Actualités de l'Urgence - APM

Le dispositif Orsan est en cours de mise à jour dans le contexte de préparation des Jeux olympiques (du 26 juillet au 11 août 2024) et paralympiques (du 28 août au 8 septembre 2024), sur l'ensemble de ses volets (événement climatique exceptionnel, arrivée massive de victimes, risques NRBC, etc.).

Pour la région parisienne, où seront concentrés la majorité des événements, il sera enrichi d'un volet cyber, ont indiqué le directeur de l'innovation de l'ARS, Julien Marchal, et le directeur adjoint de la veille et de la sécurité sanitaire, Damian Mathey, lors de la journée e-santé organisée par le Grades à Paris.

Sont particulièrement concernés les 71 établissements de santé identifiés comme "en première ligne" pendant l'événement, et 12 établissements "prioritaires" du fait de leur proximité des sites. Ils bénéficieront d'un "accompagnement très opérationnel et immédiat", dont des exercices de crise et des tests.

Par ailleurs, trois hôpitaux de l'Assistance publique-hôpitaux de Paris (AP-HP) ont été définis comme "référents" pour les JOP: Bichat (Paris) pour les athlètes, Avicenne (Bobigny) pour les médias, et l'hôpital européen Georges Pompidou (HEGP, Paris) pour la "famille olympique".

Le plan Orsan cyber prévoit une réorganisation de l'offre de soins en cas de cyberattaque sur un établissement, avec le maintien d'une activité minimale, un appui aux établissements victimes pour gérer la crise et restaurer un minimum de capacités du système d'information (SI), et des leviers de mise en œuvre déjà connus dans la cybersécurité (formations, exercices, etc.).

Les établissements devront réaliser des audits, mettre en œuvre des mesures techniques et être dotés d'une capacité de détection et de réponse "dès la première" occurrence d'un incident informatique, a indiqué Jéromine Lemaire, chargée de mission pour la gestion de crise cyber et la préparation des JOP à l'ARS.

Les sept régions accueillant les JOP comptent 220 établissements "critiques" du point de vue cyber, rappelle-t-on (cf dépêche du 27/09/2023 à 19:29).

19 actions dans le plan de résilience

Le plan de résilience a été élaboré par Sesan avec des établissements sanitaires et médico-sociaux et des libéraux à la suite des attaques qui ont affecté les hôpitaux de Corbeil-Essonnes et Versailles fin 2022, a expliqué le directeur du département sécurité des systèmes d'information du Grades, Rémi Tilly.

Ce groupe de travail a identifié 19 actions pour "prévenir, détecter, réagir et restaurer" le SI d'un hôpital ou d'une structure cyberattaquée. "Quand on parle de résilience, c'est bien celle du SI, pas de l'établissement", a-t-il souligné, rappelant que les établissements de Corbeil-Essonnes et Versailles ont continué à fonctionner pendant l'attaque.

Les actions identifiées seront mises en œuvre en 2024.

Pour la prévention, le plan prévoit entre autres de la sensibilisation, des tests de phishing et des quiz.

Pour "réagir", il s'agit notamment de créer un "point de contact unique" disponible en permanence pour les structures attaquées, d'élaborer un "modèle d'organisation de crise", une "mallette virtuelle" composée d'éléments permettant de s'organiser, notamment pour la communication interne et externe, un "coffre-fort numérique" rassemblant des "éléments essentiels" tels que les coordonnées des personnels à rappeler en cas besoin.

Côté "restaurer", le plan prévoit un "répertoire de compétences mobilisables" reposant "sur la solidarité régionale, avec des profils pouvant intervenir en secours", des "malles techniques" composées d'équipements permettant un redémarrage minimal du SI, et un "stock de matériel régional" composé de 400 ordinateurs "disponibles immédiatement".

Enfin, pour "maintenir" en conditions de sécurité, il prévoit la poursuite des exercices cyber, "au moins un par an", et l'appropriation des kits PCA/PRA (plan de continuité d'activité/ plan de reprise d'activité) élaborés par l'Agence du numérique en santé (cf dépêche du 28/09/2023 à 10:53).

Le groupe de travail a identifié "trois grandes phases dans la crise" à laquelle le plan de résilience vise à répondre: le "mode dégradé", qui dure trois jours après l'attaque, la "restauration des services critiques" pendant trois semaines, et le redémarrage du reste du SI, pendant trois mois.

"On pourrait y ajouter les trois premières heures, c'est la sidération", d'où l'intérêt des exercices de crise, a souligné Rémi Tilly, et "les trois prochaines années, pour reconstruire un SI stable".

lc/ab/APMnews