CYBERATTAQUE : « NOUS AVONS TOUS UN RÔLE À JOUER »

Les soignants du centre hospitalier (CH) de Dax, dans les Landes, ont eu une drôle de surprise en arrivant au travail le 9 février dernier : les ordinateurs de l’établissement étaient tous inutilisables, bloqués par des pirates informatiques qui demandaient une rançon pour les rendre de nouveau fonctionnels. Une semaine plus tard, c’était au tour du centre hospitalier de Villefranche-sur-Saône de vivre la même situation. Et en décembre 2020, ce sont les CH d’Albertville et de Narbonne qui avaient vu leur activité paralysée de manière simi laire. Il faut donc se rendre à l’évidence : les blouses blanches sont devenues des cibles de choix pour la cybercriminalité.

Plus qu’une simple précaution, la vigilance en la matière devient donc pour elles une obligation déontologique. Car il ne faut pas croire que ce qui se passe dans le cyberespace reste dans le cyberespace : les attaques informatiques ont des conséquences bien concrètes sur la prise en charge des patients. « Nous n’avons accès à aucune base de données des patients, expliquait, quelques jours après l’attaque de son établissement, Aline Gilet-Caubere, directrice adjointe du CH de Dax citée par l’agence APMnews. Les traitements, les historiques ne sont pas accessibles. » Le D^r Benjamin Blanc, président de la Commission médicale de l’établissement (CME), révélait, selon la même source, que la semaine suivant l’attaque, l’hôpital avait été contraint « d’annuler l’ensemble des activités programmées ».

CINQUANTE NUANCES D’ATTAQUES

C’est donc entendu : les soignants doivent désormais faire face à la menace informatique, un peu comme ils font face à la menace que représentent les infections nosocomiales. Il leur faut donc connaître les attaques auxquelles ils sont exposés. Car elles sont de différentes natures. Celles dont on parle le plus, et dont ont été récemment victimes Dax et Villefranche-sur-Saône, sont de type ransomware. « Le principe est de crypter les données, de les rendre illisibles, pour empêcher le fonctionnement de la structure, explique Didier Ambroise, fondateur du cabinet de conseil en e-santé Doshas Consulting. En théorie, les pirates libèrent la clé de cryptage contre le paiement d’une rançon. » Mais le ransomware n’est pas la seule arme des cyberpirates qui s’attaquent aux établissements de santé. « Il y a aussi des attaques par hameçonnage, ajoute Didier Ambroise. Il s’agit alors pour les pirates de se faire passer pour une organisation de confiance, généralement par mail, pour vous inciter à saisir un identifiant, un mot de passe ou des coordonnées bancaires afin de les réutiliser. » Une fois munis d’identifiants leur permettant d’entrer dans le système d’un établissement, il leur est ainsi facile d’en siphonner les données sensibles afin de les revendre au plus offrant ou de faire chanter les victimes du vol.

On peut également citer d’autres types d’attaques, comme celle dont l’Assistance publique-Hôpitaux de Paris (AP-HP) a été victime en mars 2020, au plus fort de la première vague de l’épidémie de coronavirus : l’un de ses services a subi une attaque par déni de service (DDoS), c’est-à-dire qu’il a été assailli de requêtes en grand nombre, ce qui l’a rendu inutilisable.

UNE VIGILANCE DE TOUS LES INSTANTS

Fort heureusement, les établissements ne découvrent pas le sujet de la cybersécurité à la faveur de l’actualité. « Des attaques, nous en subis sons régulièrement, révèle Ivan Paturel, directeur technique des services numériques au CHU de Grenoble-Alpes. Notre rôle est d’éviter que la menace ne se réalise, ce qui passe par deux canaux : des garde-fous techniques que nous mettons en place d’une part, et la sensibilisation des utilisateurs d’autre part, car nous avons tous un rôle à jouer pour la sécurité. »

Pour ce qui est des garde-fous techniques, divers outils sont mis en place. « Il y a une grande diversité d’outils techniques, qui sont en back-office et qui ne se voient donc pas », explique Bruno Lavaire, directeur des services numériques au CHU de Grenoble, et collègue d’Ivan Paturel. L’établissement cite par exemple le filtrage des mails. « Sur les 17 millions d’e-mails reçus en un mois par des destinataires du CHU, nous en retirons 16 millions », indique Ivan Paturel. « Nous travaillons également sur la manière de se préparer au pire, ajoute Bruno Lavaire. Si malgré tous ces outils nous nous trouvons en difficulté, nous devons savoir réagir. »

ENTRE LA CHAISE ET LE CLAVIER

Mais au-delà de la responsabilité des directions informatiques, la vigilance en matière de cybersécurité est aussi un devoir qui incombe à tous les utilisateurs du système informatique de l’hôpital, soignants compris. Car, comme le rappelle Didier Ambroise, reprenant un adage fréquemment cité en informatique, « la faille se situe souvent entre la chaise et le clavier ». En d’autres termes, si le facteur humain n’est pas l’unique maillon faible de la sécurité informatique, il est indubitablement l’un des défauts dans la cuirasse.

La bonne nouvelle, c’est que dans leur devoir de cybervigilance, les soignants n’ont pas à acquérir de nouveaux réflexes ou à maîtriser des procédures inédites et compliquées : il leur suffit d’appliquer les gestes qu’ils appliquent déjà (en théorie) dans leur vie de tous les jours, et qui constituent les principes de l’hygiène numérique sur Internet (lire l’encadré « Les dix commandements de l’Anssi »). Il s’agit donc principalement d’utiliser des mots de passe (ou mieux, des phrases de passe) complexes, de les changer régulièrement, de ne pas se prêter les identifiants entre collègues, de ne pas cliquer sur un lien ou sur une pièce jointe si on n’est pas sûr de sa provenance ou de son innocuité, d’être vigilant lorsqu’on branche un dispositif externe type clé USB, de ne pas utiliser son adresse professionnelle pour des démarches personnelles…

Des règles communes à tous les professionnels, mais auxquelles on peut tout de même ajouter une préconisation spécifique pour les infirmières qui partagent des postes informatiques. « Il est important de s’assurer, quand on les utilise, qu’on est bien sur une session à son nom, et penser à la verrouiller quand on a terminé », précise Ivan Paturel.

UNE QUESTION DE FORMATION

Reste à savoir comment faire entrer dans les mœurs infirmières ces réflexes. Car si Ivan Paturel note que « le niveau de vigilance augmente », et que « de plus en plus d’utilisateurs signalent un message quand ils ont un doute », il semblerait que beaucoup reste encore à faire sur le sujet. « Dans les kits d’accueil des nouveaux collaborateurs, il y a des éléments sur l’usage des outils informatiques, et nous avons aussi une charte de l’informatique, expli que Bruno Lavaire. Mais nous ne nous faisons pas beaucoup d’illusions sur leur impact, et misons plutôt sur des piqûres de rappel régulières et des séances de sensibilisation. »

Plus encore que des piqûres de rappel, les infirmières semblent avoir besoin de véritables formations en matière de cybersécurité. C’est du moins l’opinion de Didier Ambroise : « Le numérique se développe, mais les infirmières ne sont véritablement formées à ces questions ni dans les Ifsi, ni lorsqu’elles entrent dans les services. Je ne vois pour l’instant pas de véritable programme de sensibilisation sur le sujet. »

UNE QUESTION DE BON SENS ?

Il convient cependant, d’après Michèle Appelshaeuser, présidente du Comité d’entente des formations infirmières et cadres (Cefiec), qui fédère les Ifsi du pays, de ne pas caricaturer le manque de formation au numérique des étudiants infirmiers. « Dans le référentiel de formation, il y a une unité qui concerne les technologies de l’information et de la communication, souligne-t-elle. Je pense donc que c’est enseigné dans beaucoup d’Ifsi. Après, je ne peux pas garantir ce que les gens en retiennent. » Et de souligner qu’en matière de numérique, « le cœur de l’enseignement, c’est l’utilisation du dossier patient, la télémédecine, et pas la prévention des cyberattaques, qui est du ressort des informaticiens spécialisés, ou du simple bon sens ».

Reste que, si l’on en croit Didier Ambroise, il y a encore beaucoup à faire pour promouvoir ce bon sens dans les couloirs hospitaliers. Raison pour laquelle Doshas Consulting a récemment créé MediRisk, un « serious game » pour sensibiliser aux risques cyber. Il s’agit d’un jeu de société destiné, pour le moment, aux équipes de direction et aux services informatiques, mais que Didier Ambroise aimerait présenter aux Ifsi. Il travaille également à une version courte pour les services. Soignants, à vous de jouer !