Exercice Cyber Résilience Attaque Nationale-Santé#2019
Mercredi 15 mai 2019 a eu lieu un exercice de type incident cyber majeur impactant le secteur de la santé, ECRAN-Santé#20191.
Le ministère des solidarités et de la santé renforce ses actions d’anticipation au vu de la cybermenace actuelle et des enjeux pour la santé publique. Il a donc été décidé d’organiser un exercice de type cyberattaque sur le secteur de la santé, similaire à la cyberattaque mondiale de type rançongiciel2 qui avait paralysé une partie des établissements de santé (NHS) du Royaume-Uni en mai 2017.
Cet exercice, premier de cette ampleur, a mobilisé 9 structures représentatives du secteur : la Direction Générale de la Santé du Ministère des Solidarités et de la Santé (DGS), le Service du Haut Fonctionnaire de Défense et de Sécurité (HFDS/FSSI), la Direction Générale de l’Offre de Soin (DGOS), l’Agence Nationale de Sécurité du Médicament et des produits de santé (ANSM), l’Etablissement Français du Sang (EFS), l’ Etablissement de Transfusion sanguine Ile-de-France (ETS IdF), l’ASIP Santé, l’Agence Régionale de Santé Ile-de-France (ARS IdF), le Centre Hospitalier Universitaire Henri Mondor de Créteil (AP-HP), le Centre Hospitalier André Mignot de Versailles, l’ensemble regroupant une centaine de joueurs.
Cet exercice s’est construit sur un scénario d’attaques ancré sur les spécificités du secteur santé et s’est remarquablement bien déroulé grâce à l’implication de tous.
Cet exercice a permis notamment de tester la chaîne d’alerte et le dispositif de crise des différentes structures et tester la coordination entre la gestion SI de l’incident cyber et la gestion des impacts sanitaires, en cas d’incident cyber majeur.
Le retour d’expérience de l’exercice qui a eu lieu le 11 juin 2019, a permis d’établir un plan d’actions commun à toutes les structures sur 3 axes :
1_Gouvernance : Produire un tableau de bord annuel avec 4 indicateurs à présenter au CA et/ou en comité de direction
- Cellule de crise opérationnelle
- Exercice de crise cyber organisé régulièrement
- Plan de Continuité d’Activité (métier et numérique) à jour
- Cartographies des SI à jour
2_Organisation : Disposer de procédures d'organisation et de gestion de crise à jour, connues de tous les acteurs impliqués, accessibles et auditables
3_Ressources humaines
- Continuer de développer la sensibilisation, à l’échelle des structures de gestion de crise comme au niveau de l’ensemble du personnel des établissements
- Travailler la cohésion des équipes via séminaire/atelier de gestion de crise transversal (métier/SI)
Ce plan d’actions complète est celui que chaque structure élabore.
1 ECRAN = Exercice Cyber Résilience Attaque Nationale - Cet exercice a bénéficié du support de l’Université Paris Sorbonne qui réalise chaque année une étude avec une entreprise ou une/des administrations menée avec l’ensemble des étudiants de la promotion du Master de Gestion Globale des Risques et des Crises (GGRC).
2 Rançongiciel ou ransomware : logiciel informatique malveillant, prenant en otage les données. Le rançongiciel chiffre et bloque les fichiers contenus sur votre ordinateur et demande une rançon en échange d'une clé permettant de les déchiffrer.