Actualités de l'Urgence - APM

RENNES, 28 septembre 2023 (APMnews) - Intervenant lors d'un événement en marge de la semaine européenne de la e-santé mercredi, la directrice générale du CHU de Rennes, Véronique Anatole-Touzet, est revenue sur la cyberattaque qui a touché son établissement en juin et "l'autarcie" qui s'est ensuivie, avec une coupure de la connexion internet, toujours en cours.

Tout a débuté le 21 juin à 16h avec une "alerte au comportement suspect" lancée par la direction des services numériques à la direction des systèmes d'information (DSI) (cf dépêche du 23/06/2023 à 12:40). "On était considéré comme plutôt prêt" mais "le risque zéro n'existe pas", a constaté Véronique Anatole-Touzet, qui a précisé que l'attaque était arrivée par un compte de télémaintenance d'un logiciel métier.

Il s'agissait de la deuxième attaque de CHU en quelques mois, après celui de Brest en mars (cf dépêche du 27/09/2023 à 15:55), a souligné Elise Noguéra, directrice générale de l'agence régionale de santé (ARS) Bretagne, présente lors de l'événement.

"Le premier réflexe a été de couper internet", a relaté la directrice du CHU. Là "a débuté une autarcie de plusieurs semaines, et qui dure encore un peu aujourd'hui".

Cette coupure, intervenue rapidement, était "un impératif pour préserver l'essentiel" et de fait, "aucune fonction majeure n'a été impactée: le bloc fonctionnait, la réanimation fonctionnait…", s'est félicitée la directrice.

Certaines fonctions de géolocalisation pour les équipes des services d'urgence Smur et Samu ont été affectées, ce qui a eu une importance le soir de la Fête de la musique, a souligné le directeur du Samu de Rennes, Louis Soulat, qui assistait à l'événement. Ses services, "coupés du monde", ont toutefois pu fonctionner grâce au dispositif prévisionnel de secours (DPS), a-t-il précisé.

Le soutien de l'Agence nationale pour la sécurité des systèmes d'information (Anssi) et du CERT (Computer Emergency Response Team) Santé a été "essentiel", a salué Véronique Anatole-Touzet. "J'ai appelé à minuit et demi personnellement des référents Anssi pour qu'ils viennent sur place" car "il était important pour le DSI d'avoir un avis externe", a-t-elle relaté.

1.200 serveurs à sécuriser avant de retrouver internet

Les démarches auprès du parquet spécialisé de Paris ont été réalisées "dans les 24 heures", "aussi pour se protéger des éventuelles suites de la cyberattaque".

La prise en charge n'a pas été affectée, en dehors des applications connectées à internet et hébergées en dehors du CHU, telles que Doctolib, la reconnaissance vocale pour la constitution des dossiers patients, les coordonnées des praticiens et l'accès aux mails.

Ces services ont été rétablis "dès le 26-27 juin". La téléconsultation et la télé-expertise ont, elles, pu être remises en place en septembre. "On n'a toujours pas internet", parce qu'il "faut reprendre tous les serveurs en termes de sécurisation", a expliqué Véronique Anatole-Touzet. Le CHU compte 1.200 serveurs et 360 applications. "Il a fallu changer tous les mots de passe", a-t-elle aussi souligné.

La dirigeante a mis en avant deux enjeux: d'abord celui des ressources humaines, avec une difficulté de recruter et fidéliser des ingénieurs système. "Un ingénieur système est parti et ça a déstabilisé l'équipe", a-t-elle illustré.

L'autre enjeu est celui de la communication, "essentielle" en interne "comme en externe". "On a immédiatement communiqué à tous les professionnels de santé, sur les réseaux sociaux aussi pour rassurer les patients sur la prise en charge." Une conférence de presse a été organisée 24 heures après la cyberattaque.

Par la suite, de "fausses informations ont été publiées" sur la diffusion de données volées sur le darkweb. "Il était très important d'informer les patients sur le risque de diffusion" de leurs données, ainsi que les professionnels de santé, dont des informations tels que les bulletins de salaires ont été volés.

La dirigeante retient "deux leçons": il faut "engager des plans de sécurisation y compris dans des contextes budgétaires difficiles pour l'hôpital" et "sensibiliser les professionnels et patients à l'usage du numérique et à la protection des données".

mjl-lc/ab/APMnews