements de santé à maitriser le risque cyber nécessite toutefois d’adopter une approche résolument proactive en prenant en compte les contraintes propres au secteur. La protection du réseau – et les technologies adaptées – sont indispensables pour prémunir les structures concernées. 

Les théories du complot appliquées à la cyber

Récemment, une discussion entre amis a doucement dérivé vers les théories complotistes.

Comment Qbot revient en force avec OneNote ?

Les attaquants derrière le cheval de Troie Qbot (aussi connu sous le nom de Quakbot) utilisent depuis longtemps des fichiers Word ou Excel avec des macros servant à télécharger et exécuter la charge malveillante.

Début d’année cyber : l’ambiance en soute n’est pas jouasse

On pourra toujours se rassurer – Coué, Coué, Coué – en lisant dans les derniers rapports de l’Anssi qu’il y aurait eu moins d’attaques en 2022 qu’en 2021, il n’empêche, de mémoire de vieux croûton, je n’ai jamais connu un tel début d’année.

Cybersécurité en santé : les cybercriminels peuvent-ils être éthiques ?

La Sciences Po Cybersecurity Association a organisé le 8 février une conférence sur le thème « Le secteur de la santé face aux cyberattaques ». Les participants sont notamment revenus sur le sensible sujet des rançons payées et sur les prétentions « éthiques » de certains pirates.

Une tempête de rançongiciels s’abat sur les serveurs VMWare

Si cela semble en surprendre certains, le fait que les attaquants s’intéressent de près aux hyperviseurs VMWare ESXi n’est pas vraiment quelque chose de nouveau. Souvenez-vous l’été 2021, de nombreux opérateurs de rançongiciels s’en prenaient déjà aux serveurs VMWare [1], dans un but bien précis, gagner du temps en chiffrant « à la source » les serveurs virtuels des systèmes d’informations de leurs victimes. En 2022, le groupe derrière le rançongiciel LockBit avait d’ailleurs procédé ainsi lors de l’attaque ayant ciblé le CH Sud Francilien.  

Réflexions autour de la souveraineté

Dans un récent et excellent article de La Tribune[1], Marc Sztulman, conseiller régional d’Occitanie et délégué au Numérique pour tous, s’interroge sur ce que sont ou ne sont pas la souveraineté et la confiance, en particulier autour des notions de Cloud. À titre personnel, je n’avais même pas connaissance de la différence entre ces deux idées (confiance versus souveraineté) car – selon moi – elles se recouvrent totalement. Il semble tout de même important de revenir sur quelques concepts.    

La formation SSI Santé APSSIS : un 360° sur les exigences, les méthodes et les bonnes pratiques

« La Formation RSSI / SSI Santé - Version 3 - Porter la SSI et la conformité numérique : technicité et savoir-faire » est une formation spécialement conçue par l’APSSIS pour les professionnels de santé en charge de la sécurité des SI. Dispensée sur 3 jours par Vincent TRELY, Président de l’Association, son contenu est inédit, régulièrement actualisé et propose un 360° sur la SSI Santé.

Panorama de la cybermenace : que retenir du rapport de l’ANSSI ?

La semaine dernière, l’ANSSI publiait son panorama de la cybermenace 2022 [1]. Quels enseignements tirer pour nos SI de santé, des attaques observées en France l’an passé ?

Un mois de janvier comme un autre au pays de la cyber

La routine, vraiment la routine.

Le 6ème opus des guides cyber-résilience de l’APSSIS est en ligne !

L’APSSIS a le plaisir d’annoncer la publication du 6ème opus des Guides Cyber-résilience à destination des professionnels du secteur. Conçus et élaborés par Cédric Cartau, RSSI et DPO - CHU de Nantes - du GHT 44 et Vice-président de l’APSSIS, ces guides se veulent à la fois accessibles, techniques et pratiques.

ChatGPT : le grand remplacement – ou pas

Incroyable, le nombre de vidéos qui fleurissent sur les réseaux sociaux – même BFM TV titre dessus pour vous expliquer que Google a quelques soucis à se faire, c’est dire. Passé les premières séances de jeu avec l’interface où l’on se prend à poser les questions les plus bizarres sur les sujets les plus divers. Il y a ce que ChatGPT fait, ce qu’il ne fait pas, ce qu’il peut faire et ce qu’il ne fera jamais, en tout cas dans sa version actuelle.

ChatGPT à l’épreuve d’un test rigoureux

Bon, apparemment, tout le monde se marre entre la poire et le fromage en posant les questions les plus diverses à ChatGPT. Tout le monde sauf moi, et cela ne peut pas durer. J’ai donc décidé, moi aussi, de tester la bête, mais attention, pas n’importe comment : un test rigoureux, pas du tout orienté, basé sur un corpus de questions sélectionnées par un comité représentatif de moi-même, bref que du lourd. Allons-y.

FIN 7 : détecter et contrer un acteur important du cybercrime

Le groupe FIN7 est un groupe cybercriminel Russophone connu depuis 10 ans déjà, pour de nombreuses attaques, via le cheval de Troie bancaire Carbanak, qui lui a permis de dérober plusieurs millions de dollars à des banques, puis il a sévi dans le domaine de l’espionnage industriel et gouvernemental avant de se lancer dans le rançongiciel avec Darkside et collaborer avec d’autres acteurs bien connus du monde du rançongiciel tels que LockBit, Maze ou encore Revil.

Le bullshit à l’épreuve de la SSI – et inversement

Philosophons un peu en ce début de semaine.

2023 : Une nouvelle année sans incidents cyber

Pour cette nouvelle année, nous pouvons nous souhaiter santé, joie, rires, réussite, amour, plaisir, argent… Ce dont certains groupes d’attaquants disposent déjà ! Alors commençons peut-être par nous souhaiter une bonne santé pour…. Nos systèmes d’informations de santé !

2022 : bilan de l’année

L’année s’est achevée : 2022 restera comme l’année d’après (Covid) et surtout l’année « pendant » (l’explosion des attaques en crypto, tout le monde en aura pris sa part et pas seulement les hôpitaux). Petit bilan.

ChatGPT : le début de la fin de la cyber

Il est assez rare, dans la vie d’un ingénieur, de tomber sur un produit qui effraye autant, duquel on pense qu’il signe peut-être la fin des haricots.

Hôpitaux attaqués : le sujet fait causer mais les avis divergent

S’il y a encore quelques années, nous n’étions qu’une poignée d’acteurs passionnés à nous préoccuper des sujets de sécurité numérique en santé, l’importante médiatisation de chaque incident vécu par une structure de santé fait qu’aujourd’hui, tout le monde a un avis, de bons conseils et des solutions pour lutter contre ce fléau que sont les rançongiciels prenant en otage nos établissements de santé, mais dans les faits malheureusement, les attaquants arrivent toujours à compromettre les SI de santé de nos établissements.

La protection de l’identité, la nouvelle priorité des acteurs de santé

Les identifiants sont de plus en plus ciblés pour infiltrer les établissements de santé, et les cybercriminels sont toujours plus efficaces pour les obtenir et les exploiter. L’identité est devenue un nouveau point de sécurité stratégique pour ces professionnels de santé, un préalable indispensable à la qualité et sécurité des soins. Pour y répondre, les offres développées par le Mipih intègrent CERBERE, une solution d’authentification sécurisée et centralisée. 

Ma lettre au Père Noël 2022

Cher Père Noël, comme chaque année je t’écris car j’ai été encore hypersage, bien plus que les années précédentes. Non, ce n’est pas l’âge, enfin si quand même un peu.

Affaire Camaïeu : la galaxie DPO en émoi

Il y a une actualité qui empêche de dormir et qui fait le buzz dans les chaumières ces derniers temps, non ce n’est pas une histoire de ballon rond et de petit filet : c’est l’affaire Camaïeu.

L’APSSIS forme et sensibilise !

Depuis plus de 11 ans, l’Association délivre de l’expertise et de la prospective pour alimenter la réflexion, dynamiser la sécurisation des SI de santé et contribuer au déploiement opérationnel des bons usages sécurisés des technologies numériques. Ses finalités : l’organisation de son Congrès annuel, la production de contenus collaboratifs (Ouvrage collectif SSI santé, Guides cyber-résilience…), l’organisation d’événements dédiés à ses adhérents (Rencontres SSI, webinaires juridiques…) et la production d’une formation RSSI à destination des professionnels de santé. Entretien avec Hélène DASPE, Directrice déléguée de l’APSSIS. 

ISO 27001 : prospectives et limites

Une norme ISO est un objet fascinant de réflexion, tant la pratique peut en modifier la vision. Un débutant ne vous parlera certainement pas de l’ISO de la même façon qu’un RSSI aguerri, un RSSI de la même façon qu’un consultant, etc. C’est bien toute la richesse du concept que d’évoluer en même temps que ses possibilités d’interprétation. Je souhaitais partager avec vous quelques réflexions autour de la 27001 – et il faut bien garder en mémoire que ces thèmes mêmes de réflexion et la façon de les traiter auront certainement changé dans un an ou deux

Cybercriminel : ça peut rapporter gros, mais ça peut coûter très cher !

Si la période est propice au mauvais temps et nous rappelle l’expression « il fait un temps à ne pas mettre un chien dehors », je crois qu’il en est de même pour les cybercriminels en dehors de la Russie.

Les référentiels ISO, pas si simples

Il est de ces sujets qui paraissent anodins, tellement anodins que vous les voyez rarement évoqués en tant que tels dans une réunion d’huiles ou tout simplement d’experts.

Cybersécurité : « Dans le monde du logiciel, on peut vendre un produit pas du tout sécurisé »

Le fonctionnaire de sécurité des systèmes d’information (FSSI) adjoint du ministère des Solidarités et de la Santé, Patrice Bigeard, a dressé un état des menaces cyber dans le secteur de la santé, lors du 7e Colloque sur la sécurité des SI organisé le 9 novembre par l’Agence du numérique en santé.

La fin de la cyber ou les sept scénarios de l’apocalypse

Quelquefois, entre deux réunions avec moi-même ou à la sortie d’une énième conférence encore consacrée à ce que l’on sait déjà depuis des lustres, je me mets à rêvasser à des fins de partie, ENDS OF GAME dans la cyber. Il y a une petite vingtaine d’années, Guillaume Bigot s’était essayé à l’exercice lors du très remarqué Les Sept Scénarios de l’apocalypse, qui mêlait joyeusement guerre nucléaire, attaque bactériologique mondiale, et j’en passe. Tant qu’à faire, autant se lâcher.

Sécurité des applicatifs de Maincare : une démarche continue d’amélioration

L’actualité le rappelle régulièrement, les établissements de santé sont devenus des cibles privilégiées pour les cyberattaques.Chez Maincare, l’exigence de sécurité est un maître mot à toutes les étapes du cycle de vie d’un logiciel.

Entrepôts de données dans le domaine de la santé, la check-list de la CNIL

Il y a un an, la CNIL publiait un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé. Le 28 septembre dernier, l’autorité française de protection des données a publié une « check-list » visant à aider les responsables du traitement à vérifier facilement leur conformité audit référentiel. 

Un guide cybersécurité pour le social et le médico-social

L'Agence du numérique en santé (ANS) a publié ce mercredi 9 novembre un guide à destination des établissements et services sociaux et médico-sociaux (ESSMS). Concret et synthétique, il vise à améliorer le niveau de sécurisation de ces acteurs très peu matures sur le sujet de la cybersécurité.

Analyse psy de la cyber : les RSSI sont tous dingos

Récemment, je suis tombé sur une émission d’Affaires sensibles[1] consacrée à une affaire judiciaire célèbre mettant en jeu la pathologie psychiatrique d’une protagoniste : le syndrome de Münchhausen par procuration, SMPP pour les intimes. Petite explication en guise d’introduction : le syndrome de Münchhausen (SM) consiste à simuler une maladie plus ou moins grave pour s’attirer la sympathie de son entourage, alors que le SMPP consiste à prétendre qu’un proche (souvent un enfant) est affecté d’une maladie grave, ce qui le maintient dans un état de dépendance (il est fréquemment soumis à un traitement lourd de longue durée, voire incapacitant) tout en attirant la sympathie des proches pour le « soignant »[2][3] eu égard au (prétendu) calvaire qu’il endure.    

« Si l’informatique est en panne, c’est le DSI qui ira devant le juge. »

Autant le préciser tout de suite, il s’agit de la citation d’une formule que j’ai entendue récemment : je pensais que ce type d’imbécillité avait disparu des organisations modernes, mais en fait non. D’où le nécessaire décryptage, qui va aider plus d’un DSI et plus d’un RSSI. Et plus d’une MOA pour le même tarif. À partager largement, c’est cadeau.

Actualité SSI : Cnil, Microsoft et protection contre les attaques par mail

Une fin d’octobre chargée, petite revue de presse/d’actualité/de réflexion/de ce que vous voudrez.

Revivez les 2èmes Rencontres SSI Santé de l'APSSIS

L'Association Pour la Sécurité des Systèmes d’Information de Santé (APSSIS) a réuni fin septembre à Paris ses adhérents à l'occasion d'une journée de conférences. Gérard PELIKS, co-organisateur des Lundis de la Cybersécurité, en a rédigé un compte-rendu complet.

Établissements de santé : Contrôler les accès au Dossier du Patient, bien plus qu’un besoin : une obligation !

Aujourd'hui, les établissements de santé s’engagent sur la protection des données médicales. Ce besoin provient initialement de la nécessité de faire respecter l’éthique, de protéger les données personnelles hautement confidentielles. Pour rappel, ces données sont stockées dans le Dossier du Patient Informatisé (le DPI) et reflètent l'historique médical de chaque patient.

CNIL et mots de passe : dernière doctrine

Je ne l’avais pas vue passer, mais dans sa délibération 2022-100 du 21 juillet[1] dernier, la CNIL nous a décrit son positionnement sur la question des mots de passe.      

La réussite des attaques par rançongiciels repose-t-elle toujours sur un débordement de mémoire tampon ?

Si les attaquants réussissent encore à compromettre nos SI, c’est certainement car nous ne sommes pas bien préparés à leurs attaques. Et pourtant, les victimes ne manquent pas, les retours d’expériences non plus, tout comme les guides de bonnes pratiques, alors pourquoi nous faisons-nous toujours avoir ?

Gestion des annuaires, à la frontière de la SSI

Le RSSI et le DPO sont souvent consultés pour des sujets bizarres, voire carrément étrangers à leur périmètre. Mais après tout, c’est le lot de pas mal de professions transverses, surtout dans le conseil.

Cybercriminalité, un référentiel contre la pénurie de compétences face à la cybersécurité

Le 12 octobre, Cybermalveillance.gouv.fr a annoncé la création d’un référentiel de compétences pour les prestataires en cybersécurité.

La cyber dans la santé : la loi de Hanlon et les gorets

Je n’avais pas prévu ce genre de billet, mais vu ce qui vient d’arriver la semaine dernière dans mon établissement, il m’a semblé être une bonne idée de le partager avec vous. 23 ans d’hôpital, dont 13 dans la cybersécurité, et je n’avais jamais vu cela. Je vous fais la version courte, car il m’a fallu plusieurs jours pour tout détricoter et reconstituer le fil de l’histoire, et déjà la version courte risque de finir par vous donner mal aux cheveux.

La cybersécurité, se protéger en trouvant le juste milieu !

Définir un juste milieu constitue un enjeu pour les organisations qui font face au contexte grandissant de cyber menace ces dernières années. Naviguer entre paranoïa et naïveté est un défi quotidien avec lequel doivent composer les structures sanitaires ou médico-sociales. Choisir le pilote de la sécurité, mettre en place une gouvernance, auditer son système et son organisation, analyser ses risques, définir et mettre en œuvre son plan d'action SSI visant à réduire ces mêmes risques, sont autant de moyens qui permettent aux organisations d'ajuster, de "proportionnaliser" les moyens à mettre en œuvre pour y faire face. 

Quelle responsabilité juridique pour les établissements cyberattaqués ?

Breaking news : une association de patients attaque le Centre hospitalier Sud francilien[1] (CHSF) quant à sa responsabilité dans le contexte de l’attaque cyber subie par l’établissement et la publication de données sensibles (entre autres, médicales) sur les réseaux par les pirates pour faire pression sur le paiement d’une rançon.    

La nécessité pour les établissements de santé de concilier transformation digitale et cybersécurité

Le groupe LockBit publie une partie des données dérobées au CH Sud Francilien

Anne Boleyn et le Cloud

Imaginez la scène : vous êtes à la recherche d’un nouveau véhicule (la poubelle dans laquelle vous roulez est au bout du bout, même le chien ne veut plus monter dedans tellement c’est moche) et vous tombez sur un concessionnaire aux dents éclatantes et à la cravate impeccable qui vous propose le modèle de vos rêves (V8 350 CV avec 0 émission de CO2). Seulement voilà, impossible de l’acheter, il faut passer en mode locatif avec renouvellement de véhicule tous les trois ans (c’est à la mode). Jusque-là, pourquoi pas ? Mais il y a une petite clause dans le contrat : vous êtes lié à vie au concessionnaire et à la marque, sans possibilité de vous dédire. Jusqu’à la fin des temps (ou en tout cas de votre vie), il faudra rapporter le modèle au bout de trois ans, en reprendre un neuf, avec toujours plus d’options, toujours plus cher, et impossible de se carapater. Chaud patate, n’est-ce pas ?

Cyber et pataphysique : quelques concepts utiles

En ces temps troublés, il convient de revenir aux bases, back to basic, les fondamentaux éternels nous sauveront des ténèbres de la cyber. Nous avions déjà remarqué que certains jeunots récemment débarqués dans la cyber manquaient de principes directeurs : petit florilège presque sérieux et pas du tout orienté, que nous conseillons donc en support de formation continue.

La France décroche la troisième place du challenge Europeen de la cybersécurité

Pour sa quatrième participation, la France décroche la troisième place à l’European Cybersecurity Challenge (ECSC), qui s’est tenu les 14 et 15 septembre 2022 à Vienne. Cette compétition européenne a opposé 28 équipes nationales composées de jeunes hackers éthiques. Rendez-vous en 2023 pour la prochaine édition qui aura lieu en Norvège !