Cybersécurité : le gouvernement met 20 millions d'euros sur la table pour les hôpitaux

Face à la multiplication des cyberattaques contre les hôpitaux, le gouvernement a promis vendredi de renforcer les moyens financiers mis à la disposition des établissements de santé pour renforcer leur sécurité informatique.

« La santé des Français ne sera pas prise en otage », a martelé le ministre de la Santé et de la Prévention, François Braun , en visite à l'hôpital de Corbeil-Essonnes dont le système informatique est mis hors service depuis une semaine par un rançongiciel.

Le gouvernement promet de mettre sur la table 20 millions d'euros supplémentaires pour compléter un plan de sécurisation des établissements « d'importance vitale » déployé depuis le début d'année 2021.

Doubler le nombre de bénéficiaires

Cela permettra de « quasiment doubler le nombre d'établissements de santé qui bénéficieront de ce parcours de sécurisation », a déclaré Jean-Noël Barrot , le ministre délégué de la Transition numérique, également présent à Corbeil-Essonnes vendredi.

« Toute aide financière est bonne à prendre face à la menace mais il est tout aussi important d'inscrire ces financements dans la durée, dans les budgets de fonctionnement des établissements de santé », réagit David Buhan, directeur général d'Advens, une société de services en cybersécurité.

Jusqu'à aujourd'hui, le plan de sécurisation des hôpitaux était doté de 18 millions d'euros issus du plan de relance. Quelque 130 hôpitaux avaient commencé les démarches avec l'Agence nationale de sécurité des systèmes d'information (Anssi).

Ironie de l'histoire, l'hôpital de Corbeil-Essonnes, baptisé Centre hospitalier sud francilien (CHSF) venait de terminer, dans ce cadre, un diagnostic de sécurité et s'apprêtait à passer aux travaux pratiques au mois de septembre.

Retour au papier et au stylo

Le Ségur de la Santé en 2021 prévoyait aussi une enveloppe pour la sécurité des systèmes d'information. Interrogé par « Les Echos », le ministère de la Santé ne précise pas le montant des dépenses déjà engagées ni l'articulation avec le plan de relance.

Près d'une semaine après le début de l'attaque, le CHSF fonctionne toujours en mode dégradé, sans accès à Internet et aux logiciels médicaux. Dans les étages, les 3.700 agents travaillent avec papier et stylo et sans certains équipements médicaux. Ils doivent repenser leurs protocoles.

Avec l'Anssi, plusieurs prestataires privés travaillent nuit et jour pour redonner leurs outils de travail au personnel. Le retour à la normale devrait toutefois prendre beaucoup de temps. « Nous savons que cette situation perdurera de longs mois vraisemblablement », a reconnu Gilles Calmes, le directeur du centre hospitalier.

Un petit nombre de patients particulièrement fragiles, dont 13 nourrissons, ont été transférés vers d'autres établissements pour prévenir tout problème de sécurité. Cependant, 500 patients restent pris en charge sur place. Les consultations et les soins programmés restent assurés, assure l'Agence régionale de santé d'Ile-de-France.

Une centaine de cyberattaques en 2021

Les attaques contre les hôpitaux français « sont malheureusement fréquentes », a souligné le ministre de la Santé. Après le CHU de Rouen en 2019, les hôpitaux de Paris ont été touchés à plusieurs reprises, suivi entre autres par les établissements de Dax et d'Oloron-Sainte-Marie.

En 2021, 733 incidents de sécurité dont environ une centaine d'attaques informatiques ont été répertoriées dans 582 hôpitaux. Le gouvernement note un recul du nombre d'attaques au premier semestre. Cependant, les experts s'accordent à dire que la menace reste à un niveau très élevé. « Il faudrait que les cybercriminels comprennent que les hôpitaux français ne paient jamais les rançons qu'ils exigent », s'agace Vincent Trelly, le président de l'Association pour la sécurité des systèmes d'information de santé (Apssis). Vendredi, les ministres ont encore martelé ce principe.

Les experts pointent souvent du doigt un parc informatique vieillissant à l'hôpital - même si ce constat ne s'applique pas à l'hôpital de Corbeil-Essonnes qui date de 2012. Les budgets informatiques s'avèrent souvent limités. Le plus gros problème, aux dires des spécialistes, est humain : difficile pour les hôpitaux de recruter suffisamment d'experts en cybersécurité en pleine guerre des talents sur ce marché. Ceux-ci s'avèrent pourtant indispensables à la bonne utilisation des logiciels de sécurité.