Risque d'attaque par rançongiciel dans un Ehpad en France : que risque-t-on avec des données de santé ?

Les attaquants ciblent expressément le secteur de la santé car ils savent qu'un site e-commerce fermé deux jours perd juste de l'argent, alors qu'un Ehpad coupé de ses systèmes pendant une heure met des vies en danger. Ils jouent sur cette urgence absolue pour pousser au paiement de la rançon. L'attitude de votre informaticien est inconsciente.

L'antivirus ne bloque que les menaces connues par signature ; les rançongiciels pénètrent généralement via des failles zero-day ou des identifiants volés. Vérifiez les partages réseau (SMB) sur votre serveur. Si votre baie ou disque de sauvegarde est accessible depuis le réseau principal, les attaquants commenceront par effacer ou chiffrer vos sauvegardes avant de bloquer le reste.

Lundi matin, posez une seule question à votre technicien : « À quand remonte le dernier test de restauration complète de sauvegarde sur une machine vierge ? » Si ça n'a pas été testé, c'est que vous n'avez pas de sauvegarde. Deuxième réflexe : faites une sauvegarde manuelle sur disque dur externe dès aujourd'hui et enfermez-le dans un coffre.

C'est arrivé à une connaissance qui travaille dans une clinique de 50 lits en France. Un seul employé a ouvert une fausse pièce jointe de facture, et tout le serveur a été chiffré. L'ARS et la gendarmerie (section cyber) ont dû intervenir : 19 jours pour tout remonter et 28.000 EUR de frais de prestataires externes d'urgence.

Vos dispositifs médicaux ou vos tablettes de soins sont-ils sur le même réseau local ? Si les postes administratifs et la base de données médicale partagent le même sous-réseau (sans VLAN dédié), une infection sur le PC de la compta se propagera en quelques minutes à tout le logiciel de soins.

À 800 EUR par mois, il ne faut pas attendre d'un technicien qu'il soit expert en cybersécurité ; il s'occupe sans doute juste de brancher les imprimantes et de renouveler les licences Office. Quelqu'un qui sort « on a un antivirus tkt » ne doit surtout pas être le seul garant de la sécurité d'une structure de santé, faites faire un audit externe indépendant.

Selon le Code de la santé publique et le RGPD, en cas de perte ou de violation de données de santé (catégorie particulière), vous êtes tenu de notifier non seulement la CNIL, mais aussi d'informer directement par écrit chaque résident concerné ou son représentant légal.

L'an dernier, un établissement voisin s'est fait attaquer un dimanche soir. Le lendemain matin, les soignants étaient en panique totale parce que personne ne connaissait par cœur les doses d'insuline et les constantes des patients. Si vos dossiers de secours papier ne sont pas prêts, le coût du chaos opérationnel dépassera de loin n'importe quelle amende.

C'est une bonne idée d'avoir ouvert ce sujet. Quand on décide sans mesurer, on revient toujours au même point.

enregistré.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur. Je le note au cas où.

Mes doutes sont levés, merci. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. À votre place, j'irais par cette voie.

j'ai vécu exactement la même chose il y a deux ans puis franchement si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard puis franchement je le note au cas où.

La réponse ci-dessus va droit au but. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Pourriez-vous préciser un peu ? N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard. Bien sûr, cela change si votre situation est différente.

Pour entrer dans le détail : N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Laissez-moi détailler l'aspect technique. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Les gens défendent l'habitude pas le processus. La résistance vient de là.