Sécurité

Ma lettre au Père Noël 2022

19 décembre 2022 | Cédric Cartau | Tribune

Cher Père Noël, comme chaque année je t’écris car j’ai été encore hypersage, bien plus que les années précédentes. Non, ce n’est pas l’âge, enfin si quand même un peu.

Affaire Camaïeu : la galaxie DPO en émoi

13 décembre 2022 | Cédric Cartau | Tribune

Il y a une actualité qui empêche de dormir et qui fait le buzz dans les chaumières ces derniers temps, non ce n’est pas une histoire de ballon rond et de petit filet : c’est l’affaire Camaïeu.

L’APSSIS forme et sensibilise !

05 décembre 2022 | APSSIS | Communiqué

Depuis plus de 11 ans, l’Association délivre de l’expertise et de la prospective pour alimenter la réflexion, dynamiser la sécurisation des SI de santé et contribuer au déploiement opérationnel des bons usages sécurisés des technologies numériques. Ses finalités : l’organisation de son Congrès annuel, la production de contenus collaboratifs (Ouvrage collectif SSI santé, Guides cyber-résilience…), l’organisation d’événements dédiés à ses adhérents (Rencontres SSI, webinaires juridiques…) et la production d’une formation RSSI à destination des professionnels de santé. Entretien avec Hélène DASPE, Directrice déléguée de l’APSSIS. 

ISO 27001 : prospectives et limites

29 novembre 2022 | Cédric Cartau | Tribune

Une norme ISO est un objet fascinant de réflexion, tant la pratique peut en modifier la vision. Un débutant ne vous parlera certainement pas de l’ISO de la même façon qu’un RSSI aguerri, un RSSI de la même façon qu’un consultant, etc. C’est bien toute la richesse du concept que d’évoluer en même temps que ses possibilités d’interprétation. Je souhaitais partager avec vous quelques réflexions autour de la 27001 – et il faut bien garder en mémoire que ces thèmes mêmes de réflexion et la façon de les traiter auront certainement changé dans un an ou deux

Cybercriminel : ça peut rapporter gros, mais ça peut coûter très cher !

23 novembre 2022 | Charles Blanc-Rolin | Tribune

Si la période est propice au mauvais temps et nous rappelle l’expression « il fait un temps à ne pas mettre un chien dehors », je crois qu’il en est de même pour les cybercriminels en dehors de la Russie.

Les référentiels ISO, pas si simples

22 novembre 2022 | Cédric Cartau | Tribune

Il est de ces sujets qui paraissent anodins, tellement anodins que vous les voyez rarement évoqués en tant que tels dans une réunion d’huiles ou tout simplement d’experts.

Cybersécurité : « Dans le monde du logiciel, on peut vendre un produit pas du tout sécurisé »

18 novembre 2022 | DSIH | Actualités

Le fonctionnaire de sécurité des systèmes d’information (FSSI) adjoint du ministère des Solidarités et de la Santé, Patrice Bigeard, a dressé un état des menaces cyber dans le secteur de la santé, lors du 7e Colloque sur la sécurité des SI organisé le 9 novembre par l’Agence du numérique en santé.

La fin de la cyber ou les sept scénarios de l’apocalypse

15 novembre 2022 | Cédric Cartau | Tribune

Quelquefois, entre deux réunions avec moi-même ou à la sortie d’une énième conférence encore consacrée à ce que l’on sait déjà depuis des lustres, je me mets à rêvasser à des fins de partie, ENDS OF GAME dans la cyber. Il y a une petite vingtaine d’années, Guillaume Bigot s’était essayé à l’exercice lors du très remarqué Les Sept Scénarios de l’apocalypse, qui mêlait joyeusement guerre nucléaire, attaque bactériologique mondiale, et j’en passe. Tant qu’à faire, autant se lâcher.

Sécurité des applicatifs de Maincare : une démarche continue d’amélioration

14 novembre 2022 | DSIH | Actualités

L’actualité le rappelle régulièrement, les établissements de santé sont devenus des cibles privilégiées pour les cyberattaques.Chez Maincare, l’exigence de sécurité est un maître mot à toutes les étapes du cycle de vie d’un logiciel.

Entrepôts de données dans le domaine de la santé, la check-list de la CNIL

14 novembre 2022 | Alexandre FIEVEE, Derriennic Associés | Tribune

Il y a un an, la CNIL publiait un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé. Le 28 septembre dernier, l’autorité française de protection des données a publié une « check-list » visant à aider les responsables du traitement à vérifier facilement leur conformité audit référentiel. 

Un guide cybersécurité pour le social et le médico-social

10 novembre 2022 | DSIH | Actualités

L'Agence du numérique en santé (ANS) a publié ce mercredi 9 novembre un guide à destination des établissements et services sociaux et médico-sociaux (ESSMS). Concret et synthétique, il vise à améliorer le niveau de sécurisation de ces acteurs très peu matures sur le sujet de la cybersécurité.

Analyse psy de la cyber : les RSSI sont tous dingos

08 novembre 2022 | Cédric Cartau | Tribune

Récemment, je suis tombé sur une émission d’Affaires sensibles[1] consacrée à une affaire judiciaire célèbre mettant en jeu la pathologie psychiatrique d’une protagoniste : le syndrome de Münchhausen par procuration, SMPP pour les intimes. Petite explication en guise d’introduction : le syndrome de Münchhausen (SM) consiste à simuler une maladie plus ou moins grave pour s’attirer la sympathie de son entourage, alors que le SMPP consiste à prétendre qu’un proche (souvent un enfant) est affecté d’une maladie grave, ce qui le maintient dans un état de dépendance (il est fréquemment soumis à un traitement lourd de longue durée, voire incapacitant) tout en attirant la sympathie des proches pour le « soignant »[2][3] eu égard au (prétendu) calvaire qu’il endure.    

« Si l’informatique est en panne, c’est le DSI qui ira devant le juge. »

02 novembre 2022 | Cédric Cartau | Tribune

Autant le préciser tout de suite, il s’agit de la citation d’une formule que j’ai entendue récemment : je pensais que ce type d’imbécillité avait disparu des organisations modernes, mais en fait non. D’où le nécessaire décryptage, qui va aider plus d’un DSI et plus d’un RSSI. Et plus d’une MOA pour le même tarif. À partager largement, c’est cadeau.

Actualité SSI : Cnil, Microsoft et protection contre les attaques par mail

24 octobre 2022 | Cédric Cartau | Tribune

Une fin d’octobre chargée, petite revue de presse/d’actualité/de réflexion/de ce que vous voudrez.

Revivez les 2èmes Rencontres SSI Santé de l'APSSIS

24 octobre 2022 | DSIH | Actualités

L'Association Pour la Sécurité des Systèmes d’Information de Santé (APSSIS) a réuni fin septembre à Paris ses adhérents à l'occasion d'une journée de conférences. Gérard PELIKS, co-organisateur des Lundis de la Cybersécurité, en a rédigé un compte-rendu complet.

Établissements de santé : Contrôler les accès au Dossier du Patient, bien plus qu’un besoin : une obligation !

21 octobre 2022 | Daqsan | Communiqué

Aujourd'hui, les établissements de santé s’engagent sur la protection des données médicales. Ce besoin provient initialement de la nécessité de faire respecter l’éthique, de protéger les données personnelles hautement confidentielles. Pour rappel, ces données sont stockées dans le Dossier du Patient Informatisé (le DPI) et reflètent l'historique médical de chaque patient.

CNIL et mots de passe : dernière doctrine

20 octobre 2022 | Cédric Cartau | Tribune

Je ne l’avais pas vue passer, mais dans sa délibération 2022-100 du 21 juillet[1] dernier, la CNIL nous a décrit son positionnement sur la question des mots de passe.      

La réussite des attaques par rançongiciels repose-t-elle toujours sur un débordement de mémoire tampon ?

18 octobre 2022 | Charles Blanc-Rolin | Tribune

Si les attaquants réussissent encore à compromettre nos SI, c’est certainement car nous ne sommes pas bien préparés à leurs attaques. Et pourtant, les victimes ne manquent pas, les retours d’expériences non plus, tout comme les guides de bonnes pratiques, alors pourquoi nous faisons-nous toujours avoir ?

Gestion des annuaires, à la frontière de la SSI

18 octobre 2022 | Cédric Cartau | Tribune

Le RSSI et le DPO sont souvent consultés pour des sujets bizarres, voire carrément étrangers à leur périmètre. Mais après tout, c’est le lot de pas mal de professions transverses, surtout dans le conseil.

Cybercriminalité, un référentiel contre la pénurie de compétences face à la cybersécurité

18 octobre 2022 | DSIH | Actualités

Le 12 octobre, Cybermalveillance.gouv.fr a annoncé la création d’un référentiel de compétences pour les prestataires en cybersécurité.

La cyber dans la santé : la loi de Hanlon et les gorets

11 octobre 2022 | Cédric Cartau | Tribune

Je n’avais pas prévu ce genre de billet, mais vu ce qui vient d’arriver la semaine dernière dans mon établissement, il m’a semblé être une bonne idée de le partager avec vous. 23 ans d’hôpital, dont 13 dans la cybersécurité, et je n’avais jamais vu cela. Je vous fais la version courte, car il m’a fallu plusieurs jours pour tout détricoter et reconstituer le fil de l’histoire, et déjà la version courte risque de finir par vous donner mal aux cheveux.

La cybersécurité, se protéger en trouvant le juste milieu !

10 octobre 2022 | Par Xavier JUNG, Consultant WELIOM | Tribune

Définir un juste milieu constitue un enjeu pour les organisations qui font face au contexte grandissant de cyber menace ces dernières années. Naviguer entre paranoïa et naïveté est un défi quotidien avec lequel doivent composer les structures sanitaires ou médico-sociales. Choisir le pilote de la sécurité, mettre en place une gouvernance, auditer son système et son organisation, analyser ses risques, définir et mettre en œuvre son plan d'action SSI visant à réduire ces mêmes risques, sont autant de moyens qui permettent aux organisations d'ajuster, de "proportionnaliser" les moyens à mettre en œuvre pour y faire face. 

Quelle responsabilité juridique pour les établissements cyberattaqués ?

04 octobre 2022 | Cédric Cartau | Tribune

Breaking news : une association de patients attaque le Centre hospitalier Sud francilien[1] (CHSF) quant à sa responsabilité dans le contexte de l’attaque cyber subie par l’établissement et la publication de données sensibles (entre autres, médicales) sur les réseaux par les pirates pour faire pression sur le paiement d’une rançon.    

Le groupe LockBit publie une partie des données dérobées au CH Sud Francilien

27 septembre 2022 | harles Blanc-Rolin | Tribune

      

Anne Boleyn et le Cloud

27 septembre 2022 | Cédric Cartau | Tribune

Imaginez la scène : vous êtes à la recherche d’un nouveau véhicule (la poubelle dans laquelle vous roulez est au bout du bout, même le chien ne veut plus monter dedans tellement c’est moche) et vous tombez sur un concessionnaire aux dents éclatantes et à la cravate impeccable qui vous propose le modèle de vos rêves (V8 350 CV avec 0 émission de CO2). Seulement voilà, impossible de l’acheter, il faut passer en mode locatif avec renouvellement de véhicule tous les trois ans (c’est à la mode). Jusque-là, pourquoi pas ? Mais il y a une petite clause dans le contrat : vous êtes lié à vie au concessionnaire et à la marque, sans possibilité de vous dédire. Jusqu’à la fin des temps (ou en tout cas de votre vie), il faudra rapporter le modèle au bout de trois ans, en reprendre un neuf, avec toujours plus d’options, toujours plus cher, et impossible de se carapater. Chaud patate, n’est-ce pas ?

Cyber et pataphysique : quelques concepts utiles

20 septembre 2022 | Cédric Cartau | Tribune

En ces temps troublés, il convient de revenir aux bases, back to basic, les fondamentaux éternels nous sauveront des ténèbres de la cyber. Nous avions déjà remarqué que certains jeunots récemment débarqués dans la cyber manquaient de principes directeurs : petit florilège presque sérieux et pas du tout orienté, que nous conseillons donc en support de formation continue.

La France décroche la troisième place du challenge Europeen de la cybersécurité

19 septembre 2022 | L’ANSSI | Communiqué

Pour sa quatrième participation, la France décroche la troisième place à l’European Cybersecurity Challenge (ECSC), qui s’est tenu les 14 et 15 septembre 2022 à Vienne. Cette compétition européenne a opposé 28 équipes nationales composées de jeunes hackers éthiques. Rendez-vous en 2023 pour la prochaine édition qui aura lieu en Norvège !

ITrust invente le SOC citoyen à 1€ dédié aux services publics de la nation

14 septembre 2022 | ITrust | Communiqué

ITrust, éditeur majeur de technologies souverainesfrançaises de cybersécurité, annonce aujourd'hui le lancement d’une nouvelle offre desupervision de la sécurité informatique dédiée aux mairies, agglomérations, hôpitauxet services de santé . Le SOC Citoyen d’ITrust intègre toutes les fonctions d’un SOCoptimal à un coût proportionnel à la taille de la structure.

Rentrée cyber : une rentrée bizarre, très bizarre…

12 septembre 2022 | Cédric Cartau | Tribune

La rentrée 2022 aura été bizarre, vraiment bizarre.

Un rapport de la direction générale du Trésor sur l’assurance du risque cyber

12 septembre 2022 | DSIH | Actualités

Le 7 septembre, le ministère de l’Économie, des Finances et de la Souveraineté industrielle et numérique a publié un rapport de la direction générale du Trésor sur le développement de l’assurance du risque cyber conçu comme un plan d’action.

3 conseils pour sécuriser votre réseau de santé

06 septembre 2022 | Par Keith Bromley, Keysight Technologies | Tribune

A l’aune du contexte géopolitique actuel, le risque que les institutions de santé soient la cible de cyberattaques dans les prochaines années a drastiquement augmenté. Plus précisément, les équipes SecOps doivent se préparer à une multiplication d'attaques par ransomware visant à extorquer de l'argent, ainsi qu'à des "attaques éclairs" destinées à perturber les opérations.

La bienveillance serait-elle en train de quitter le navire chez les défenseurs ?

06 septembre 2022 | Charles Blanc-Rolin | Tribune

La sécurité numérique, sécurité des systèmes d’information, SSI, cybersécurité ou tout autre nom que l’on voudra bien lui donner est un domaine dans lequel la modestie devrait être une priorité. On a compromis, on compromet et on compromettra mon SI n’est ni une chanson de Francis Cabrel, ni un extrait de l’évangile selon Saint Hack, mais bien la dure réalité du quotidien pour les personnes en charge de protéger les systèmes d’information.

Sécurité des SI : le syndrome Gorbatchev

06 septembre 2022 | Cédric Cartau | Tribune

Mikhaïl Gorbatchev, l’artisan de la perestroïka, nous a quittés il y a quelques jours et nous rappelle que l’Union soviétique s’est effondrée en 1989 après une série de soubresauts qui a notamment démarré par la chute du mur de Berlin.  

Sécurité des SI de santé : une rentrée chaude bouillante

30 août 2022 | Cédric Cartau | Tribune

Même pas eu le temps de ranger les tongs et de sortir le sable d’entre les doigts de pied que cela démarre à fond avec l’attaque cyber de l’hôpital de Corbeil-Essonnes (CHSF). À l’heure où ces lignes sont écrites, très peu d’informations ont fuité, notamment sur le mode d’attaque (le vecteur), le mode de propagation et l’étendue des dégâts. Certaines sauvegardes semblent également avoir été chiffrées (mais apparemment pas toutes), et nous n’en savons pas plus sur les systèmes touchés, en partie ou totalement.Par contre, nous avons confirmation que, comme à chaque sinistre de ce genre dans un domaine aussi complexe que celui de la santé, moult consultants en tout genre qui n’ont jamais mis les pieds de leur vie dans un SI de santé (si tant est qu’ils aient d’ailleurs mis les pieds dans un SI tout court) ont un avis bien tranché sur la question, du genre « il faut tout mettre dans le Claaouuud ». Ça fait plaisir de rencontrer des gens hyperintelligents, ils vont pouvoir nous expliquer comment faire ce que nous n’avons jamais réussi à construire, nous autres les crétins hospitaliers, par exemple mettre les automates de laboratoire dans le Claaouuud, ou l’informatique de la chaîne de stérilisation, ou les enceintes réfrigérées des banques de tissus, ou les terminaux multifonctions en chambre… Bon, OK, j’arrête.

Quand le niveau technique monte, les attaquants se recentrent sur les utilisateurs !

16 août 2022 | Charles Blanc-Rolin | Tribune

Lorsqu’il s’agit d’atteindre leurs objectifs : s’introduire dans les systèmes d’informations de leurs victimes, exfiltrer les données et les chiffrer avant de partir, les acteurs du rançongiciels ne se posent pas vraiment de questions, si techniquement ce n’est pas facile de rentrer, autant demander à un bon samaritain d’ouvrir la porte !  

La sensibilisation à la sécurité numérique : toujours aussi nécessaire en 2022 ?

09 août 2022 | Charles Blanc-Rolin | Tribune

Dans un rapport publié récemment [1], l’équipe de réponse aux incidents Unit 42 revient sur un peu plus de 600 incidents traités depuis les 12 derniers mois. Voici quelques chiffres extraits de ce rapport :

Effacer une donnée médicale d’un patient ? Vraiment ?

19 juillet 2022 | Cédric Cartau | Tribune

Les données médicales constituent une exception sur pas mal d’éléments du RGPD : pas de droit à l’opposition du recueil (on excepte la question de l’anonymat), peu de droit à la rectification. Mais il est une question qui revient de temps en temps et qui concerne la question de l’effacement des données médicales d’un patient (soit tout le dossier, soit un séjour en particulier). La question est tout sauf simple, d’autant qu’il existe pas mal de cas d’usage à tiroirs. Cet article n’a pas la prétention de l’exhaustivité, juste d’illustrer une question qui paraît simple mais qui, en réalité, est protéiforme.

RSSI (et DPO) sont-ils des bullshit jobs ?

12 juillet 2022 | Cédric Cartau | Tribune

Ça y est, c’est fait, c’est dit, c’est écrit : il fallait bien que quelqu’un se coltine la question et vu qu’il n’y avait pas foule de volontaires, je m’y colle.

Certification HDS : quelle approche de l’activité 5 ?

05 juillet 2022 | Cédric Cartau | Tribune

Récemment, un confrère m’a soumis le problème suivant : en manque de personnel et après une démission, sa DSI a fait appel à une SSII pour une prestation de DBA en mode « prêt de personnel », mais ladite SSII n’est pas certifiée HDS et encore moins sur son niveau 5 (N5). Le décret 2018-137[1] énonce pourtant dans l’article R. 1111-9 que : « Est considéré comme une activité d’hébergement de données de santé à caractère personnel sur support numérique au sens du II de l’article L. 1111-8 le fait d’assurer pour le compte du responsable de traitement […] : 5° L’administration et l’exploitation du système d’information contenant les données de santé. » Si on l’applique tel quel et sans discernement, non seulement la DSI est bloquée, mais la moindre entreprise qui effectue la télémaintenance d’un progiciel de santé doit détenir la certification N5. Autant dire que l’on arrête de faire fonctionner la quasi-totalité des SI de santé puisque très peu d’entreprises cochent la case.    

2022 : bilan à mi-course

28 juin 2022 | Cédric Cartau | Tribune

Bientôt l’été, déjà une canicule au compteur, il est temps d’un petit bilan à mi-année.

RGPD en santé : les enjeux des cinq prochaines années

21 juin 2022 | Cédric Cartau | Tribune

Le RGPD a démarré depuis désormais cinq ans (bon, en fait sept, mais on va rester sur la version simple), et globalement les établissements de santé ont pris le problème en charge. Avec des moyens souvent réduits du reste : on observe des effectifs de demi-ETP dans certains gros CHU qui laissent un peu rêveur : mais bon, au moins il y a quelqu’un pour s’occuper du machin.

FIC 2022 : Bienvenue en Cyberie !

15 juin 2022 | Charles Blanc-Rolin | Tribune

Bienvenue en Cyberie, c’est le titre de la prochaine série d’Alex Berger, coproducteur du Bureau des légendes où l’on a d’ailleurs pu voir une jeune maman RSSI d’un hôpital à l’action, et pour les moins jeunes, l’associé d’Antoine de Caunes pour la création de l’émission Rapido ou encore d’Alain Chabat pour celle de Bruger Quiz (j’avoue, je suis toujours aussi fan), notamment, car sa carrière est assez impressionnante. Après un passage aux RIAMS, Alex Berger est venu au FIC continuer les échanges et les rencontres avec le petit monde de la « Cyberie » dans le but de faire naître prochainement une série sur un thème que vous aurez bien évidemment deviné, la cybersécurité !

Les fondamentaux de la gestion de crise cyber

09 juin 2022 | Cédric Cartau | Tribune

Coordonné par Laurane Raimondo, Ellipses, 200p, avril 2022

ISO 27001 : introduction au concept de classe de risques

07 juin 2022 | Cédric Cartau | Tribune

L’approche par le risque est à la base de la norme ISO 27001 : si vous « le » faites, c’est parce que ce « le » est la réponse à un risque que vous avez identifié. Et cela marche aussi dans l’autre sens : si vous prenez une mesure de sécurisation, c’est forcément la réponse à un risque identifié : être incapable de faire le lien bidirectionnel entre mesure et risque est d’ailleurs une non-conformité. Bon dans les faits c’est un peu plus subtil, il faut passer par la base DDA (Déclaration d’Applicabilité), mais l’idée reste la même.

Sécurité du SI : implication managériale, sensibilisation et enjeux de la mutualisation

06 juin 2022 | Guillaume Deraedt, CAIH | Tribune

Avec l’évolution des technologies, l’omniprésence des NTIC à l’hôpital et dans la médecine de ville, le risque induit par le numérique a considérablement augmenté. Il s’est diffusé progressivement à l’ensemble des utilisations autour des soins, indépendamment du lieu et du rôle de l’acteur de santé.

Pourquoi la vulnérabilité Follina affole la planète depuis une semaine ?

06 juin 2022 | Charles Blanc-Rolin | Tribune

La vulnérabilité CVE-2022-30190, aussi connue sous le nom de « Follina », s’est retrouvée sur le devant de la scène suite à l’analyse par l’équipe japonaise de chercheurs Nao Sec d’un fichier Word malveillant découvert le 27 mai sur VirusTotal [1]. Il n’aura pas fallu longtemps pour qu’elle enflamme toute la planète, mais pourquoi ?

ISO 27001 : convaincre sa direction générale d’y aller

31 mai 2022 | Cédric Cartau | Tribune

Dans son monumental et dernier ouvrage Apocalypses, l’historien Niall Ferguson consacre un chapitre entier aux principaux accidents technologiques du xxe siècle : le Titanic (1912), Three Mile Island (1979), la navette Challenger (1986) et Tchernobyl (1986).

Quand les attaquants se régalent avec les cookies

31 mai 2022 | Charles Blanc-Rolin | Tribune

Le sujet n’est pas nouveau, nous l’avions d’ailleurs abordé au congrès de l’APSSIS en 2019 avec le Dr Michel Dubois lors d’une conférence commune sur les mots de passe [1], la recette des cookies est toujours aussi radicale contre les authentifications à deux facteurs. Je ne dis pas que les facteurs en mangent trop au dessert et que cela les empêche de remonter sur le vélo l’après-midi, non, non, non, pas du tout ! Je veux bien sûr parler des cookies utilisés comme jetons d’authentification sur les applications / sites / services web. Un cookie authentifiant est très facile à exporter d’un navigateur web et à importer dans « un autre », cela peut d’ailleurs s’avérer très pratiques pour réaliser des téléchargements authentifiés à l’aide de Wget après s’être authentifié sur le site avec Firefox par exemple.

La sécurité numérique, mère de toutes les batailles

30 mai 2022 | Vincent TRELY, | Tribune

Disposer d’un système d’information moderne, utile et performant est aujourd’hui une nécessité, que ce soit au sein du secteur sanitaire, du secteur médico-social ou des organisations territoriales de soins. Production et suivi des soins, concentration des documents médicaux, intégration des informations issues des appareils biomédicaux, gestion des plannings, modules de partages, élaboration de statistiques sont autant de fonctions que le SI, unifié ou composé d’une agrégation organisée de logiciels reliés entre eux, est censé apporter aux professionnels de santé pour leur confort et leur sérénité, dans le but d’améliorer, de fluidifier et de sécuriser le parcours de soin du patient.

Les plus lus