Ces dernières années la cybersécurité dans le secteur de la santé est devenue un enjeu majeur. Les établissements de santé sont régulièrement la cible de cyber attaques. Actuellement, un dossier médical peut se revendre jusqu’à 300 euros sur le darknet1 ! Le vol de données de santé est donc une activité très attrayante pour les personnes malveillantes (cybercriminels).
Quelles sont les réglementations, normes et mesures existantes au niveau national et européen pour lutter contre les actes criminels (parmi d’autres) ciblant ce secteur ?
Rappel de quelques fondamentaux.
En France, de nombreux organismes et services ont été mis en place pour aider les établissements de santé à faire de la veille, et signaler et répondre aux incidents de sécurité.
Voici une liste (non exhaustive) de différents contacts :
Le gouvernement met en place depuis plusieurs années des programmes visant à développer et moderniser les systèmes d’information hospitalier tout en incluant une démarche de sécurisation. A titre d’exemples, les programmes « Hôpital Numérique2 » de 2012 à 2017 et « HOP’EN3 » (lancé en 2019 et qui devrait arriver à son terme fin 2023). Également, le programme « SUN-ES4 » relatif à la transmission de documents de santé de l’espace numérique de santé « monespacesante.fr ». Pour participer à ce programme, les établissements de santé doivent valider des prérequis5 notamment en matière de cybersécurité. En mars 2023, la Direction Générale de l’Offre de Soins (DGOS) annonçait que 64% des établissements sanitaires éligibles au programme avaient validé ces prérequis.
Fin 2022, le gouvernement avait annoncé un plan de préparation aux incidents cyber imposant que tous les établissements prioritaires aient réalisé de nouveaux exercices de crise d’ici mai 2023. L’objectif de ce plan a ensuite été décliné en février à tous les établissements désignés comme opérateurs de services essentiels (OSE) et 50% des autres établissements.
L’Agence du Numérique en Santé (ANS) a pour but d’accompagner la transformation numérique du système de santé avec tous les acteurs de celui-ci. Dans ce contexte, l’ANS a publié le 9 novembre 2022 un guide à destination des Etablissements et Services Sociaux et Médico-Sociaux (ESSMS) afin d’aider à améliorer le niveau de cybersécurité de ceux-ci.
Ce guide (La Cybersécurité pour le Social et le Médico-Social en 13 questions) est disponible au format PDF à l’adresse suivante : https://esante.gouv.fr/sites/default/files/media_entity/documents/ANS_GUIDECYBER_PHASE%201-EXE%20-V2. Pdf
Chaque établissement de santé doit être certifié par la Haute Autorité de Santé. La procédure est quadri annuelle et indépendante de l’établissement certifié. Cette certification porte sur la qualité et la sécurité des soins délivrés aux patients mais possède également un objectif en lien avec la cybersécurité.
L’objectif 3.67 du manuel de certification de la Haute Autorité de Santé concernant la réponse opérationnelle aux risques auxquels l’établissement peut être confronté, contient un critère sur les risques numériques. Les établissements de santé doivent respecter les points suivants :
MaturiN-H est un référentiel en cours de création par la DGOS (Direction Générale de l’Offre de Soins) depuis 2019 permettant de certifier les systèmes d’information des établissements de santé publics comme privés.
Initialement prévu pour 2021, il devrait être finalisé fin 2023 et contenir 142 critères relatifs à la sécurité des systèmes d’information.
Pour l’élaboration, plusieurs textes sont pris en compte tels que les prérequis de SSI des programmes HOP’EN et SUN-ES, les mesures du guide d’hygiène de l’ANSSI, celles de la directive NIS, le référentiel ISO 27001, etc.
Dans le but de relancer l’économie affectée par la crise sanitaire, le dispositif France Relance est lancé en septembre 2020. Ce dernier comporte un volet cybersécurité de 136 millions d’euros et son pilotage a été confié à l’ANSSI. Parmi ses objectifs se trouve celui du renforcement de la sécurité des établissements de santé.
En lien avec ce dispositif, l’ANSSI propose aux établissements de santé une offre de « parcours de cybersécurité8 ». Un pré diagnostic cyber permet d’orienter le bénéficiaire vers le plus adapté entre les quatre niveaux proposés : Fondation, Intermédiaire, Avancé et Renforcé.
Chaque parcours s’articule autour des huit volets suivants adaptés à chaque bénéficiaire :
La LPM fixe les orientations stratégiques en matière de politique de défense. Elle soumet les Opérateurs d’Importance Vitale (OIV) à un renforcement des capacités de protection, de détection et réaction face aux cyberattaques. Le secteur de la santé est une activité réputée comme stratégique pour la nation, ce qui veut dire que certains acteurs peuvent être classés comme OIV et doivent donc respecter les règles en vigueur concernant ce domaine.
Comme défini dans l’arrêté du 10 juin 2016, les établissements concernés doivent suivre un total de 20 règles concernant entre autres :
La liste complète est détaillée dans l’arrêté du 10 juin 2016 disponible ici : https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000036942932
Tous les organismes publics ou privés qui hébergent, exploitent le SI de santé, ou réalisent des sauvegardes pour le compte d’un établissement de santé ou d’un tiers de santé doivent être certifiés HDS, à l’exception des services d’archivages informatiques qui ne sont pas concernés par ces obligations. Les établissements de santé qui gèrent leur propre Système d’Information de santé n’ont pas la nécessité d’être certifié HDS.
Pour l’obtenir, l’hébergeur doit être audité par un organisme accrédité qui délivrera un certificat de conformité valable 3 ans. De plus, un audit de surveillance annuel doit être effectué.
Il existe deux périmètres de certificats9 en fonction du métier d’hébergement :
Si les activités de l’hébergeur correspondent aux deux périmètres, l’obtention des deux certifications est nécessaire.
Un établissement de santé n’a pas l’obligation d’être certifié HDS, cependant s’il souhaite faire appel à un prestataire, celui-ci doit obligatoirement l’être.
Certains établissements de santé, tels que tous les GHT (Groupements Hospitaliers de Territoires), sont considérés depuis février 2021 comme des Opérateurs de Services Essentiels (OSE). Ils doivent donc respecter la directive NIS adoptée le 6 juillet 2016 et qui vise à assurer un niveau de sécurité élevé et commun pour les réseaux et systèmes d’information de l’Union européenne.
La nouvelle version de cette directive a été publiée au Journal Officiel de l’Union européenne le 27 décembre 2022. La directive NIS 2 va élargir le périmètre d’applicabilité, ce qui signifie que de nouveaux établissements pourraient être concernés par cette directive. NIS 2 est en cours d’adaptation au niveau national et sera donc applicable au plus tard au deuxième semestre 2024.
Le RGPD est un règlement européen entré en application le 25 mai 2018. Il vise à harmoniser et encadrer les règles et pratiques en matière de traitement des données à caractère personnel. Il s’applique à toute organisation, publique ou privée, qui traite des données personnelles pour son compte ou non, dès lors qu’elle est établie sur le territoire de l’Union européenne ou que son activité cible directement des résidents européens. Tous les établissements de santé sont donc concernés par ce règlement.
En France, la Commission Nationale de l’Informatique et des Libertés (CNIL) joue un rôle de régulateur. Cette autorité administrative indépendante a pour mission dans le cadre du RGPD d’accompagner les organismes dans leur mise en conformité, mais également de les contrôler et sanctionner en cas de manquement.
Pour aider les organismes dans leur mise en conformité avec le RGPD, la CNIL met à disposition sur son site internet des cadres de référence : https://www.cnil.fr/fr/les-cadres-de-reference
L’Agence de l’Union européenne pour la cybersécurité ou Enisa a publié en février 2020 un document intitulé « Procurement Guidelines for Cybersecurity in Hospitals ». Guide pour les hôpitaux, il rassemble des bonnes pratiques et recommandations en matière de cybersécurité concernant les processus d’approvisionnement. Il couvre différents sujets tels que les bonnes pratiques organisationnelles concernant l’hôpital en lui-même et les preuves de cybersécurité à demander aux fournisseurs lors de l’achat d’équipement et de services.
Le guide est disponible en téléchargement à cette adresse : https://www.enisa.europa.eu/publications/good-practices-for-the-security-of-healthcare-services
Abdel Farid ALE, Directeur Cybersécurité au sein du Département Public, Economie Sociale, Protection Sociale et Financial Services de Grant Thornton.
1. Marché illégal de ventes de données en ligne
2. https://sante.gouv.fr/systeme-de-sante/e-sante/sih/hopital-numerique/Hopital-Numerique
3. https://sante.gouv.fr/systeme-de-sante/e-sante/sih/hopen
4. https://sante.gouv.fr/systeme-de-sante/segur-de-la-sante/sun-es
5. https://sante.gouv.fr/IMG/pdf/dgos_sun_es_guide_des_prerequis_volet_1_et_2_300123.pdf
6. https://www.has-sante.fr/jcms/c_411173/fr/comprendre-la-certification-pour-la-qualite-des-soins
7. https://www.has-sante.fr/upload/docs/application/pdf/2022-10/manuel_certification_es_qualite_des_soins.pdf
8. https://www.ssi.gouv.fr/agence/cybersecurite/france-relance/etablissement-de-sante/
9. https://esante.gouv.fr/labels-certifications/hds/certification-des-hebergeurs-de-donnees-de-sante
