Cybersécurité hospitalière : passer de la déclaration à la preuve

1,7% seulement du budget opérationnel des hôpitaux est consacré à l’IT, selon Laurent Bouchoucha. Un pourcentage qu’il qualifie de sous-investissement chronique. Le dirigeant d’Alcatel-Lucent Enterprise décrit également des parcs d’équipements obsolètes et des effectifs réduits, souvent en dessous de dix personnes, pour administrer une ou plusieurs centaines d’applications. « La menace cyber demeure très présente et, dans 38 % des cas, elle impacte le patient », souligne-t-il.

Une obligation de preuve sous vingt-quatre heures

La directive NIS2 et le référentiel ReCyF (Référentiel Cyber France) de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) substituent à la simple déclaration d’incident une exigence de preuve. Les établissements hospitaliers doivent cartographier leurs réseaux, les segmenter et recenser chaque actif connecté. En cas de compromission, ils disposent de vingt-quatre heures pour démontrer qu’ils ont détecté et corrigé la menace, sous peine d’une amende.

La multiplication des objets médicaux connectés complique ces infrastructures. Industrialiser la segmentation des réseaux, la maîtrise des accès et la supervision des événements devient, pour Laurent Bouchoucha, une condition de survie. « 67 % des opérations réseau restent aujourd’hui manuelles. Nous avons besoin d’un multiplicateur de force pour assurer la continuité des soins, réagir très vite et prouver au régulateur que nous avons agi comme il fallait », explique-t-il.

L’IA en appui, le RSSI aux commandes

L’automatisation permet de recenser les équipements connectés, de cloisonner ces environnements afin de bloquer les mouvements latéraux des rançongiciels et de signaler les événements anormaux. Mais Laurent Bouchoucha l’assortit de garde-fous : un déploiement local de l’IA, gage de souveraineté sur les données. 

Et dans ce contexte, le rôle du RSSI demeure déterminant. « L’intelligence artificielle ne remplace pas l’humain, elle l’assiste sous son contrôle strict. Elle comprend les causes, les corréle et propose une remédiation, mais c’est le RSSI qui doit la valider », conclut Laurent Bouchoucha.