Au-delà de la cybersécurité

Si la protection des systèmes d’information demeure essentielle, elle ne peut garantir une imperméabilité totale face à des adversaires déterminés qui s’appuie sur les nouvelles technologies pour opérer et des vulnérabilités inhérentes à des infrastructures complexes et souvent vieillissantes. À cela, s’ajoute « une situation internationale toujours plus conflictuelle, dont les effets ont des répercussions toujours plus significatives dans le cyberespace. ». Cet état des lieux montre que l’heure n’est plus seulement à ériger des murs pour se protéger, mais à développer une capacité intrinsèque à survivre et à prospérer à tous les niveaux de l’organisation face à l’inévitable : c’est la cyber-résilience.

Selon IBM, la cyber-résilience est la capacité d’une organisation à prévenir, à résister et à se remettre des incidents de cybersécurité. La cyber-résilience est un concept qui rassemble la continuité des activités, la sécurité des systèmes d’information et la résilience organisationnelle. La cyber-résilience propose une approche proactive qui reconnaît l’inévitabilité des incidents et se prépare méthodiquement à y faire face. Il s’agit de développer une agilité institutionnelle et technologique permettant de détecter rapidement les intrusions, de contenir efficacement les attaques, de maintenir les fonctions critiques en dépit des perturbations et de remettre sur pied dans un délai raisonnable un état de fonctionnement dégradé puis normal. Dans un secteur où chaque seconde compte, où la vie des patients dépend de la disponibilité, de l’intégrité et confidentialité des données et des systèmes d’information, cette transition vers une cyber-résilience n’est plus une option, mais un impératif vital.

La cyber-résilience repose sur une approche holistique et itérative, articulée autour de plusieurs piliers interdépendants définis par plusieurs organisations internationales telles que l’Agence de l’Union européenne pour la cybersécurité (ENISA), l’union internationale des télécommunications (UIT) et l’Institut national des normes et de la technologie (NIST) et l’organisation internationale de normalisation (ISO). Cette approche met en évidence l’importance de la préparation et de l’adaptabilité face aux cyberattaques. Bien que les cadres spécifiques varient, ces organisations s’accordent sur les étapes clés suivantes pour atteindre la cyber-résilience :

Ce pilier centré sur la prévention des cyberattaques avant qu’elles ne surviennent, inclut :

• • • • L’identification des actifs critiques, des menaces et des vulnérabilités de l’institution.
      • La protection renforcée et adaptative : bien que la prévention ne soit plus absolue, elle reste essentielle. Il s’agit de mettre en œuvre des mesures de sécurité pour prévenir des cyberattaques. Déployer des solutions de sécurité robustes, à jour, et de former régulièrement les employés à l’hygiène numérique.
      • La détection précoce et contextualisée : il est crucial de détecter les intrusions dès leurs premiers signes. Cela passe par l’installation de systèmes de surveillance sophistiqués, l’analyse comportementale, et l’utilisation de l’IA pour identifier des anomalies subtiles.

L’exploitation d’une faille non détectée peut priver un hôpital du réseau et de ses services critiques qui sont dans le cloud, compromettant ainsi la continuité des soins. Lors d’attaques de rançongiciel, comme celle subie par le Centre hospitalier Stell, les systèmes sont paralysés, les communications coupées, et la sécurité des patients menacée. Le personnel soignant, déjà épuisé, doit alors redoubler d’efforts dans un climat de tension, ralentissant inévitablement la prise en charge. L’objectif du pilier 1 est de renforcer les défenses de l’hôpital avec des technologies avancées pour anticiper les menaces, incluant les attaques zero-day (vulnérabilités non encore découvertes).

Lorsque l’attaque survient, une réponse rapide, coordonnée et efficace est indispensable pour limiter les dégâts :

• • • • Réponse aux incidents efficace et orchestrée : l’hôpital doit mettre en œuvre des plans de réponse aux incidents (PRI), avec des rôles, des responsabilités et des procédures clairs et bien définis. Cela inclut la détection de la menace, son confinement, et son éradication. Les solutions de détection et de réponse des terminaux (EDR) permettent une surveillance continue et une visibilité sur tous les appareils, facilitant ainsi la détection rapide et la réponse structurée.

• • • • Solution de continuité d’activité en mode dégradé : assurer la continuité des fonctions critiques après une cyberattaque est le cœur même de la cyber-résilience. Cela nécessite des stratégies de continuité d’activité (PCA) robustes et éprouvées. Les sauvegardes régulières et sécurisées des données sont fondamentales, mais ne suffisent pas. Il est crucial de disposer de solutions permettant de restaurer rapidement un réseau et de donner accès aux services et serveurs essentiels dans un délai très court. Cela dans un environnement sécurisé et isolé des systèmes d’information potentiellement endommagés. En cas de cyberattaque, il est essentiel de pouvoir fonctionner en mode dégradé, c’est-à-dire de maintenir les opérations critiques avec des capacités réduites, mais suffisantes pour assurer la survie de l’organisation. Les tests réguliers des plans de continuité sont indispensables pour identifier les points faibles et garantir leur efficacité en situation réelle.

• • • • Rétablissement du SI : une fois la menace immédiate contenue et le mode dégradé mis en place, l’objectif prioritaire devient le rétablissement complet et sécurisé de l’environnement opérationnel de l’hôpital. Ce processus, encadré par un plan de reprise d’activité (PRA) bien défini en amont, vise à restaurer l’ensemble du système d’information, en remettant en marche brique après brique chaque élément qui le compose, par niveau de priorité, tout en s’assurant de l’intégrité des données. Il faut également éradiquer toute présence résiduelle de l’attaque pour éviter les rebonds ou la persistance de portes dérobées. Ce travail doit s’appuyer sur des procédures rigoureuses de validation, une surveillance renforcée post-incident, ainsi qu’une évaluation approfondie des failles exploitées. L’usage de cadres de cybersécurité reconnus, comme le NIST ou l’ISO 27001, combiné au KIT PCRA de l’ANSSI et à une collaboration étroite avec les équipes métiers, permet de reconstruire un environnement plus résilient.

Les organisations résilientes exploitent leurs capacités de détection et de confinement pour minimiser l’impact des cyberattaques. Elles ajoutent des solutions de fonctionnement en mode dégradé pour assurer la continuité des opérations le temps de gérer leur crise de cyberattaque et de rétablir ses nombreux services numériques.

Après la crise de cyberattaque, l’objectif est de tirer des enseignements pour renforcer la cybersécurité à l’avenir. Cela implique d’analyser la cause profonde de la violation, de renforcer les mesures de sécurité en fonction des leçons tirées et d’appliquer des correctifs pour empêcher la répétition du même type d’attaque. La cyber-résilience est un processus itératif. Chaque incident, chaque simulation et chaque audit doivent être l’occasion d’apprendre et d’améliorer les stratégies et les processus en place. La mise en place d’une culture du retour d’expérience et l’intégration des leçons apprises dans les plans de prévention, de détection, de réponse et de rétablissement sont essentielles pour renforcer continuellement la sécurité de l’organisation. L’itération de ces processus permet à l’hôpital non seulement de se remettre des cyberattaques, mais aussi de renforcer sa résilience face aux futures menaces. La stratégie de cyber-résilience d’un hôpital doit s’appuyer sur des solutions alternatives, et combattre toute situation de dépendance à une solution unique. Une trop grande centralisation autour d’un seul outil ou service peut ouvrir la voie à des vulnérabilités exploitables par des cybercriminels. L’usage du cloud, bien qu’utile, comporte de réels risques qu’il faut anticiper et maîtriser.

Le secteur de la santé se distingue par un ensemble unique de défis qui le rendent particulièrement vulnérable et dont les conséquences des cyberattaques sont potentiellement catastrophiques. Tout d’abord, la nature hautement sensible des données des patients, protégées par des réglementations strictes telles que le secret médical et le RGPD, en fait une cible de premier choix pour les cybercriminels, que ce soit pour des motivations financières (rançongiciels, revente de données) ou de tentatives de déstabilisation. Ensuite, l’interdépendance complexe des systèmes d’information hospitaliers (allant des dossiers patients informatisés (DPI) aux systèmes d’imagerie médicale (PACS), en passant par les plateformes de gestion administrative et les dispositifs médicaux connectés) crée un réseau de dépendances où une brèche dans un maillon peut paralyser l’ensemble de la chaîne de soins.

Dans la même catégorie, un autre défi auquel fait face le secteur de la santé réside dans le retard technologique accumulé par de nombreux établissements de santé. Ce secteur est souvent confronté à des contraintes budgétaires et à la complexité de la mise à niveau des systèmes existants. Le rapport 2025 de la Cour des comptes, souligne la « vulnérabilité des systèmes d’information », jugés fragiles, trop complexes et vétustes, s’ajoutant à cela le fait que 20 % d’équipements des établissements de santé sont obsolètes. Cette situation, qui les rend vulnérables, découle essentiellement d’un « sous-investissement chronique dans le numérique ». Cela conduit de nombreux RSSI à concentrer leurs efforts et leurs ressources sur la phase de protection (pilier 1 de la cyber-résilience dans la Figure 1), avec des investissements dans des pare-feu, des antivirus et des systèmes de détection d’intrusion.

Une part significative des budgets de cybersécurité des hôpitaux est donc allouée à la prévention, laissant des ressources limitées pour la planification et la mise en œuvre des phases de crise et de post-crise (piliers 2 et 3 de la cyber-résilience dans la Figure 1). Cette focalisation sur la protection néglige le fait que dans un environnement de menace aussi évolutif, l’échec de la protection est une éventualité à laquelle il faut se préparer activement. Les conséquences de cette négligence peuvent être dramatiques : Interruption prolongée des services, pertes financières considérables, atteintes à la réputation et plus grave encore, mise en danger direct de la vie des patients. Malgré tout, le budget et les efforts fournis pour le pilier 1, les chiffres parlent d’eux-mêmes : les attaques réussissent.

L’adoption de solutions cloud dans le secteur de la santé offre de nombreux avantages en termes de flexibilité, d’évolutivité et potentiellement de coûts. Cependant, une dépendance accrue au cloud introduit un nombre non négligeable de nouveaux risques. Cela peut compromettre la résilience des infrastructures des hôpitaux en cas de cyberattaque.

En effet, les hôpitaux peuvent perdre l’accès aux réseaux et services de leur fournisseur de service ou d’applications critiques en cas de cyberattaque ciblant le fournisseur. Une telle attaque pourrait paralyser simultanément plusieurs établissements de santé qui dépendent de ce fournisseur. Par exemple, le 29 février 2024, Change Heathcare (un fournisseur de services technologiques et administratifs majeur du secteur de santé aux Etats-Unis) confirme avoir été victime d’un rançongiciel par le groupe ALPHV/BlackCat. L’attaque a entraîné une interruption massive des services de ce fournisseur pendant plusieurs jours voire des semaines pour certaines fonctionnalités. Cette interruption a eu des répercussions considérables sur l’ensemble du système de santé américain : impossibilité de vérifier l’assurance des patients, une difficulté de traitement des patients, interruption dans la délivrance des prescriptions et un impact sur la continuité des soins.  Une rançon de 22 millions de dollars a dû être payée et 190 millions d’informations personnelles de santé ont été dérobées. 

Pour réduire la dépendance à un seul fournisseur, les hôpitaux optent pour des solutions multicloud. Une solution qui permet de répartir les données et services critiques entre plusieurs fournisseurs. Les données sont ainsi redondantes, disponibles et accessibles à travers des sources diversifiées. Cependant, la gestion de la sécurité dans un environnement multicloud introduit une complexité supplémentaire à l’infrastructure dans un environnement hospitalier déjà complexe. La coexistence de différents environnements cloud, chacun avec ses propres configurations, ses outils de sécurité et ses spécificités techniques, multiplie les surfaces d’attaque potentielles et accroît le risque d’erreurs humaines. Dans un tel environnement, une erreur de configuration peut créer des vulnérabilités supplémentaires, exploitables par les cybercriminels.

De plus, un point de fragilité supplémentaire réside dans l’architecture d’authentification, souvent centralisée même dans des environnements multicloud. Répartir ces services et données sur plusieurs clouds ne réduit pas les risques si le point d’accès à ces services est centralisé (souvent via un serveur d’authentification unique (SSO)). Au contraire, bien que pratique pour la gestion des accès et le travail des professionnels de santé, un serveur d’authentification unique devient un maillon faible critique. Si ce dernier est compromis lors d’une cyberattaque, l’accès à l’ensemble des services numériques hébergés sur les différents clouds peut être simultanément perdu. La dépendance à ce point centralisée expose l’ensemble du système d’information à une paralysie potentielle.

Enfin, la responsabilité en cas d’incident dans le cloud est partagée entre le fournisseur de services et l’établissement de santé. Cette répartition, bien que logique, peut s’avérer source de confusion et de retards critiques en situation de crise. Par exemple, lors d’une attaque de rançongiciel ciblant des données de santé stockées dans le cloud, la responsabilité de la détection et de la réponse initiale peut être de la responsabilité du fournisseur, tandis que la restauration des données et la notification aux autorités compétentes relèvent de l’hôpital. Un manque de clarté dans les rôles et les procédures peut ainsi mettre à mal une reprise d’activité rapide et efficace.

Les systèmes d’information des établissements de santé restent vulnérables, et nous n’avons énuméré ici que quelques exemples de vulnérabilités liées au cloud. Il est donc indispensable de prévoir une solution de repli. Si de nombreuses personnes pensent qu’il s’agit de retourner au papier et au crayon pendant 72 heures et souvent bien au-delà, d’autres solutions sont possibles.

Face aux limites des approches traditionnelles et aux risques inhérents à une dépendance aux infrastructures centralisées, Green Communications avec l’Internet des Edges (IoE) offre la solution parfaite pour la cyber-résilience des établissements de santé : des plateformes Edge pour la continuité et la reprise d’activité en cas de sinistres. Lorsqu’une infrastructure numérique est rendue inopérante par une catastrophe naturelle, une attaque terroriste, un adversaire, un virus ou un rançongiciel, aucun service numérique ne peut alors fonctionner. Grâce à des plateformes très légères qui intègrent de nombreux services, l’IoE vous propose une infrastructure numérique dotée d’un panel de services essentiels pour continuer à communiquer, collaborer et évoluer avec les mêmes habitudes et réflexes qu’en temps normal. La solution IoE est l’Arche de Noé numérique. Lorsque tout est foudroyé par une attaque physique ou une cybernétique, l’IoE vous permet de créer une infrastructure numérique parallèle, physiquement isolée du système d’information principal de l’hôpital, avec des services numériques essentiels pour la continuité de vos activités en mode dégradé.

En cas de cyberattaque ou de sinistre paralysant le système d’information principal, il suffit de mettre sous tension un ensemble de boîtiers portatifs (d’environ 300 g) pour qu’ils communiquent entre eux et créer un réseau. Le nombre de boîtiers dépend de la taille du lieu à couvrir avec cette infrastructure. Une fois le réseau créé, l’utilisateur peut s’y connecter et avoir accès au portail de services critiques hébergés localement et accessibles sans accès à Internet.

En termes d’expérience utilisateur, l’infrastructure de cyber-résilience offre des interfaces très simples d’utilisation, similaires à celles que les personnes utilisent au quotidien sur leurs ordinateurs, tablettes ou téléphones. Le parcours utilisateur se déroule en plusieurs étapes :

1. 1. 1. 1. Prendre son terminal numérique (téléphone, tablette ou ordinateur) et se connecter au Wi-Fi de l’infrastructure numérique. Cela peut se faire en utilisant un QR code ou en renseignant des identifiants sur le clavier.
         2. Ouvrir un navigateur (Chrome, Edge, Safari, Firefox, etc.) et entrer l’adresse du portail local. Cela peut également se faire en utilisant un QR code ou en renseignant l’adresse dans le champ URL du navigateur.
         3. Accepter le certificat de votre infrastructure s’il n’est pas déjà installé sur votre appareil.
         4. La figure 1 montre la page web du portail local avec l’ensemble des services offerts par l’infrastructure de cyber-résilience.

Cet espace numérique propose par défaut un ensemble de services :

• • • • Une application de visualisation de la plateforme qui permet de voir le lieu couvert, la localisation des machines le couvrant et leur interaction, ainsi que tous les utilisateurs connectés et bien d’autres informations.
      • Une messagerie instantanée (chat) qui permet de créer des salons de conversation entre tous les clients connectés à l’infrastructure.
      • Un service de voix qui permet de créer des salons de conversation audio. Il peut également fonctionner en mode Push-to-talk (talkie-walkie).
      • Un système de partage de fichiers pour échanger des fichiers entre les participants connectés à l’infrastructure ou créer et modifier des répertoires. Ce système est codé sous la forme de blockchain, où toute opération effectuée est enregistrée et répertoriée dans l’ensemble des boîtiers formant l’infrastructure numérique.
      • Un ensemble d’outils destinés à l’administrateur de l’infrastructure pour tester les performances de l’infrastructure, réaliser des logs, modifier la configuration, effectuer des mises à jour, la connecter à d’autres réseaux, changer les mots de passe, configurer le DHCP, le DNS, etc.
      • Un outil de création d’une PKI (Public Key Infrastructure) pour générer les certificats pour personnaliser les routeurs de l’infrastructure.
      • Un serveur web embarqué pour que les services cités ci-dessus soient facilement accessibles en tant qu’applications web, sans qu’il soit nécessaire de télécharger des applications sur un poste client.

L’infrastructure a la possibilité d’intégrer des services supplémentaires nécessaires au lieu où elle est installée (par exemple, des back-ups de secours). Ces services sont installés sur des machines qui se connectent à l’infrastructure afin que les clients puissent y accéder. Un outil de configuration très simple, sous forme de page web, permet en quelques clics d’offrir un bail statique (adresse IP) et un nom de domaine, afin que l’utilisation du service soit la plus simple possible pour les clients connectés à l’infrastructure.

Cette infrastructure va permettre dans un premier temps de communiquer au personnel soignant la situation actuelle, les mesures qui vont être mises en place, et de structurer le travail en mode dégradé ainsi que toutes les actions prévues dans le PCRA. En parallèle, communiquer aux autorités compétentes la cyberattaque. Cette capacité à rétablir en quelques minutes une infrastructure numérique avec des services de communication interne et externe dans les premières minutes d’une attaque est cruciale pour permettre de réduire considérablement le stress et le chaos qu’il peut y avoir dans ce genre de situation. C’est un facteur souvent négligé, pourtant majeur dans l’efficacité de la gestion de crise de l’hôpital. Cette infrastructure de repli facilite le déploiement du PCRA dans un environnement moins chaotique tout en réduisant le temps de chômage technique du personnel médical qui peut continuer de prodiguer les soins en mode dégradé. Cette solution peut être mutualisée au niveau des GRADeS pour les hôpitaux dans leur région.

L’approche actuelle en matière de cybersécurité ne suffit plus à assurer la continuité des soins face à la fréquence croissante des cyberattaques. Il faut opérer un changement de paradigme profond : une approche qui s’assure qu’en cas de défaillance du système centralisé (cloud) le décentralisé (infrastructure locale) prenne le relais. Il ne s’agit plus de se limiter aux périmètres de protection dont nous connaissons les vulnérabilités, mais de mettre en place une stratégie globale de cyber-résilience capable de permettre aux hôpitaux de continuer à opérer quel que soit le sinistre. La solution de continuité et de reprise d’activité que nous présentons incarne ce changement de paradigme. En offrant une infrastructure numérique parallèle, physiquement isolée et rapidement déployable, elle permet aux hôpitaux de retrouver une autonomie opérationnelle en mode dégradé, même en situation de crise majeure. Cette capacité, à rétablir rapidement la communication interne et à accéder aux données et services critiques est essentielle pour gérer efficacement la crise et assurer la continuité des soins.

Le cloud et les services numériques ont radicalement transformé la manière dont les soins de santé sont dispensés, cependant cette évolution a également augmenté la vulnérabilité des établissements de santé face aux cyberattaques. Aujourd’hui, ces institutions reposent sur la disponibilité et l’accessibilité continues de ce réseau et de ces services pour assurer la prise en charge des patients. Cette dépendance les expose à des risques majeurs, car les données et applications critiques sont centralisées dans de grands centres de données, accessibles via Internet. Parallèlement, les attaques cybernétiques, de plus en plus sophistiquées ciblent ce secteur. L’approche actuelle en matière de cybersécurité, bien qu’indispensables, ne suffisent plus à garantir la continuité des soins en cas d’attaque d’envergure. La cyber-résilience, et notamment la capacité de continuité et de reprise d’activité en toute autonomie, est stratégique pour les établissements de santé. Disposer de solutions de reprise adaptées est essentiel pour assurer la sécurité des patients, la pérennité des opérations et préserver la réputation des établissements de santé.

Le cloud et les services numériques ont radicalement transformé la manière dont les soins de santé sont dispensés. Cependant cette évolution a également augmenté la vulnérabilité des établissements de santé face aux cyberattaques. Aujourd’hui, ces institutions reposent sur la disponibilité et l’accessibilité continues de ce réseau et de ces services pour assurer la prise en charge des patients. Cette dépendance les expose à des risques majeurs, car les données et applications critiques sont centralisées dans de grands centres de données, accessibles via Internet. Parallèlement, les attaques cybernétiques, de plus en plus sophistiquées ciblent ce secteur. L’approche actuelle en matière de cybersécurité, bien qu’indispensable, ne suffit plus à garantir la continuité des soins en cas d’attaque d’envergure. La cyber-résilience et notamment la capacité de continuité et de reprise d’activité en toute autonomie est stratégique pour les établissements de santé. Disposer de solutions de reprise adaptées est essentiel pour assurer la sécurité des patients, la pérennité des opérations et préserver la réputation des établissements de santé.

NIST SP 1308 Initial Public Draft, NIST Cybersecurity Framework 2.0: Cybersecurity, Enterprise Risk Management, and Workforce Management Quick Start Guide, NIST, 2025

Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, NIST, 2025

Plan stratégique 2025-2027 de l’ANSSI – Au cœur d’un collectif pour un Nation cyber-résiliente, ANSSI, 2025

Best Practices for Cyber Crisis Management, Enisa, 2024

La sécurité informatique des établissements de santé, Cours des comptes, 2024

Secteur de la santé état de la menace informatique (CERTFR-2024-CTI-010), ANSI, 2024

Le Cadre de Cybersécurité du NIST (CSF) 2.0, NIST, 2024

Change Healthcare victime d’une intrusion via un portail Citrix sans MFA, LeMagIT, 2024

ISO – How tech giants are building cyber resilience, ISO, 202

The Cyber Resilience Index: Advancing Organizational Cyber Resilience WHITE PAPE, WEF in collaboration with Accenture, 2022

Cloud Security for Healthcare Services, Enisa, 2021

Qu’est-ce que la cyber-résilience ? | IBM