Les exercices théoriques de cybersécurité (ETT) sont essentiels pour les établissements de santé, mais leur efficacité est souvent compromise par un manque d’organisation. Une simulation mal menée peut entraîner une perte de temps considérable et masquer des vulnérabilités critiques.
TJ Ramsey, directeur principal des opérations contre les menaces chez Fortified Health Security, souligne l’importance d’une préparation rigoureuse. « Un ETT bien orchestré permet d’identifier les faiblesses et d’améliorer la réactivité face à une cyberattaque », explique-t-il. À l’inverse, un exercice chaotique peut s’avérer contre-productif.
Pour maximiser l’impact de ces simulations, plusieurs points méritent une attention particulière. Tout d’abord, il est crucial de limiter le nombre de participants. Ramsey recommande de se concentrer sur un groupe de dix à vingt-cinq personnes, incluant des représentants de différents services : direction, juridique, conformité, informatique, etc. Pour un exercice ciblé sur l’équipe informatique, un effectif de cinq à dix personnes peut suffire.
Le choix d’un animateur impartial est également déterminant. Les prestataires de services de sécurité gérés (PSSG) sont particulièrement bien placés pour remplir ce rôle, grâce à leur expertise technique et à leur objectivité. Ils ne sont pas impliqués dans la gestion quotidienne de l’hôpital et peuvent donc offrir une évaluation honnête et constructive. De plus, la préparation du matériel de support pour un ETT est chronophage, et l’externalisation de cette tâche à un partenaire spécialisé peut s’avérer judicieuse.
La durée de la session doit être limitée à quatre heures maximum. Cela permet à chacun de s’exprimer sans que l’exercice ne se transforme en une épreuve d’endurance. Il est également important d’éviter que les participants ne se reposent uniquement sur l’avis des dirigeants. Ramsey suggère même de simuler l’indisponibilité temporaire du directeur des systèmes d’information (DSI) et du responsable de la sécurité des systèmes d’information (RSSI) pendant une trentaine de minutes, afin de tester la capacité de l’équipe à réagir en leur absence.
L’animateur doit être attentif aux signes d’excès de confiance et de déni. Il est fréquent que les participants affirment qu’une attaque par rançongiciel ne pourrait jamais les atteindre, en raison de la présence d’une solution de détection et de réponse (EDR) performante. Cependant, pour qu’un ETT soit efficace, il est essentiel que les participants acceptent la possibilité d’une défaillance de leurs protections.
Il convient également de se méfier des réponses vagues du type « nous y travaillons ». Derrière ces affirmations peuvent se cacher des lacunes importantes qui nécessitent une attention immédiate. Ramsey conseille de ne pas planifier plus de deux ETT à grande échelle par an, afin de laisser suffisamment de temps pour corriger les problèmes identifiés. Par exemple, la ratification d’un plan de communication d’urgence peut prendre plusieurs semaines.
Enfin, il est recommandé d’encourager la réalisation de mini-exercices au niveau départemental, après un ETT à grande échelle. Ces simulations à petite échelle permettent d’impliquer davantage le personnel et de renforcer la sensibilisation à la sécurité. La directrice des soins infirmiers peut ainsi organiser des réunions avec ses chefs de service pour discuter des conclusions de l’ETT et des mesures à prendre.
La Cybersecurity & Infrastructure Security Agency (CISA) propose également des recommandations utiles pour la mise en œuvre d’ETT efficaces. En définitive, ces exercices ne sont pas un jeu, mais une préparation essentielle face à une menace croissante. Comme dans un jeu de rôle, l’enjeu n’est pas de gagner, mais d’anticiper les risques et de s’assurer que l’équipe est prête à faire face à une crise.
À lire aussi
