Les attaques par ransomware ciblant le secteur hospitalier ont considérablement augmenté ces dernières années. En 2022, pas moins de 11 hôpitaux français ont été visés et seulement deux attaques ont été déjouées[1]. Comment les attaquants parviennent-ils à s’infiltrer avec une telle facilité et à causer autant de dommages au sein des hôpitaux français ? Le manque de moyens alloués à la sécurité informatique est souvent évoqué, mais qu’entend-on par manque de moyens et quels investissements faudrait-il privilégier pour assurer une meilleure cybersécurité de notre système de santé ?
Cybersécurité des hôpitaux : des ressources financières largement insuffisantes
Conséquence du manque de moyens et de savoir-faire en interne, la plupart des dispositifs médicaux mis en place dans les établissements de santé français utilisent des logiciels, obsolètes ou non mis à jour, ce qui fait d’eux une porte d’entrée principale des acteurs malveillants. Ces vulnérabilités importantes du secteur conduisent à des attaques à répétition, ce qui a été confirmé dans un récent rapport[2] qui souligne l’évolution des menaces en matière de cybersécurité dans le domaine de la santé.
On peut également questionner le niveau de préparation cyber des établissements de santé français. L’annonce par le gouvernement en décembre dernier d’un Plan Blanc Numérique visant à former les équipes en cas d’incident cyber témoigne dans une certaine mesure de l’inéluctabilité de ces attaques. L’idée du gouvernement est simple : renforcer l’efficacité de la réponse des établissements de soins afin de réduire perturbations et coûts en cas d’attaque. 10 millions d’euros ont été alloués à cette mission de préparation, chaque établissement se voyant attribuer une enveloppe allant de 4 000 à 10 000 euros en fonction de son niveau de maturité en termes de cybersécurité. Quand on sait que certains hôpitaux français emploient plusieurs dizaines de milliers de personnes, on est en droit de se demander si cet effort suffira.