Cybersécurité en radiothérapie : protéger les soins et assurer la continuité de l’activité

Que se passe-t-il si une application médicale devient indisponible ou si une cyberattaque perturbe le système informatique d’un centre de radiothérapie ? Au-delà de la protection des serveurs et des données, les établissements doivent pouvoir anticiper ces situations et organiser la continuité de leur activité.

La sécurisation du système d’information repose sur plusieurs leviers : la maîtrise des accès, la protection des équipements, les sauvegardes et la préparation à la gestion des incidents. Une politique de sécurité des systèmes d’information (PSSI) permet de structurer ces mesures en fonction des besoins et des contraintes de chaque établissement.

En France, les centres de radiothérapie ont pris en charge 231 000 patients en 2024, soit une hausse de 8 % par rapport à 2021, selon les chiffres publiés par l’Institut national du cancer (INCa). Dans ce contexte, la disponibilité des outils numériques et la préparation à un fonctionnement en mode dégradé constituent des enjeux importants pour les équipes.

Pourquoi la continuité des soins est-elle essentielle ?

Les conséquences d’un incident informatique varient selon les systèmes touchés et les solutions de secours disponibles. L’indisponibilité d’un outil administratif n’a pas nécessairement le même impact qu’une panne affectant la préparation ou le déroulement d’un traitement.

L’analyse des risques doit donc tenir compte des activités cliniques, des applications utilisées et de leurs dépendances. Dans un service d’oncologie, les professionnels s’appuient notamment sur l’imagerie médicale, les données de planification et les informations du dossier patient.

Pour anticiper une interruption, l’établissement doit déterminer quelles fonctions rétablir en priorité, qui prend les décisions en situation de crise et comment informer les équipes. Cette préparation implique la direction, la DSI, les professionnels de radiothérapie, la physique médicale, les équipes qualité et les responsables des logiciels et équipements concernés.

Les procédures doivent être adaptées aux contraintes cliniques et aux exigences de sécurité applicables aux dispositifs médicaux.

Cartographier le système d’information et ses dépendances

La première étape consiste à identifier les applications et les infrastructures nécessaires au fonctionnement du centre. Cela comprend notamment les logiciels de planification des traitements, les outils de dosimétrie, les systèmes d’imagerie, les dossiers patients, les réseaux et les services d’hébergement.

Cette cartographie permet de comprendre les échanges entre les différents composants, mais aussi de repérer les points de fragilité : accès distants, comptes techniques, dépendances à des prestataires ou services partagés.

Les flux de données doivent être documentés afin de mieux maîtriser les échanges entre les applications et les équipements. Cette démarche est particulièrement importante lorsque plusieurs systèmes interviennent dans la préparation et le suivi d’un traitement.

La cartographie sert également à définir les règles d’accès et d’administration. Les droits doivent correspondre aux missions de chaque utilisateur, être réévalués lorsque ses fonctions évoluent et être supprimés lorsqu’ils ne sont plus nécessaires.

Les opérations de maintenance et d’administration doivent être encadrées et tracées. Toute modification susceptible d’affecter un équipement médical nécessite une coordination avec les responsables concernés, afin de préserver son fonctionnement et l’intégrité des données utilisées pour les soins.

Enfin, le cloisonnement du réseau peut limiter la propagation d’une attaque. Il doit toutefois être conçu en tenant compte des échanges indispensables au fonctionnement clinique et faire l’objet de vérifications adaptées.

Protéger les accès, les données et les équipements médicaux

Plusieurs mesures contribuent à réduire les risques :

• attribuer des comptes individuels et limiter les droits aux besoins de chaque utilisateur ;

• renforcer l’authentification lorsque cela est possible et adapté au contexte ;

• planifier les mises à jour et suivre les vulnérabilités ;

• encadrer les connexions des prestataires et l’utilisation des supports amovibles ;

• surveiller les événements de sécurité pour repérer les comportements inhabituels.

Les équipements médicaux connectés demandent une attention particulière, car leurs contraintes techniques et leurs modalités de maintenance peuvent limiter les possibilités de modification. Les interventions doivent être préparées avec les interlocuteurs compétents.

La protection des données de santé repose également sur des sauvegardes sécurisées et des procédures de restauration régulièrement testées. Les informations médicales, les images et les données de planification doivent pouvoir être récupérées sans altération.

Disposer de sauvegardes ne suffit pas : il faut vérifier que les équipes peuvent les restaurer et que les données récupérées sont utilisables. La fréquence des tests et les objectifs de reprise doivent être définis selon les applications et les besoins de l’établissement.

Des audits techniques et des tests d’intrusion peuvent compléter cette démarche. Ils doivent être autorisés, délimités et préparés avec les responsables concernés, en particulier lorsqu’ils portent sur des systèmes sensibles. Ils permettent d’identifier certaines faiblesses, sans garantir à eux seuls la sécurité de l’ensemble du système d’information.

Préparer une réponse coordonnée en cas de cyberattaque

Lorsqu’un incident survient, les premières décisions sont déterminantes. Il faut évaluer les conséquences, préserver les éléments utiles à l’analyse, limiter la propagation et maintenir une communication efficace entre les équipes informatiques et cliniques.

Un plan de réponse doit préciser les personnes à contacter, les responsabilités de chacun, les modalités d’escalade et les moyens de communication de secours. Les mesures à prendre dépendent du système affecté et de son rôle dans l’activité médicale.

La préparation doit aussi prévoir des scénarios concrets. Que faire si un serveur d’authentification devient indisponible ? Comment communiquer si la messagerie ne fonctionne plus ? Quelles procédures appliquer si une application indispensable aux équipes est inaccessible ?

Les exercices de crise permettent de tester les réponses envisagées, de repérer les dépendances oubliées et de corriger les procédures. Ils contribuent à mieux coordonner les acteurs informatiques, médicaux et administratifs.

Gplexpert accompagne les établissements de santé dans la préparation de leurs exercices de crise cyber, en tenant compte de leur organisation et des particularités de leur système d’information.

Les recommandations de la SFRO sur les cyberattaques en oncologie-radiothérapie

En décembre 2023, la Société française de radiothérapie oncologique (SFRO) a publié dans la revue Cancer/Radiothérapie un article intitulé « Prévention, protection, et gestion des cyberattaques en oncologie radiothérapie : recommandations interprofessionnelles au nom de la Société française de radiothérapie oncologique ».

Ce travail interprofessionnel, publié dans le volume 27, numéro 8, vise à aider les équipes à adapter leur démarche de sécurité aux spécificités des services d’oncologie-radiothérapie. Le rapport 2023 de l’Autorité de sûreté nucléaire (ASN) mentionne également sa participation au groupe de travail.

Les recommandations s’organisent autour de trois niveaux de prévention :

• La prévention primaire, qui vise à réduire les facteurs de risque avant un incident.

• La prévention secondaire, qui concerne la détection et la gestion de l’attaque en cours.

• La prévention tertiaire, qui vise à limiter les conséquences de l’incident et à organiser le retour à un fonctionnement adapté.

La préparation à un mode dégradé occupe une place importante dans cette approche. Les établissements doivent anticiper les mesures permettant de poursuivre leur activité dans des conditions adaptées, sans compromettre la sécurité des patients.

Ces recommandations constituent une référence pour les professionnels concernés. Elles ne remplacent ni les obligations réglementaires ni l’analyse des risques propre à chaque établissement.

Source : Giraud P. et al., Prévention, protection, et gestion des cyberattaques en oncologie radiothérapie : recommandations interprofessionnelles au nom de la Société française de radiothérapie oncologique, Cancer/Radiothérapie, vol. 27, n° 8, décembre 2023.

Comment choisir un prestataire en cybersécurité pour un centre de radiothérapie ?

Le choix d’un prestataire doit tenir compte de l’architecture informatique, des applications utilisées, des équipements concernés et de la répartition des responsabilités.

Plusieurs points méritent d’être examinés :

• le périmètre des infrastructures et des applications prises en charge ;

• les modalités de supervision et de traitement des alertes ;

• la gestion des sauvegardes et les procédures de restauration ;

• l’encadrement des interventions et des accès techniques ;

• les responsabilités respectives de l’établissement et du prestataire ;

• les modalités de suivi des actions et des niveaux de service.

Pour un centre d’oncologie ou de radiothérapie, cet accompagnement doit s’articuler avec les contraintes cliniques et les responsables des équipements. Les mesures retenues doivent correspondre aux besoins réels de la structure, sans présumer de la compatibilité des solutions avec les dispositifs médicaux utilisés.

Renforcer la résilience numérique des établissements de santé

La protection du système d’information repose sur une démarche coordonnée : connaître les dépendances, maîtriser les accès, disposer de sauvegardes restaurables et préparer une réponse aux incidents.

En associant les équipes informatiques, les professionnels de santé et les responsables des équipements, les établissements peuvent hiérarchiser leurs priorités et tester leurs procédures de continuité. Cette préparation contribue à limiter les perturbations et à mieux protéger les données médicales.

Gplexpert accompagne les établissements de santé

Gplexpert accompagne les établissements dans leurs démarches de gouvernance et de sécurisation des systèmes d’information, notamment à travers les audits, la PSSI, la supervision, les sauvegardes et la continuité informatique.

Son expérience des systèmes d’information de santé depuis 2008, ainsi que ses certifications HDS et ISO 27001, contribuent à cet accompagnement. Les besoins et les prestations sont définis selon l’organisation de chaque établissement et le périmètre concerné.

Pour évaluer les besoins de votre structure, découvrez notre page dédiée à la sécurité informatique des établissements de santé ou contactez notre équipe pour échanger sur votre situation.