Accueil / Les articles WELIOM / ASSURER LE SERVICE À L’USAGER FACE À UNE CRISE CYBER

ASSURER LE SERVICE À L’USAGER FACE À UNE CRISE CYBER

Le Panorama de la cybermenace 2022, publié par l’ANSSI, fait état d’une « multiplication des cas d’attaques par rançongiciels, particulièrement à l’encontre des collectivités territoriales et des établissements de santé ».

Et en ce début d’année, la tendance ne semble pas fléchir. La question n’est donc pas qui sera touché mais quand. Cette mise sous tension des SI nécessite une forte résilience des organisations : se préparer pour mieux réagir.

Entretien avec Xavier Jung, consultant WELIOM

La cellule de crise

« Gagner en sérénité passe par de l’anticipation et des exercices de simulation visant à se mettre en situation pour mieux réagir, positionner le top management en sponsor averti, définir les rôles et responsabilités à activer au sein de la cellule de crise, apprendre à communiquer à bon escient ou encore établir des routines »

Xavier Jung

Car une fois la phase de sidération passée, une cyberattaque dans un établissement de santé est avant toute chose une crise organisationnelle : perte des repères, travail à l’aveugle, retour au papier, canaux de communication usuels (téléphonie, internet…) coupés ou défaillants… « La cellule de crise doit permettre de minimiser les conséquences organisationnelles entrainées par l’attaque. Elle devra communiquer, proposer des solutions techniques, réorganiser… Son rôle est fondamental ».

Attention, toutefois, chaque établissement devra se poser la question des acteurs à rassembler autour de la table et réfléchir aux rôles et aux responsabilités de chacun. « Car s’il y a des grandes lignes (l’intégration des directions métiers, RSSI, DSI au sein de la cellule), il n’y a pas de standard : la cellule de crise doit être pensée et construite en adéquation avec la taille, la maturité et l’architecture du SI de l’établissement. Un hôpital local n’aura pas à sa disposition les mêmes ressources et la même répartition de responsabilités qu’un établissement support de GHT… »

La mise en situation

Construire sa cellule de crise est une première étape. La tester, c’est encore mieux ! « Notre expérience du terrain nous a permis d’élaborer des exercices de simulation se développant autour 3 étapes : briefing et construction de l’exercice avec les participants, mise en œuvre des stimuli et observation des réactions, évaluation de l’exercice suivant 6 critères : méthodologie de gestion de crise, organisation de la cellule, prise de décision, réponse technique, compétences de gestion de crise de la cellule ainsi que la réponse métier qui permettra d’assurer le service à l’usager face à cette crise cyber. “

La continuité de service

Les derniers exemples de cyberattaques ont démontré les répercussions d’un SI à l’arrêt sur la prise en charge : indisponibilités des données et des applications portées par le système d’information, machines de soins qui fonctionnent mais pas leur mise en réseau, voire dans certains cas, transferts de patients lourds vers un autre établissement. Il faudra, pour mettre en œuvre cette réponse métier, que les services essentiels soient bien identifiés. “Lorsque l’on parle de services essentiels”, précise Xavier Jung, “il s’agit ici d’identifier ceux ayant un impact fort sur la prise en charge des patients tant au niveau des services de l’hôpital (réanimation, urgences…) que des infrastructures plus techniques (chauffage, climatisation…) et sans lesquels il est compliqué, voire impossible, d’assurer une continuité de service satisfaisante.” L’établissement devra alors définir et acter les modes de fonctionnement dégradés ainsi que les ressources (humaines, matérielles, financières) supplémentaires nécessaires pour assurer le service aux usagers. Se préparer ne diminuera pas l’éventualité d’une cyberattaque mais cela permettra aux équipes d’avoir une feuille de route pour mieux l’affronter.