CyberLab-Sante-2021.pdf — page 9

Pôle d’excellence cyber
CyberLab Catalogue de services et de prestataires cyber appliqués au domaine de la santé
17
16
Novembre 2021 
Le milieu médical utilise déjà massivement les réseaux de communications 
très haut débit, IP ou radio (DECT, WiFi, 3G, 4G, 5G, NB-IoT, Lora, Sigfox…), 
pour communiquer et partager les dossiers patients, les imageries médicales, 
les résultats d’analyses et autres informations médicales.  Les réseaux hospita-
liers transportent ces informations et données patients et peuvent donc être 
la cible des cyber-attaques.
La médecine d’aujourd’hui utilise également de plus en plus de capteurs, 
de sondes ainsi que d’autres objets connectés : implants connectés, télé-
métrie, prothèses bioniques connectées sont une préoccupation majeure. 
Déjà aujourd’hui les équipements de mesure, d’analyses et autres matériels 
médicaux (scanner, IRM, etc. ), les boîtiers de monitoring, les alarmes des 
patients, sont connectés sur l’Internet et sont des cibles de choix pour les 
cyber-attaquants.
La crise sanitaire liée à la Covid-19 a accéléré le déploiement des services et 
outils de télésanté et des dérogations ont dû être octroyées au cours de la 
pandémie.  Ces nouvelles opportunités d’accès au soin à domicile (dévelop-
pement de l’Hospitalisation À Domicile, téléconsultation…) représentent un 
nouveau moyen de captation de données de santé et peuvent représenter une 
nouvelle cible d’attaque pour les hackers.  « La diversité de l’offre numérique 
doit se structurer afin de répondre aux enjeux de sécurité, d’interopérabilité, 
de confiance et de qualité », Doctrine technique du numérique en santé.  
Toutes les données médicales, dossiers des patients, fichiers des personnels, 
bases de données, agendas informatisés et autres big data sont des informa-
tions confidentielles très recherchées par les cyber-attaquants. Le ministère 
de la santé encourage le développement et la mise en conformité d’outils, de 
réglementations, de référentiels afin d’« intensifier l’éthique, la sécurité, l’inte-
ropérabilité des systèmes d’information de santé ».  Les données de santé sont 
soumises à la nouvelle réglementation sur la protection des données (RGPD, 
Loi Informatique et Libertés avant), qui nécessite, entre autres, la désignation 
d’un DPO (Délégué à la Protection des Données), la nécessité d’informer sur 
les finalités de traitement et les moyens de traitement, etc. Le traitement de 
données de santé nécessite également une utilisation de l’Identité Nationale 
de Santé (INS), le recourt à un Hébergeur de Données de Santé certifié (HDS), 
des contraintes d’authentification de plus en plus contraignantes, une confor-
mité des services de messageries sécurisées, etc.  
Afin de protéger les droits des usagers et la confidentialité des échanges 
entre l’usager et le praticien, le cadre réglementaire lié au numérique en santé 
est en pleine évolution, de nouveaux outils et référentiels apparaissent.  Nous 
pouvons ainsi citer le déploiement en cours de « Mon espace Santé », un 
espace personnel où les usagers vont pouvoir gérer leurs données de santé, 
aussi la  « Messagerie Sécurisée de Santé » (MSSanté), un système national de 
messageries sécurisées de santé, ou encore « Pro Santé Connect », prochai-
nement déployé, fédérateur de fournisseurs d’identité pour les professionnels 
de santé. Tous ces outils vont permettre de cadrer les données personnelles, 
mais peuvent également à la source de cyberattaques.   
Pour un diagnostic meilleur et plus rapide, de nouveaux outils et méthodes 
de travail collaboratif entre professionnels de santé (Télémédecine, téléex-
pertise,…) ont été massivement déployés. Ces ouvertures sur les SI de santé 
peuvent constituer des failles de sécurité dans les processus métiers ou dans 
les parcours de santé.
Les systèmes d’information (SI) des hôpitaux et centres médicaux, les 
centres de calculs ou clouds privés, publics ou semi-publics, les applications 
de « workflow » métiers ERP (Enterprise Resource Planning, PRM - Patient 
Relation Management), facturations, SCADA (Supervisory Control and Data 
Acquisition), gestion des stocks, etc. , les postes de travail ainsi que les sys-
tèmes de messageries sont très sensibles, et doivent, impérativement, faire 
l’objet de mesures des sécurité numériques et physiques adaptées aux risques.
Les cyber-menaces (réelles) et les cyber-risques 
(possibles) sur les systèmes de santé
Si les vulnérabilités sont éventuelles, les menaces sont par contre bien réelles 
et multiples.
Les attaques utilisent la plupart du temps une combinaison des techniques 
d’attaques pour maximiser le taux de réussite.
Il convient aussi de noter que l’on voit maintenant apparaitre des cyber-at-
taques sur les infrastructures, serveurs ou applications, combinées et syn-
chronisées avec des sabotages physiques sur les sites et infrastructures.  
Ci-dessous, une représentation des différents types d’attaques qu’a subi le 
secteur de la santé au cours de l’année 2020.
Types de cyberattaques dans le domaine de la santé en 2020
Toutes les menaces font courir des risques importants pour les acteurs du 
secteur.  Elles peuvent causer de graves dommages aux centres médicaux et 
hôpitaux et potentiellement mettre la vie de patients et personnels en danger.  
Elles peuvent aussi générer de graves préjudices moraux ou financiers aux 
acteurs du secteur si des informations sont volées, compromises ou détruites.  
0%
5%
10%
15%
20%
15%
30%
RANSOMWARE
VOL DE DONNÉES
ACCÈS AUX SERVEURS
BUSINESS EMAIL COMPROMISE
ATTAQUE INTÉRIEURE
PROBLÈME DE CONFIGURATION
AUTRE
Source : IBM Security X-Force