La cybersécurité, état des lieux et enjeux

La cybersécurité représente l’ensemble des moyens et techniques mis en œuvre par une organisation pour assurer la sécurité du système d’information et des données informatiques. Elle porte aussi bien sur la protection des données que sur l’attaque des équipements informatiques. Selon l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), la cybersécurité est « l’état recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données ».

Les enjeux de la cybersécurité

Les pratiques médicales évoluent avec les technologies de l’information et de la communication pour optimiser la prise en charge des patients d’une part et améliorer l’exercice médical d’autre part. Ces évolutions de pratique nécessitent une prise de précaution de sécurité importante à titre préventif pour assurer la disponibilité, l’intégrité, la confidentialité et la traçabilité de l’information médicale. Ces quatre points fondamentaux constituent les enjeux majeurs de la cybersécurité.

• La disponibilité du Système d’Information (SI), ou plus simplement du logiciel métier, garantit un accès permanent aux données des patients. Une atteinte à la disponibilité des données de santé peut engendrer des retards importants dans la prise en charge du patient : report de consultation vitale, erreur de soins, mauvaise posologie, double vaccination, intolérance médicamenteuse...
• L’intégrité des données de santé est le gage de la fiabilité et l’exactitude des données c’est-à-dire leur validité, leur cohérence et leur exhaustivité. Un défaut d’intégrité des données de santé peut entrainer une perte d’information importante sur l’état de santé d’un patient et provoquer des erreurs médicales.
• La confidentialité des données permet de réserver l’accès aux données aux cercles de personnes autorisées. Une perte de confidentialité des données du patient peut lui porter préjudice et l’exposer à un vol de données ou à une utilisation de ces informations de santé sans son accord au profit d’un tiers (assurance, employeur, entreprise à but lucratif...). La perte des données implique également le professionnel de santé, responsable du traitement des données, qui risque des amendes très lourdes et une atteinte à sa réputation.
• La traçabilité est importante en cas de dysfonctionnement pour en déterminer l’origine. Un manque de traçabilité correspond à un défaut de preuve qui peut exposer à des erreurs médicales et engager la responsabilité du médecin.

Les attaques et arnaques les plus courantes

• L’hameçonnage ou le phishing est une technique de fraude destinée à usurper l’identité d’un internaute en volant des renseignements personnels. Pendant la pandémie, l’Association Pour la Sécurité des Systèmes d’Information de Santé (APSSIS) a recensé plusieurs attaques par phishing sur des messageries électroniques.
• Le harponnage est une technique qui utilise les courriels pour mener des attaques ciblées. L’APSSIS a relevé de nombreuses diffusions de logiciels malveillants par courriel ayant pour objet la covid-19. Par exemple, de nombreuses personnes ont reçu des spams usurpant l’identité de l’OMS et contenant des liens ou des pièces jointes pour exécuter des malwares ou logiciels malveillants. D’ailleurs, des attaques aux rançongiciels dans le domaine de la santé sont de plus en plus fréquentes et la médecine libérale n’est pas épargnée.
• Les arnaques sont également de plus en plus courantes. Dernièrement, l’APSSIS a observé une arnaque au faux support technique. Il s’agissait de campagnes de pourriels incitant les utilisateurs à recourir au service support de Microsoft en cliquant sur un message frauduleux. D’autres arnaques aux FOVI (Faux ordre de virements bancaires internationaux) ont également été observés dans les établissements de santé.
• Les vols de données personnelles : les données patients font aussi de plus en plus l’objet de vol.

La cybersécurité, une discipline en pleine mutation

La cybersécurité entre dans une démarche d’amélioration continue qui évolue au cours du temps en fonction du contexte règlementaire et environnemental. La France, comme d’autres pays, vient de vivre une crise sanitaire sans précédent avec la Covid-19, provoquant une augmentation significative des usages numériques. La télémédecine a ainsi vécu une croissance exponentielle, entraînant malheureusement avec elle une croissance tout aussi impressionnante des actes malveillants sur les données de santé.

L’environnement

La pandémie du Covid-19 est un exemple édifiant de la nécessité d’une démarche de cybersécurité constante. En effet, les organisations malveillantes ont pu profiter du manque de vigilance des personnes utilisant l’informatique. La santé étant l’un des secteurs les plus vulnérables sur le plan de la cybersécurité, l’Organisation Mondiale de la Santé (OMS) a tiré la sonnette d’alarme en publiant des mises en garde contre les fraudeurs qui essayent de se faire passer pour elle. Depuis le début de la pandémie, on déplore une hausse de cyberattaques qui seraient multipliées par cinq, et qui visent à la fois les professionnels de santé et les citoyens.

La règlementation

Le RGPD (Règlement Général sur la Protection des Données) encadre le traitement des données personnelles sur l’ensemble du territoire européen depuis le 25 mai 2018, afin de répondre aux évolutions importantes des technologies et des usages du numérique ces dernières années. En France, ce règlement s’inscrit dans la continuité de la loi informatique et liberté du 6 Janvier 1978 qui régit la liberté de traitement des données personnelles.

Le RGPD s’applique à toute organisation grande ou petite, publique ou privée, qui traite des données personnelles.