Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !
Établissements de santé : +20 % d'incidents de cybersécurité en 2019Crédits : GuidoVrola/iStock/ThinkStock

Dans son rapport annuel, qui vient d'être rendu public, l'Observatoire des signalements d’incidents de sécurité des systèmes d’information pour le secteur santé relève qu'en 2019, 300 établissements ont déclaré 392 incidents, soit une augmentation de 20 % par rapport à 2018, qui avait dénombré 247 structures ayant déploré 327 incidents. 

Un total qualifié d'« encore faible au regard du nombre de structures concernées par l’obligation de déclaration (plus de 3000) et la probabilité qu’au moins la moitié des structures concernées a dû faire face à un incident ayant impacté son fonctionnement normal au cours de l’année ». 

Au demeurant, 55 structures ont déclaré plus de 2 incidents, 7 plus de 4. Avec respectivement 57 et 49 signalements, l'Occitanie et la région Auvergne-Rhône-Alpes représentent à elles seules plus de 28 % du total.

L'Observatoire constate par ailleurs que le nombre d’incidents d’origine malveillante est en légère augmentation (43 %) par rapport à 2018 (41 %), avec comme principaux vecteurs de déclenchement les messages électroniques et logiciels malveillants. 

Il souligne en revanche une croissance significative des attaques par rançongiciels (+40 %), « qui n’est cela dit pas spécifique au secteur santé mais concerne l’ensemble des secteurs d’activité ». 

Parmi les 66 mises en danger potentielles en 2019 (19%), 5 incidents ont entrainé une « mise en danger patient avérée » : prescription incomplète ou erronée (3 cas, dont une patiente qui n'a pas reçu la totalité de son traitement personnel pendant 10 jours, entraînant une détresse respiratoire grave), surdosage d’insuline et surdosage de traitement anticoagulant. 

Ces conséquences sur la prise en charge des patients sont dues à des : 

  • bugs sur des logiciels de prescription et d’aide à la dispensation impactant l’intégrité des prescriptions et des dispensations ;
  • bugs sur des logiciels de dossier patient informatisé ; 
  • dysfonctionnements de l’infrastructure locale.

Le phishing constitue le vecteur d’attaque privilégié pour déployer un code malveillant sur un système ciblé. L’Observatoire déplore à ce titre que « le manque de vigilance ou la négligence est souvent à l’origine de la compromission : réponses à des messages électroniques malveillants ou accès à des sites web malveillants ».

Les attaquants ont également exploité deux autres types de vulnérabilité pour déployer leurs rançongiciels : 

  • des failles de sécurité (OS, logiciels, progiciels ou matériels non patchés) ; 
  • l’accès à distance à des systèmes Windows avec des mots de passe peu complexes.

L’incident était déjà résolu par la structure lors de sa déclaration dans la moitié des signalements, que ce soit en 2018 ou 2019. En revanche, si dans 15 % des cas l’origine de l’incident n’avait pas encore été identifiée (en cours d’investigation) en 2018, ce chiffre s’élève à 21% pour l’année 2019. 

L'Observatoire déplore qu'« après avoir restauré les systèmes et les données impactées, une majorité des structures de santé n’a ni le temps, ni l’expertise ou les moyens financiers pour rechercher méthodiquement la porte d’entrée utilisée par l’attaquant ».

En outre, 8 structures n’ont pas donné de suite à leur déclaration malgré une demande de compléments d’information ou une proposition d’appui. 

A contrario, 70 demandes d’accompagnements ont été formulées auprès de la cellule cybersécurité en santé, dédiée à l’appui des structures au sein de l’Agence du numérique en santé, contre 47 en 2018.

Mis en place depuis le 1er octobre 2017 par le ministère des solidarités et de la santé, rappelle l’Observatoire, le dispositif de traitement des signalements constitue le premier maillon de la cybersécurité du secteur, en contribuant à repérer les attaques avant qu’elles ne se répandent et à renforcer ainsi la capacité de réponse collective.

Le dispositif de prévention et d’alerte ministériel s’articule autour du portail cyberveille-sante.gouv.fr, conçu pour informer sur les menaces numériques qui pèsent sur le secteur, donner aux acteurs les clés pour y faire face, et partager les pratiques au sein d’un espace sécurisé. 

8 commentaires
Avatar de Norde Abonné
Avatar de NordeNorde- 13/07/20 à 10:27:25

Au secours Microsoft :troll:

Plus sérieusement je trouve le bilan relativement positif compte tenu des moyens disponibles.
 
Quand je vois que l’hôpital avec qui on travaille envie notre service d'Université et quand je vois la catastrophe qu'est le service info de l'Univ (manque criant de moyens, responsable notoirement incompétent mais sauvé par le copinage) je me dit que ça pourrait être bien pire...

Avatar de swiper Abonné
Avatar de swiperswiper- 13/07/20 à 20:46:08

Difficile de comprendre que le budget des hôpitaux dédiés à l'infra ou à la sensibilisation à la cyber-sécurité ne soit pas plus existant. Les données de santé sont critiques à plus d'un titre. Espérons que l'épidémie ait fait se réveiller les politiques quant à la possibilité d'une attaque massive durant un épisode semblable.

Avatar de Nerg34 Abonné
Avatar de Nerg34Nerg34- 14/07/20 à 13:25:50

Quand il n'y a déjà pas le budget nécessaire pour renouveler le matériel chirurgical nécessaire aux interventions, tu comprendras aisément que le service informatique n'est pas la priorité.

Avatar de ungars INpactien
Avatar de ungarsungars- 14/07/20 à 14:07:01

Tant qu'il n'y aura pas cent morts liés à cette cyber-guerre, rien ne sera fait. Comme pour les masques : "Nous sommes prêts !'. On a vu : "près", mais de la catastrophe sanitaire, oui. Et si cela devait repartir ?
Franchement, certaines personnes ne tirent aucune leçon du passé, même récent : elles nous condamnent à le revivre !

Avatar de ungars INpactien
Avatar de ungarsungars- 14/07/20 à 14:07:11

Tant qu'il n'y aura pas cent morts liés à cette cyber-guerre, rien ne sera fait. Comme pour les masques : "Nous sommes prêts !'. On a vu : "près", mais de la catastrophe sanitaire, oui. Et si cela devait repartir ?
Franchement, certaines personnes ne tirent aucune leçon du passé, même récent : elles nous condamnent à le revivre !

Avatar de ungars INpactien
Avatar de ungarsungars- 14/07/20 à 14:07:33

Tant qu'il n'y aura pas cent morts liés à cette cyber-guerre, rien ne sera fait. Comme pour les masques : "Nous sommes prêts !'. On a vu : "près", mais de la catastrophe sanitaire, oui. Et si cela devait repartir ?
Franchement, certaines personnes ne tirent aucune leçon du passé, même récent : elles nous condamnent à le revivre !

Avatar de BlueSquirrel Abonné
Avatar de BlueSquirrelBlueSquirrel- 14/07/20 à 17:25:28

Tiens ça me rappelle un reportage en hosto durant la première vague de covid 19. Un docteur était interviewé, derrière lui on pouvait voir son poste de travail : vu la barre des tâches c'était Windows XP...

Pour rappel XP ne reçoit plus de mises à jour de sécurité depuis 2014.

J'ai aussi vu des praticiens sous Windows 7... (plus de mises à jour depuis cette année)

Avatar de BlueSquirrel Abonné
Avatar de BlueSquirrelBlueSquirrel- 14/07/20 à 17:27:52

Tu parles, il n'y avait déjà pas le fric pour les dépenses "certaines" (lits, masques, personnel, appareils respiratoires...), donc investir dans un secteur "hypothétique" (dans le sens où il n'est pas certain que quelque chose se passe) comme la sécurité informatique, c'est pas demain la veille.

Il n'est plus possible de commenter cette actualité.