S’ils ne sont pas les seuls à être touchés par les attaques informatiques, les hôpitaux restent les victimes qui émeuvent le plus l’opinion. Des progrès sont possibles, même à court terme, mais la solution miracle n’existe pas encore.
Pour ce genre d’institutions, le réseau devrait-être déconnecté d’Internet.
3 « J'aime »
Que sait-on de la sécurité d’un hôpital (à moins d’être un spécialiste en la matière) ? On doit se contenter de voir et d’analyser. Dans chaque service, des PC portables connectés en Wifi sur des « servantes » mobiles. Dans les couloirs, on voit des médecins, tablette en main, envoyant et recevant des données. Des points d’accès Wifi gratuits pour les patients (comme si on était dans un hôtel et que les clients mécontents de l’absence d’Internet « gratuit » allaient pouvoir menacer d’aller dans un autre établissement !). Rien qu’avec ça, on se doute bien que la sécurité est illusoire…
1 « J'aime »
C’est aussi malheureusement dans un hôpital qu’il y a le plus besoin d’interconnexions: transferts d’information sur les patients, co-diagnostiques, maintenance du matériel, évolutivité du matériel et du logiciel, … Tout ça avec les « moyens du bord » (regroupement d’hôpitaux et de services informatiques => besoin de connexion encore une fois). C’est sur que c’est la porte ouverte à tous les abus mais difficile de faire autrement.
Quel politique va dire « Ok, je mets du fric pour l’hôpital mais cela ne sera pas pour les soignants ni pour les malades »…
1 « J'aime »
Un réseau n’a pas besoin d’Internet pour cela. A l’Etat de faire ce qu’il faut.
Tu connais le prix d’un réseau en propre? 
Et de toute façon, il y aurait des passerelles vers internet (certes plus faciles à contrôler)
pour les fournisseurs, et donc de gros points faibles. Au final, attendu que les problèmes de sécurité sont à 90% à l’origine une erreur humaine, je pense que la formation est infiniment plus rentable.
1 « J'aime »
je doute que ca puisse se faire sans complice a l’intérieur, suffit de voir quel premier ordi a été infecté et vous aurez le service du hacker en chef
Tu connais les fournisseurs d’accès pour les fourniseurs d’accès Internet ? 
L’Etat peux très bien avoir un réseau privé qui utilise les infractructures existantes. Aucune connexion à Internet possible car pas d’Internet.
Je ne pense vraiment pas que financièrement cela soit possible. J’ai travaillé dans diverse industries sensibles et je n’ai plus vu de réseau privés depuis peut être 20 ans. Même les militaires dépendent d’internet, il n’y a que les communications hertziennes qui sont sur une techno de communication propre (et encore basée sur des composants OTS).
Et quand je parle de fournisseurs, je parle de la pharmacie, du matériel, de la bouffe, …
Soyons plus « optimiste », c’est l’ordi du premier « gaffeur ».
Comme pour tout incident ou accident, la faute est TOUJOURS partagée: il y a toujours une erreur humaine (formation insuffisante, procédures trop contraignantes donc non respectées, démotivation, dilution de la responsabilité, informations contradictoires, non prise en compte des biais cognitifs, …) et rarement une intention directe au niveau du « maillon faible ».
De ce que j’ai lu à chaque fois, le virus était dans un courriel ou une page web.
Un bon anti-virus possède une fonction de scan à l’ouverture (lecture) d’un document et à sa fermeture (écriture), quelque soit son origine (disque, disquette, CD, clé USB). Il existe des anti-virus pour serveur de courriel qui scannent les courriers entrants et sortants.
Faut-il en conclure que les responsables de l’informatique n’ont pas déployé d’antivirus ? ça parait incroyable. Dès le début des années 90 j’ai déployé un anti-virus sur tous les postes de travail de mon centre de recherche (60 personnes, budget famélique, 6 serveurs). J’étais à l’époque le service informatique à moi tout seul.
Bref, pas besoin d’une équipe de sécurité dans ce cas là.
Les militaires ont toujours dépendu d’Internet, et pour cause… 
Il est financièrement possible de se reposer sur des infrastructures réseaux existantes en étant totallement déconnecté d’Internet. On tire bien des fibres optiques jusqu’à chez les centaines de milliers de particuliers sans se poser cette question.
Y en avait-il au moins un service info digne de ce nom ?
A bannir pour la très très grande majorité des utilisateurs. Cela peut être hyper contraignant mais je ne compte plus le nombre de fois ou j’ai eu vu des clefs usb perso des utilisateurs vérolée jusqu’à la moelle.
Sur des sites dits « sensibles », courriels et accès web doivent faire l’objet d’un traitement particulier. Ne pas faire cela, si ton personnel n’est pas formé et est un simple utilisateur, tu risques de courir à la cata si tu te limites à un simple antivirus. Ce dernier est le strict minimum certes, mais très largement insuffisant.
C’est sur. Car c’est bien connu, « ça n’arrive qu’aux autres » ^^.
Il est évident que pour une activité qui n’est pas obligatoirement la cible de pirates en tout genre, tu n’auras peut-être pas besoin des derniers Quantum de chez Check Point. Pourtant, même dans les petites structures, sans investir des budgets collossaux, demander parfois un simple audit peut au moins te faire prendre conscience de risques/failles/problèmes éventuels.
1 « J'aime »
Les militaires américains oui. Mais on ne peut pas dire que les français aient vraiment participé à la création d’Arpanet, encore moins les russes…
Je ne vois pas le rapport.
Un VPN (ou équivalent) n’est en aucun cas une protection suffisante, ça ne sert qu’à assurer que les transmissions ne seront pas interceptées, mais rien de plus, les points d’entrée du VPN sont aussi les postes qui très probablement servent à l’attaque. Au hasard mais probable: un mail vérolé ouvert sur le poste d’un fournisseur ou d’un administratif, donc le VPN n’y pourra pas grand chose…
La seule vraie protection est effectivement la déconnexion, mais totale: aucune passerelle, aucun périphérique connectable (et encore il a bien fallu installer un système et les logiciels, une merde dormante peut toujours être là). C’est le cas pour certains systèmes critiques, mais ça reste très rare, j’en ai vu passer des systèmes et je n’ai vu ça que 2 fois.
Cyclades était un projet français inspiré d’Arpanet. Il est toujours possible de faire ce genre de choses pour l’intérêt de notre armée et de nos hopitaux (entre autre).
Tirer des câbles pour aller connecter des batiments en très haut débit depuis un réseau déconnecté d’Internet n’est pas le soucis.
On est bien d’accord.
Voilà. C’est d’autant plus simple à accepter aujourd’hui en entreprise, que l’on peut facilement se connecter à Internet par l’intermédiaire de smartphones, tablettes… à un réseau mobile ou un WiFi publique qui n’a aucun lien avec l’infrastructure informatique de l’établissement. Ni même le besoin d’aller échanger des fichiers avec une clef USB pour une pas dire une disquette.
De ce fait, le facteur humain est beaucoup moins un risque qu’il y a encore 10 ans en arrière. Tout ce qui est connecté sur le réseau d’entreprise ne doit juste pas avoir accès à Internet. (c’était déjà le cas lorsque je travaillais dans le domaine de la sécurité informatique il y a 20 ans)
Il faudrait avant tout mutualiser les si.
De ce que j’ai compris les centres hospitaliers n’ont pas les mêmes outils du coup c’est de l’argent inutilement dépensé
Hello
Hélàs, la déconnexion complète c’est juste impossible (en terme de service)
Quid des rendez-vous en ligne, compte-rendus d’hospitalisation numériques dispo pour le patient sur son compte etc…
On fait à l’ancienne, envoi par courrier pour l’un et rendez-vous par tel uniquement pour l’autre ?
CàD welcome back to 1990
Sinon - dans un cadre général - beugler que les IT dans l’hopital n’ont rien foutu etc, c’est bien joli mais quand on voit que même des boites de sécurité réputées (non pas Orange) se font pawn (Sunburst et SolarWinds : que faut-il savoir de la cyberattaque d'ampleur qui a touché les États-Unis ?)…
1 « J'aime »
Pour moi comparer le dernier km qui se connecte à un réseau mutualisé avec une infrastructure internationale complète à refaire pour un besoin très spécifique, ça n’a pas trop de sens… Et si tu veux mutualiser le réseau « spécial hôpital » avec un réseau « spécial administration » par exemple, on retombe dans le même problème de la multiplication des risques.
Certes, si tu compares individu a individu. Seuls les « spécialistes » avait accès au système et les menaces étaient moins variées. Mais pour moi le problème vient maintenant de la démocratisation de l’informatique, on a TOUS accès a plusieurs machines depuis plusieurs périphériques, donc le nombre failles potentielles (humaine, matérielle, logiciel, …) explose.
Ce n’est plus possible de puis longtemps. Tout se fait à distance, toutes les informations sont mutualisées et échangées, quasiment toutes les maintenances, tous les contrats sont négociés et exécutés d’une manière ou d’une autre via le web. Ca simplifie, accélère et sécurise beaucoup de choses mais cela a une contrepartie importante sur la surface d’attaque. On y peut rien sauf à tout remettre à plat, ce qui est bien sûr impossible, va dire à GE qu’ils ne peuvent plus intervenir sur leur scanner à distance et qu’ils doivent avoir un technicien sur place, à un médecin qu’il ne peut plus avoir accès à un dossier patient dans la seconde, à la pharmacie qu’il ne peuvent plus faire de demandes express de médocs, aux infirmières de faire des dossiers papier, …
1 « J'aime »
Malheureusement c’est quasi impossible comme l’avance scudo.
Y a déjà une multitude de logiciels spécialisés qui demandent un accès net pour fonctionner, c’est une plaie mais faut faire avec.
Et n’oubliez pas les simples appareils comme les photocopieurs - pour ne citer que ceux-là - qui demandent des accès web à tout va (relevés de compteurs, scan-mail, rapports d’activités-pannes-consommables) et qui peuvent devenir de véritables nids à exploits suivant les modèles.
C’est faisable de distribuer le net, sécuriser au mieux même si rien n’est infaillible mais ça demande des moyens conséquents que ce soit en matos et en personnel un minimum qualifié, ce que les hôpitaux ne semble malheureusement pas disposer.
1 « J'aime »
Je ne vais pas rentrer dans les détails, mais il est possible de multiplexer les signaux pour avoir des réseaux distincts qui cheminent par les mêmes infrastructures en restant totallement indépendant et donc d’utiliser ce qui est déjà en place pour ce faire.
Enfin, la quasi totalité des patients reçu à l’hopital passent soit par les urgences, soit de part un rendez-vous initié par un médecin généraliste ou spécialiste qui a déjà un poste de travail dédié à cette usage… Juste qu’aujourd’hui ils utilisent Internet.