Malheureusement, les cybercriminels sont pleinement conscients du rôle essentiel que jouent ces technologies. Les établissements de santé restent des cibles privilégiées pour les rançongiciels, les logiciels malveillants et d'autres cyberattaques susceptibles de perturber les activités, de compromettre des informations sensibles sur les patients et même de retarder des soins vitaux.
Les cyberattaques visant les systèmes de santé ont augmenté de 21 % en 2025 seulement et continuent de progresser à l'échelle mondiale. Les logiciels et systèmes hérités qui ne sont pas régulièrement mis à jour figurent parmi les menaces les plus sérieuses pour la cybersécurité hospitalière. Bon nombre de ces attaques réussissent en exploitant des logiciels obsolètes, des dispositifs médicaux non pris en charge ou des mises à jour de sécurité retardées.
Comment les hôpitaux peuvent-ils protéger leurs systèmes et équipements contre les cyberattaques ?
Réduire le risque de cyberattaque dans les hôpitaux exige davantage qu'une simple réaction aux menaces lorsqu'elles apparaissent. Les établissements de santé ont besoin d'une stratégie proactive fondée sur la gestion du cycle de vie des technologies, renforçant à la fois les systèmes, les processus et les partenariats avec les fournisseurs.
Voici trois domaines prioritaires sur lesquels les organisations de santé peuvent s'appuyer pour mieux protéger leurs systèmes et préserver leur résilience opérationnelle.
1. Gérer le cycle de vie des équipements
Maintenir les équipements médicaux et les logiciels à jour est l'un des moyens les plus efficaces de réduire les vulnérabilités de cybersécurité. Les systèmes hérités qui fonctionnent avec des systèmes d'exploitation non pris en charge ou des logiciels obsolètes deviennent de plus en plus difficiles à sécuriser au fil du temps, créant ainsi des opportunités pour les cyberattaquants.
Les hôpitaux devraient :
- Élaborer des plans progressifs de remplacement des équipements en fin de vie fonctionnant avec des logiciels non pris en charge.
- Intégrer des exigences de maintenance à long terme et de prise en charge des correctifs de sécurité dans les contrats d'achat.
- Prévoir des budgets dédiés aux mises à niveau régulières des technologies afin de garantir la sécurité, la fiabilité et la conformité.
En planifiant le renouvellement des technologies plutôt qu'en réagissant aux défaillances des équipements, les hôpitaux peuvent limiter les interruptions tout en réduisant durablement les risques de cybersécurité.
2. Améliorer la gestion des correctifs de sécurité
Les correctifs de sécurité sont conçus pour corriger les vulnérabilités connues avant qu'elles ne puissent être exploitées. Toutefois, le déploiement des mises à jour dans un environnement hospitalier nécessite une planification rigoureuse afin d'éviter toute interruption des activités critiques.
Les hôpitaux peuvent renforcer leur gestion des correctifs en :
- Priorisant les mises à jour des systèmes ayant le plus fort impact sur les soins et la sécurité des patients.
- Utilisant des outils de surveillance automatisés pour identifier les appareils et logiciels non mis à jour.
- Testant les mises à jour dans des environnements de préproduction avant leur déploiement dans les systèmes opérationnels.
- Planifiant les opérations de maintenance pendant les périodes de faible activité afin de réduire les perturbations.
- Mettant en œuvre des mesures de protection temporaires (virtual patching) pour réduire les risques jusqu'à la disponibilité des correctifs officiels.
Un programme structuré de gestion des correctifs permet aux hôpitaux d'anticiper les menaces émergentes tout en maintenant la stabilité de leurs systèmes.
3. Renforcer la responsabilité des fournisseurs
La cybersécurité ne relève pas uniquement des équipes informatiques internes. Les fabricants de dispositifs médicaux, les éditeurs de logiciels et les prestataires de services tiers jouent tous un rôle essentiel dans la sécurisation des environnements de santé.
Les hôpitaux devraient définir des attentes claires en :
- Exigeant des fournisseurs qu'ils respectent des délais précis pour la livraison des correctifs de sécurité et des mises à jour logicielles.
- Encadrant les prestataires tiers au moyen d'accords de service complets.
- Vérifiant la conformité des fournisseurs aux réglementations applicables en matière de cybersécurité et aux normes de sécurité du secteur de la santé.
- Imposant des contrats de maintenance et de gestion logicielle ainsi que des cahiers des charges (Statements of Work) afin de renforcer la responsabilité et la transparence.
- Limitant l'accès des fournisseurs à des canaux de communication sécurisés et surveillés.
- Conditionnant le renouvellement des contrats à la fourniture continue d'un support de sécurité et à une maintenance logicielle réalisée dans les délais requis.
Des partenariats solides avec les fournisseurs contribuent à garantir que les responsabilités en matière de cybersécurité restent clairement définies tout au long du cycle de vie des technologies.
