Cybersécurité: quelle résilience pour les soins de santé belges?

La nécessité de sécuriser en profondeur notre infrastructure numérique s’est fortement accrue ces dernières années. Des acteurs étrangers, des cybercriminels et d’autres intrus s’attaquent de plus en plus fréquemment aux systèmes informatiques de secteurs essentiels, dont les soins de santé. C’est dans ce contexte que l’Union européenne a introduit en 2023 une nouvelle directive sur la cybersécurité, qui devra être pleinement mise en oeuvre dans un délai de deux ans par toutes les institutions essentielles de notre pays. Comment la Belgique compte-t-elle s’y prendre ?

La cybercriminalité a connu ces dernières années un développement fulgurant. Là où, pour le grand public, il s’agissait, il y a une dizaine d’années, surtout d’une criminalité à petite échelle, on a affaire aujourd’hui à des organisations criminelles professionnalisées et à des acteurs étatiques hostiles. Et le fait que notre système de santé ne soit pas épargné est apparu à plusieurs reprises de manière douloureuse ces dernières années. En janvier de cette année, par exemple, l’hôpital AZ Monica a été victime d’une cyberattaque entraînant le report contraint de milliers de consultations et d’interventions non urgentes.

Un autre incident marquant remonte à mai 2022. Le groupe de hackers russes Lockbit est alors parvenu à infiltrer les systèmes informatiques du groupe de soins belge Vivalia, dérobant d’importantes quantités de données de patients et de membres du personnel.

Ce ne sont là que quelques exemples parmi une longue série d’incidents. Selon des experts en cybersécurité, les systèmes de protection numérique des établissements de soins en Europe sont quotidiennement la cible d’acteurs hostiles, ce que confirme également le World Economic Forum. Dans son analyse annuelle des risques, l’organisation qualifie les cybermenaces de l’un des plus grands dangers pour nos sociétés, et appelle à une prise de conscience accrue des risques liés à la numérisation de notre monde.

Déstabiliser le système de santé

« La cybersécurité est aujourd’hui extrêmement pertinente », confirme Wim Bijnens, CEO de l’ASBL Shield. « Depuis la période du covid, nous avons déplacé toujours davantage notre vie personnelle et professionnelle vers le monde numérique. Depuis lors, le nombre d’incidents de sécurité a augmenté, y compris dans les hôpitaux et établissements de soins belges. » Avec l’ASBL Shield, M. Bijnens se concentre sur le renforcement de la cybersécurité du secteur belge des soins de santé et de l’enseignement. Actuellement, l’ASBL collabore avec près de la moitié des hôpitaux belges pour la mise en oeuvre de la nouvelle législation européenne.

Wim Bijnens ajoute que les motivations principales de ces acteurs hostiles sont d’ordre économique ou idéologique. « Les ransomwares ou le phishing visent le plus souvent à gagner de l’argent, tandis qu’une attaque DDoS cherche à paralyser le fonctionnement d’un hôpital afin de déstabiliser le système de santé et de créer un impact sociétal. Nous constatons que plusieurs groupes se retranchent dans des pays comme la Corée du Nord et la Russie, des régimes qui adoptent actuellement une posture hostile à l’égard de l’Occident. Ils y disposent d’une grande liberté pour cibler les institutions européennes et déstabiliser nos sociétés par des cyberattaques. »

Financement de régimes autocratiques

Outre la création de troubles sociétaux, certains acteurs malveillants poursuivent également un objectif financier. Ainsi, les tristement célèbres groupes de hackers nord-coréens Unit 180 et APT38 ont diffusé, ces dernières années, à grande échelle des logiciels de rançon, qui ont pénétré les systèmes informatiques de nombreuses organisations de santé à travers le monde. Une fois infiltrés, les systèmes étaient pris en otage et devenaient inutilisables pour le personnel. Ce n’est qu’après le paiement d’une rançon qu’ils étaient « libérés ». Même le NHS britannique a été victime de hackers nord-coréens.

De cette manière, les hackers au service de Pyongyang auraient récolté, au fil des attaques, plus de cinq milliards de dollars en cryptomonnaies. Selon les experts, cette pratique constitue encore aujourd’hui une source de revenus importante pour le programme nucléaire du régime de Kim Jong-un.

L’Europe incite à l’action

En raison des nombreux incidents de sécurité survenus ces dernières années, la cybersécurité figure désormais en bonne place à l’agenda politique, y compris au niveau européen. Pour renforcer la résilience numérique des pays de l’Union européenne, l’UE a introduit en 2023 la directive NIS2, qui sera déployée progressivement jusqu’en avril 2027. Cette nouvelle directive élargit la directive NIS1 de 2016.

Un point d’attention majeur de cette nouvelle directive est que la responsabilité finale de la sécurité numérique incombe désormais aux dirigeants des hôpitaux et des établissements de soins. En cas de non-conformité flagrante, les équipes de direction peuvent donc être tenues pour responsables. En outre, une obligation de notification est introduite pour les organisations : tout incident devra être signalé aux autorités compétentes dans un délai de 24 heures.

« Pendant longtemps, la cybersécurité a été perçue comme un problème purement informatique. On déploie de nouveaux logiciels et du matériel sophistiqué, et tout ira bien. Or, la sécurité numérique englobe bien davantage, comme des procédures adéquates en cas de crise et les pratiques du personnel. La plus grande faille d’une organisation reste le facteur humain, par exemple lorsqu’une personne clique inconsciemment sur un e-mail de phishing. Sur les aspects humains et organisationnels, il y a encore aujourd’hui beaucoup de progrès à réaliser », souligne M. Bijnens.

Un exemple récent en a été fourni par une étude du bureau de recherche iVox, menée à la demande du prestataire de services de communication Doctolib Siilo, sur le partage d’informations sensibles de patients par des professionnels de santé. Les chercheurs ont constaté que près de la moitié d’entre eux partagent des informations via des canaux non sécurisés, comme WhatsApp, ce qui est contraire à la nouvelle législation NIS2.

« La législation européenne révisée crée un sentiment d’urgence et incite à l’action » - Wim Bijnens

« La législation européenne révisée crée un sentiment d’urgence et incite à l’action. En Belgique, nous ne faisons pas mauvaise figure en matière de cybersécurité, mais de nombreuses institutions peuvent bénéficier de ce coup de pouce supplémentaire. Notre pays dispose d’une infrastructure numérique étendue et bien entretenue, avec du matériel et des protections logicielles à jour, mais il existe clairement une marge d’amélioration », explique Wum Bijnens. « Pour soutenir les organisations, le Centre pour la Cybersécurité Belgique (CCB) a développé le ‘CyberFundamentals Framework’. Ce cadre traduit concrètement la directive européenne NIS2 en actions et obligations pratiques. Il permet aux institutions de vérifier plus facilement si elles sont conformes à la législation européenne. »

Afin d’évaluer les performances des organisations belges dans ce cadre, le CCB a mis en place un nouveau système de notation. En tant qu’organisation essentielle, un hôpital ou un établissement de soins devra atteindre, d’ici avril 2027, une moyenne d’au moins 3,5 sur 5. Cette évaluation ne se limite pas aux systèmes de sécurité en place, mais prend également en compte les systèmes de sauvegarde, le niveau de sensibilisation du personnel et l’existence de responsabilités clairement définies au sein de l’organisation.

« À l’heure actuelle, aucune organisation en Belgique n’atteint un score de 3,5 ou plus, ce qui signifie que nous ne sommes pas encore conformes à la législation européenne », conclut M. Bijnens. « C’est compréhensible, car cela demande beaucoup de travail à court terme. Il reste donc encore énormément à faire. »