Un risque désormais bien réel
Les cyberattaques contre les établissements de santé et médico-sociaux ne sont plus des cas isolés. Rançongiciels, hameçonnage (phishing), intrusions via des équipements mal sécurisés : les menaces sont variées, mais leurs conséquences se ressemblent, avec des systèmes d’information bloqués, des dossiers patients inaccessibles et une organisation des soins fortement perturbée.
Face à ce risque, il existe une procédure claire, connue et rodée, qui permet à un établissement de réagir vite et d’être épaulé dès les premières minutes. La clé du succès : ne pas rester seul et activer immédiatement la bonne chaîne d’alerte.
Les bons réflexes dès la détection d’un incident
Dès qu’un comportement suspect ou un incident est détecté (ralentissements inhabituels, fichiers chiffrés, messages de rançon, comptes bloqués, alertes de l’antivirus…), plusieurs réflexes doivent être appliqués sans attendre :
- Isoler les équipements ou le réseau suspecté d’être compromis, pour limiter la propagation, sans pour autant éteindre brutalement les machines concernées (des preuves techniques utiles à l’enquête pourraient être perdues).
- Alerter en interne immédiatement la direction, le responsable du système d’information et le référent sécurité (RSSI) de l’établissement, selon le circuit prévu par le plan de gestion de crise.
- Ne pas payer de rançon et ne pas négocier seul avec des attaquants.
- Prévoir un moyen de communication de secours (messagerie personnelle sécurisée, ligne téléphonique dédiée) pour continuer à échanger avec les équipes et les partenaires extérieurs si la messagerie professionnelle est elle-même touchée.
- Basculer en mode dégradé selon les procédures prévues, pour assurer la continuité des soins : réorientation de patients, retour au papier pour certains circuits, information des équipes soignantes.
Qui prévenir ? Le circuit officiel de signalement
C’est souvent le point le moins bien connu, alors qu’il est essentiel : tout incident grave de sécurité informatique doit être signalé, et ce signalement déclenche automatiquement une chaîne de soutien coordonnée.
Le portail national de signalement
Le signalement officiel se fait sur le portail de signalement des événements sanitaires indésirables (accessible sur signalement.social-sante.gouv.fr), dans la rubrique dédiée aux professionnels de santé.
Cette déclaration est une obligation réglementaire pour les établissements de santé, les laboratoires de biologie médicale et les centres de radiothérapie, et elle a été étendue aux établissements et services médico-sociaux.
Le CERT Santé, votre premier point d’appui technique
Une fois le signalement effectué, il est automatiquement pris en charge par le CERT Santé, la cellule de réponse aux incidents de sécurité de l’Agence du numérique en santé (ANS).
Le CERT Santé :
- Accuse réception du signalement et prend contact avec l’établissement.
- Apporte un premier appui technique pour qualifier l’incident et engager les mesures de remédiation.
- Assure une astreinte les jours ouvrés, de 9h à 18h ; en dehors de ces horaires, le relais est pris par l’ANSSI (Agence nationale de la sécurité des systèmes d’information).
L’ARS, immédiatement informée
En parallèle, le signalement est transmis à l’Agence régionale de santé (ARS). Nous prenons contact avec l’établissement concerné (et, le cas échéant, avec l’établissement support du groupement hospitalier de territoire) pour :
- Faire un point précis sur la situation et son impact sur l’offre de soins.
- Évaluer les besoins d’appui et de solidarité territoriale (réorientation de flux du SAMU, accueil de patients par d’autres établissements, mobilisation d’EHPAD ou de structures de coordination).
- Assurer le lien avec les autres autorités mobilisées (ANSSI, CNIL en cas d’atteinte à des données personnelles).
Les autres relais utiles selon la situation
La CNIL, si l’incident constitue une violation de données à caractère personnel.
Le référent cybersécurité du GRADeS régional, qui peut apporter un appui technique de proximité et une astreinte joignable en dehors des heures ouvrées.
Les partenaires métiers concernés en cas d’impact sur des circuits spécifiques, par exemple l’Établissement français du sang pour les enjeux transfusionnels.
Pourquoi ce circuit est important
Ce circuit de signalement n’est pas qu’une formalité administrative : c’est ce qui permet une réponse rapide et coordonnée, avec un appui technique dédié dès les premières heures, et une solidarité entre établissements pour maintenir la continuité des soins. Il permet aussi, à l’échelle nationale et régionale, de suivre l’évolution des menaces et d’alerter rapidement d’autres établissements si une même campagne d’attaque est identifiée.
Bien avant l’incident : se préparer
La meilleure réponse à une cyberattaque se prépare en amont : plan de gestion de crise cyber testé par des exercices, sauvegardes régulières et déconnectées du réseau, sensibilisation des équipes aux bons réflexes (ne pas cliquer sur un lien douteux, signaler un email suspect). C’est tout l’enjeu de l’accompagnement que nous proposons, avec nos partenaires, aux établissements de la région.
En cas d’incident de sécurité informatique avéré, le signalement doit être effectué sans délai sur le portail national de signalement des événements sanitaires indésirables (signalement.social-sante.gouv.fr).
