Cybersécurité en santé : ransomware, continuité des soins, données patients, le secteur sous tension

Dans un hôpital, une consultation, un cabinet libéral, la cybersécurité n’est plus un sujet d’IT. Les cyberattaques visent la donnée médicale et la continuité des soins, deux actifs critiques. Ransomware, accès aux dossiers, systèmes impossibles à arrêter, le secteur avance sous contrainte.

Le décor est connu des équipes techniques, mais il s’impose maintenant à toute l’organisation. Des écrans affichent des dossiers patients, des plannings de blocs, des résultats de biologie, des flux d’imagerie. Tout circule vite, tout doit rester disponible. Dans ce contexte, la menace cyber ne ressemble pas à un risque abstrait: elle se traduit par des interruptions, des dégradations de service, des arbitrages immédiats entre sécurité et accès aux informations.

La santé cumule les fragilités. D’un côté, des données sensibles, recherchées. De l’autre, une obligation de fonctionnement permanent, qui réduit les fenêtres de maintenance et complique les mises à jour. Entre les deux, des équipes sous pression, qui doivent soigner, décider, transmettre, souvent dans l’urgence. Ce mélange fait du secteur une cible à part, et explique pourquoi la prévention devient une discipline de terrain autant qu’une affaire de conformité.

Ransomware-as-a-service: la menace se « industrialise »

Le premier changement est structurel: les attaques se professionnalisent. La MACSF décrit une montée en sophistication et en ciblage des offensives, portée par des groupes criminels mieux organisés et par la multiplication des modèles de ransomware-as-a-service (RaaS), qui abaissent les barrières d’entrée et élargissent le nombre d’attaquants capables de frapper un établissement de santé ^[1]. Ce n’est plus seulement l’affaire d’un petit cercle d’experts malveillants: c’est une économie, avec ses outils, ses « services » et ses chaînes de sous-traitance.

Ce glissement a une conséquence concrète: la menace devient plus diverse. Les modes opératoires changent, les campagnes se renouvellent, les points d’entrée se multiplient. Pour les hôpitaux et les professionnels libéraux, cela signifie qu’un plan de défense figé vieillit vite. Les procédures doivent être testées, révisées, rejouées. La sécurité ne peut plus se limiter à l’installation d’une solution, elle doit vivre au rythme des usages et des tactiques adverses.

Dans les établissements, cette industrialisation se ressent aussi dans la pression temporelle. Une attaque par ransomware vise souvent à créer une situation d’urgence, à accélérer la prise de décision, à exploiter la dépendance aux systèmes. Or la santé est justement un univers où l’urgence est déjà la norme. La menace s’emboîte dans la contrainte quotidienne, et cherche à la faire dérailler.

Données médicales et continuité des soins: le double chantage

La santé attire parce que l’information y est critique. La MACSF insiste sur le fait que les cyberattaques compromettent la sécurité des données médicales et perturbent la continuité des soins ^[1]. Ce duo résume la plupart des scénarios redoutés: l’exfiltration ou l’altération de données, et l’indisponibilité des systèmes qui soutiennent l’activité clinique.

La continuité des soins n’est pas un slogan. Dans un environnement médical, l’accès aux informations doit être rapide et constant. Une autre source rappelle ce besoin d’accès « instantané » à des données parfois vitales, et le conflit possible avec des mesures de sécurité trop restrictives ^[3]. La tension est permanente: renforcer les contrôles, c’est parfois ralentir l’accès; alléger l’accès, c’est parfois ouvrir des portes. Les équipes IT se retrouvent au centre d’un arbitrage opérationnel, pas seulement technique.

Cette dépendance aux systèmes se voit dans des gestes simples: consulter un antécédent, vérifier une allergie, lire un compte rendu, préparer un protocole, coordonner une prise en charge. Si la donnée n’est plus disponible, l’organisation bascule vers des modes dégradés, souvent plus lents, plus incertains, plus coûteux en attention. Et quand l’attention manque, le risque clinique augmente.

À cela s’ajoute la valeur particulière de la donnée de santé. Elle est sensible par nature, et une source grand public rappelle qu’elle constitue une cible privilégiée en cas de cyberattaque ^[5]. Cette sensibilité alimente un second levier de pression: la crainte de divulgation, la perte de confiance, les impacts juridiques et réputationnels. Le chantage n’est donc pas uniquement « payer pour redémarrer », il peut aussi devenir « payer pour éviter la publication ».

Des systèmes difficiles à arrêter, des équipes déjà sous pression

Dans d’autres secteurs, la sécurité se gagne aussi par l’arrêt: on coupe, on isole, on met à jour, on redémarre. La santé n’a pas ce luxe. Une source souligne que la nécessité d’assurer une prise en charge 24 heures sur 24 et 7 jours sur 7 limite fortement les opportunités de maintenance et de mise à jour, et qu’il est souvent impossible d’interrompre complètement certains systèmes sans risque pour les patients ^[3]. Cette contrainte transforme des bonnes pratiques standard en exercices d’équilibriste.

Le résultat est un empilement de compromis: mises à jour repoussées, fenêtres de déploiement réduites, dépendances anciennes qui persistent, hétérogénéité des équipements. Dans un hôpital, le numérique n’est pas un bloc uniforme: il y a les systèmes administratifs, les outils de soins, l’imagerie, la biologie, les dispositifs connectés, les postes de travail, les accès distants. Chaque couche a ses contraintes, ses prestataires, ses cycles de vie. L’attaquant, lui, n’a besoin que d’un point faible.

Le facteur humain n’est pas un angle de communication, c’est une réalité opérationnelle. La même source décrit un personnel souvent peu sensibilisé à la cybersécurité et des contraintes uniques qui compliquent l’application des mesures courantes ^[3]. Dans un service, la priorité reste le patient. Les réflexes de sécurité, eux, doivent s’insérer sans casser le geste métier. Un mot de passe plus robuste, une authentification renforcée, une procédure de signalement, tout cela ne fonctionne que si l’ergonomie et l’organisation suivent.

Le secteur est « déjà sous pression », pour reprendre les mots de la MACSF ^[1]. Cette pression ne vient pas seulement des cybercriminels: elle vient du rythme, de la charge, des urgences, des nuits, des transitions d’équipe. Dans cet environnement, la cybersécurité ne peut pas être un catalogue d’interdits. Elle doit être une discipline de continuité, pensée comme une composante de la qualité et de la sécurité des soins.

Prévention: des bonnes pratiques à transformer en routines

Face à cette dynamique, la réponse la plus utile est celle qui tient dans la durée. La MACSF présente la prévention comme un axe central pour comprendre rapidement les risques et adopter des stratégies adaptées ^[1]. Un guide consacré à la cybersécurité rappelle l’objectif: fixer des bonnes pratiques et mieux comprendre les cyber-risques propres au secteur de la santé ^[4]. L’enjeu n’est pas d’ajouter une couche de procédures abstraites, mais de transformer des principes en routines.

Les organisations qui progressent le plus vite sont souvent celles qui relient la sécurité à des situations concrètes: que faire si un poste se comporte anormalement, comment signaler un doute, comment basculer vers un mode dégradé, qui décide de l’isolement d’un segment réseau, comment préserver les preuves, comment communiquer en interne sans créer de panique. Le plan de crise n’est pas un document, c’est une chorégraphie. Elle doit être répétée, ajustée, portée par la direction comme par les équipes de terrain.

La prévention passe aussi par l’équilibre entre sécurité et accessibilité, pointé comme un défi constant dans la santé ^[3]. Ce n’est pas un détail: si les mesures de sécurité rendent l’accès trop difficile, elles seront contournées. Si elles sont trop faibles, elles seront traversées. La bonne approche ressemble souvent à une négociation fine entre métiers, informatique, direction, et parfois prestataires, avec un objectif clair: protéger l’essentiel sans interrompre le soin.

Enfin, la prévention est une affaire de culture. Quand la donnée de santé est reconnue comme sensible et convoitée ^[5], la question devient collective: comment éviter que l’attaque « réussisse » même si elle a lieu? C’est là que tout bascule. Une organisation ne contrôle pas toujours la tentative d’intrusion, mais elle peut travailler sa capacité à détecter, contenir, restaurer, et maintenir l’activité au plus près du normal.

L’essentiel

• Les cyberattaques en santé se multiplient et gagnent en sophistication, selon la MACSF ^[1].
• Le modèle RaaS augmente le nombre d’attaques possibles et la diversité des menaces ^[1].
• Les attaques visent à la fois les données médicales et la continuité des soins ^[1].
• La contrainte de fonctionnement 24/7 réduit les possibilités de maintenance et de mises à jour ^[3].
• Les bonnes pratiques et la prévention doivent s’ancrer dans les routines, selon un guide dédié ^[4].

Points de vigilance opérationnels

Le secteur de la santé ne gagnera pas contre la menace par une seule mesure miracle, mais par une série de décisions cohérentes: réduire les surfaces d’attaque, sécuriser les accès, organiser la réponse, et accepter que la sécurité a un coût organisationnel. Les attaquants misent sur la saturation et l’urgence. La défense, elle, repose sur la préparation et la clarté des rôles, au moment où les systèmes deviennent indispensables au soin.