Un scanner ne se remplace pas comme un ordinateur portable. Il coûte cher, structure l’activité d’un service et peut fonctionner longtemps après le vieillissement de son système informatique. Autour de lui circulent pourtant des images, des identités et des commandes : autant de passages possibles pour une attaque. À l’horizon de septembre 2026, le défi des hôpitaux n’est donc pas seulement de moderniser leur parc. C’est de protéger des générations d’équipements qui cohabitent, sans arrêter les soins pour refaire toute l’infrastructure.
Le temps médical n’est pas celui du logiciel
Dans un établissement, plusieurs horloges tournent ensemble. Celle du matériel biomédical se compte parfois en décennies. Celle des systèmes d’exploitation dépend de calendriers de support bien plus courts. Celle des vulnérabilités peut, elle, se mesurer en heures lorsqu’une faille devient exploitable. Entre les trois, les équipes doivent garantir qu’un examen reste fiable et qu’un patient peut être pris en charge.
Un appareil ancien n’est pas automatiquement dangereux. Mais son maintien en service devient délicat lorsqu’il repose sur un logiciel non maintenu, des protocoles peu protecteurs ou des comptes difficiles à administrer. L’équipement peut continuer à remplir parfaitement sa fonction clinique tout en présentant une surface d’attaque croissante. La durée de vie médicale et la durée de vie numérique ne coïncident plus.
Installer une mise à jour n’est pas toujours une opération banale. Selon le dispositif, il faut une validation du fabricant, vérifier la compatibilité avec les applications et organiser une indisponibilité. Un correctif improvisé peut perturber une acquisition ou rompre une interface. Cette contrainte réelle ne doit cependant pas devenir une excuse permanente pour laisser une machine exposée.
Une attaque informatique devient une crise de soins
Les cyberattaques contre le Centre hospitalier Sud Francilien et le centre hospitalier de Versailles, en 2022, puis contre celui d’Armentières, en 2024, ont rappelé la fragilité des organisations hospitalières. Selon les situations, elles ont entraîné des perturbations majeures, des reports ou des réorientations de patients. Elles montrent surtout qu’une crise numérique déborde rapidement du service informatique.
Il n’est pas nécessaire de compromettre directement un dispositif médical pour le rendre difficile à utiliser. La perte d’un annuaire, d’un serveur d’images ou d’un logiciel de prescription peut suffire. Un scanner disponible sans accès fluide aux dossiers ni possibilité de transmettre ses images ne garantit pas une chaîne de soins fonctionnelle. La résilience doit donc se penser par parcours clinique, pas seulement par machine.
Voir le parc avant de vouloir le sécuriser
Le premier chantier paraît administratif : savoir ce qui est connecté. Il est pourtant décisif. Les inventaires informatiques et biomédicaux ne racontent pas toujours la même histoire. L’un décrit des adresses réseau, l’autre des contrats de maintenance. Entre les deux se cachent parfois une console secondaire, une passerelle oubliée ou un ordinateur fourni par un prestataire.
Un inventaire utile relie chaque équipement à son service, son responsable, sa version logicielle, son statut de support et ses dépendances. Il précise les communications nécessaires, les modalités de télémaintenance et les conséquences d’une indisponibilité. La découverte doit rester prudente : des scans actifs peuvent perturber certains matériels fragiles. L’observation passive du trafic constitue souvent un point de départ plus adapté, à compléter avec le fabricant.
Segmenter : construire des portes, pas seulement des cloisons
La segmentation consiste à limiter les communications entre ensembles d’équipements. Son objectif n’est pas d’isoler aveuglément chaque appareil, mais d’empêcher qu’une compromission sur un poste bureautique se propage librement vers des fonctions cliniques. Séparer les réseaux administratifs, les dispositifs médicaux et les accès des visiteurs constitue une base, pas un aboutissement.
Un réseau virtuel distinct ne suffit pas si tout reste autorisé entre les zones. Les règles doivent définir quels systèmes peuvent communiquer, pour quel usage et dans quel sens. Un équipement d’imagerie peut avoir besoin du serveur d’archivage, d’un service de temps et d’une passerelle précise, sans nécessiter un accès général à Internet ou aux postes du personnel.
Le travail est minutieux. Il faut observer les flux réels, documenter les exceptions, tester les restrictions et prévoir un retour arrière. Les changements gagnent à être progressifs, sur un périmètre limité, avec les soignants et les équipes biomédicales. Bloquer trop vite un échange méconnu peut provoquer exactement l’interruption que l’on voulait éviter.
La télémaintenance, passage à surveiller
Les fabricants doivent parfois intervenir à distance. Cet accès devrait passer par une passerelle contrôlée, avec authentification multifacteur, droits limités et ouverture temporaire. Les connexions doivent être traçables et révocables. Lorsqu’un appareil ne sait pas intégrer ces protections, elles peuvent être placées en amont. L’enjeu est d’éviter qu’un accès de maintenance devienne une porte permanente vers le reste de l’hôpital.
Quand corriger est impossible, réduire l’exposition
Pour les équipements non patchables, la protection repose sur des mesures compensatoires : filtrage strict, suppression des services inutiles lorsque le fabricant l’autorise, contrôle des supports amovibles et surveillance des communications inhabituelles. Installer un agent de sécurité classique n’est pas toujours possible ni validé. La détection peut alors s’appuyer davantage sur le réseau et les systèmes voisins.
Ces mesures ne rendent pas acceptable indéfiniment tout matériel obsolète. Chaque exception doit avoir un responsable, une justification clinique, des protections identifiées et une date de réexamen. Le remplacement devient prioritaire lorsque l’exposition, la criticité et l’absence de solution de repli se cumulent. Cette hiérarchisation permet de discuter les investissements autrement qu’à partir du seul âge des appareils.
Le mode dégradé se prépare avant l’écran noir
Revenir au papier n’est pas un plan complet. Il faut savoir identifier les patients, retrouver les informations indispensables, prescrire, transmettre les résultats et tracer les actes sans les outils habituels. Il faut aussi décider quelles activités maintenir, reporter ou transférer. Ces arbitrages relèvent de la direction médicale autant que de la cybersécurité.
Les exercices doivent tester des dépendances concrètes : que se passe-t-il si l’annuaire tombe, si les images deviennent inaccessibles ou si un service doit être déconnecté ? Des procédures disponibles hors ligne et des contacts imprimés peuvent compter davantage qu’un document parfait stocké sur le réseau indisponible. La reprise mérite autant d’attention : réconcilier les dossiers papier et numériques exige du temps et des contrôles.
Acheter aujourd’hui la sécurité de demain
Les futurs marchés devraient préciser la durée du support logiciel, les modalités de correction, les accès distants et les conditions de fin de vie. Exiger une documentation des flux facilite aussi la segmentation. Sans ces éléments, l’établissement achète une capacité clinique, mais hérite d’une dette numérique dont le coût apparaîtra plus tard.
Et maintenant ? Pour septembre 2026 et les années suivantes, la trajectoire la plus crédible reste progressive : connaître le parc, fermer les passages inutiles, sécuriser la maintenance et exercer les équipes à travailler autrement. La segmentation ne supprimera pas les attaques ; un mode dégradé ne remplacera pas durablement le numérique. Ensemble, ils peuvent toutefois éviter qu’une panne informatique impose immédiatement une rupture des soins.
