Cybersécurité dans les systèmes d’information hospitaliers

En effet, ces systèmes sont au cœur des opérations médicales, et leur moindre défaillance peut mettre des vies en danger. À l’occasion de la journée régionale Cybersécurité, organisée le 28 novembre dernier à Aix-en-Provence par la Cellule d’Appui à la Protection des Systèmes d’Information (CAPSI) du GRADeS ieSS, des initiatives prometteuses ont été présentées pour répondre à ces défis.

Parmi elles, le projet "Cleanroom", porté par le GHT 84 avec le soutien de l’ARS PACA et du GRADeS ieSS, a suscité une attention particulière. Première pierre d’un dispositif de résilience à l’échelle du territoire, cette initiative offre un exemple concret des efforts déployés pour protéger les SIH.

Mais pourquoi la cybersécurité reste-t-elle un enjeu si complexe ? Bien que l’erreur humaine soit souvent citée comme une faille majeure, deux axes essentiels se dégagent pour renforcer la sécurité : la sensibilisation des utilisateurs et la résilience des systèmes. Ces deux piliers sont complémentaires, mais la résilience, particulièrement dans les SIH où chaque seconde compte, mérite une attention prioritaire.

La résilience : un défi stratégique et collectif

Dans le contexte hospitalier, la résilience peut se définir simplement : permettre un redémarrage opérationnel rapide, idéalement en moins de deux heures, en cas de sinistre majeur. Cette ambition audacieuse repose sur trois piliers indissociables :

• La volonté politique des tutelles
• La mobilisation des établissements de santé
• L’engagement des industriels

1. La volonté politique : un cap clair déjà fixé

Les politiques publiques ont, ces dernières années, clairement identifié la cybersécurité comme une priorité. Des plans nationaux, des incitations financières et des directives spécifiques pour les GHT donnent aux établissements un cadre stratégique indispensable. Cependant, ce soutien ne suffit pas à lui seul : la volonté politique sans exécution locale reste un tigre de papier. C’est au niveau des établissements que les mesures doivent se concrétiser.

2. La mobilisation des établissements : le nerf de la guerre

Si la volonté d’agir est bien présente, deux obstacles majeurs freinent les établissements :

• Le manque de compétences disponibles
  Les équipes en charge des systèmes d’information hospitaliers sont souvent sursollicitées et insuffisamment formées pour répondre aux défis complexes de la résilience.
• Le temps
  Construire une résilience efficace exige une préparation minutieuse, qui s’étend souvent sur plusieurs mois, voire années. Cela inclut une cartographie précise des systèmes, l’identification des faiblesses et la mise en œuvre d’une stratégie sur mesure.

3. L’engagement des industriels : partenaires ou observateurs ?

Les industriels de la santé numérique jouent un rôle clé dans le développement de solutions robustes et innovantes. Cependant, leur engagement demande des investissements importants, souvent sans garantie immédiate de retour sur investissement. Pour réussir, il faudra clarifier les attentes et encourager des collaborations à long terme entre établissements et industriels.

Résilience : une affaire d’organisation autant que de technologie

Trop souvent, la cybersécurité est abordée comme un problème purement technologique. Or, la résilience est avant tout une question d’organisation. Elle repose sur une structure réfléchie, des processus bien définis, et des tests réguliers pour valider leur efficacité.

Voici les étapes essentielles pour construire une résilience solide dans les SIH :

1. Connaître son système d’information sur le bout des doigts
   Une cartographie détaillée et une évaluation réaliste des forces et faiblesses sont indispensables.
2. Construire une stratégie sur mesure
   Chaque établissement a ses spécificités : flux critiques, dépendances externes, contraintes organisationnelles. Une stratégie uniforme serait inefficace.
3. Tester en conditions réelles
   Les simulations de panne ou d’attaque permettent de vérifier l’efficacité des protocoles, tout en familiarisant les équipes avec les procédures.

Dépasser les silos organisationnels : une affaire de tous

Le principal ennemi des projets de résilience est le cloisonnement organisationnel. Combien de fois des initiatives sont-elles restées confinées aux équipes informatiques, sans réelle implication des autres parties prenantes ? Pourtant, un SIH ne se limite pas à un ensemble de serveurs et d’applications : il relie médecins, soignants, administratifs et patients.

Pour réussir, un projet de résilience doit :

• Impliquer la direction générale dès le départ, car la résilience est un enjeu stratégique, pas uniquement technique.
• Associer le corps médical et soignant pour aligner les protocoles de reprise sur leurs besoins opérationnels.
• Promouvoir une culture commune de la cybersécurité, où chacun connaît son rôle et ses responsabilités.

Entre formation et résilience : un équilibre essentiel

Opposer la formation des utilisateurs à la mise en place d’une stratégie de résilience serait une erreur. Ces deux axes sont complémentaires.

• La formation crée une première ligne de défense, réduisant les risques d’erreurs humaines.
• La résilience garantit que, même en cas de faille, les impacts seront limités et maîtrisés.

En clair, il faut adopter une approche intégrée mêlant prévention et réaction rapide.

Viser l’excellence dans l’imperfection

La sécurité parfaite n’existe pas, mais la résilience est à notre portée. Construire des SIH résilients exige des investissements en temps, en compétences et en technologies, mais aussi une transformation culturelle au sein des établissements.

Le véritable enjeu est d’accepter nos failles, de travailler collectivement à les combler, et de démontrer que la cybersécurité n’est pas qu’une affaire de peur, mais bien une question de confiance. Et si, demain, nous étions capables de redémarrer un SIH en deux heures ? Ce serait la preuve que l’excellence est atteignable, même dans l’imperfection.