Une cible prioritaire, des conséquences immédiates

Pour les hôpitaux, l'enjeu n'est pas seulement la protection des données : c'est la continuité des soins. Au cœur de chaque établissement se trouve le système d'information hospitalier (SIH), qui conditionne l'accès aux soins et coordonne les groupements hospitaliers de territoire (GHT). Une interruption, même brève, se répercute directement sur la prise en charge des patients.

Le modèle de défense historique, fondé sur un périmètre protégé, montre aujourd’hui ses limites : les attaquants parviennent désormais régulièrement, voire systématiquement, à le franchir, ce qui impose de passer d'une logique de protection à une logique de résilience des données. Signe de cette évolution : les systèmes de sauvegarde eux-mêmes sont devenus des cibles privilégiées, en tant que dernier filet de sécurité.

Trois fragilités structurelles du secteur

Trois difficultés récurrentes caractérisent le secteur de la santé :

• la dette technique (près de 30% des serveurs sont obsolètes, et la coexistence d'environnements legacy et modernes complique les mises à jour) ; • le manque de ressources, avec un budget cybersécurité moyen de 1,7% du budget d'exploitation contre 3 à 4% dans d'autres secteurs ; • la dépendance des systèmes entre eux, qui transforme une panne isolée en effet domino aux conséquences graves.

À cela s'ajoute une asymétrie inquiétante : les attaquants, eux, n'ont pas hérité de cette dette technique et exploitent pleinement les nouvelles technologies, IA comprise, pour affiner leurs méthodes.

Un cas d'école : quand la théorie ne tient pas face à la réalité du terrain

Exemple concret pour illustrer l'écart entre la préparation théorique et la gestion de crise réelle : un centre hospitalier de la région parisienne, victime d'une cyberattaque, s'est retrouvé totalement privé d'accès à son système d'information, avant que celui-ci ne soit mis sous scellé par l'ANSSI - une procédure courante en l'absence de plan de reprise adapté. L'établissement disposait certes d'un plan, mais au format papier et donc, obsolète. Conséquence : refus de patients, matériel emprunté à d'autres établissements, réinstallation complète en repartant de zéro.

Ce cas souligne une bascule de fond : il ne s'agit plus de savoir si une attaque surviendra, mais quand. Cette évolution s'accompagne d'une structuration progressive des établissements, avec la mutualisation des ressources au sein des GHT, l'émergence de fonctions dédiées à la cybersécurité (les SSI) et l'adoption de concepts auparavant absents du secteur hospitalier, comme l'architecture Zero Trust ou l'immuabilité des données.

L'IA, à double tranchant pour les données de santé

L'intelligence artificielle amplifie les enjeux des deux côtés. Elle profite aux attaquants, mais s'installe aussi dans les établissements de santé, notamment dans les CHU, où des projets s'appuient sur des données patients. Souvent, cela génère de nouvelles vulnérabilités comme le shadow AI, qui amplifie des failles de sécurisation déjà existantes.

Les données de santé prennent une valeur croissante, ce qui en fait une cible de choix : les établissements sont décrits comme de véritables bibliothèques de données personnelles monnayables. D'où la nécessité de savoir précisément où sont stockées ces données, comment on y accède et sous quelle juridiction elles sont protégées. Cette exigence pousse à privilégier des partenaires disposant d'un label de souveraineté, sujet qui touche aussi à la portabilité des données.

Le programme Care : quatre piliers pour structurer la résilience

Porté par le ministère de la Santé via l'Agence du numérique en santé (ANS), le programme Care vise à accélérer la résilience des établissements et à dépasser une approche uniquement technique des enjeux de cybersécurité, au profit d'une vision centrée sur la continuité des soins. Il s'articule autour de quatre piliers : la gouvernance, les ressources et compétences, la sécurité opérationnelle, et la résilience.

Un axe est jugé particulièrement décisif : le test régulier des plans de reprise d'activité. C’est précisément le cas de la faille évoqués plus haut. Ces plans sont souvent figés, rédigés une fois, sans jamais avoir été actualisés. Or l’environnement informatique évolue en permanence, et un plan non révisé peut s'avérer décalé par rapport à la réalité au moment où il faudrait l'activer, ce qui amplifie d'autant l'indisponibilité des outils de soins.

Classifier, protéger, embarquer les métiers

Sur le plan technologique, deux axes complémentaires répondent aux exigences du programme Care : classifier et cartographier la donnée pour identifier ce qui doit être protégé et les risques associés ; puis, protéger cette donnée, en garantissant sa disponibilité et son intégrité en permanence, et en testant régulièrement la conformité au plan de reprise. Ce dernier point est capital : plusieurs établissements ont connu une nouvelle compromission après avoir restauré des sauvegardes déjà corrompues.

Mais la technologie seule ne suffit pas. La classification des données critiques reste souvent le parent pauvre des projets de sécurité, faute d'un regard suffisamment porté sur les usages métiers. D'où l'importance de l'analyse d'impact métier (Business Impact Analysis), qui cartographie en amont les processus et applications les plus critiques, et y associe les directions médicales et les équipes techniques.

Convaincre ces directions, souvent peu technophiles, suppose de changer de registre : il ne s'agit pas de parler de cybersécurité, mais de continuité des soins. Expliquer que l'indisponibilité du dossier patient informatisé peut ralentir les admissions ou retarder des actes médicaux suscite une écoute bien plus attentive qu'un discours technique. Dans les établissements les plus matures, cette implication se traduit par un engagement fort des directions générales sur la formation et la gestion de crise. La résilience peut alors être traitée comme un projet d'établissement à part entière, et non comme un simple projet informatique.