Les cyberattaques se multiplient et ne s’arrêtent plus aux portes du système d’information. Elles touchent désormais tout l’écosystème d’une organisation, de ses prestataires à ses usagers. Repérer les signaux faibles, anticiper et décider vite suppose une organisation pensée bien avant la crise.
Par Mabrouk Zouareg, conseiller en gestion des risques stratégique, et Elodie De Vreyer, conseillère en communication de crise et réputation, ZDB Conseil.
« Vous avez été sélectionné. » Cet été, des milliers de personnes inscrites sur Doctolib ont reçu un mail les invitant à commander dans les plus brefs délais un kit médical offert par la plateforme. Ce message affichant le logo de Doctolib menait vers un site où les internautes étaient invités à saisir leurs données personnelles. Une classique campagne de phishing (hameçonnage) où un escroc usurpe l’identité d’une société ou d’une institution reconnue pour subtiliser informations personnelles et numéros de carte bancaire. À la même période, plusieurs mutuelles étaient affectées par une cyberattaque ayant touché leur éditeur informatique CIM, fournisseur de logiciels pour le secteur de l’assurance-prévoyance.
Doctolib et CIM illustrent deux formes différentes d’un même problème de détection. Dans le premier cas, l’organisation est directement ciblée par une usurpation qui ne compromet pas son système informatique, mais son image et la confiance de ses usagers. Dans le second, celui de CIM, filiale d’Orisha Insurance victime d’une cyberattaque fin juillet, le risque ne vient pas de l’organisation elle-même mais d’un prestataire dont plusieurs mutuelles dépendaient pour leurs outils métiers.
Ces deux exemples récents illustrent la hausse des risques liés à un écosystème numérique de plus en plus interconnecté. La menace, désormais, ne se situe plus uniquement dans les murs de l’organisation. Il circule aussi dans son écosystème numérique, celui de ses prestataires, de ses bénéficiaires, jusque dans les boîtes mail de ses professionnels et de ses usagers. Que le signal vienne de l’intérieur (Doctolib) ou d’un tiers (CIM), la difficulté est la même : pour les directions, la question n’est plus seulement de savoir si l’établissement dispose d’une bonne protection informatique. Elle est d’anticiper pour détecter les signaux faibles, les partager et décider avant que l’incident ne devienne une crise. Exemples : une augmentation progressive des temps de latence (temps de repos des requêtes), des micro-coupures réseau, la saturation lente des espaces de stockage, des connexions hors horaires habituels ou des consultations de répertoires atypiques (un compte accueil qui consulte des fichiers sans rapport avec ses tâches habituelles).
La cybermenace est devenue un risque organisationnel
Les chiffres de l’Observatoire 2025 du CERT Santé (Computer Emergency Response Team, l’équipe d’intervention d’urgence informatique de l’Agence du Numérique en Santé) le confirment. L’an dernier, 764 incidents de sécurité ont été déclarés, concernant 606 structures. C’est un chiffre quasiment stable par rapport à 2024, mais qui installe durablement la menace dans le paysage sanitaire. Le visage de cette dernière change : les attaques par rançongiciel reculent de 30 %, tandis que les compromissions de comptes, les fuites de données et certaines formes d’escroquerie progressent.
Cette évolution compte pour les directions, car le risque cyber ne se résume plus au scénario spectaculaire du système informatique entièrement paralysé. Il peut commencer par un compte compromis, un fournisseur attaqué, une vulnérabilité connue mais non corrigée, un message frauduleux ou une information détournée. Autrement dit, la première difficulté peut être moins technique qu’organisationnelle.
Quatre étapes, de la veille à l’action
Qu’ils concernent directement ou indirectement l’établissement, les signaux faibles appellent la même organisation en aval, structurée en quatre temps.
1 > Repérer.
Qui surveille en continu les signaux faibles, qu’ils viennent d’une alerte technique, d’une campagne de phishing usurpant l’établissement, ou d’un incident touchant un partenaire ? Plusieurs dispositifs existent selon la taille et les moyens de la structure. Première possibilité : une cellule interne associant le responsable de la sécurité des systèmes d’information (RSSI), les référents métier et communication. La mutualisation de la veille à l’échelle du groupement hospitalier de territoire est une autre solution, de même qu’un adossement direct au CERT Santé. Celui-ci assure une astreinte accessible 24h/24 et 7j/7 pour les urgences et une prise en charge en heures ouvrées via le portail national de signalement.
A ce dispositif de veille s’ajoute une cartographie des dépendances tierces, sans laquelle un incident comme celui de CIM ne peut tout simplement pas être anticipé. La DSI y recense les accès techniques et les flux de données par prestataire, les achats et le juridique vérifient l’existence de clauses de sécurité dans les contrats, et les métiers évaluent la criticité réelle de chaque outil pour la continuité des soins ou des prestations. Cette cartographie n’a de valeur que si elle est actualisée au rythme des renouvellements de contrats et de l’évolution du parc applicatif.
2 > Qualifier.
Une fois le signal repéré, il doit être qualifié techniquement. C’est le rôle du RSSI ou de la DSI, qui évalue la nature de la menace, son origine possible et son degré de vraisemblance.
3 > Décider.
La qualification technique doit ensuite déboucher sur une décision de niveau de criticité, portée par la direction générale en lien avec le RSSI. En clair, s’appuyer sur un référentiel commun d’intervention (RCI), répertoriant les différents niveaux d’intervention possibles selon le degré d’urgence et en lien avec le plan de continuité d’activité (PCA). Exemple : le référentiel commun d’organisation du secours à la personne et de l’aide médicale urgente qui a pour objet la prise en charge des urgences préhospitalières.
Ce cadre doit permettre de répondre aux questions centrales : faut-il alerter les professionnels, les patients, les adhérents ou les partenaires ? Faut-il déclencher une cellule de crise ? Celle-ci doit réunir au minimum la direction, la DSI, la communication, les affaires juridiques ou la protection des données, et une représentation médicale.
4 > Agir et communiquer.
C’est la dernière étape : qui assure la continuité de l’activité en mode dégradé, qui prend la parole en interne comme en externe, et qui entretient le lien avec les autorités et partenaires concernés (CERT Santé, ARS, le cas échéant CNIL ou forces de l’ordre) ? Le guide de l’ANSSI consacré à la communication de crise cyber insiste sur la nécessité d’intégrer cette organisation à une cellule de gestion de crise identifiée à l’avance, et non improvisée le jour de l’incident.
Cette chaîne ne peut pas reposer uniquement sur la DSI. Elle implique nécessairement la direction générale, la communication, les métiers, la protection des données et la gestion des risques. La DSI n’en est que le maillon technique, certes indispensable pour la qualification initiale.
Tester l’organisation, pas seulement la décrire
Décrire cette chaîne sur le papier ne suffit pas à garantir qu’elle tiendra le jour où elle sera sollicitée. Cette organisation doit être testée. Une procédure connue sur le papier peut se révéler beaucoup plus fragile lorsqu’une attaque survient un vendredi soir, qu’un prestataire ne répond plus, que les outils métiers deviennent indisponibles et que les premières demandes des médias ou des patients arrivent. La préparation à la crise cyber rejoint alors les fondamentaux de toute gestion de crise, à savoir anticiper, coordonner, décider et communiquer.
De la cybersécurité à la résilience
Le secteur de la santé a déjà engagé cette évolution, et il dispose désormais de leviers concrets pour la structurer. Le programme national CaRE (Cyberaccélération et Résilience des Établissements), lancé fin 2023 par le ministère de la Santé et piloté par l’Agence du Numérique en Santé, avait engagé en février dernier 120 millions d’euros pour accompagner les établissements sanitaires et médico-sociaux dans le renforcement de leur sécurité opérationnelle grâce à des audits techniques, des plans de continuité et de reprise d’activité, des exercices de gestion de crise.
En parallèle, le référentiel de certification de la Haute Autorité de Santé intègre depuis septembre 2025 un critère dédié, le 3.6-02, qui évalue explicitement la maîtrise des risques de sécurité numérique : système d’information sécurisé, plan de continuité d’activité et sensibilisation de l’ensemble des professionnels.
Le sujet n’est plus de convaincre les directions que le risque existe. Il est désormais de faire de la veille un processus permanent d’organisation, connecté aux décisions stratégiques et opérationnelles, et adossé à des dispositifs nationaux déjà disponibles.
Dans la santé, une cyberattaque peut devenir en quelques heures une crise de continuité des soins, une crise sociale, une crise de confiance et une crise médiatique. La meilleure réponse ne commence donc pas nécessairement le jour de l’attaque. Elle se prépare bien en amont.
———————————————————————————————
Lire les précédents épisodes :
- État de crise – Épisode 1 > Plan Bleu : sur crises surprises !
- État de crise – Episode 2 > Cybermenace : pourquoi la gouvernance compte autant que les pare-feu