Les établissements de santé subissent de nombreuses cyberattaques, qui visent à voler des données sensibles ou à perturber les services hospitaliers. La numérisation des dossiers médicaux rend leur protection indispensable à la continuité des soins.
Cyberattaques contre le secteur de la santé
Les données médicales (dossiers patients, résultats d’examens, informations de facturation) sont une cible privilégiée des cybercriminels, car elles se revendent cher en raison de leur caractère sensible. Les rançongiciels (ransomware), qui bloquent l’accès aux systèmes informatiques jusqu’au paiement d’une rançon, peuvent paralyser un hôpital entier et retarder des soins urgents.
En septembre 2020, un rançongiciel a bloqué les systèmes informatiques de l’hôpital universitaire de Düsseldorf, en Allemagne, et contraint à transférer des patients vers d’autres établissements.
En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié en novembre 2024 un rapport sur l’état de la menace dans le secteur de la santé. Entre 2022 et 2023, elle a été informée de 30 attaques par rançongiciel contre des établissements de santé, soit 10 % des incidents de ce type qui lui ont été signalés. La part du secteur de la santé dans l’ensemble des incidents traités par l’ANSSI est passée de 2,87 % en 2020 à 11,4 % en 2023.
Réglementation et outils de protection
En Europe, la directive NIS2, entrée en vigueur en janvier 2023, renforce les obligations de cybersécurité des établissements de santé : gestion des risques, audits et plans de réponse aux incidents. Les États membres devaient la transposer dans leur droit national avant octobre 2024.
Des entreprises technologiques proposent aussi des outils de détection des menaces, comme IBM avec sa plateforme X-Force ou Microsoft avec Microsoft Sentinel (anciennement Azure Sentinel), qui surveille les activités suspectes sur les réseaux.
Intérêt d’une cybersécurité renforcée
La cybersécurité protège d’abord la confidentialité des patients, principe fondamental du droit médical. Le Règlement général sur la protection des données (RGPD), en vigueur depuis 2018, prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. La Commission nationale de l’informatique et des libertés (CNIL) rappelle que les établissements de santé doivent garantir la sécurité des données qu’ils traitent.
Elle garantit aussi la continuité des soins. Lors d’une attaque, l’accès aux dossiers patients ou la gestion des urgences peuvent être interrompus.
Difficultés
Manque de moyens
De nombreux établissements, en particulier dans les pays à faible revenu, n’ont ni le budget ni le personnel qualifié pour mettre en place des systèmes de cybersécurité performants.
Équipements connectés
Les hôpitaux utilisent de nombreux équipements médicaux connectés, comme des scanners ou des moniteurs. Souvent anciens et rarement mis à jour, ils peuvent servir de points d’entrée aux attaquants.
Facteur humain
Les erreurs humaines, comme l’ouverture de courriels frauduleux (hameçonnage), sont une cause fréquente de cyberattaques. La CNIL recommande des formations régulières du personnel hospitalier.
À lire aussi
- Télémédecine avancée
- IA multimodale et diagnostic médical
- Dispositifs connectés
- IA et neurochirurgie robotisée
Sources
- ANSSI : Secteur de la santé : état de la menace informatique, novembre 2024
- Agence du numérique en santé : Tout savoir sur l’état des menaces cyber en santé