Association Pour la Sécurité des Systèmes d'Information de Santé
06-29-36-59-95 | [email protected] | Identifiez-vous
On nous annonçait l’Armageddon numérique pendant les Jeux Olympiques et Paralympiques 2024 (JOP), à coup de chiffres rocambolesques largement relayés et prévoyant pas moins de 4 milliards de cyberattaques. Cette catastrophe n’a pas eu lieu.
À l'occasion de la sortie du baromètre DSIH, Mélanie Dufrou a recueilli les propos des intervenants rencontrés lors de l'agora Santexpo 2024, dédiée à la présentation des résultats.
Pour sa 10ème édition, le parcours SSI Santé 2024 : « Editeurs, institutionnels, industriels, french tech : en force pour la cyber sécurité ! » proposera un circuit de quatre visites de 30 minutes chacune chez quatre acteurs présents, sur le sujet de la cybersécurité en santé. Animé par l’APSSIS et conduit par Vincent TRELY, Président de l’Association, le parcours conduira ses participants à assister à 4 mini-conférences, entre 14H45 et 17H15 le mardi 21 mai. La session prendra fin à 17h15 autour d’un apéritif - networking.
L’objectif du parcours Sécurité des SI de Santé est d’offrir l’opportunité aux acteurs de la cybersécurité - directeurs, ingénieurs, RSSI, chefs de projets, experts - de bénéficier de focus préparés et coordonnés, intégrant les visions stratégiques et opérationnelles de 4 acteurs au cœur de la transformation numérique et de la cyber sécurité.
L'apprentissage automatique, également connu sous le nom de Machine Learning, a profondément modifié la manière dont les ordinateurs exécutent des tâches, leur permettant d'apprendre à partir de modèles et de données sans nécessiter de programmation explicite. Cependant, l'accès aux données pour le Machine Learning présente des défis spécifiques en raison des préoccupations relatives à la confidentialité et des contraintes réglementaires, rendant le processus complexe et chronophage. De plus, l'utilisation de modèles basés sur des données personnelles augmente le risque de ré-identification si ces données devaient être divulguées publiquement. Pour résoudre ces défis, Octopize a développé avatar, son logiciel d'anonymisation des données, qui permet l'utilisation de données synthétiques anonymes pour l'entraînement de modèles d’IA sans compromettre la vie privée des individus. En établissant un équilibre entre la protection de la confidentialité et l’utilisation des données, celles-ci peuvent être exploitées pour tous les usages secondaires comme celui de promouvoir la recherche médicale, d’alimenter un algorithme de prédiction etc. tout en préservant la confiance des individus ou patients dans le secteur de la santé.
Les autorités et les directions ont-elles tiré les leçons des cyberattaques qui ont touché plusieurs hôpitaux ces dernières années ? Le programme CaRE, dont l’enveloppe budgétaire est inédite, semble le montrer. Sa mise en place fera partie des grands rendez-vous de 2024, avec la préparation des JO et l’application de la directive NIS 2. Plus que jamais, la cybersécurité est au cœur de l’actualité. En donnant la parole aux acteurs nationaux, régionaux et locaux, on voit se dessiner l’organisation qui va piloter l’installation progressive de routines devant conduire à un management proactif et efficient de la sécurité numérique et à un plus haut niveau de résilience.
Le dossier spécial sur la sécurité des SI de santé a été coordonné par Vincent Trély, président de l’Apssis. Ce dossier est extrait du dernier numéro de DSIH (N°41 – Février 2024).
2024 sera sans nul doute une année exceptionnelle pour la dynamique cybersécurité du système de santé. Le Programme CaRE[1], aboutissement d’une année de travail et de concertation, est à la hauteur des enjeux et corrélé aux diagnostics partagés depuis plus de 5 ans. 750 millions d’euros vont être consacrés à la sécurisation des SI de santé, distribués sur 4 ans, pour répondre à 20 objectifs déclinant 4 axes : gouvernance et résilience, ressources et mutualisation, sensibilisation à tous les niveaux et sécurité opérationnelle.
Tous les DSI et RSSI ont cette question en tête : « Comment se protéger de la menace cyber ? ».
Et si, pour y parvenir, il suffisait de revenir aux fondamentaux ? C’est le choix fait par le CH Henri Laborit (86) depuis des années et les résultats sont là : lors du dernier pentest, les consultants n’ont pas réussi à compromettre l’AD. Ils n’ont d’ailleurs pas réussi à faire grand-chose, pourtant ce n’est pas faute d’avoir essayé ! Un miracle ? Pas du tout ! Merlin l’Enchanteur et Harry Potter n’ont qu’à bien se tenir ! Ici, pas de formule magique, simplement un retour aux fondamentaux.
D’ici quelques mois 2023 touchera à sa fin. Cette année, les établissements de santé sont restés l’une des cibles privilégiées des hackers. Des brèches majeures ont impacté plusieurs d’entre eux : l’AP-HP, le CHU de Rennes, les hôpitaux de Vittel et Neufchâteau, pour ne citer qu’eux. Afin de mieux protéger leur organisation face à l’évolution constante des menaces, les professionnels IT et sécurité des établissements de soins doivent absolument tirer les leçons des attaques subies. Voici les cinq prédictions d’Armis pour la cybersécurité du secteur de la santé en 2024.
Le terme « supply chain attacks » raisonne vraiment dans le petit monde de la cyber depuis bientôt trois ans, faisant suite à l’affaire « SolarWinds »1. Souvenez-vous, le 8 décembre 2020, avant de devenir Mandiant et se faire re-racheter par Google, la société américaine FireEye, annonçait avoir été victime d’une intrusion dans son système d’information via le code malveillant baptisé « SunBurst » et d’une exfiltration de ses outils utilisés par ses équipes offensives. Évidemment, une importante entreprise de cybersécurité qui annonce s’être fait compromettre, ça a fait beaucoup rire dans le secteur à l’époque. Mais pas longtemps.
L'Agence de l'Union européenne pour la cybersécurité (ENISA) publie sa première analyse du paysage des cybermenaces du secteur de la santé dans l'UE. Le rapport vise à apporter de nouvelles informations sur la réalité du secteur de la santé en cartographiant et en étudiant les cyberincidents de janvier 2021 à mars 2023. Il identifie les principales menaces, acteurs, impacts et tendances en se basant sur l'analyse des cyberattaques ciblant les organisations de santé sur une période de plus de 2 ans.
Le 30 juin2023, le ministère de la Santé et de la Prévention et la DGOS ont publié au Bulletin officiel Santé-Protection sociale-Solidarité un guide d’aide à la préparation au volet numérique du plan blanc.
Les incidents numériques et notamment les cyberattaques se sont multipliés et touchent les établissements de santé. Dans le secteur de la santé, les signalements de ces incidents ont doublé en 2021 par rapport à 2019 et 2020. La sécurité des systèmes d’information et le traitement des incidents sont devenus une priorité pour les pouvoirs publics dans la mesure où ces attaques peuvent directement menacer non seulement la sécurité du système d’information de l’établissement, mais également la sécurité des patients pris en charge.
Il est donc nécessaire d’élaborer un volet numérique dans le plan de gestion des tensions hospitalières et des situations sanitaires exceptionnelles qui décrit les mesures activables en fonction de la nature, de l’ampleur et de la cinétique de l’incident numérique (panne, cyberattaque…). Ce volet numérique vise également à identifier les mesures à mettre en œuvre en amont pour adopter des stratégies de défense en adéquation avec le paysage actuel des menaces. Ce guide d’aide à la préparation du risque numérique vise à fournir un cadre méthodologique et pratique pour prévenir le risque numérique et adopter une conduite collective visant à gérer et sortir au mieux d’une crise numérique en se reposant sur la réglementation et en faisant référence aux outils techniques existants.
Ce guide d’aide à la préparation du risque numérique est composé de trois parties.
Les attaquants derrière le cheval de Troie Qbot sont depuis longtemps maîtres dans l’art de rester discrets. Si l’entrée en matière semble toujours rester la même, les chemins de compromissions divergent et complexifient la détection en amont de l’infection.