Santé : les structures de santé ont connu 478 cyber-incidents en moins de deux ans

Depuis la mise en place d’un nouveau dispositif de signalement, en octobre 2017, 478 incidents ont été déclarés par les structures de santé, a rapporté l’Agence des systèmes d’information partagés de santé (Asip santé) le 22 mai, à l’occasion de la Paris Healthcare Week.

 

L’Asip a présenté un point d’étape de l’activité de la cellule d’accompagnement cybersécurité des structures de santé (ACSS), mise en place en octobre 2017 sous la responsabilité du fonctionnaire en charge de la sécurité des systèmes d’information (FSSI) du ministère, Philippe Loudenot. 

Pour rappel, depuis le 1er octobre 2017, les structures de santé sont tenues de relayer aux agences régionales de santé (ARS) les incidents de sécurité informatique jugés “graves” et “significatifs”. L’Asip santé a été chargée d’apporter un appui au traitement des incidents, au travers de la cellule ACSS, et en lien avec les ARS. 

Les incidents graves de sécurité des SI sont: les événements générateurs d’une situation exceptionnelle, dont ceux ayant des conséquences potentielles ou avérées sur la sécurité des soins, des conséquences sur la confidentialité ou l’intégrité des données de santé et les incidents portant atteinte au fonctionnement normal de l’établissement, de l’organisme ou du service, rappelle-t-on. 

Nommée déléguée ministérielle du numérique en santé le 25 avril, Laura Létourneau a rappelé que parmi les priorités établies par la ministre des solidarités et de la santé, Agnès Buzyn, le renforcement de la sécurité opérationnelle des systèmes d’informations (SI) en santé figurait en tête. 

Ce renforcement des SI doit permettre de “garantir la confiance dans la e-santé” et pour cela, la ministre a notamment prévu “d’étendre le dispositif de déclaration des incidents de sécurité à l’ensemble des acteurs de santé et de mettre en place un service national de cybersurveillance en santé, d’ici 2020″. 

Ce contrôle renforcé sera assuré par la délégation ministérielle du numérique en santé (DNS) et l’Agence du numérique en santé (ANS) prévue, elle, en remplacement de l’Asip santé, rappelle-t-on. 

Ainsi, depuis le 1er octobre 2017, 478 incidents ont été déclarés par les structures de santé sur le portail de signalements, soit une moyenne de “27 signalements par mois”, a souligné l’Asip. 

“Le chiffre est faible et je pense malheureusement qu’il y a encore des victimes de cyberattaques qui préfèrent mettre la poussière sous le tapis. Se faire pirater peut arriver à tout le monde, il faut le déclarer et il serait ridicule de stigmatiser un établissement de santé ou un professionnel”, a commenté Philippe Loudenot. 

“Il ne faut jamais avoir honte d’avoir été piraté. Dans un cercle de confiance, cela crée de la valeur et permet de gagner en maturité et en sécurité”, a-t-il ajouté. 

Cinq cas de “mise en danger avérée du patient”

Dans 45% des cas de piratages, leurs auteurs profitent “d’un bug applicatif ou passent par un message électronique malveillant ou un logiciel malveillant de cryptovirus”, a précisé l’Asip. 

Dans le détail, 88% des déclarations d’incidents proviennent des établissements de santé, 6% d’autres structures de type Ehpad (établissements d’hébergement pour personnes âgées dépendantes), 4% des laboratoires de biologie médicale et 2% des centres de radiothérapie. 

Dans la plupart des cas (46%), les problèmes informatiques ont conduit la structure à mettre en place un fonctionnement dégradé du système de prise en charge des patients. 

Sur les 12% de cas ayant présenté une mise en danger potentielle des patients, cinq ont entraîné une “mise en danger patient avérée”, a précisé l’Asip santé. “Dans 16% des cas de signalements, il a été demandé un accompagnement de la cellule ACSS”, a également indiqué l’agence. 

Enfin, au classement des territoires à plus fort taux de déclarations d’incidents, c’est la région Occitanie qui occupe la première place avec 63 signalements provenant de ses structures de santé depuis le 1er octobre 2017. 

Philippe Loudenot a rappelé que la plupart des failles de sécurité s’expliquaient par un “manque de vigilance” et une “méconnaissance” des règles de cybersécurité des systèmes d’information. 

Au-delà du traitement des signalements, la cellule ACSS assure une veille sur l’actualité des systèmes d’information et sur les menaces présentes sur le secteur de la santé sur le site cyberveille-sante.gouv.fr

Ajouter aux articles favoris
Please login to bookmark Close
0 Shares:
Vous pourriez aussi aimer

Arrêté d’extension d’un avenant conclu dans le secteur des activités de transport de fonds et de valeurs

La ministre du travail, de la santé, des solidarités et des familles et le ministre de l’aménagement du territoire et de la décentralisation, ont étendu, par arrêté du 5 août 2025, publié le 19 août 2025, les dispositions de l'avenant n° 24 du 28 mai 2025 portant revalorisation des minimas conventionnels à l'accord professionnel du 5 mars 1991 sur les conditions spécifiques d'emploi du personnel des entreprises qui exercent des...

Arrêté d’extension d’un accord territorial (Haut-Rhin) dans la CCN de la métallurgie

La ministre du travail, de la santé, des solidarités et des familles, a étendu par arrêté du 19 août 2025, publié le 23 août 2025, les dispositions de l'accord territorial (Haut-Rhin) du 25 avril 2025 portant détermination de la valeur de point pour le calcul de la prime d'ancienneté, conclu dans le cadre de la convention collective nationale de la métallurgie (...

Arrêté d’extension d’un accord territorial (Gironde Landes) dans la CCN de la métallurgie

La ministre du travail, de la santé, des solidarités et des familles, a étendu par arrêté du 19 août 2025, publié le 23 août 2025, les dispositions de l'accord territorial (Gironde Landes) du 11 juin 2025 portant détermination de la valeur de point pour le calcul de la prime d'ancienneté, conclu dans le cadre de la convention collective nationale de la métallurgie (...