00:00 Alors des cyberattaques dans le domaine de la santé, on en croise malheureusement de plus en plus.
00:08 Encore tout récemment dans le Lot-et-Garonne, c'est un data center qui est tombé.
00:13 Il était certifié HDS, c'est-à-dire capable d'héberger des données de santé.
00:16 Donc on imagine qu'il y en avait.
00:18 On va parler de cette question de la cyber, la cybersécurité avec mon invité
00:21 qui conseille les responsables des systèmes d'information, il les conseille sur la sécurité.
00:27 Il va nous dire quelles sont ces mesures à prendre, à mettre en place pour se protéger des attaques
00:31 malgré des ressources limitées parce que c'est un peu le problème que rencontrent ces établissements de santé.
00:37 C'est la difficulté sur les moyens disponibles.
00:40 Bonjour Anthony Hilly.
00:41 Bonjour.
00:41 Merci d'être dans Smartech pour délivrer tous ces conseils.
00:43 Vous êtes expert en cybersécurité, vous êtes un spécialiste de renseignement sur les cybermenaces.
00:48 Le directeur général de SESAM-IT ou IT vous dites ?
00:52 SESAM-IT.
00:53 Très bien.
00:54 Donc société française, on le précise, qui accompagne les organisations françaises mais aussi européennes
00:59 dans le déploiement de leur stratégie de cyber défense.
01:02 Alors parmi ces conseils, dites-nous déjà comment est-ce qu'on doit bâtir sa stratégie de cybersécurité
01:10 quand on est un établissement de santé ?
01:12 Alors en fait, je pense que la stratégie elle va passer par des choses qui sont assez simples.
01:20 Il faut retourner aux fondamentaux.
01:21 Les établissements de santé aujourd'hui, leur métier, ce n'est pas de faire de l'informatique,
01:24 ce n'est pas de faire de la cybersécurité, c'est de soigner des gens, d'accompagner des malades, peu importe.
01:30 Il faut leur trouver une solution simple à mettre en œuvre qui va leur permettre d'anticiper la menace
01:36 mais surtout d'y répondre le plus rapidement possible avec des moyens qui vont être limités,
01:40 des moyens financiers mais aussi humains.
01:42 Donc structurellement, un établissement de santé, il n'a pas été conçu pour répondre à une cyberattaque,
01:49 pour déployer des mécanismes de cybersécurité.
01:52 Donc la première chose à faire...
01:53 Donc ça veut dire qu'il faudrait repartir de zéro sur les systèmes d'information ?
01:58 Pas forcément, mais à minima se dire "ok, quel est le risque ?"
02:01 On va piloter la stratégie par le risque.
02:04 On va se poser la question de "qu'est-ce que j'expose et qu'est-ce que je risque si je le perds ?"
02:09 Et de quelle façon, à partir de là, je vais pouvoir faire pour le protéger
02:13 ou à minima pour le surveiller parce qu'il y a des choses qu'on ne pourra pas protéger.
02:16 Un établissement de santé...
02:17 C'est-à-dire qu'il faut décider des priorités et parfois faire l'impasse sur certaines choses ?
02:21 Exactement, je pense que c'est ça la gestion du risque.
02:24 En fait, c'est à un moment donné dire "à quel moment j'accepte ce risque-là et jusqu'où je l'accepte
02:29 et à partir de quand je...
02:31 Mais est-ce que tout n'est pas sensible dans un établissement de santé ?
02:33 Parce que finalement, la matière c'est de la donnée personnelle.
02:37 Exactement, et donc peut-être que la donnée personnelle en elle-même est extrêmement sensible,
02:42 mais il y a peut-être pire que ça.
02:43 On parlera peut-être des nouvelles menaces,
02:45 mais les équipements qui sont directement reliés à des patients
02:49 sont eux-mêmes connectés à un système informatique.
02:51 Donc, quelle est la priorité là ?
02:53 Quand on est un établissement de santé, et je n'ai pas la réponse forcément,
02:56 mais quelle est la priorité ?
02:57 Est-ce que je sauve la vie parce que potentiellement cet appareil va être piraté
03:00 ou est-ce que je préserve le numéro de sécurité sociale de ce patient ?
03:05 Et puis un établissement de santé ne ressemble pas à un autre.
03:06 Exactement.
03:07 On peut parler des hôpitaux, des cliniques, des laboratoires de biologie...
03:11 Donc d'abord, vous nous dites qu'il faut déjà prioriser ce qu'on doit absolument sécuriser,
03:18 mais après on fait quoi pour vraiment élever son niveau de protection ?
03:21 Alors, une fois qu'on a cartographié ces risques,
03:23 on va identifier les actions majeures qu'il va falloir prendre
03:26 et je pense qu'elles sont de deux ordres.
03:28 Le premier, il est extrêmement simple à mettre en oeuvre.
03:31 On en parle souvent, on le fait rarement, c'est la sensibilisation et la formation.
03:35 Encore une fois, le personnel, cette fois-ci, des établissements de santé,
03:38 il est formé pour soigner, pour sauver, mais il va aller à l'efficacité.
03:43 On le sait tous, ça va être très bateau ce que je vais dire,
03:46 mais le post-it collé dans la guitoune du milieu où il y a tous les patients qui passent...
03:50 Avec les mots de passe.
03:51 Il ne faut pas passer cinq minutes à le chercher parce qu'on n'a pas cinq minutes en cas d'urgence.
03:56 On va l'afficher là.
03:57 Ça, c'est une pratique qu'il ne faut pas continuer.
04:00 Et c'est des choses comme ça où...
04:01 Et donc il faut trouver un autre moyen pour que ce soit quand même facile.
04:03 Il faut leur simplifier la vie.
04:04 En fait, il va falloir leur simplifier la vie tout en les formant, en les sensibilisant à ça.
04:07 Et puis après, quand on a fait cette partie-là, le deuxième axe qui peut être très intéressant,
04:12 c'est des stratégies très simples, technologiques, qui vont permettre de surveiller et de détecter.
04:18 Pas forcément de répondre.
04:19 L'hôpital, il n'a pas la capacité de répondre.
04:21 Il faut qu'il soit accompagné pour ça.
04:22 Il y a l'ANSI qui fait ça merveilleusement bien,
04:24 mais il y a aussi des prestataires de services de tous types, ce qu'on appelle des MSSP,
04:29 qui sont aussi en capacité de les accompagner pour leur fournir...
04:32 Donc des prestataires qui sont vraiment spécialisés.
04:34 Exactement.
04:34 De la même manière qu'on a les HDS qui sont certifiés pour les déplacateurs et l'hébergement,
04:39 il y a des prestataires qui sont aussi certifiés pour l'établissement de santé.
04:42 Exactement.
04:43 C'est les prestataires de détection des incidents de sécurité qui ont été qualifiés par l'ANSI,
04:47 qui ont la capacité à œuvrer selon un certain référentiel très précis avec le secret de la donnée, etc.
04:55 J'avais quand même une dernière question, mais on n'a pas beaucoup de temps,
04:57 donc il faut répondre très vite.
04:58 Cloud ou pas cloud ?
05:00 On met ces données dans le cloud quand on est un établissement de santé ?
05:03 C'est plus ou moins sécurisé de le faire ?
05:05 En fait, je ne vais pas répondre à ça parce que c'est très polémique.
05:08 Surtout si vous n'avez pas le temps de répondre dans l'enveloppement.
05:10 Pourquoi pas ?
05:11 Pourquoi pas ?
05:12 Pourquoi pas ? En fait, ce n'est pas le cloud ou pas le cloud,
05:14 c'est comment on a sécurisé le cloud ou comment on ne l'a pas sécurisé.
05:17 Si on peut éviter qu'il soit américain, c'est tant mieux, mais après il y a d'autres façons de faire.
05:21 Merci beaucoup, Antonin Elie. Merci pour vos éclairages très intéressants.
05:24 Directeur général de SESAM-IT, donc vous faites j'imagine partie de ces prestataires
05:28 qu'on peut contacter si on est un établissement de santé.
05:31 OK. Allez, c'est l'heure de répondre à vos questions sur l'identité numérique régalienne française.
Commentaires