Cybersécurité : un défi de santé publique pour les pharmaciens

Avec l’accélération numérique du système de santé, les risques s’accroissent en matière de cybersécurité. Et les pharmaciens, tous métiers confondus, y sont particulièrement exposés. Pour y faire face, il est nécessaire de développer une culture partagée par tous afin de protéger les systèmes d’information et les données des patients, permettant de continuer à répondre aux enjeux de santé publique.

Un enjeu de santé publique

Les usages du numérique ne cessent de s’étendre dans le champ de la santé, associant les recherches habituelles sur Internet, la possibilité de les contextualiser grâce à des questions formulées à des outils d’IA générative, le recours à des applications et objets connectés, l’utilisation de plateformes de télésuivi des patients, ou encore la gestion des nombreuses données issues de ces pratiques. Or, la plupart de ces données sont considérées comme « sensibles », car elles concernent la santé des patients. D’autres données technico-administratives, essentielles au pilotage des actes et prestations de santé, constituent également un patrimoine à protéger, car elles sont devenues indispensables au fonctionnement des structures et entreprises du secteur.

Des risques majorés par la croissance des usages

L’essor du numérique en santé accroît les risques. Les interfaces, comme les smartphones, tablettes, dispositifs médicaux connectés, réseaux Wi-Fi ou imprimantes, multiplient les points d’entrée potentiels pour des logiciels malveillants. Cette diversification des usages facilite les intrusions dans les systèmes d’information, pouvant entraîner des blocages ou des vols de données sensibles.

Les attaques se multiplient

Année après année, les cas de structures et d’organisations de santé victimes de cyberattaques n’ont cessé d’augmenter. Les établissements de santé et les laboratoires de biologie médicale (LBM) sont particulièrement exposés. Mais d’autres attaques montrent l’étendue du péril. Un fabricant de pompes à insuline a ainsi dû reconnaître, en 2022, la vulnérabilité des dispositifs qu’il commercialisait, nécessitant de corriger la situation pour protéger les patients potentiellement concernés. Les pirates étaient, en effet, en mesure de modifier à distance les doses d’insuline administrées aux personnes équipées de certains modèles de la marque.

La pharmacie, une profession très numérisée

Les pharmaciens, tous métiers confondus, sont particulièrement investis dans le développement du numérique. En vingt ans, les services apportés par ces solutions se sont considérablement étoffés. La profession, dans toutes ses composantes, s’est attachée à déployer des outils et services numériques, dans le but d’améliorer la qualité des actes pharmaceutiques, la fluidité et la continuité du circuit du médicament, la performance des prestations délivrées au public et la personnalisation des approches pour une meilleure prise en charge des patients. À l’appui de ces progrès, de nouvelles modalités émergent pour faciliter la numérisation des métiers. Des services et solutions numériques, parmi lesquels le Dossier Pharmaceutique (DP), les messageries sécurisées de santé (MSS), Mon Espace Santé, les plateformes de partage de données, les logiciels métiers, les serveurs de résultats en biologie médicale ou encore les dossiers patients et usagers informatisés constituent aujourd’hui le quotidien de l’exercice pharmaceutique. L’ordonnance numérique, inscrite parmi les « services socles » définis par la doctrine du numérique en santé, fait également partie de ce bouquet de services mis à disposition et réputés fiables, puisque conformes aux exigences de sécurité de la Politique générale de sécurité des systèmes d’information en santé (PGSSI-S). Cette montée en puissance du numérique renforce toutefois l’exposition des pharmaciens aux risques cyber, en multipliant les surfaces d’attaque potentielles.

Toute la chaîne est exposée

Tous les établissements pharmaceutiques y sont confrontés. Et ils traitent des données qui bénéficient d’une forte valeur pour les cybercriminels, une donnée de santé se vend en moyenne 8 euros sur le darkweb (« Comment assurer la cybersécurité de l’officine ? », Le Quotidien du pharmacien, 18 janvier 2024). Tout ce qui est connecté à un réseau représente une porte d’entrée potentielle pour les acteurs malveillants. Outre les pharmaciens, l’ensemble des sous-traitants et fournisseurs, parce qu’ils sont susceptibles d’échanger et de partager des données avec les établissements pharmaceutiques, sont soumis aux mêmes risques.

Ce que dit la réglementation

Avec l’avènement du numérique, le cadre juridique et réglementaire s’est peu à peu renforcé, visant à mieux protéger les données de santé en engageant les pharmaciens à se conformer à certaines obligations.

• Le RGPD et les pharmaciens. Entré en vigueur le 25 mai 2018, le règlement général sur la protection des données (RGPD) encadre le traitement des données personnelles des citoyens européens. Cette réglementation est particulièrement importante en santé, dès lors que les données à caractère personnel relatives à la santé des personnes sont des données dont la sensibilité implique l’application d’un régime juridique particulier. Les pharmaciens titulaires d’officine et les pharmaciens biologistes, qui sont responsables de la conformité de leur établissement, doivent respecter le RGPD et la loi. Ils doivent s’assurer que les droits des personnes sont respectés, et de mettre en œuvre des mesures techniques et organisationnelles appropriées pour être en mesure de démontrer que le traitement des données est effectué conformément au RGPD.
• Le guide pratique - Le pharmacien d’officine et la protection des données personnelles. Le CNOP et la Commission nationale de l’informatique et des libertés (CNIL) ont élaboré un guide, publié en 2023, pour accompagner les pharmaciens d’officine dans leur mise en conformité à la réglementation sur la protection des données personnelles. Ce guide rassemble les notions essentielles à connaître et les règles à respecter, sous forme de cases à cocher, et s’accompagne de six fiches thématiques illustrant les bonnes pratiques par des cas concrets. Ces repères didactiques sont essentiels pour les pharmaciens qui manipulent au quotidien des données personnelles (parfois sensibles) concernant patients, personnel, fournisseurs, et partagées avec d’autres professionnels de santé, où une mauvaise gestion peut avoir des conséquences importantes.
• Les recommandations de l’Agence nationale de sécurité des systèmes d’information (ANSSI). L’ANSSI met à disposition des professionnels chargés de la gestion des systèmes d’information un document présentant 71 recommandations à appliquer pour en sécuriser l’usage. Formation des administrateurs, documentation à jour des systèmes d’information (SI), réalisation d’une étude de risque des SI, gestion et configuration du poste d’administration, restriction des droits d’administration, blocage des accès Internet, connexion des ressources d’administration sur un réseau physique spécifique, chiffrage de l’ensemble des périphériques de stockage… La liste de ces recommandations démontre l’étendue des processus à mettre en oeuvre pour protéger les accès au SI, anticiper les risques, encadrer les droits des utilisateurs, et éviter ainsi toute intrusion malveillante extérieure.
• La PGSSI-S. Elle définit les règles à suivre pour sécuriser le numérique en santé. Comme la e-santé facilite la prise en charge des patients, mais expose à des risques, l’État, via l’ANS, a établi ce cadre de référence pour protéger les données et les usages. La PGSSI-S s’applique à tous : public, privé, professionnels de santé, médicosocial, établissements et prestataires de services. Elle fixe les bonnes pratiques à respecter pour garantir la sécurité des informations de santé.
• Le code de déontologie. Dans sa future rédaction en attente de publication, le code de déontologie encadre le recours et l’usage des outils et services numériques par les pharmaciens. Le projet d’article R. 4235-10 du code de la santé publique, tel que notifié à la Commission européenne, dispose notamment que « Le recours par le pharmacien à des outils et services numériques s’effectue dans le respect des règles de déontologie de la profession et des règles d’identification, de sécurité et l’interopérabilité des services numériques en santé définies aux articles L. 1470-1 et suivants. Il n’altère pas la qualité de la prise en charge du patient, ni celle des actes professionnels réalisés. […] ».
• Le Dossier Pharmaceutique. C’est un service numérique sécurisé. Les données des patients sont protégées grâce à un accès strictement contrôlé et des mécanismes de chiffrement des données. L’accès nécessite l’identification du patient par sa carte Vitale, l’appli carte Vitale ou son identifiant national de santé (INS) qualifié, ainsi que la carte professionnelle du pharmacien ou du médecin hospitalier. Le patient a le contrôle de ses données : il peut refuser que son dossier soit consulté ou que certains médicaments y soient enregistrés. Les données sont conservées pour des durées variables et sont chiffrées lors des transmissions, assurant la confidentialité, conformément au RGPD.
• La norme NF EN ISO 15189:2022 opposable aux laboratoires de biologie médicale précise un certain nombre d’exigences sur la maîtrise des données et la gestion de l’information dans son chapitre VII.6, dont les moyens déployés par les LBM pour y satisfaire sont très régulièrement surveillés par les évaluateurs du Cofrac.

Bonnes pratiques et outils

Face au cyber-risque, il est important pour les pharmaciens de connaître le type d’attaques qu’ils peuvent subir, de veiller à prévenir les vulnérabilités et failles susceptibles de les exposer aux actes de malveillance, de se former et de s’informer sur les techniques et méthodes de protection et de bien réagir en cas d’attaque.

Des typologies d’attaque très variées

Les professionnels de santé sont particulièrement exposés à certaines cyberattaques, qui visent principalement à bloquer, contre rançon, le fonctionnement des systèmes d’information, à capter illégalement des données de santé et à altérer la réputation des établissements concernés.

• L’ingénierie sociale. Elle vise à manipuler un professionnel en exploitant sa confiance ou sa crédulité. Les personnes malveillantes usent de ces méthodes pour exploiter le facteur humain, considéré dans certains cas comme le maillon faible de la sécurité des systèmes d’information. Une autre forme de manipulation souvent oubliée : des appels téléphoniques ou du phishing vocal.
• Le ransomware ou rançongiciel. C’est le type d’attaque le plus courant, qui consiste à bloquer le fonctionnement d’un système d’information et à réclamer le versement d’une rançon contre l’arrêt de l’agression. Les établissements de santé y sont particulièrement confrontés, de même que les laboratoires de biologie médicale.
• Le hameçonnage ou phishing. Il vise à tromper la vigilance des professionnels en les incitant à cliquer sur des liens ou ouvrir des fichiers, afin qu’ils divulguent des informations d’identification ou téléchargent des logiciels malveillants. Le but est de pirater des données pour les revendre sur le darkweb.
• Le hameçonnage ciblé ou spear phishing. Cette version sophistiquée du phishing consiste à personnaliser les attaques, en fonction d’informations recueillies sur les réseaux sociaux, les sites web des entreprises et d’autres sources publiques.
• Les attaques par déni de service distribué (DDoS). La technique consiste à saturer les serveurs pour rendre les services indisponibles afin de paralyser une activité.
• Les attaques sur les objets connectés médicaux. Les pirates informatiques utilisent de plus en plus la vulnérabilité des objets connectés (pacemakers, pompes à insuline…) pour y diffuser des virus, pénétrer des systèmes d’information et voler des données de santé personnelles.

Les vulnérabilités à connaître

Avec la multiplication des surfaces d’exposition, les cybercriminels disposent de milliers de portes d’entrée pour accéder aux systèmes d’information des pharmaciens. Il est important d’en connaître les principales afin d’empêcher toute intrusion.

• Des mots de passe faillibles. Les mots de passe mal choisis ou mal dimensionnés peuvent être aisément ciblés et découverts par les cybercriminels, par exemple s’ils comportent des mentions en lien avec l’identification de son propriétaire (prénom, date de naissance…), s’il y a trop peu de caractères ou une composition insuffisamment variée de ces caractères.
• Des logiciels anciens ou non mis à jour. Les demandes d’actualisation des mises à jour servent notamment à renforcer la sécurité des dispositifs de protection, comme la lutte contre les virus. Ne pas effectuer les mises à jour majore le risque d’exposition à une attaque du système d’information.
• L’utilisation de messageries non sécurisées. Les MSS, qui permettent de chiffrer les données échangées et partagées entre professionnels de santé et avec les patients, ont été conçues pour éviter toute fuite de données. Envoyer ce type de données par le biais de messageries grand public accroît ce risque.

• Des équipements non protégés. Caméras, imprimantes, téléphones mobiles… la variété des outils et équipements connectés au système d’information de l’établissement pharmaceutique démultiplie les possibilités d’intrusion, en particulier s’ils ne sont pas systématiquement protégés. La mise en place de pare-feu est nécessaire.
• Des supports amovibles non sécurisés. Le recours à des dispositifs informatiques mobiles constitue un progrès, mais accroît également le degré d’exposition aux attaques. C’est le cas notamment lorsque ces outils amovibles sont utilisés à partir du domicile, avec une connexion non sécurisée, ou par certains fournisseurs ou prestataires externes.
• Un Wi-Fi mal sécurisé. À l’officine, au laboratoire de biologie médicale, mais également au domicile, le fait d’utiliser un Wi-Fi non sécurisé constitue une cible facile pour les cybercriminels.

Les règles d’hygiène informatique à appliquer

Au quotidien, il faut s’astreindre à observer régulièrement certaines consignes pour protéger son système d’information, ce qui réduit notablement l’exposition au risque. Même si, en matière de cybercriminalité, le risque zéro n’existe pas. L’ANSSI propose 42 mesures, voici les principales à mettre en œuvre.

• Bien gérer les utilisateurs, leurs mouvements (départ, arrivée, changement d’activité), les comptes et les permissions associées. Outre un inventaire exhaustif et à jour des comptes administrateurs et utilisateurs, il faut veiller à prendre en compte les évolutions des personnels adossés à ces comptes, ainsi que la modification des usages (appareil connecté attribué…).
• Accepter la connexion d’équipements extérieurs s’ils sont maîtrisés. Seule la connexion de terminaux maîtrisés par l’établissement doit être autorisée, avec l’usage d’un Wi-Fi sécurisé avec SSID (Service set identifier [ou identifiant défini de service], nom public attribué à un réseau sans fil) dédié.
• Définir et vérifier les règles de choix et de dimensionnement des mots de passe. Ils doivent être suffisamment complexes, changés régulièrement et que le système soit bloqué après plusieurs tentatives erronées. Les mots de passe rarement utilisés doivent être conservés dans un espace sécurisé, comme un coffre-fort numérique. Ils ne doivent pas être recopiés sur un support accessible à tous.
• Effectuer des mises à jour fréquentes des éditeurs. C’est un acte essentiel pour maintenir les dispositifs de sécurité à jour face aux nouvelles menaces.
• Utiliser une messagerie sécurisée de santé. Tous les échanges de données entrant ou sortant doivent être protégés par le biais des MSS, pour enrayer toute captation de données potentielles sur des réseaux non sécurisés.
• Protéger les postes de travail. Chaque poste de travail connecté doit être protégé par un Wi-Fi sécurisé, verrouillé en cas de non-usage, mis à jour régulièrement et disposant d’un mot de passe à haut niveau de sécurité.
• Respecter les règles liées aux cartes professionnelles de santé (CPS) et e-CPS. Les CPS doivent rester personnelles, strictement incessibles, dotées de codes non accessibles et déposés en lieu sûr.
• Penser à sauvegarder les données. La sauvegarde, pour laquelle il est nécessaire de définir la périodicité, permet de restaurer le système en cas d’incident. Il faut tester la sauvegarde, la conserver dans un espace sécurisé et déconnecté du système d’information et veiller à chiffrer le disque dur externe si elles y sont sauvegardées.

Des ressources disponibles

Outre le Guide d’hygiène informatique proposé par l’ANSSI, intégré dans le pack plus large du Memento de sécurité pour les professionnels de santé en exercice libéral conçu avec l’ANS, il est utile de consulter d’autres sources. La CNIL, par exemple, dans son onglet « Professionnels », propose la marche à suivre pour mieux comprendre le RGPD, respecter les droits des personnes sur la gestion des données, effectuer des démarches (désignation d’un délégué, notification d’une violation de données…) et accéder à certains services en ligne. Enfin, le site public cybermalveillance.gouv.fr permet d’obtenir une assistance personnalisée en cas de malveillance informatique.

En savoir plus : 

• « Un mémento de sécurité informatique pour les professionnels de santé qui exercent en libéral », actualité du 16 décembre 2021.

Ce que l'Ordre peut faire pour vous

Un accompagnement en cas de cyberattaque

 En cas de cyberattaque, entraînant notamment une violation des données de santé, l’Ordre met à disposition des pharmaciens sur son site Internet, ainsi que sur celui de la DQO, de nombreuses ressources pour y faire face (référentiels, guides, articles…). Les pharmaciens peuvent également signaler à l’Ordre de telles circonstances, ce qui lui permettra, le cas échéant, d’engager toutes actions complémentaires utiles et notamment de se constituer partie civile en cas d’engagement de poursuites pénales.

En cas de violation de ces données, voici ce que prévoit le RGPD :

• identifier la violation des données personnelles, en précisant les causes, la nature des données concernées, leur niveau de confidentialité et leur disponibilité ;
• tenir un registre des violations, précisant la nature de l’attaque, la catégorie et le nombre probable de données concernées, les conséquences prévisibles, les mesures prises pour y remédier, le nom et les coordonnées de la personne à contacter ;
• utiliser le formulaire de notification téléchargeable sur le site de la CNIL, en s’aidant du document d’information, et leur adresser.