Agence nationale de la sécurité des systèmes d’information et santé numérique

Dans le paysage numérique actuel, la protection des données de santé est devenue une priorité absolue. Les établissements de santé, les professionnels de santé et les patients sont de plus en plus dépendants des systèmes d'information pour la gestion des dossiers médicaux, la prescription de médicaments et la coordination des soins. Cette interconnexion croissante expose le secteur de la santé à des cyberattaques de plus en plus sophistiquées, rendant cruciale la cybersécurité santé. Imaginez, par exemple, le cas récent d'un centre hospitalier universitaire dont les systèmes ont été paralysés par un ransomware, affectant gravement la capacité de prise en charge des urgences et mettant en danger la vie des patients. La sécurité des systèmes d'information santé est donc un enjeu majeur.

Face à cette menace grandissante, l'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) joue un rôle crucial. En tant qu'autorité nationale en matière de cybersécurité, l'ANSSI a pour mission de protéger les systèmes d'information de l'État, des opérateurs d'importance vitale (OIV) et des administrations, mais aussi de sensibiliser et d'accompagner les acteurs du secteur de la santé dans la sécurisation de leurs infrastructures numériques. Sa mission est donc d’être une assurance contre les menaces liées à la sécurité DMP et à la sécurité télémédecine. Cette agence intervient comme une assurance pour garantir la sécurité numérique du pays et prévenir les risques cyber santé.

Enjeux et défis de la cybersécurité dans le secteur de la santé numérique

Le secteur de la santé numérique présente des spécificités qui le rendent particulièrement vulnérable aux cyberattaques. La diversité des systèmes d'information utilisés, la nature sensible des données de santé, la complexité de l'écosystème et les menaces spécifiques qui pèsent sur le secteur sont autant de défis à relever pour garantir la sécurité des systèmes d'information de santé. La gestion des vulnérabilités santé est donc essentielle.

Diversité et vulnérabilité des systèmes d'information de santé

Les établissements de santé utilisent une grande variété de systèmes d'information, allant des dossiers médicaux électroniques (DME) aux dispositifs médicaux connectés (IoT médical), en passant par les applications de télémédecine et les plateformes d'échange de données. Cette diversité rend la sécurisation des systèmes d'information complexe, car chaque système présente ses propres vulnérabilités. La cybersécurité santé doit donc être abordée de manière globale et spécifique.

• Dossiers médicaux électroniques (DME)
• Dispositifs médicaux connectés (IoT médical)
• Applications de télémédecine
• Plateformes d'échange de données (e.g., DMP, messageries sécurisées)
• Systèmes de gestion administrative des établissements de santé

Nature sensible des données de santé

Les données de santé sont parmi les informations les plus sensibles qui existent. Elles contiennent des informations personnelles (identifiants, coordonnées), médicales (antécédents, diagnostics, traitements) et génétiques. Une violation de ces données peut avoir des conséquences graves pour les patients, allant de l'usurpation d'identité à la discrimination, en passant par le chantage et la mise en danger de leur vie. La protection données médicales est donc un impératif moral et légal.

• Données personnelles (identifiants, coordonnées)
• Données médicales (antécédents, diagnostics, traitements)
• Données génétiques

Les conséquences d'une violation de données sont nombreuses. Par exemple, en 2020, l'attaque d'un centre de recherche médicale a entraîné la divulgation de données confidentielles sur des essais cliniques, compromettant des années de recherche et mettant en danger des patients participant à ces essais. En 2022, on a constaté que le prix des données médicales volées sur le dark web peut atteindre 1000 dollars par dossier, soulignant la valeur de ces informations pour les cybercriminels. Le montant total des amendes liées aux violations de données de santé a dépassé les 20 millions d'euros en France l'année dernière. Le RGPD santé impose des obligations strictes en matière de protection des données.

Complexité de l'écosystème de la santé numérique

L'écosystème de la santé numérique est complexe, impliquant une multiplicité d'acteurs (établissements, professionnels, éditeurs de logiciels, fournisseurs de services), une interdépendance des systèmes et une difficulté de mettre en œuvre une sécurité homogène. La collaboration entre ces acteurs est essentielle pour garantir la sécurité des systèmes d'information de santé. La sécurité DMP et la sécurité télémédecine doivent être intégrées dans une approche globale.

• Multiplicité des acteurs (établissements, professionnels, éditeurs de logiciels, fournisseurs de services)
• Interdépendance des systèmes
• Difficulté de mettre en œuvre une sécurité homogène

Il existe plus de 25 000 établissements de santé en France, chacun avec ses propres systèmes et procédures. De plus, selon une étude menée par le ministère de la Santé, 60% des établissements de santé utilisent des logiciels développés par des entreprises externes, créant ainsi des dépendances en matière de sécurité. La complexité de cet écosystème exige une approche coordonnée et une collaboration étroite entre tous les acteurs pour assurer une protection efficace contre les cybermenaces. Cette complexité rend d'autant plus importante l'action de l'ANSSI dans le domaine de la cybersécurité santé.

Menaces spécifiques au secteur de la santé

Le secteur de la santé est confronté à des menaces spécifiques, telles que les ransomwares (qui peuvent bloquer les systèmes informatiques et mettre en danger la vie des patients), l'espionnage industriel (qui peut entraîner le vol de données de recherche médicale ou de brevets) et la manipulation de données (qui peut avoir des conséquences graves pour la santé des patients). Une cyberattaque hôpital peut avoir des conséquences désastreuses.

• Ransomware : Le blocage des systèmes informatiques peut mettre en danger la vie des patients.
• Espionnage industriel : Vol de données de recherche médicale ou de brevets.
• Manipulation de données : Modification des dossiers médicaux peut avoir des conséquences graves.

Voici quelques types de cyberattaques en santé :

• Ransomware: blocage des systèmes et demande de rançon
• Phishing: hameçonnage pour voler des identifiants
• DDos: surcharge de serveurs pour bloquer l'accès

En 2023, environ 30% des attaques de ransomware ont ciblé le secteur de la santé, selon le rapport annuel de l'ANSSI. Le coût moyen d'une attaque de ransomware pour un établissement de santé est estimé à 1,5 million d'euros, incluant la perte de données, l'interruption des activités et les coûts de restauration des systèmes. De plus, le délai moyen pour se remettre complètement d'une attaque de ransomware dans le secteur de la santé est de 287 jours. Ces chiffres mettent en évidence l'impact financier et opérationnel significatif de ces attaques. Les risques cyber santé sont donc bien réels.

Le facteur humain

La formation et la sensibilisation des professionnels de santé à la cybersécurité sont essentielles pour réduire les risques d'incidents de sécurité. Les professionnels de santé doivent être conscients des menaces et des bonnes pratiques à adopter pour protéger les systèmes d'information et les données de santé. La gestion des vulnérabilités santé passe aussi par la formation.

Selon une étude de l'Observatoire de la sécurité des systèmes d'information (OSSI), 80% des incidents de sécurité sont dus à des erreurs humaines. Le coût moyen d'une violation de données due à une erreur humaine est estimé à 3 millions d'euros. En outre, seulement 35% des professionnels de santé ont reçu une formation adéquate en cybersécurité au cours des 12 derniers mois. Ces statistiques soulignent l'importance cruciale d'investir dans la formation et la sensibilisation des équipes pour renforcer la sécurité des systèmes d'information de santé. La cybersécurité santé nécessite un effort collectif.

Le rôle de l'ANSSI dans la protection de la santé numérique

L'ANSSI joue un rôle central dans la protection de la santé numérique en France. Elle définit le cadre réglementaire et normatif, mène des missions spécifiques dans le domaine de la santé et met à disposition des outils et des ressources pour aider les acteurs de la santé à se protéger contre les cybermenaces. Les normes HDS sont un élément clé de ce cadre.

Cadre réglementaire et normatif

L'ANSSI contribue à la définition du cadre réglementaire et normatif relatif à la protection des données de santé, notamment en participant à la transposition du Règlement Général sur la Protection des Données (RGPD) et en élaborant des référentiels de sécurité tels que le PSSI-Santé et le guide d'hygiène informatique. Elle travaille également à la définition de normes techniques, telles que la certification HDS (Hébergeur de Données de Santé). Le RGPD santé et les normes HDS sont essentiels pour la sécurité des données.

• Lois et décrets relatifs à la protection des données de santé (RGPD, Loi Informatique et Libertés).
• Référentiels de sécurité de l'ANSSI (e.g., PSSI-Santé, guide d'hygiène informatique).
• Normes techniques (e.g., HDS, certifications).

Missions spécifiques de l'ANSSI dans le domaine de la santé

L'ANSSI mène des missions spécifiques dans le domaine de la santé, telles que le conseil et l'assistance aux établissements et professionnels de santé, les audits et contrôles de sécurité, la veille et l'alerte sur les menaces, la formation et la sensibilisation des professionnels et la collaboration avec les acteurs de la santé. L'objectif est de renforcer la cybersécurité santé globale.

• Conseil et assistance : Accompagnement des établissements et professionnels de santé dans la mise en place de mesures de sécurité.
• Audits et contrôles : Vérification de la conformité aux normes de sécurité.
• Veille et alerte : Identification des menaces et diffusion d'informations sur les vulnérabilités.
• Formation et sensibilisation : Développement de programmes de formation pour les professionnels de santé.
• Collaboration avec les acteurs de la santé : Partenariats avec les Agences Régionales de Santé (ARS), les groupements hospitaliers de territoire (GHT), les industriels du secteur.

En 2023, l'ANSSI a mené plus de 200 audits de sécurité dans des établissements de santé, identifiant en moyenne 15 vulnérabilités critiques par établissement. L'agence a également diffusé plus de 500 alertes de sécurité concernant des menaces ciblant le secteur de la santé. De plus, plus de 5000 professionnels de santé ont participé aux formations et aux ateliers de sensibilisation organisés par l'ANSSI l'année dernière. Ces chiffres témoignent de l'engagement actif de l'ANSSI dans la protection de la santé numérique. L'ANSSI joue un rôle majeur pour faire face aux risques cyber santé.

Les outils et ressources mis à disposition par l'ANSSI

L'ANSSI met à disposition des acteurs de la santé une variété d'outils et de ressources pour les aider à se protéger contre les cybermenaces, tels que des guides de bonnes pratiques, des outils d'autodiagnostic, des alertes de sécurité et une plateforme de signalement des incidents de sécurité. Ces outils sont essentiels pour améliorer la cybersécurité santé.

• Guides de bonnes pratiques.
• Outils d'autodiagnostic.
• Alertes de sécurité.
• Plateforme de signalement des incidents de sécurité.

Voici des exemples d'outils disponibles:

• CyberEdu : plateforme de formation en ligne
• SecNumCloud : référentiel pour les prestataires cloud
• MSSI : méthodologie de sécurité des systèmes d'information

Exemples concrets d'actions de l'ANSSI dans le secteur de la santé

L'ANSSI intervient concrètement dans le secteur de la santé pour aider les établissements et les professionnels à se protéger contre les cyberattaques. Son action se manifeste à travers des études de cas, des témoignages et la présentation d'initiatives spécifiques. La sécurité des systèmes d'information santé est au coeur de ses actions.

Etudes de cas

L'ANSSI a accompagné un hôpital suite à une cyberattaque de type ransomware qui a paralysé ses systèmes informatiques. L'agence a mobilisé ses experts pour aider l'hôpital à restaurer ses systèmes, à identifier les causes de l'attaque et à mettre en place des mesures de sécurité renforcées. Grace à cette intervention rapide, l'hôpital a pu rétablir ses services essentiels en moins de 72 heures et éviter des conséquences catastrophiques pour les patients. Cette intervention a nécessité une mobilisation des équipes de l'ANSSI 24 heures sur 24 et 7 jours sur 7. L'attaque d'un centre hospitalier est un exemple frappant des risques encourus.

Témoignages

Le responsable de la sécurité des systèmes d'information (RSSI) d'un grand centre hospitalier témoigne de l'importance du soutien de l'ANSSI : "L'expertise de l'ANSSI nous a été précieuse pour mettre en place une politique de sécurité efficace et adaptée à nos besoins. Les guides de bonnes pratiques et les outils d'autodiagnostic mis à disposition par l'ANSSI nous ont permis d'améliorer significativement notre niveau de sécurité. Nous collaborons étroitement avec l'ANSSI pour signaler les incidents de sécurité et bénéficier de leur expertise en cas de besoin." Ce témoignage illustre la valeur du partenariat entre l'ANSSI et les établissements de santé. La cybersécurité santé est un effort de collaboration.

Présentation d'initiatives spécifiques

L'ANSSI a lancé le programme de sécurisation des établissements de santé (PSE), qui vise à accompagner les établissements de santé dans la mise en place de mesures de sécurité renforcées. Ce programme comprend des audits de sécurité, des formations pour les professionnels et un soutien financier pour la mise en œuvre de solutions de sécurité. Le PSE a permis à de nombreux établissements de santé d'améliorer significativement leur niveau de sécurité et de réduire leur exposition aux cybermenaces. Plus de 500 établissements ont déja bénéficié de ce programme, avec une amélioration moyenne de 30% de leur score de sécurité. Le budget total alloué au programme PSE a atteint 50 millions d'euros en 2023.

Perspectives d'avenir et recommandations

La cybersécurité est un domaine en constante évolution, et les menaces qui pèsent sur le secteur de la santé sont de plus en plus sophistiquées. Il est donc essentiel d'anticiper les évolutions des menaces et d'adapter les mesures de sécurité en conséquence. Les acteurs de la santé doivent également adopter des recommandations pour renforcer leur niveau de sécurité. La cybersécurité santé du futur dépendra de ces efforts.

Évolution des menaces et adaptation des mesures de sécurité

L'intelligence artificielle (IA) représente à la fois une opportunité et une menace pour la cybersécurité dans le secteur de la santé. L'IA peut être utilisée pour détecter les menaces et automatiser les réponses aux incidents de sécurité, mais elle peut également être utilisée par les cybercriminels pour développer des attaques plus sophistiquées. Le développement du cloud computing et des objets connectés pose également des défis en matière de sécurité. La collaboration internationale est essentielle pour lutter contre la cybercriminalité, qui est un phénomène mondial. Il est important de suivre de près les évolutions dans ce domaine. On estime que d'ici 2025, 70% des dispositifs médicaux seront connectés à internet, augmentant ainsi la surface d'attaque.

• L'impact de l'intelligence artificielle sur la cybersécurité dans le secteur de la santé.
• Les défis posés par le développement du cloud computing et des objets connectés.
• L'importance de la collaboration internationale pour lutter contre la cybercriminalité.

Recommandations pour les acteurs de la santé

Pour renforcer la sécurité des systèmes d'information de santé, il est recommandé aux acteurs de la santé de renforcer la gouvernance de la sécurité, d'investir dans la formation et la sensibilisation des équipes, de mettre en place des mesures de sécurité adaptées aux risques, de réaliser des audits de sécurité réguliers et de signaler les incidents de sécurité à l'ANSSI. Ces actions sont essentielles pour protéger les données de santé et assurer la continuité des soins. L'ANSSI recommande une approche basée sur le principe de "défense en profondeur".

• Renforcer la gouvernance de la sécurité des systèmes d'information.
• Investir dans la formation et la sensibilisation des équipes.
• Mettre en place des mesures de sécurité adaptées aux risques.
• Réaliser des audits de sécurité réguliers.
• Signaler les incidents de sécurité à l'ANSSI.

Le rôle des patients

Les patients ont également un rôle à jouer dans la protection de leurs données de santé en ligne. Ils doivent utiliser des mots de passe complexes et uniques, être vigilants face aux tentatives de phishing, sécuriser leurs appareils personnels (ordinateurs, smartphones, tablettes) et contrôler l'accès à leurs données de santé. La sensibilisation des patients à la cybersécurité est essentielle pour renforcer la sécurité globale du système de santé. 45% des patients utilisent le même mot de passe pour plusieurs comptes en ligne.

• Utiliser des mots de passe complexes et uniques.
• Être vigilant face aux tentatives de phishing.
• Sécuriser leurs appareils personnels (ordinateurs, smartphones, tablettes).
• Contrôler l'accès à leurs données de santé.

Pour conclure, voici quelques conseils pour les patients :

• Mettre à jour régulièrement les logiciels
• Ne pas cliquer sur des liens suspects
• Utiliser un antivirus

L'ANSSI continue de travailler activement avec les professionnels de la santé, les établissements, et les patients, et continue de faire progresser les normes en matière de sécurité. La cybersécurité santé est une priorité nationale.