Comment gérer la crise en cas d’attaque, un RSSI témoigne

En matière de cyberattaque, la santé est une cible de choix : chaque hôpital devrait se demander non pas s’il va subir une attaque informatique, mais quand il va en être victime. « Entre 2019 et 2022, j’ai eu neuf incidents dont deux assez graves », a introduit Vincent Genot, responsable sécurité des systèmes d’information (RSSI) du groupement hospitalier de territoire Dordogne, qui regroupe 11 établissements publics de santé, lors du congrès de l’APSSIS* de juin 2023.

Le plus grave incident a été l’attaque du centre hospitalier Samuel-Pozzi de Bergerac en novembre 2022 dans la nuit du samedi au dimanche. « J’ai été réveillé à 2 heures du matin par un coup de fil d’un collègue qui était en train de se faire chiffrer une trentaine de serveurs, témoigne avec émotion le RSSI. Arrivés sur place, nous avons dû couper les accès internet. » Après ce coup de chaud, il a fallu attendre le matin pour prévenir tous les prestataires, porter plainte, etc.

Alors que la stratégie des hackers était encore en 2021 de demander une rançon en échange de clefs de déchiffrement, leur comportement a ensuite changé. Désormais, ils exfiltrent tout de suite les données (accès initiaux, identifiants, mails, mots de passe). La difficulté du RSSI étant de savoir s’il y a exfiltration ou pas, il lui faut réfléchir une procédure pour parer aux attaques.

Cartographie des flux

Ainsi, Vincent Genot invite à cartographier les flux informatiques de l’établissement. Une aide conséquente sur ce sujet pour mieux gérer cette crise est apportée par les groupements d’intérêt public (GIP) rattachés à l’hôpital. Dans la reprise de l’activité, la priorité porte sur la gestion des paies, comme l’indique Nicole Genotelle, RSSI au Mipih-SIB qui accompagne les établissements pour la remédiation du SI, à ce même congrès.

En amont, l’hôpital doit constituer, à part du SI, une procédure d’incidents, avec la liste des contacts des fournisseurs à jour et mettre en œuvre des exercices de crise régulièrement. « Votre ennemi principal durant la cybercrise est le temps », a prévenu David Henock, RSSI chez Okantis au congrès de l’APSSIS.

Association pour la sécurité des systèmes d’information de santé, est l’unique organisme dédié à la cyber sécurité des SI et des données de santé.