Les établissements de santé ont déclaré 369 incidents de cybersécurité sur le portail des signalements de l'Agence du numérique en santé (ANS) en 2020, contre 392 en 2019, selon un premier bilan de sa cellule d'accompagnement cybersécurité des structures de santé (ACSS) communiqué par l'ANS à APMnews le 19 février.

Les établissements de santé, du service de santé des armées (SSA) et établissements médico-sociaux sont tenus de relayer aux agences régionales de santé (ARS) et à l'ANS les incidents de sécurité informatique jugés "graves" et "significatifs". Celle-ci est chargée d'apporter un appui au traitement des incidents au travers de la cellule ACSS, rappelle-t-on.

En 2020, 60% des signalements portaient sur des incidents d'origine malveillante, a signalé l'ANS.

Cette proportion d’incidents d’origine malveillante a connu une forte augmentation puisqu'elle était de 43% en 2019, et 41% en 2018, note-t-on.

Ces déclarations proviennent à 81% d'établissements de santé. Le reliquat provient d'établissements sociaux et médico-sociaux.

Concernant les attaques par rançongiciels, 49 ont fait l'objet d'un signalement.

C'est la première fois que l'ANS communique une donnée précise sur les rançongiciels, note-t-on.

Pour rappel, l'Agence nationale de la sécurité des systèmes d'information (Anssi) a traité 18 incidents liés à des rançongiciels dans la santé en 2019, ce qui en fait le secteur le plus touché, selon un rapport du centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques (CERT-FR) publié le 29 janvier.

La cellule ACSS a également reçu 90 demandes d'accompagnement d'établissements sanitaires et médico-sociaux.

Enfin, le service national de cybersurveillance a audité 272 établissements de santé en 2020, a fait savoir l'ANS.

En octobre 2020, il déclarait en avoir audité "une soixantaine" depuis sa création au printemps 2019. Une "interface de commande d'audits" devait être mise en place début 2021, indiquait alors l'agence.

Le bilan détaillé de la cellule ACSS doit être rendu public dans les semaines à venir, a indiqué l'ANS à APMnews.

Emmanuel Macron a annoncé le 18 février que 350 millions d'euros, issus des 2 milliards d'euros du Ségur de la santé consacrés au numérique, "seront dédiés à renforcer la sécurité des systèmes d'information de santé", et que 25 millions d'euros issus du milliard d'euros consacré spécifiquement à la stratégie cybersécurité seront attribués aux établissements de santé.

Quatre CH ont été victimes de cyberattaques aux conséquences importantes en moins de trois mois: Dax (Landes) et Villefranche-sur-Sâone (Rhône) ce mois-ci, Narbonne et Albertville-Moûtiers (Savoie) fin décembre 2020.

lc/gdl/ab