Sécurité de l'information de santé et plus...

Des représentants des centres hospitaliers (CH) d'Armentières (Nord) et de Versailles (Yvelines) ont décrit les importantes conséquences des cyberattaques qu'ils ont subies pour les ressources humaines de leur établissement, lors de retours d'expérience fin juin.

Les pouvoirs publics planchent sur la création d'une "base nationale des vulnérabilités éditeurs" pour centraliser le signalement, le suivi et le traitement des failles de sécurité affectant les logiciels utilisés par les professionnels de santé et renforcer la transparence et la réactivité des éditeurs, a annoncé Patrice Bigeard, fonctionnaire de sécurité des systèmes d'information (FSSI) des ministères sociaux, lors du 13ᵉ Congrès national de la sécurité des systèmes d'information (SI) de santé, organisé fin juin par l'Association pour la sécurité des SI de santé (Apssis).

La directive NIS 2 définit dans son article 20 et dans son article 21 des mesures de gestion des risques en matière de cybersécurité minimales à mettre en œuvre par les futures entités essentielles et importantes.

La proportion des incidents informatiques d'origine malveillante est passée de 50% en 2023 à 44% en 2024, apprend-on dans le rapport annuel du CERT Santé publié le 4 juin par l'Agence du numérique en santé (ANS).

L'Agence du numérique en santé (ANS) a publié l'Observatoire permanent de la sécurité des systèmes d'information des établissements et services du secteur médico-social (Opssims), a-t-elle fait savoir fin avril sur son site internet.

Sur 605 établissements ayant fait l'objet d'une visite de certification par la Haute autorité de santé (HAS) en 2024, 97 ont présenté des "défauts ou des écarts par rapport aux attendus sur la gestion du risque numérique" qui ont impacté le niveau de leur certification, a rapporté Patrick Méchain, chef du service de certification des établissements de santé de la HAS, le 10 avril à la Journée francilienne cybersécurité et santé.

Le CHU de la Guadeloupe a déclenché le 24 mars le niveau 2 du plan de gestion des tensions hospitalières et des situations sanitaires exceptionnelles (PGTHSSE), ou "plan blanc", compte tenu des difficultés causées par la panne informatique subie depuis le 21 mars par l'établissement.

Face au risque de cyberattaque, se déconnecter d’Internet n’est plus un tabou, mais une option étudiée, testée et documentée. Le groupe LNA Santé a mené plusieurs exercices de coupure maîtrisée du réseau pour en évaluer l’impact réel sur ses infrastructures et ses flux métiers. Un retour d’expérience riche - partagé lors du congrès de l’APSSIS - qui en dit long sur la complexité technique et organisationnelle d’un tel choix.

Les pouvoirs publics réfléchissent à permettre l'application de sanctions en cas de non-respect par les éditeurs de certains référentiels de cybersécurité déjà opposables, a annoncé le 24 juin Christophe Mattler, directeur de projet à la délégation au numérique en santé (DNS), lors du 13ᵉ Congrès national de la sécurité des systèmes d'information (SI) de santé, organisé par l'Association pour la sécurité des SI de santé (Apssis).

Pour transposer et mettre en œuvre la directive NIS 2, il est privilégié une approche de la conformité basée notamment sur la mise en œuvre d’un référentiel de mesures de cybersécurité adapté à la menace cybercriminelle. La norme ISO 27001 et le référentiel de mesures cyber de l’ANSSI poursuivent des objectifs différents. L’obtention d’une certification ISO 27001 ne permet pas, en elle-même, une conformité à NIS 2. Mais cette norme constitue un outil et une méthodologie pour accompagner le déploiement du référentiel de sécurité.

En juin 2024, un groupe de pirates russe avait déployé un rançongiciel sur le parc informatique d'un prestataire fournissant des analyses et des transfusions de sang à de nombreux établissements publics de santé. Un événement qui a contribué au décès d'une personne, ce qui constitue une première mondiale.

La délégation au numérique en santé (DNS) a soumis à concertation publique le 12 mai sa proposition de guide d'implémentation d'une intelligence artificielle (IA) en santé éthique.

La Commission européenne a lancé une consultation publique autour de son plan d'action visant à renforcer la cybersécurité des hôpitaux et des prestataires de soins, a-t-elle fait savoir dans un communiqué le 7 avril.