Close
  • Français
  • English

17/07/2017La gestion de crise SSI : une réponse agile aux menaces sur les systèmes critiques de santé (Philippe Tourron, RSSI, Hôpitaux de Marseille)

Protéger les données des patients semble une évidence, analyser les risques, mettre en place des protections pour limiter les menaces, des actions aujourd’hui classiques mais les menaces évoluent vite et un jour la crise arrive : « nous n’avons plus d’accès aux ordinateurs que se passe-t-il, nos données sont cryptées ? Nous subissons un déni de service ? Notre annuaire a été corrompu ? Pourtant nous avions plein de  protections. Comment ?, vous ne savez pas par où commencer ? En plus on nous demande une rançon. Personne n’est capable de couper immédiatement internet ? On a nos applications dans le cloud ? Qui doit-on alerter ? Qui peut nous aider ?… » Et si vous vous étiez préparés avant ? Locky, Wannacry, des attaques scada, la prise de contrôle de dispositifs médicaux connectés, … une infinité d’évidences à anticiper.

crise ou naufrage

Les Menaces sont agiles  

Leur évolution à grande vitesse marque ces 3 dernières années et le monde de la santé est devenu une cible motivant la cybercriminalité (ransomware, vol, …). Aujourd’hui les scénarios de menaces sont polymorphes, combinés et successifs. Souvent une attaque en cache une autre et les attaquants sont des réseaux de machines difficiles à cibler car elles-mêmes victimes d’attaques pour en faire autant de soldats d’une armée virtuelle.

Les crises sont inévitables

L’agilité des menaces rend les crises inévitables, mais une crise c’est quoi en fait ? Qu’est ce qui la distingue de l’incident ?

Le monde de la santé est par sa mission au cœur des crises dans son rôle de soin et d’aide aux victimes et les événements naturels, accidentels ou criminels mettent les structures hospitalières au cœur des dispositifs de secours; la gestion de crise est donc inscrite dans nos métiers médicaux, et la réalité comme les entrainements éprouvent nos organisations prêtes à réagir aux crises pour des urgences médicales. Mais une crise de sécurité du système d’information peut prendre des formes variables et inattendues (cyber attaques, sinistres naturels, erreurs de maintenance, coupure de fibres lors de travaux de voierie …).

Une crise est la combinaison d’une situation d’urgence et d’un environnement instable qui de fait rend incertaine l’issue pour un retour à la normale. Il y a alors nécessité d’une gouvernance spécifique pour surmonter la complexité. L’objectif d’une bonne gestion de crise est d’éviter globalement le désordre (la communication non maîtrisée, l’inaction ou les initiatives incohérentes, voire les conflits dans la panique, …). Pour cela, elle doit proposer une réponse proportionnée pour protéger les personnes, les actifs (données, logiciels, matériels, …) et rétablir ou continuer les services apportés par le SI en limitant les conséquences de l’instabilité.

Crise SSI et crise sanitaire : un lien inéluctable

Une crise SSI pourrait aujourd’hui aussi déclencher une crise sanitaire : pendant combien de temps peut-on fonctionner sans accès au dossier patient ou sans  pilotage des installations électriques ou de chauffage avant de déplacer des patients vers une autre structure ?

Réciproquement, la gestion de crise SSI est une organisation en soutien à la crise sanitaire, car compte tenu de l’importance du SI dans la gestion du patient il devient peu réaliste aujourd’hui de ne pas prévoir les articulations entre les deux. Ainsi, pouvoir simplifier/adapter le SI suite à un afflux massif de patient est une condition afin de ne pas ralentir la prise en charge d’une urgence absolue mais il faut continuer à identifier les patients pour les retrouver rapidement et leur associer les résultats d’analyses, d’examens, le suivi d’opération et informer les familles.

 

Quelle stratégie pour rester agile face aux menaces ?

Comme pour la sécurité incendie ou la gestion des secours, il faut se préparer aux sinistres, donner des consignes et instaurer des réflexes, mettre en place des systèmes de détection, de cloisonnement et avoir des équipes formées et entrainées. La gestion de crise est pour moi la première mesure de sécurité à mettre en place dans le monde de la santé et nécessite une forte intégration dans les pratiques avec tous les acteurs des SI à l’hôpital autour de la DSI : acteurs du soin, CIL/DPO, biomédical, services techniques, juridiques, qualité, sureté,…. Gérer une crise c’est avoir des rôles précis pour optimiser la résolution, communiquer, alerter et obtenir de l’aide rapidement et efficacement.

Comment se préparer ?

Les référentiels SI ITIL comme l’ISO 27001 placent la gestion de crise comme moyen de gestion de la continuité; elle nécessite :

  • Définir des rôles et un casting associé : directeur de crise, directeur des opérations, responsable de la communication, gestionnaire de la main courante, responsable logistique, …
  • Organiser l’alerte : des critères de déclenchements connus de tous, des procédures pour gagner de précieuses minutes pour la suite et détecter les signaux faibles. Savoir qui et comment alerter ou demander de l’aide.
  • Organiser les moyens :
    • Un lieu et des moyens adaptés (avec des lieux de repli)
    • Des procédure et fiches reflexes (pour déclenchement, annuaire de crise, communication, …)
  • Préparer des réponses aux scénarios élémentaires (panne datacenter, coupure réseau, cryptolocker, …) et des réactions types (coupure d’internet, restauration des sauvegardes, cloisonnement réseau, …)
  • S’entrainer pour alerter, collecter, analyser, décider, communiquer, agir …

 

Et au-delà : la pédagogie de la crise

Mettre en scène la gestion de crise à tous niveaux permet de faire prendre conscience des risques et du besoin de gestion des risques à grande vitesse. Un projet de cyber challenge pour s’entrainer et partager entre établissements de santé est en préparation et j’espère le concrétiser avec nos acteurs institutionnels. Face aux menaces nous seront plus forts unis alors s’entrainer ensemble est une force pour confronter et partager les bonnes idées, pour réagir vite et s’entraider et donc … anticiper.