Cybersécurité dans le secteur de la santé : un terrain à très haut risque

Le secteur de la santé concentre tous les facteurs qui font d'une cible une "cible parfaite" : données ultra-sensibles, équipements connectés, contraintes opérationnelles 24/7, et un personnel mobilisé par sa mission de soin. Résultat : c'est l'un des secteurs les plus attaqués au monde, et les conséquences sont parfois dramatiques — au-delà des chiffres.

Pourquoi la santé est si exposée

Quelques spécificités structurelles :

• des données de santé valorisées sur le dark web (jusqu'à 50 fois le prix d'une donnée bancaire),
• des équipements médicaux connectés souvent anciens, non patchables,
• une continuité de service vitale qui pousse certaines structures à payer la rançon,
• un personnel soignant dont la formation cyber est nécessairement très courte,
• une chaîne de sous-traitance étendue (laboratoires, transport sanitaire, hébergeurs HDS).

L'impact direct sur les patients

Une cyberattaque dans la santé n'est pas qu'une question financière. Elle peut :

• bloquer l'accès au dossier patient,
• empêcher la prescription électronique,
• décaler des interventions chirurgicales,
• forcer le transfert de patients vers d'autres établissements.

Plusieurs études internationales établissent désormais un lien statistique entre cyberattaques hospitalières et hausse de mortalité dans les semaines qui suivent. Sensibiliser, ici, est littéralement une question de santé publique.

Le challenge de la sensibilisation

Sensibiliser dans la santé suppose de prendre en compte :

• des horaires éclatés (jours, nuits, week-ends),
• une forte rotation (intérimaires, étudiants, vacataires),
• des postes partagés (poste de soin utilisé par plusieurs personnes dans la journée),
• une pression opérationnelle qui rend toute interruption longue inacceptable.

D'où l'importance de formats courts, contextualisés, accessibles à toute heure.

Une approche dédiée

L'offre formation cybersécurité santé de Conscio Technologies est conçue pour ce secteur :

• modules adaptés aux métiers du soin,
• mises en situation hospitalières réalistes,
• focus sur les données patients et les outils métiers (DPI, PACS, etc.),
• compatibilité avec les contraintes de temps réduit des soignants.

Données personnelles : RGPD et secret médical

La santé fait partie des secteurs où le RGPD est le plus strict (catégories particulières de données, article 9). Une sensibilisation efficace doit articuler :

• les bons réflexes cyber (clic, mot de passe, MFA),
• les règles spécifiques au secret médical et au partage de l'information,
• les procédures de signalement (interne, ARS, CNIL).

À ce sujet, voir notre article RGPD et protection des données personnelles ainsi que l'analyse RGPD : l'odyssée de la donnée personnelle.

Préparer la crise

Aucun hôpital ne devrait découvrir le jour J comment réagir à une cyberattaque. Préparer la crise, c'est aussi :

• définir des modes dégradés (papier, télécopie sécurisée si nécessaire),
• former les équipes au signalement immédiat,
• entretenir des liens avec l'ANSSI, l'ARS, le COSSI,
• s'entraîner par des exercices réguliers.

L'article Gérer une crise cyber approfondit la dimension humaine de la crise.

Conclusion

Dans la santé, la cybersécurité n'est pas un sujet IT, c'est un sujet de qualité et de sécurité des soins. Sensibiliser n'est pas une option : c'est une responsabilité éthique. Pour bâtir une démarche cohérente, l'offre santé propose une trame éprouvée.

---