Sécurité de l'information de santé et plus...

La Haute autorité de santé (HAS) a annoncé le 6 juillet enrichir son référentiel de certification des établissements de santé pour la qualité des soins de critères "sur la gestion des risques numériques" et procéder au recrutement de 174 experts-visiteurs "compétents sur les sujets du numérique exerçant dans les hôpitaux et les cliniques".

Pour aider à mesurer la préparation aux crises cyber, l’ANSSI partage un outil d’autoévaluation. Cet outil est basé sur la collection de guide « Gestion de crise cyber ». Il permet à chaque organisation d’évaluer son niveau de préparation aux crises cyber sur différentes thématiques et fournit des recommandations pour s’améliorer.

Silvère Ruellan est depuis le mois de mai chef du bureau cybersécurité santé et affaires sociales de l'Agence nationale de sécurité des systèmes d'information (Anssi), apprend-on à la lecture de son profil LinkedIn.

En 2022, le nombre total d’établissements ayant déclaré au moins un incident a augmenté de façon significative (+33%) malgré une baisse du nombre de signalements par rapport à 2021 (-19%). Cette baisse est principalement liée à l’absence d’incident ayant impacté la disponibilité des solutions métiers hébergées par des prestataires. Malgré une baisse notable du nombre d’incidents liés à une attaque par rançongiciel (49%), le nombre d’interventions en appui technique du CERT Santé a augmenté de 26% par rapport à 2021. En effet, le CERT Santé a été sollicité à de nombreuses reprises pour aider à confiner les systèmes potentiellement compromis et à analyser les traces numériques laissées par les cyberattaquants. Il a notamment fait le lien avec les autorités chargées de la lutte contre la cybercriminalité. En étendant son service de réponse à incident en heures non ouvrées dès octobre 2022, le CERT Santé s’est doté d’une capacité supplémentaire pour aider les établissements à neutraliser rapidement une cyber-attaque. Ce service sera étendu aux acteurs du médico-social en 2023.

A l'occasion de la conférence de lancement de la nouvelle feuille de route du numérique en santé pour 2023-2027 le 17 mai, le ministre de la santé et de la prévention, François Braun, et les deux coresponsables de la délégation au numérique en santé (DNS), Raphaël Beaufret et Hela Ghariani, ont estimé que l'enjeu est désormais de faire entrer les services digitaux dans "le quotidien" des Français et des professionnels, après avoir "rattrapé le retard" de la France en la matière.

La période actuelle est "très inquiétante" pour la sécurité informatique du secteur de la santé, pour tous les acteurs et à l'échelle mondiale, a déploré Nitin Natarajan, directeur adjoint de la Cybersecurity and Infrastructure Security Agency (CISA), équivalent américain de l'Agence nationale de la sécurité des systèmes d'information (Anssi), lors d'une conférence au salon HIMSS à Chicago fin avril.

Depuis plus d’une décennie, les compétitions sportives internationales majeures font régulièrement l’objet d’attaques informatiques. Ces évènements, en raison de l’intérêt qu’ils suscitent chez des centaines de millions de personnes et des flux financiers importants qu’ils génèrent, constituent...

L’utilisation d’un EDR tend à se généraliser dans les établissements de santé. Il est donc paru important pour le CERT Santé de faire une fiche de synthèse concernant cette technologie en précisant les conditions dans lesquelles elle permet d’améliorer la sécurité d’un système d’information.

Un arrêté publié au Journal officiel (JO) le 1er juillet a créé "une instance de la sécurité numérique" au sein des ministères chargés des affaires sociales et définit sa gouvernance.

L’Agence européenne pour la cybersécurité (ENISA) a publié son premier rapport présentant un panorama des menaces d’origine cyber visant le secteur de la santé pour les années 2021 et 2022.

L'Association française des ingénieurs biomédicaux (Afib) finalise un questionnaire de sécurité informatique pour les fabricants d'équipements médicaux, ont indiqué deux de ses représentants le 14 juin au congrès de l'Association pour la sécurité des systèmes d'information de santé (Apssis), qui s'est tenu au Mans jusqu'au 15 juin.

La découverte d'une vulnérabilité affectant le logiciel MOVEit Transfer de Progress Software, le 31 mai 2023, avait conduit le CERT-FR à publier des éléments d'information dans le bulletin d'actualité CERTFR-2023-ACT-025.

L'objet de cette alerte CERTFR-2023-ALE-005 est de faire le point sur l'exploitation de cette vulnérabilité par le groupe cybercriminel CL0P ainsi que de synthétiser les mesures de remédiation et de correction à appliquer par les utilisateurs du logiciel MOVEit Transfer.

Il est "très probable" que tous les établissements de santé publics comme privés seront concernés par la transposition dans le droit français de la directive européenne NIS (Network and Information Security) 2, a indiqué la coordinatrice sectorielle santé de l'Agence nationale de sécurité de systèmes d'information (Anssi), Laure Duhesme, le 13 juin au congrès de l'Association pour la sécurité des systèmes d'information de santé (Apssis).

Le maliciel QakBot, aussi nommé QBot et Pinkslipbot, a débuté en 2008 comme cheval de Troie bancaire. Depuis, il a évolué en Botnet pour déployer une porte dérobée, permettant l’installation d’autres maliciels. Les groupes d’attaquants utilisant des rançongiciels travaillent souvent avec des maliciels comme QBot pour réaliser la primo-infection. Il est désormais connu que les groupes Black Basta, Egregor et Prolock ont collaboré avec QBot.

Le futur programme "cyber-accélération résilience des établissements" (Care), porté par le ministère de la santé et de la prévention, prévoit une série de premiers travaux à court terme, qui ont été présentés le 25 mai par Jean-Baptiste Lapeyrie, directeur de projets à la délégation ministérielle au numérique en santé (DNS) et Elodie Chaudron, responsable de programme à l'Agence du numérique en santé (ANS), copilotes de Care, lors du salon Santexpo, qui s'est tenu du 23 au 25 mai à Paris.

Le réseau hospitalier Jefferson Health de Philadelphie a organisé son équipe de cybersécurité, composée de 53 équivalents temps plein, en quatre services aux missions bien définies, a expliqué son responsable de la sécurité des systèmes d'information (RSSI), Mark Odom, lors d'une présentation organisée par le Catel en marge du congrès HIMSS (Healthcare and Information Management Systems Society) fin avril.