Cybersécurité : ouverture des deux premiers guichets de financement du programme CaRE

Le domaine « Audits techniques : annuaires techniques et exposition sur internet » est une des priorités du programme CaRE. En effet, les cyberattaques récentes ont démontré que l’exposition non maîtrisée sur internet est une porte d’entrée principale pour les attaquants. Par ailleurs, l’annuaire technique (ou « Active Directory »), qui gère les informations et les ressources d’un établissement, est souvent utilisé par les attaquants pour se propager dans le système.

Ainsi, ce premier appel à financement pour le domaine « Audits techniques : annuaires techniques et exposition sur internet », doté d’une enveloppe de 65 millions d’euros, vise à :
• atteindre un premier niveau de remédiation de la configuration des annuaires techniques (AD)
• atteindre un premier niveau de remédiation de l'exposition sur Internet
• se préparer au risque d’une cyberattaque
• auto-évaluer sa maturité vis-à-vis des risques cyber
• prévoir une trajectoire de convergence des annuaires techniques au niveau du GHT (pour les ES publics).

Ces objectifs sont détaillés dans le guide disponible sur le site de l’ANS. Les financements seront octroyés à l’atteinte de ces objectifs.

À cet effet, les établissements de santé sont invités à candidater sur la plateforme dédiée « eCaRE » : les guichets de candidature seront ouverts du 18 mars au 19 avril 2024 et ouverts à tous les établissements de santé, publics et privés.

> Retrouver l’ensemble des informations sur les candidatures décrites sur le site de l’ANS.

La sécurité de l’identification des professionnels de santé est critique pour le respect du secret médical et la confidentialité des données. Le renforcement des moyens d’identification (création et gestion des modes de connexion) des professionnels de santé est un levier majeur de cybersécurité.

Pour supporter ces actions, le référentiel d’identification électronique a été rendu opposable en 2022.Dans ce contexte, l’objectif d’HospiConnect est d’accélérer le déploiement des exigences du référentiel d’identification électronique et de simplifier l’accès sécurisé des professionnels aux services numériques les plus sensibles (comme le DPI dans les établissements de santé ou le DMP).

Tenant compte de l’évolution des technologies et des usages, cet appel à projet vise à financer le développement de nouveaux modes d’identification électronique sécurisés pour les professionnels qui exercent à l’hôpital. Il s’agit de tester ces nouveaux dispositifs sécurisés et leurs usages dans le quotidien des soignants pour nourrir la réflexion sur les dispositifs à généraliser en 2025.

Les modalités du premier appel à projets (Alpha) sont détaillées dans le cahier des charges disponible sur le site de l’ANS. Les financements seront octroyés à l’atteinte d’objectifs.

À cet effet, les établissements sont invités à candidater sur la plateforme Démarches Simplifiées  : les guichets de candidature seront ouverts du 18 mars au 5 avril 2024 à tous les établissements de santé et établissements sociaux et médico-sociaux, publics et privés

Rappel :

Présenté en décembre 2023 par le ministre chargé de la Santé et le ministre délégué chargé du Numérique, le programme CaRE vise à accélérer la mise à niveau des systèmes d’information (SI) face à l’état de la menace cyber et à renforcer durablement la résilience des établissements de santé et des établissements sociaux et médico-sociaux. Ce programme décline ainsi un plan d’action  concret et ambitieux jusqu’en 2027, qui permettra de donner une réponse collective, déterminée, et coordonnée pour faire face à cette menace.

Comme le relève le Panorama de la cybermenace 2023 de l’ANSSI, les établissements de santé ont été ces dernières années la cible de nombreux actes de cyber-malveillance avec des conséquences majeures impactant la sécurité et la qualité de prise en charge des patients.

Ces incidents soulignent la nécessité de mieux se préparer à faire face à la cybermenace et renforcer la sécurité opérationnelle des systèmes d’information (SI) des établissements. Un effort important sur les infrastructures doit être réalisé au sein des établissements afin de remédier aux vulnérabilités et limiter les intrusions dans les SI. Le plan d’action CaRE a identifié en ce sens des domaines prioritaires et a mis en place un système de soutien financier pour aider les établissements à rattraper les retards constatés (axe 4, objectif 12 du plan d’action CaRE).