Incident Response Plan : essentiel à la continuité opération

La cybercriminalité est en hausse depuis des années, y compris dans le secteur des soins de santé. Les hôpitaux sont une cible privilégiée des attaques par ransomware, notamment parce qu’ils gèrent d’importants volumes de données confidentielles sur leurs patients. La cybersécurité reste donc un défi majeur pour le secteur. “Dans les hôpitaux, de nombreux systèmes informatiques anciens sont encore en service”, explique Stephan Van Dyck, expert en cybersécurité chez Proximus NXT. “Pensez par exemple aux logiciels intégrés à des dispositifs médicaux dont la durée de vie est très longue. Dans ce contexte, prévoir des mises à niveau est loin d’être évident.”

Les contraintes budgétaires dans le secteur des soins de santé ne favorisent pas non plus la cybersécurité. Les budgets sont sous pression, ce qui entraîne une consolidation du secteur. Les groupes hospitaliers intègrent ainsi de nouveaux sites, reliés informatiquement, par exemple, à un dossier patient centralisé. “Un groupe hospitalier de cette taille compte généralement de nombreux médecins indépendants”, explique Stephan Van Dyck. “Ils utilisent leurs propres outils, qui ne sont pas toujours sous le contrôle du département IT. Tous ces facteurs contribuent à élargir la surface d’attaque.”

Incident Response Plan

C’est précisément pour anticiper ce type de risque qu’un grand groupe hospitalier belge a fait appel à Proximus NXT afin de renforcer sa cyberrésilience. “Ensemble, nous avons défini le cadre d’un Incident Response Plan (IRP)”, explique Stephan Van Dyck. “Pour ce faire, nous avons organisé ce que l’on appelle un exercice table top : à partir d’un incident fictif, nous avons déterminé ensemble comment nous préparer pour faire la différence en cas d’incident réel.”

Concrètement, l’IRP centralise de nombreuses informations pratiques. En cas d’incident, toutes ces informations sont immédiatement disponibles, sans perdre de temps à rechercher des numéros de téléphone ou les noms des outils et partenaires IT. L’IRP rassemble toutes les informations pertinentes sur l’établissement de santé, son infrastructure IT et ses logiciels, ses processus de sécurité et sa gestion de crise.

“Il s’agit par exemple des informations générales sur l’organisation, de l’organigramme et des coordonnées des différents services”, explique Stephan Van Dyck. “Mais aussi des informations techniques : comment les serveurs et les réseaux sont connectés, avec quels fournisseurs IT vous travaillez, si des sauvegardes sont disponibles, qui fait partie de l’équipe de crise et si l’organisation est disposée ou non à payer une rançon.” En passant tranquillement en revue tous ces points et en les validant en temps normal, l’organisation dispose d’un plan d’action prêt à l’emploi lorsqu’un incident survient.

Réagir immédiatement

La demande de soutien supplémentaire en cybersécurité et l’exercice consacré à l’IRP ont rapidement démontré toute leur pertinence. Quelques semaines après la mise en place du cadre IRP, l’hôpital a signalé une activité Internet suspecte via la ligne d’urgence du CSIRT (Computer Security Incident Response Team) de Proximus NXT. C’était justement le genre de moment que les cybercriminels privilégient volontiers. “Nous avons reçu l’alerte vers midi, un vendredi juste avant un week-end prolongé.”

Les premières analyses ont permis d’écarter plusieurs types d’attaque. “Il ne s’agissait ni d’une faille de sécurité ni d’une tentative de phishing. Nous avons constaté que la menace venait de l’intérieur et qu’il s’agissait d’une exfiltration de données, c’est-à-dire du transfert non autorisé de données vers un emplacement externe. Cette activité durait déjà depuis au moins quatre semaines.” Cela indiquait qu’un cybercriminel préparait une attaque par ransomware. Il fallait agir immédiatement et identifier au plus vite la source de l’incident.

Stephan Van Dyck, expert en cybersécurité chez Proximus NXT

Une réaction rapide et efficace

Dès les premières heures qui ont suivi le signalement de l’incident, le cadre IRP a montré toute son utilité. “En rassemblant et en centralisant à l’avance les informations essentielles, vous évitez de perdre un temps précieux à les rechercher en pleine crise. Vous évitez ainsi les blocages qui surviennent lorsque les collaborateurs sont sans cesse sollicités par différentes parties prenantes (fournisseurs, clients, partenaires et collègues) pour répondre aux mêmes questions. Avec un bon Incident Response Plan, toutes les réponses sont immédiatement à portée de main, ce qui permet d’agir plus rapidement et plus efficacement.”

18 heures, l’analyse était terminée et Proximus NXT a alors recommandé de mettre l’ensemble du groupe hospitalier hors ligne. “Les conséquences seraient évidemment considérables”, explique Stephan Van Dyck. “Il faudrait fermer les urgences et le bloc opératoire, et reporter pour une durée indéterminée toutes les interventions programmées.” À elle seule, une décision d’une telle ampleur pouvait créer une situation de crise. “Mais les conséquences d’une attaque par ransomware seraient encore bien plus lourdes.”

Démasqué grâce aux images de vidéosurveillance

Parallèlement, le CSIRT de Proximus NXT a recommandé d’analyser les images de vidéosurveillance et de les recouper avec l’emplacement physique du port réseau utilisé pour l’exfiltration des données. “L’auteur des faits a ainsi pu être identifié très rapidement. À 19 heures, nous savions de qui il s’agissait et il n’était donc plus nécessaire de mettre l’hôpital hors ligne.” L’auteur des faits était un administrateur système. L’hôpital l’a licencié sur-le-champ.

“L’homme rentrait chez lui à vélo lorsqu’il a eu un accident” raconte Stephan Van Dyck. “Une ambulance l’a ramené à l’hôpital, et il y est resté quelques jours pour y être soigné. S’il n’avait pas été démasqué et que l’hôpital avait dû être mis hors ligne, il aurait été conduit dans un autre hôpital.” Qui sait quelles conséquences cela aurait pu avoir sur ses blessures ? L’auteur aurait ainsi pu devenir lui-même victime de sa propre attaque. Le karma est sans pitié, même pour les cybercriminels.

Stephan Van Dyck, expert en cybersécurité chez Proximus NXT

50 % de gain de temps

Selon Stephan Van Dyck, si toute l’opération a pu être menée à bien en quelques heures seulement, c’est en grande partie grâce au cadre IRP. “Le fait d’avoir immédiatement toutes les informations à portée de main nous a permis d’intervenir au moins 50 % plus rapidement et plus efficacement.” Cette histoire remarquable peut également inspirer les organisations qui souhaitent renforcer leur cyberrésilience. “Regroupez tous vos outils de sécurité”, conseille-t-il. “Cela vous permet d’avoir plus rapidement une vue d’ensemble de la situation de votre organisation en matière de sécurité.”

Autre point important : lors du recrutement de collaborateurs appelés à accéder à des systèmes critiques et à des données sensibles, il est recommandé de vérifier leurs antécédents. “Il suffit pour cela d’appeler quelques-uns de leurs anciens employeurs”, conclut Stephan Van Dyck. “Dans ce cas précis, il s’est avéré que l’administrateur système avait déjà agi de la sorte dans un emploi précédent.” Un simple coup de fil aurait donc pu faire toute la différence. “Le zero trust reste un principe important : il s’applique aussi bien aux collaborateurs “ordinaires” qu’à l’équipe IT elle-même.”