Rançongiciel un week-end : continuité des soins, notifications et reconstruction

Déclenchement. J'active la cellule de crise (directeur, directeur des soins, président de la CME, DSI, cadre de permanence, sécurité, communication, ARS pour information) et je nomme un directeur des opérations unique : en situation de crise, la décision doit être traçable.

Mesures techniques immédiates.

• Isoler les segments atteints, bloquer les flux sortants, désactiver les comptes compromis, changer les mots de passe à privilèges.
• Ne pas éteindre les serveurs : la mémoire vive contient des éléments utiles à l'analyse. Faire une copie des journaux et une image des machines critiques.
• Ne pas payer la rançon : recommandation constante des autorités, et rien ne garantit la restitution. Je ne prends aucune position définitive sans l'avis de l'assureur et de l'autorité.
• Contacter immédiatement le CERT Santé pour l'assistance à la gestion de crise et solliciter un prestataire de réponse à incident via l'assurance cyber, en procédure négociée pour urgence impérieuse à défaut de marché.

Continuité des soins, décision par décision.

1. Urgences et réanimation : maintien avec procédures dégradées papier (identitovigilance, ordonnances, feuilles de température), listes de patients imprimées la veille si possible, circuits de résultats de laboratoire téléphonés.
2. Imagerie : bascule vers l'établissement voisin du groupement hospitalier de territoire pour les examens urgents, avec accord formalisé et transport organisé ; examen sans accès au dossier antérieur est un risque à documenter.
3. Programme opératoire de lundi : maintien des urgences et de la cancérologie (6 interventions), report des interventions non urgentes avec information individuelle des patients et réévaluation médicale. Toute annulation est une décision médicale, pas une décision informatique.
4. Consultations externes : annulation des 1 200 rendez-vous avec information par tous les canaux disponibles, dont un prestataire externe pour les notifications.
5. Communication : un seul porte-parole, un élément de langage factuel (établissement victime d'une attaque, soins assurés, patients informés), aucune spéculation sur l'origine ou sur les données touchées.

Autorités et délais.

• Autorité nationale en matière de sécurité numérique en santé : signalement immédiat de l'attaque, demande d'assistance et de qualification de l'incident.
• ARS : information sans attendre, car l'incident affecte la continuité de l'offre de soins et peut nécessiter des transferts ou un déroutement ; l'ARS peut mobiliser les solidarités territoriales.
• Commission nationale de l'informatique et des libertés : le chiffrement des serveurs constitue une violation de données personnelles par perte de disponibilité, et probablement de confidentialité. La notification doit être faite dans les 72 heures, avec la nature de la violation, les catégories et volumes de données concernées, les conséquences prévisibles et les mesures prises. Si un risque élevé subsiste pour les personnes, elles doivent être informées directement. Je tiens un registre des violations.
• Dépôt de plainte : accès frauduleux à un système de traitement automatisé de données et extorsion ; la plainte conditionne souvent l'intervention des services enquêteurs et sécurise la position de l'établissement.
• Assureur : déclaration de sinistre dans les délais du contrat, avec désignation d'un expert ; c'est lui qui financera la réponse à incident et évaluera l'opportunité d'une éventuelle négociation.

Données de santé : le point le plus sensible. J'identifie avec la DSI et le délégué à la protection des données quelles bases étaient hébergées localement et lesquelles relevaient du tiers certifié hébergeur : la répartition des responsabilités conditionne les notifications. Les données de santé sont une catégorie particulière : la communication doit être précise sur ce qui est concerné et ne pas rassurer à tort. Les patients dont les données sont potentiellement exposées doivent être informés en des termes compréhensibles, avec un point de contact.

Ce que je ne fais pas. Communiquer sur le contenu des dossiers, minimiser (« aucune donnée n'a été exfiltrée ») avant l'analyse, ou diffuser des éléments techniques qui aideraient l'attaquant ou inquiéteraient sans utilité.

Diagnostic de vulnérabilité (les causes sont organisationnelles autant que techniques).

• Sauvegardes non testées depuis quatorze mois, dont deux jeux stockés sur un serveur accessible en ligne : la règle des trois copies, deux supports, une hors site, dont une copie hors ligne ou immuable, n'était pas respectée.
• Absence de responsable de la sécurité des systèmes d'information à temps plein et de marché de réponse à incident : le premier réflexe a été de improviser un prestataire.
• Absence d'exercice de crise : la continuité papier existe sur le papier et n'a pas été testée.
• Probable absence de double authentification et de cloisonnement des comptes à privilèges, sans préjuger de l'analyse en cours.

Plan d'action, avec chiffrage indicatif et calendrier.

1. Court terme (0-3 mois) : audit de sécurité, double authentification sur les accès distants et d'administration, cloisonnement réseau, inventaire des comptes à privilèges, sauvegardes isolées et test de restauration mensuel documenté, procédures de mode dégradé imprimées et diffusées dans chaque service. (150 à 300 k€)
2. Moyen terme (3-12 mois) : marché de réponse à incident et d'astreinte, responsable de la sécurité mutualisé au niveau du groupement hospitalier de territoire, schéma directeur du système d'information avec priorisation des services critiques, homologation de sécurité et politique de sécurité des systèmes d'information opposable. (300 à 600 k€ sur trois ans)
3. Facteur humain : sensibilisation et campagnes de simulation d'hameçonnage, exercice de crise annuel incluant la continuité papier et la communication de crise.

Financement. Appui sur l'assurance cyber et sur les crédits du schéma directeur, demande de soutien fléché à l'ARS au titre de la sécurisation, et mutualisation au niveau du groupement pour les compétences rares. Le coût est à mettre en regard du préjudice subi : déprogrammation, perte de recettes d'activité, heures supplémentaires, expertise et image.

Pilotage. Rapport au directoire puis au conseil de surveillance, suivi d'indicateurs simples : taux de sauvegardes testées avec succès, part des comptes à privilèges nominatifs, taux de couverture de la double authentification, délai de détection, nombre d'exercices réalisés. Sans ces indicateurs, le plan restera une déclaration d'intention.