Services de santé  >  Dossiers  >  Les cinq premières étapes pour assurer a minima la sécurité de son SIH

Les cinq premières étapes pour assurer a minima la sécurité de son SIH



À l’heure d’une informatisation exponentielle des systèmes d’information hospitaliers et de la dépendance organisationnelle qu’elle entraîne, les directions d’établissements ont pris conscience de l’importance de la cybersécurité. Et les autorités ont produit un grand nombre de référentiels, voire de directives en la matière. Avec l’aide de trois experts, mind Health a dégagé cinq pratiques prioritaires.

La semaine du 25 mars 2019, l’Agence nationale de la sécurité des systèmes d'information (Anssi) a dû intervenir auprès de deux établissements de santé touchés par une attaque informatique. Philippe Loudenot, fonctionnaire de sécurité des systèmes d'information des ministères sociaux, a partagé ces deux cas à l’occasion du 7e congrès national de la sécurité des systèmes d’information de santé, organisé au Mans du 2 au 4 avril 2019. Un cryptovirus a touché le système d’information (SI) d’un centre hospitalier de 200 lits, rendant les données complètement indisponibles pendant plusieurs jours. “Le virus a même gêné l’ensemble des sauvegardes. Je vous laisse imaginer l’état de désespoir”, a commenté Philippe Loudenot. Ce CH n’avait pas de direction des SI “et encore moins de responsable de la sécurité des systèmes d'information (RSSI)”. La directrice a contacté le Centre opérationnel de réception et de régulation des urgences sanitaires et sociales (Corruss) du ministère de la Santé, déclenchant une intervention de l’Anssi qui lui a fourni un programme déchiffrant les données. Dans le deuxième cas, un centre hospitalo-universitaire (CHU) a subi un virus polymorphique qui s’est propagé à plusieurs services, dont les urgences et la réanimation, rendant indisponible pendant quatre jours le dossier patient informatisé (DPI) et plusieurs services support comme les messageries. Là encore le Corruss a été alerté et l’Anssi est intervenue à distance et sur site. Des opérations et des consultations ont dû être reportées. Les services touchés ont fonctionné en mode dégradé. Par exemple, le service d’urgences a tourné avec deux ordinateurs : l’un pour accéder aux sauvegardes des DPI des patients déjà venus, l’autre pour gérer les entrées et admissions, avant une réintégration manuelle une fois le SI rétabli.

Les pertes se sont avérées essentiellement financières pour ces deux établissements, loin des démonstrations de piratage de pacemakers - all

Il vous reste 3162 mots à lire.
Vous avez déjà un compte ? Identifiez-vous
Les cinq premières étapes pour assurer a minima la sécurité de son SIH