Cybersécurité dans les établissements de santé : renforcer les défenses face à une menace croissante

Face à l'augmentation des cyberattaques visant les hôpitaux, la Cour des comptes alerte sur les failles des systèmes d’information hospitaliers et appelle à des mesures urgentes. Son rapport, couvrant la période 2019-2023, met en lumière la complexité des défis, les conséquences graves pour les soins et les finances, ainsi que la nécessité de réformes structurelles pour garantir la résilience numérique des établissements de santé.

Une menace en constante évolution

Depuis 2019, les établissements de santé sont de plus en plus exposés à des cyberattaques ciblées, notamment des rançongiciels, qui exploitent les faiblesses des infrastructures numériques. En 2023, 10 % des victimes d’attaques par rançongiciel en France étaient des hôpitaux. Ces cyberattaques, souvent opportunistes, compromettent la confidentialité des données, paralysent les systèmes informatiques et affectent la prise en charge des patients.

Les systèmes d’information hospitaliers (SIH) se distinguent par leur complexité. Avec parfois plus de 1 000 applications utilisées dans certains CHU, ces systèmes pâtissent d’un sous-investissement chronique. Alors que d’autres secteurs comme la banque allouent jusqu’à 9 % de leur budget au numérique, les établissements de santé n’y consacrent en moyenne que 1,7 %.

Les conséquences des cyberattaques sur les soins et les finances

Les cyberattaques provoquent des perturbations graves pour les hôpitaux, avec des impacts directs sur le fonctionnement et la qualité des soins.

• Impact sur les soins
  Les interruptions de service, comme la fermeture temporaire des urgences ou l’inaccessibilité des dossiers patients, obligent les équipes à travailler en mode dégradé, souvent avec des outils papier. Ces perturbations peuvent compromettre la sécurité des patients et engendrer des retards dans les traitements.

• Coût financier important
  Les dépenses liées à la gestion des crises, incluant la reconstruction des systèmes et le renforcement des infrastructures, peuvent atteindre plusieurs dizaines de millions d’euros. À cela s’ajoutent des pertes de recettes, estimées à 20 millions d’euros pour les hôpitaux les plus gravement touchés.

• Vols de données sensibles
  Les données personnelles et médicales exfiltrées lors des cyberattaques sont souvent revendues sur le darknet. Ces vols peuvent également entraîner des litiges juridiques ou des usurpations d’identité, augmentant les coûts indirects.

Les recommandations du rapport de la Cour des comptes

Pour améliorer la résilience des hôpitaux face aux cyberattaques, la Cour des comptes propose plusieurs mesures clés :

1. Renforcer l’expertise nationale en cybersécurité
   Créer un groupe d’experts pour évaluer les pertes financières après des cyberattaques majeures et proposer des solutions adaptées, telles que des compensations financières ou des exemptions administratives.

2. Stabiliser le financement du numérique
   Remplacer les financements ponctuels par un budget pérenne pour garantir la continuité des actions de modernisation des systèmes d’information.

3. Conduire le programme CaRE à son terme
   Doté de 750 millions d’euros jusqu’en 2027, ce programme vise à corriger le sous-investissement historique dans les infrastructures numériques des hôpitaux.

4. Auditer régulièrement les établissements de santé
   Imposer des audits périodiques obligatoires pour évaluer la sécurité des systèmes d’information, et intégrer ces audits dans la certification des hôpitaux par la Haute Autorité de Santé.

5. Renforcer la gouvernance locale des hôpitaux
   Attribuer une personnalité morale aux groupements hospitaliers de territoire (GHT) pour faciliter la mutualisation des ressources, en particulier dans le domaine de la cybersécurité.

Former et sensibiliser : un levier essentiel

La protection des systèmes numériques repose en grande partie sur les comportements des utilisateurs. Le rapport souligne que la formation des professionnels de santé, trop souvent négligée, est cruciale pour réduire les incidents causés par des erreurs humaines, comme les attaques par phishing. L’intégration de modules obligatoires sur la cybersécurité dès le premier cycle des études médicales et paramédicales constitue une avancée importante.

Une urgence stratégique pour la santé publique

La sécurité numérique des établissements de santé est un enjeu stratégique pour garantir la continuité et la qualité des soins. Face à des cyberattaques de plus en plus sophistiquées, les mesures recommandées par la Cour des comptes offrent une feuille de route ambitieuse mais indispensable. La modernisation des infrastructures, associée à une gouvernance renforcée et à une sensibilisation accrue, permettra de protéger les hôpitaux et les millions de patients qu’ils accueillent chaque année.

Voir le rapport