Conférences et Conférenciers CNSSIS 2023
11ème Congrès National de la Sécurité des Systèmes d'Information de Santé
Nicolas VOSS - Adjoint à la cheffe du bureau Systèmes d'Information - Ministère de la Santé - DGOS
Laure DUHESME - coordinatrice sectorielle au bureau santé et affaires sociales - ANSSI
Marc LOUTREL - Directeur Expertise, Innovation et International- ANS
Conférence 2 – « Témoignage d'un établissement de santé visé par une cyberattaque et retour d'expérience des membres de l'Asinhpa dans le process de résolution de crise » - ASINHPA
Résumé de la conférence
La recrudescence des cyberattaques visant les établissements de santé a marqué l'actualité de ces dernières années. Impactantes - voire paralysantes - pour les structures de santé, la résolution des incidents de sécurité nécessite de la réactivité et mobilise beaucoup de ressources internes comme externes. Parmi elles, les prestataires de service d'hébergement sont des acteurs à impliquer au plus tôt dans la gestion de crise. Pourquoi informer son hébergeur de données de la cyberattaque ? Comment celui-ci contribue t-il à la résolution de l'incident ? Quelles sont les bonnes pratiques pour faciliter la résolution des incidents? Témoignage et retour d'expérience sous forme de discussion.
Conférence 3 – « Au cœur de la transformation du système de santé, à l’hôpital, en ville et en recherche : bonifier, partager et sécuriser la donnée » - ALCATEL-LUCENT ENTERPRISE
Résumé de la conférence
L’exploitation des données de santé se heurte aux problématiques de pertinence et d’interopérabilité des données ; ainsi qu’au casse-tête de maximiser le partage en même temps que la protection de ces données. Etant de contextes et formats variés, il faut bonifier, enrichir, transcoder ces données conformément aux standards internationaux et surtout sélectionner les données pertinentes pour chaque décision. Il faudra ensuite faire circuler ces informations relatives à des situations patients et activer des notifications avec le bon niveau de priorité de manière totalement sécurisée, aux établissements hospitaliers et médico-sociaux quelle que soit leur taille ou leur localisation.
Data/IA, Communications et Réseaux sécurisés seront au cœur de cette session animée par Keenturtle et Alcatel-Lucent Enterprise. Tous deux sont acteurs du consortium Pleeade qui s’est créé pour répondre à la problématique de faire circuler les données de santé entre Entrepôts de Données de Santé.
Conférence 4 – « Conformité numérique : Si tout commençait lors de l’achat des équipements et des services de l’hôpital ? » - CAIH
Résumé de la conférence
Entre les contraintes opérationnelles règlementaires et normatives, la sécurité de l’information et la résilience des activités de l’hôpital dépassent les frontières des directions informatiques. Les RSSI et les DPO sont sur tous les fronts, de façon transversale à l’ensemble des directions et pôles de l’hôpital. Preuve d’une maturité accrue en la matière, les enjeux de la sécurisation numérique des services et équipements de l’hôpital sont en passe d’être un élément majeur dans la sélection des candidats aux appels d’offres. Découvrez comment et pourquoi l’intégration du clausier conformité numérique du club RSSI sur l’ensemble des marchés CAIH et UniHA va accélérer la sureté de fonctionnement de nos hôpitaux.
Ingénieur de l’Ecole Centrale Lille, ancien RSSI du CHU de Lille et depuis mars 2022 RSSI du GHT (Groupement Hospitalier de Territoires) de la Côte d’Opale, qui regroupe 3 établissements (CH de Boulogne-sur-Mer, CH de Calais, et IDAC de Camiers), Guillaume DERAEDT occupe également pour une partie de son activité le poste de Directeur de la stratégie numérique pour la CAIH (Centrale d’Achat Informatique Hospitalière). Il œuvre ainsi au quotidien pour une transformation digitale maîtrisée en santé. Expert des fondements essentiels que sont la confiance des usagers et des professionnels et matière de confidentialité des données personnelles, il participe à la construction et au maintien de la confiance numérique. Une mission collaborative permanente impliquant les usagers et l'ensemble des professionnels internes et externes à l'hôpital.
Auparavant Chef de projets IT / Sécu / Telecom dans le secteur nucléaire et de formation initiale de Juriste, Régis KAMINSKI a rejoint la CAIH en 2018. Il coordonne avec Guillaume Deraedt des marchés publics à destination des établissements de santé, sociaux et médico-sociaux avec une expertise toute particulière sur la Sécurité. A ce titre, sont concernés les Accords-Cadres : Services de Sécurité Managés et Prestations associées (offre en matière de sécurité à 360 degrés permettant d’anticiper et de se préparer aux cyber-risques.), Prestations AMO en Sécurité des Systèmes d’Information et RGPD et les solutions SSI présentes au marché ELODI. En parallèle, il coordonne d’autres marchés : CAIH CLOUD / Prestations AMO / Validation des Systèmes Informatisés / Prestations et Formations Microsoft / Recueil du Consentement Patient.
Conférence 5 – « La vengeance du panda ou si vous éliminiez le premier cheval de Troie de vos structures » - FORECOMM
Résumé de la conférence
L’ensemble des structures qui assure le volet sanitaire et social, font l’objet d’incidents numériques. Toutefois il est un danger, souvent négligé, mais qui ajoute fragilités à vos systèmes d’informations. Comment dynamiser votre stratégie sur la protection de l’information et sécurité numérique, d’embarquer vos collaborateurs, créer l’adhésion et asseoir le déploiement d’un projet vous offrant sécurité, simplicité, souveraineté et sobriété.
Après une carrière au sein du ministère de la Défense en cybersécurité, Philippe LOUDENOT rejoint les services du Premier ministre où il participe à la création et met en place un service du haut fonctionnaire de défense et de sécurité. Il en est nommé fonctionnaire de sécurité des systèmes d’information (FSSI) et conseille les autorités des services du Premier ministre, juridictions autorités administratives indépendantes en matière de cybersécurité. Il rejoint ensuite les ministères chargés des affaires sociales en tant que FSSI. En 2020, il est délégué cybersécurité pour la Région des Pays de la Loire puis en 2021 la société Forecomm comme Cyber Security Strategist.
Parallèlement il est Senior Advisor du CyberCercle, membre du Club des Experts de la Sécurité de l'Information et du Numérique (CESIN), du club EBIOS, de l’Association des Réservistes du Chiffre et de la Sécurité de l’Information et membre d’honneur de l’Association Pour la Sécurité des Systèmes d'Information de Santé. Il est titulaire du brevet de natation 50m du club Mickey.
Conférence 6 – Conférence spéciale
Conférence 7 – « Données de santé : au fond, à quoi servent-elles ? » - Conférence spéciale de Coralie LEMKE
Conférence 8 – « Sensibilisation et Sécurisation des SI Biomedical & GTC/GTB » - AXIANS
Résumé de la conférence
Le nombre d’attaques utilisant les SI interconnectés dans les hôpitaux est en croissance constante et nous devons impérativement faire preuve d’une vigilance accrue en apportant une attention aux risques que représentent ces SI. Pour cela, nos équipes Axians travaillent sur un plan en trois phases autour de la sensibilisation, la sécurisation et la gestion de crises adaptée aux environnements des SI Biomédical et technique (GTC/GTB).
Notre présentation se fera en trois parties :
· Sensibilisation aux risques
· Une approche sur la sécurisation au travers d’une solution de cartographie des flux « IOT »,
· La gestion de crise avec la mise en place d’exercice d’entraînement pour préparer les équipes.
Conférence 9 – « Renforcement du soutien aux structures via les centres de ressources cyber régionaux – exemple en Pays de la Loire » - ORANGE CYBERDEFENSE
Résumé de la conférence
Le plan de renforcement cyber a permis la mise en œuvre de centres de ressources régionaux autour de la cybersécurité portés par les GRADeS. Le volet numérique du Ségur a permis leur montée en puissance pour diversifier les accompagnements et les bénéficiaires. Retour d’expérience des accompagnements portés par le centre de ressources cyber des Pays de la Loire avec l’appui d’Orange Cyberdéfense auprès de structures médico-sociales et autour de la formation des équipes IT à la détection et réaction face à un incident de type rançongiciel.
Conférence 10 – « Cybersécurité – Quels arbitrages ? Quelles stratégies d’investissements ? » - RELYENS
Résumé de la conférence
Le secteur de la santé subit quotidiennement un affaiblissement de la délivrance des soins consécutif aux cyber attaques. En tant qu’observateurs de terrain, nous mesurons les progrès qui sont amenés par les programmes institutionnels, et constatons également les difficultés des établissements à poursuivre et maintenir l’effort dans la durée.
Encore sous-estimé et méconnu, le risque cyber est moins perceptible que d’autres risques, et se voit souvent confiné dans une logique de réduction « à minima ». Par méconnaissance, les arbitrages reposent encore sur une base empirique empreinte de subjectivité, notamment sous l’influence de certains médias ou d’intérêts commerciaux qui accentuent le caractère dramatique de ces évènements. Il est temps de revenir vers une logique d’investissement raisonnable et raisonnée qui repose sur une capacité à quantifier le risque pour, au final, arbitrer les choix en fonction du meilleur retour sur investissement possible.
Après une première carrière en tant que développeur dans le monde de l'industrie, à une époque où l'on parlait encore de Minitel et de processeurs 8 bits, Christophe MILLET se tourne vers les activités de services informatiques avec l'arrivée d'Internet. Suite à l'explosion de la fameuse "bulle Internet" en 2001, il rejoint l'équipe sécurité du groupe Areva et se met au service de l'écosystème du nucléaire civil français, où il se confronte aux enjeux d'équilibre entre protection et performance de systèmes hétérogènes. Plus tard, le groupe Thales l'amènera à poursuivre sa spécialisation en sûreté de fonctionnement puis en systèmes dangereux pour le compte de fabricants industriels en France et à l’international, notamment dans le domaine des dispositifs médicaux et d'autres métiers plus exigeants.
Il œuvre actuellement en tant que Cyber Risk Manager pour le groupe Relyens et agit au quotidien pour l'amélioration de la maîtrise des risques liés à l'usage du numérique au sein des établissements de santé et acteurs sociaux.
Conférence 11a – « Sécuriser vos applications web et api avec une solution souveraine et conforme HDS … une réponse à France Santé Connect » - CLARANET
Résumé de la conférence
Quels sont les enjeux ? Quelles sont les réponses ? En quoi ces solutions soutiennent l’éco-système de la e-santé ?
Claranet, infogéreur HDS, spécialiste en cybersécurité et Ubika, éditeur de solutions de protection d’applications web labellisé ANSSI, vous présenteront leur vision sur les enjeux de la sécurité en e-santé à travers quelques cas d’usages de leur solution conjointe pour des applications critiques toujours plus agiles et ouvertes sur l’extérieur. Nous vous présenterons une démonstration en direct sur comment sécuriser facilement une application grâce à l’authentification MFA de pro-santé connect et la e-cps.
Basile HODARA - Responsable de l’offre Cyber sécurité - CLARANET.
Valentin ARTAUD - Responsable Avant-Vente - UBIKA.
Conférence 12a – Conférence spéciale
Conférence 11b – Conférence spéciale
Conférence 12b – Conférence spéciale
Conférence 13 – « Faites de vos collaborateurs le maillon fort de votre cyberdéfense ! REX du GHT Cornouaille (Quimper) » - SIGMA
Résumé de la conférence
• La conviction de SIGMA et du GHT Cornouaille, c’est que l’humain est un maillon fort de la cyberdéfense.
• Co construit avec le RSSI, les experts CYBER de SIGMA et un designer de service, le parcours de sensibilisation s’est adapté au contexte des agents et collaborateurs de ce monde hospitalier
• A travers un cheminement de 12 mois, les agents du GHT Cornouaille montent progressivement en maturité et acquièrent les bonnes pratiques
• Arnaud Meunier vient nous parler de la mise en place de ce parcours
Arnaud MEUNIER est RSSI/DPD du GHT Union Hospitalière de Cornouaille (Quimper). Il a exercé aussi bien chez les éditeurs/intégrateurs de solutions d’informatique médicales, que chez les MoA déléguées (GRADeS) et désormais GHT.
François MACHACEK est responsable de l’Offre infogérance au sein du Groupe SIGMA. Après une expérience de 9 ans en Allemagne en tant que RSI, François prend la direction du datacenter EMEA d’un grand groupe international durant 6 ans avant d’intégrer SIGMA à la tête des opérations d’infogérance. Ces 20 années d’expérience en production informatique l’ont motivé à travailler plus en amont avec ses clients afin de proposer et de co-construire des services et des solutions répondant à leurs enjeux. Durant 7 ans il développe des pôles d’expertise.
Aujourd’hui, porté par sa conviction de positionner l’Humain au cœur de nos métiers et sa soif de travailler sur des approches différentes, François approfondit la prise en compte d’un usage raisonné du Numérique.
Léo FREMAUX - Son métier est d’apporter les briques méthodologiques pour apporter un nouveau regard sur une situation, identifier les noeuds et les zones de tension et apporter les moyens d’agir aux usagers pour trouver des solutions pertinentes et adaptées.
Conférence 14 – « Pourquoi le renseignement stratégique cyber est essentiel à la protection de l’écosystème français de la santé ? » - ITRUST
Résumé de la conférence
La Cyber Threat Intelligence (CTI) est devenue aujourd'hui et des piliers fondamentaux de la cybersécurité. Traduite littéralement par « service de renseignement sur les menaces », elle a pour but de collecter et d'organiser toutes les informations liées aux menaces du cyber-espace, afin de contextualiser les événements de sécurité.
Quels sont donc les nouveaux enjeux de la CTI et en quoi est-elle déterminante pour le domaine de la santé ? C'est ce que nous vous proposons de découvrir lors de cette conférence.
Thomas BOURTHOUMIEUX - Head of Cyber Threat Intelligence ITRUST
Stéphane ROBIN - Responsable Commercial Santé ITRUST
Conférence 15 – Conférence Événement
Astronaute français actif successivement du CNES (agence spatiale française) de la NASA et de l’ESA (Agence Spatiale Européenne) pendant 33 ans, Jean-François CLERVOY est ingénieur général de l’armement en réserve, diplômé de l’École Polytechnique, de l’École Nationale Supérieure de l’Aéronautique et de l’Espace et de l’École du Personnel Navigant d’Essais et de Réception. Il effectue trois missions à bord de la navette spatiale américaine, en 1994 pour étudier l’atmosphère, en 1997 pour ravitailler la station russe MIR et en 1999 pour réparer le télescope spatial Hubble. Il est fondateur et ambassadeur de Air Zero G proposant les premiers vols paraboliques en apesanteur en Europe. JFC est aussi auteur, inventeur, et conférencier professionnel. Il est membre de plusieurs organisations oeuvrant pour la promotion de l’exploration spatiale et pour la protection de la planète.
Conférence 16 – Conférence spéciale
Conférence 17 – « Nécessité d'intégrer l'IA dans la sécurité pour faire face aux menaces cybercriminelles avancées » - PALO ALTO
Résumé de la conférence
L’objectif pour toutes les organisations, en particulier dans le domaine de la santé, est d’utiliser l’IA dans le but d’accompagner l’action humaine. Mais c’est sans penser que les bénéfices dont nous pouvons tirer de l'IA peuvent aussi servir à des fins néfastes pour les cybercriminels.
Afin de relever les défis et la vitesse d’évolution des menaces d'aujourd'hui, l'IA et le ML sont indispensables pour une sécurité efficace et doivent être axés sur le résultat ultime de la prévention. Toutes les attaques possibles doivent être accompagnées d'une analyse et d'une réponse rapide que l’humain ne peut réaliser.
Chez Palo Alto Networks, nous sommes convaincus que réussir à prévenir les menaces les plus avancées n'est qu'une question de temps.
Découvrez comment les nouveaux moteurs avancés de prévention des menaces basés sur le Machine Learning et le Deep Learning de Palo Alto Networks offrent une véritable plate-forme intégrée, où toute l'intelligence est partagée et constitue la prochaine étape de cette course contre la montre. Tempus Fugit.
Conférence 18 – « La technologie unique Trust-Centric qui permet de mettre en place un environnement sécurisé de navigation internet » - OLFEO
Résumé de la conférence
Olfeo permet à plus 1000 clients de bénéficier du plus haut niveau de sécurité grâce à sa technologie Trust-Centric, quel que soit leur secteur d’activité qu’il s’agisse d’acteurs privés comme Monoprix, d’acteurs publics comme la CNIL, ou encore des centres hospitaliers comme le GHU de Paris. L’ensemble des acteurs concurrents du secteur se contente de bloquer les contenus malveillants connus, or chaque mois plus de 13 millions d’URLs malicieux sont générés de manière éphémère. La technologie Trust-Centric d’Olfeo, à contre-pied de celle utilisée par ses concurrents bloque l’ensemble des contenus connus malicieux et les contenus inconnus de cette manière, Olfeo s’assure de sécuriser l’ensemble du trafic web. La technologie est rendue possible grâce aux 20 ans d’expérience d’Olfeo qui permet de référencer des centaines de millions d’URLs en continu couvrants 99,5 % des requêtes en entreprise, réparties en 100 catégories et 9 thèmes. En utilisant Olfeo vous avez la garantie de bénéficier d’une expertise juridique pour protéger votre entreprise sur le plan légal et juridique. De plus Olfeo met vos collaborateurs au cœur de votre système de défense cyber en les sensibilisant pour qu’ils deviennent des piliers de votre protection à travers notre offre Olfeo Awereness.
Frédéric NAPOLEONE a fait toute sa carrière dans des fonctions commerciales au sein d’éditeurs de logiciels de premier plan, en particulier sur le secteur de la sécurité. Il manage et anime l’ensemble des équipes commerciales chez Olfeo: Channel, chasse et relation client. Spécialiste de la vente indirecte, il s’appuie sur sa connaissance du marché de la Cybersécurité et des réseaux de partenaires (intégrateurs et distributeurs) pour accélérer notre croissance sur ce marché et positionner Olfeo comme un acteur incontournable de la Cybersécurité en France et en Europe.
Conférence 19 – « La Santé à l’heure de la cybersécurité : et l’OT dans tout ça ? » - STORMSHIELD
Résumé de la conférence
La cybersécurité s’envisage systématiquement du point de vue IT, mais dans un hôpital, tout un pan de la surface d’attaque réside aussi au niveau des réseaux opérationnels, dit OT ou encore plus spécifiquement SITH (Systèmes d’Information Technique Hospitalier). Ventilation, distribution d’eau et d’énergie, ascenseurs, sécurité incendie, installations de sureté… tous ces éléments constituent une part de ces réseaux opérationnels et sont autant de systèmes d’information critiques, essentiels au quotidien des hôpitaux. Comment les identifier et les cartographier ? Quels sont les risques cyber et les impacts ? Quelles bonnes pratiques mettre en œuvre ? Éléments de réponse dans notre conférence.
Vincent NICAISE est en charge du développement des partenariats commerciaux et technologiques dans le domaine de l’OT avec les acteurs de l’automatisme et de la cybersécurité pour Stormshield. Vincent a auparavant contribué à la construction d’une offre de cybersécurité pour l’IoT au sein d’Atos et a développé l’activité commerciale d’une start-up pour une sonde de détection dédiée aux systèmes industriels. Son parcours professionnel lui a permis de travailler durant plus de 20 ans dans l’édition de logiciel dont 14 ans dans le domaine de la cybersécurité.
Conférence 20 – « Chemin de modernisation des infrastructures de cybersécurité dans un établissement support de GHT : retour d’expérience avec le CH de DUNKERQUE » - FORTINET
Résumé de la conférence
Le CH de Dunkerque est l’établissement support du GHT du Dunkerquois et de l'Audomarois. Cet atelier sera l’occasion de partager le retour d’expérience d’un établissement de santé qui avait engagé un plan de modernisation de la cybersécurité avant la pandémie et a dû adapter ce programme face aux nouveaux impératifs. L’intervention abordera notamment les questions de domaines de sécurité, de gestion du changement et de gouvernance au sein de l’établissement et dans un GHT qui s’organise.
Responsable Sécurité des Systèmes d’Informations au CH de Dunkerque, Laurent BASSET dispose d’une formation d’Architecte de Système d’Information qui lui apporte une vision globale des problématiques techniques, organisationnelles de systèmes complexes. Sa formation de Responsable de Communication lui permet également d'envisager l'information comme un outil de management au service de la stratégie de l'entreprise. Dans le domaine des SI de santé depuis près de 30 années, il travaille en tant que RSSI, évalue la vulnérabilité du SI, met en place des solutions pour garantir la disponibilité, la sécurité et l'intégrité de système d'information et des données, et assure la mise en œuvre de la Politique de Sécurité du SI.
Conférence 21 – Conférence spéciale
Conférence 22 – « Blockchain en santé : regards croisés juridiques et techniques »
Maître Marguerite BRAC DE LA PERRIÈRE, avocat associé chez LERINS & BCW, a une activité dédiée au secteur de la santé et des nouvelles technologies. Elle conseille des groupements de coopération sanitaires, des autorités, des établissements de santé, des éditeurs, des hébergeurs, des groupes de grande consommation, des mutuelles et assurances ainsi que des startups, principalement en matière de :
• protection des données à caractère personnel
• partage et d’échange des données
• hébergement des données de santé
• télémédecine
• objets connectés
• et contrats informatiques et de licence
Cédric CARTAU est RSSI et CIL au CHU de NANTES, et est chargé de cours à l’Ecole de Hautes Etudes en Santé Publique (EHESP). Il réalise également des audits de systèmes d’information (www.siconcept.fr) pour le compte d’établissements publics ou privés dans différents secteurs d’activité. Il collabore régulièrement à DSIH et a publié les ouvrages suivants :
- La sécurité du système d’information des établissements de santé, Presses de l’EHESP, 2012
- Guide pratique du système d’information, Presses de l’EHESP, 2013
- Stratégies du système d’information, vers l’hôpital numérique, Presses de l’EHESP, 2014
- L’informatique d’entreprise au quotidien, Presses de l’EHESP, 2014
- L’informatique de santé, coauteur, Eyrolles, 2015
- La sécurité du système d'information des établissements de santé, presses de l’EHESP, 2018