Un fichier comportant des données médicales sensibles a effectivement été dérobé à des laboratoires de biologie médicale puis mis en ligne sur internet en février 2021. Ce fichier comprenait des informations personnelles de près de 500 000 patients. À la suite de la révélation de cette divulgation de données personnelles, la section cybercriminalité du parquet de Paris a ouvert une enquête, confiée à l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), aux chefs « d’accès et maintien frauduleux dans un système de traitement automatisé de données » et « d’extraction, détention et transmission frauduleuse » de ces données. Cette procédure judiciaire étant en cours, les causes de cette fuite de données ne sont pas encore déterminées. La Commission nationale de l’informatique et des libertés (CNIL) s’est également saisie du sujet en appelant les responsables de traitement concernés à procéder à une notification auprès de ses services. Afin d’éviter que de tels incidents se reproduisent, l’ANSSI continue d’appuyer le ministère des solidarités et de la santé dans la sécurisation des systèmes d’information, notamment de ceux en lien avec la gestion de la crise sanitaire. Elle diffuse régulièrement des alertes sur des vulnérabilités ou des incidents susceptibles d’affecter ses systèmes d’information afin que le ministère des solidarités et de la santé puisse les corriger et en informer ses prestataires. De façon plus générale, l’ensemble du secteur de la santé est particulièrement visé par les attaques malveillantes. Le ministère des solidarités et de la santé a donc lancé en 2020, en lien avec l’ANSSI, un plan de renforcement de la cybersécurité des établissements de santé, dont la cybersécurité est une priorité nationale. Dans un premier temps, l’ANSSI a évalué le degré d’exposition des hôpitaux aux cyberattaques et, dans un second temps, leur a apporté son aide pour rehausser leur niveau de sécurité, par des recommandations concrètes. En outre, l’objectif était de produire un « effet de levier » au travers d’actions de sensibilisation et de recommandations sectorielles spécifiques avec une prise de relais, à moyen terme, par des prestataires à même d’accompagner l’ensemble des établissements hospitaliers, très nombreux et aux besoins de cybersécurité très variés. Des outils permettant d’analyser et de mettre en sécurité les réseaux de manière autonome ont été transmis à plusieurs centaines d’établissements de santé et près de 10 établissements de santé d’importance ont bénéficié d’un accompagnement et d’un suivi régulier de l’ANSSI dans l’amélioration de leurs systèmes d’information. Par ailleurs, mi-2021, 102 établissements de santé ont été désignés comme opérateurs de services essentiels. À ce titre, ils doivent désormais se mettre en conformité avec les dispositions d’application de la directive européenne Network and Information Security. Ce projet de renforcement de la cybersécurité des établissements de santé a été poursuivi et renforcé avec le lancement du volet cybersécurité du plan France Relance. Un budget de 136 millions d’euros - augmenté de 40 Millions d’euros en 2022 - a permis à l’ANSSI de mettre en place des parcours de sécurisation, contribuant significativement à l’élévation du niveau de sécurité de la chaîne hospitalière. Ces parcours permettent d’apporter des compétences, via des prestataires de cybersécurité auprès de chaque bénéficiaire pour définir l’état de sécurité de son système d’information et les travaux les plus urgents à réaliser, ainsi qu’un accompagnement méthodologique par l’ANSSI. Ces parcours ouvrent droit à un soutien financier, via une subvention de 140 000 euros par établissement de santé. En mars 2022, 120 établissements de santé étaient engagés dans ces parcours. L’ANSSI a également contribué à l’autonomisation de la chaîne hospitalière pour la sécurisation de ses systèmes d’information en accompagnant la redéfinition des missions et la montée en compétence de la cellule ACSS (cellule d’accompagnement cybersécurité des structures de santé) du ministère de la santé et afin de lui permettre de rejoindre l’association des centres de réponse à incidents de cybersécurité français, l’InterCERT France, en tant que CERT Santé. Enfin, en ce qui concerne la coopération européenne, l’ANSSI échange régulièrement avec ses homologues sur l’état de la menace, en particulier à travers le réseau CSIRTs-Network, constitué par des représentants nationaux des équipes de réponse aux incidents de sécurité informatique (CSIRT) des États membres de l’UE et de l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), au sein duquel les membres peuvent coopérer, échanger des informations techniques. En outre, l’exercice cybereurope, programmé en juin 2022, permettra à certains établissements de santé de s’entraîner à la gestion d’une crise de cybersécurité. Il permettra également de tester la coordination européenne dans le contexte d’une telle crise ciblant le secteur de la santé. Le retour d’expérience de cet exercice permettra d’améliorer les mécanismes nationaux et européens dans ce domaine.

Un fichier comportant des données médicales sensibles a effectivement été dérobé à des laboratoires de biologie médicale puis mis en ligne sur internet en février 2021. Ce fichier comprenait des informations personnelles de près de 500 000 patients. À la suite de la révélation de cette divulgation de données personnelles, la section cybercriminalité du parquet de Paris a ouvert une enquête, confiée à l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), aux chefs « d’accès et maintien frauduleux dans un système de traitement automatisé de données » et « d’extraction, détention et transmission frauduleuse » de ces données. Cette procédure judiciaire étant en cours, les causes de cette fuite de données ne sont pas encore déterminées. La Commission nationale de l’informatique et des libertés (CNIL) s’est également saisie du sujet en appelant les responsables de traitement concernés à procéder à une notification auprès de ses services. Afin d’éviter que de tels incidents se reproduisent, l’ANSSI continue d’appuyer le ministère des solidarités et de la santé dans la sécurisation des systèmes d’information, notamment de ceux en lien avec la gestion de la crise sanitaire. Elle diffuse régulièrement des alertes sur des vulnérabilités ou des incidents susceptibles d’affecter ses systèmes d’information afin que le ministère des solidarités et de la santé puisse les corriger et en informer ses prestataires. De façon plus générale, l’ensemble du secteur de la santé est particulièrement visé par les attaques malveillantes. Le ministère des solidarités et de la santé a donc lancé en 2020, en lien avec l’ANSSI, un plan de renforcement de la cybersécurité des établissements de santé, dont la cybersécurité est une priorité nationale. Dans un premier temps, l’ANSSI a évalué le degré d’exposition des hôpitaux aux cyberattaques et, dans un second temps, leur a apporté son aide pour rehausser leur niveau de sécurité, par des recommandations concrètes. En outre, l’objectif était de produire un « effet de levier » au travers d’actions de sensibilisation et de recommandations sectorielles spécifiques avec une prise de relais, à moyen terme, par des prestataires à même d’accompagner l’ensemble des établissements hospitaliers, très nombreux et aux besoins de cybersécurité très variés. Des outils permettant d’analyser et de mettre en sécurité les réseaux de manière autonome ont été transmis à plusieurs centaines d’établissements de santé et près de 10 établissements de santé d’importance ont bénéficié d’un accompagnement et d’un suivi régulier de l’ANSSI dans l’amélioration de leurs systèmes d’information. Par ailleurs, mi-2021, 102 établissements de santé ont été désignés comme opérateurs de services essentiels. À ce titre, ils doivent désormais se mettre en conformité avec les dispositions d’application de la directive européenne Network and Information Security. Ce projet de renforcement de la cybersécurité des établissements de santé a été poursuivi et renforcé avec le lancement du volet cybersécurité du plan France Relance. Un budget de 136 millions d’euros - augmenté de 40 Millions d’euros en 2022 - a permis à l’ANSSI de mettre en place des parcours de sécurisation, contribuant significativement à l’élévation du niveau de sécurité de la chaîne hospitalière. Ces parcours permettent d’apporter des compétences, via des prestataires de cybersécurité auprès de chaque bénéficiaire pour définir l’état de sécurité de son système d’information et les travaux les plus urgents à réaliser, ainsi qu’un accompagnement méthodologique par l’ANSSI. Ces parcours ouvrent droit à un soutien financier, via une subvention de 140 000 euros par établissement de santé. En mars 2022, 120 établissements de santé étaient engagés dans ces parcours. L’ANSSI a également contribué à l’autonomisation de la chaîne hospitalière pour la sécurisation de ses systèmes d’information en accompagnant la redéfinition des missions et la montée en compétence de la cellule ACSS (cellule d’accompagnement cybersécurité des structures de santé) du ministère de la santé et afin de lui permettre de rejoindre l’association des centres de réponse à incidents de cybersécurité français, l’InterCERT France, en tant que CERT Santé. Enfin, en ce qui concerne la coopération européenne, l’ANSSI échange régulièrement avec ses homologues sur l’état de la menace, en particulier à travers le réseau CSIRTs-Network, constitué par des représentants nationaux des équipes de réponse aux incidents de sécurité informatique (CSIRT) des États membres de l’UE et de l’Agence européenne chargée de la sécurité des réseaux et de l’information (ENISA), au sein duquel les membres peuvent coopérer, échanger des informations techniques. En outre, l’exercice cybereurope, programmé en juin 2022, permettra à certains établissements de santé de s’entraîner à la gestion d’une crise de cybersécurité. Il permettra également de tester la coordination européenne dans le contexte d’une telle crise ciblant le secteur de la santé. Le retour d’expérience de cet exercice permettra d’améliorer les mécanismes nationaux et européens dans ce domaine.

L’estimation du montant des rançons versées par les entreprises et les administrations victimes de cyberattaques par rançongiciel soulève plusieurs difficultés. En effet, il n’existe aucune obligation de déclaration d’une cyberattaque ou du versement d’une rançon. Les données disponibles auprès des services chargés de la lutte contre cette forme de cybercriminalité ne permettent donc pas de dresser un état des lieux précis. L’estimation des montants versés soulève les mêmes difficultés. C’est notamment aux fins d’améliorer l’information des services judiciaires sur ce point que le Gouvernement a introduit, dans son projet de loi d’orientation et de programmation du ministère de l’intérieur, une disposition incitant aux dépôts et plaintes (article 5). Toutefois, sans disposer d’une estimation du montant total versé aux rançonneurs, l’analyse des incidents connus met en évidence les effets des attaques par rançongiciel. Ces attaques sont susceptibles de gêner ou d’interrompre le fonctionnement de services publics, notamment l’accueil aux urgences dans le cas d’attaques ciblant les systèmes d’informations de systèmes hospitaliers, le versement de prestations sociales ou encore les états-civils. Conscient des dommages provoqués par les attaques par rançongiciels, le Gouvernement a défini une stratégie de réponse s’appuyant sur le renforcement des capacités de prévention, de réponse et de répression. Un ensemble de bonnes pratiques a été ainsi défini par l’ANSSI et a fait l’objet d’une publication sous la forme d’un guide. Dans le cadre du plan France Relance, les services publics, au premier titre desquels les établissements de santé, les collectivités territoriales ou encore les organismes publics ont pu bénéficier de parcours de cybersécurité comprenant la réalisation d’un diagnostic de sécurité puis la définition et la mise en œuvre d’un plan de sécurisation. Afin de doter les organisations de taille intermédiaire (PME, entreprises de taille intermédiaire, collectivités territoriales et associations) d’interlocuteurs en cas d’incident de cybersécurité sur l’ensemble du territoire, le plan France Relance a également financé la création de centres de réponse à incident régionaux. De plus, des moyens supplémentaires ont été consentis afin d’assurer l’effectivité de la réponse pénale au travers du renforcement des moyens de la section J3 du parquet de Paris et de la création du commandement de la gendarmerie dans le cyberespace.

Les collectivités territoriales sont fréquemment la cible de cyberattaques, principalement à des fins d’extorsion. Ces attaques sont susceptibles d’affecter gravement la bonne marche des services publics, notamment dans les domaines des transports publics, de la gestion des prestations sociales ou de la bonne tenue de l’état-civil. Ce type de criminalité semble devoir s’installer dans la durée voire croître, compte tenu du niveau de cybersécurité perfectible de nombre de collectivités et de la numérisation croissante, par exemple dans la perspective des smartcities. D’ores et déjà, les collectivités territoriales doivent faire face à un certain nombre d’obligations et de responsabilités en matière de cybersécurité, notamment visant à protéger les données personnelles de leurs usagers ou à sécuriser leurs échanges avec ces derniers. De nombreuses « ressources » sont disponibles pour les aider à y satisfaire. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a ainsi publié en partenariat avec l’Association des maires de France (AMF) un guide de mise en œuvre d’une démarche de cybersécurité, ainsi qu’un guide présentant les différentes exigences réglementaires s’imposant aux collectivités territoriales en matière de sécurité de leurs outils numériques. De plus, l’ANSSI dispose d’un réseau de délégués régionaux en mesure d’orienter les collectivités territoriales dans le choix d’outils de cybersécurité. Elle a également noué des partenariats avec des associations de fournisseurs de services aux collectivités territoriales pour renforcer la cybersécurité de leurs offres. Dans le cadre du plan France relance, un parcours de cybersécurité est proposé aux collectivités volontaires. Elles sont aidées financièrement pour réaliser un diagnostic de leur niveau de cybersécurité, identifier les mesures de sécurité les plus urgentes à mettre en œuvre et dresser un plan d’amélioration de leur cybersécurité. De plus, afin de faciliter l’accès à des outils de cybersécurité au meilleur coût pour les collectivités, un appel d’offres est organisé. Ces dispositifs et mesures qui contribuent directement à l’élévation du niveau de cybersécurité des collectivités devront être pérennisés pour atteindre leur pleine efficacité.

Les données à caractère personnel présentent de multiples attraits pour les attaquants. Leur vol motive donc une grande proportion des actions malveillantes, tant à finalité lucrative qu’à des fins d’espionnage. De surcroît, ces données sont régulièrement divulguées. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a classé ces divulgations en quatre grandes catégories : les divulgations de données dans le cadre d’attaques par rançongiciels ; les divulgations motivées idéologiquement ("hacktivisme") ou dans le cadre d’opérations de déstabilisation ; les divulgations de données à des fins de revente ; les divulgations par négligence. En outre, les données personnelles compromises peuvent être réutilisées pour mener de nouvelles attaques, notamment par hameçonnage : les données personnelles fournissent des portes d’entrée aux attaquants et facilitent les cyberattaques. Au regard des risques décrits, la protection des données personnelles revêt une importance avérée. C’est pourquoi l’ANSSI concourt à la sécurisation des systèmes d’information hébergeant des données, notamment à caractère personnel, des individus, entreprises, administrations et collectivités auxquels elle fournit des ressources méthodologiques et pratiques, des recommandations et des outils. Elle met en œuvre diverses mesures de responsabilisation des acteurs privés et promeut les offres numériques sécurisées, notamment en qualifiant des prestataires de produits et de services. Dans un contexte d’offre foisonnante, les visas de sécurité délivrés par l’ANSSI permettent d’identifier facilement les produits et services dont la fiabilité a été reconnue, à l’issue d’une évaluation rigoureuse. Au-delà de la sécurisation des données, la protection des données repose notamment sur la mise en oeuvre d’un certain nombre de principes dont la transparence et la licéité de la collecte et du traitement des données, le respect des droits des personnes physiques concernées, la limitation des finalités du traitement, la minimisation des données collectées ou encore l’encadrement de la durée de conservation des données. De nombreuses mesures visant à protéger les données des citoyens et des entreprises ont été mises en œuvre, tant au niveau européen que national. En particulier, le règlement européen sur la protection des données (RGPD), entré en application le 25 mai 2018, vise à harmoniser les règles et les pratiques européennes applicables en matière de protection des données à caractère personnel et complète d’autres dispositifs règlementaires concourant au renforcement de la sécurité numérique limités à un nombre restreint d’organisations. La Commission nationale de l’informatique et des libertés (CNIL), autorité indépendante de contrôle pour la protection des données à caractère personnel en France est ainsi chargée de veiller à la bonne application du RGPD en France et d’accompagner les entités publiques et privées engagées dans leur démarche de mise en conformité avec le règlement. Elle effectue ainsi un travail majeur au profit de nos concitoyens en contrôlant la protection de leurs données personnelles d’exploitations diverses pour lesquelles ils n’auraient pas donné leur consentement. Elle rend également obligatoire l’information des citoyens dont les données personnelles ont été divulguées.