Cybersécurité des hôpitaux publics : ce que les attaques révèlent vraiment
Un hôpital peut-il fonctionner sans son système informatique ? La question, longtemps théorique, est devenue concrète à mesure que les établissements publics ont été touchés par des pannes et des attaques. Les services de soins reposent aujourd'hui sur des logiciels de prescription, d'imagerie, de gestion des lits et de facturation. Quand ces outils s'arrêtent, ce n'est pas seulement l'informatique qui s'arrête. C'est une partie de la prise en charge des patients qui doit être repensée en quelques heures, souvent à la main.
L'idée reçue d'un hôpital mal protégé par négligence
Le premier réflexe consiste à imputer les incidents à un manque de sérieux des équipes techniques. Cette lecture est trop simple. Un centre hospitalier public doit faire cohabiter des logiciels métiers anciens, parfois édités par des prestataires uniques, avec des équipements médicaux dont le système d'exploitation n'est plus mis à jour par le fabricant. Remplacer une machine reliée à un appareil d'imagerie ne relève pas d'une décision informatique : cela suppose une validation clinique, un budget et une période d'indisponibilité du service.
La contrainte budgétaire joue aussi. Les dépenses de cybersécurité entrent en concurrence directe avec des besoins de personnel soignant ou de maintenance des bâtiments. Dans ce contexte, la sécurité informatique est souvent arbitrée comme un coût différé, ce qui ne signifie pas qu'elle soit ignorée, mais qu'elle est traitée en dernier recours.
Un autre facteur est moins visible : la taille du parc. Un hôpital public gère des milliers de postes, des centaines de comptes à privilèges, des accès distants pour les médecins de garde et des prestataires externes. Chaque compte est une porte d'entrée potentielle. La surface d'attaque n'a rien de comparable avec celle d'une entreprise de taille équivalente.
Ce que visent réellement les attaquants
Contrairement à une représentation courante, l'objectif premier n'est pas toujours de voler des données médicales. Dans de nombreux cas, l'attaquant cherche à paralyser l'établissement pour obtenir un paiement rapide. Le chiffrement des serveurs et la demande de rançon visent la continuité d'activité, pas la revente d'informations. L'hôpital devient une cible parce qu'il ne peut pas rester fermé longtemps.
Le vol de données reste néanmoins une finalité fréquente, avec des conséquences propres au secteur. Un dossier patient contient des éléments d'identité, des résultats d'examens, des traitements en cours. Ces informations ont une valeur durable, car elles ne se périment pas comme un numéro de carte bancaire. Elles peuvent alimenter des fraudes ultérieures ou faire l'objet de tentatives d'extorsion auprès des personnes concernées. Plus de détails sur Boelling Galerie.
Les modes d'entrée varient peu d'un établissement à l'autre. Un identifiant compromis par hameçonnage, un logiciel non corrigé, un accès prestataire mal cloisonné suffisent souvent. La sophistication technique est rarement le facteur décisif. Ce qui compte, c'est le temps pendant lequel l'attaquant peut circuler sans être détecté.
Cette phase d'exploration est déterminante. Une intrusion détectée en quelques heures se limite souvent à un poste de travail. Détectée après plusieurs semaines, elle peut concerner l'ensemble du système d'information. La capacité de détection dépend moins des outils achetés que de la présence d'équipes capables de surveiller et d'interpréter les alertes.
Les limites des réponses purement techniques
Augmenter les budgets et empiler les solutions ne suffit pas. Un hôpital qui déploie un outil de détection sans personnel pour traiter les alertes se retrouve avec des journaux que personne ne lit. La même logique s'applique aux sauvegardes : une sauvegarde jamais testée ne garantit pas une restauration. Les retours d'expérience d'établissements touchés montrent que la restauration effective dépend souvent de procédures éprouvées à l'avance, et non du volume de données sauvegardées.
La dimension humaine reste centrale, mais elle est difficile à traiter par la seule formation. Sensibiliser les soignants au hameçonnage se heurte à une réalité de terrain : les équipes travaillent sous pression, avec des messageries saturées et des consignes multiples. Un message d'alerte supplémentaire n'a pas le même effet selon le service et le moment de la journée.
Le cloisonnement des réseaux constitue une autre piste, plus structurelle. Séparer le réseau administratif du réseau de soins, isoler les équipements médicaux, limiter les droits des comptes au strict nécessaire : ces mesures réduisent la propagation d'une attaque. Elles demandent toutefois une connaissance fine des usages, car un cloisonnement trop strict peut gêner la prise en charge. La difficulté n'est pas technique, elle est organisationnelle.
Enfin, la coopération entre établissements progresse, notamment par le partage de retours d'expérience et la mutualisation de certaines compétences. Un petit hôpital ne peut pas entretenir seul une équipe de veille permanente. Les groupements régionaux permettent de mettre en commun des moyens et des expertises, sans supprimer la responsabilité propre de chaque direction.
La cybersécurité hospitalière ne se résume donc ni à un problème de moyens, ni à un problème de compétence. Elle se situe à l'intersection de contraintes budgétaires, d'usages cliniques et de choix d'architecture. Les attaques ne révèlent pas tant une négligence qu'une tension durable entre la disponibilité des soins et la protection des systèmes qui les supportent.
