Prévention du risque cyber : le CHRU de Strasbourg se tourne vers l’escape game

En plein essor ces dernières années, le concept d’escape game ne cesse de séduire, au point de s’implanter dans centres hospitaliers. Au sein des Hôpitaux Universitaires de Strasbourg, le concept se décline même dans une version dédiée aux risques cyber et psychosociaux. « Nous avions déjà organisé, en 2019, un escape game sur les troubles musculo-squelettiques », se souvient le Dr Mariam Roman, médecin du travail au sein de l’établissement. Devant le succès de la démarche – les organisateurs ayant dû reprogrammer des séances –, les équipes chargées de la sécurité des systèmes d’information (SSI) ont souhaité développer un projet similaire, cette fois-ci axé sur le risque cyber.

« Nous nous sommes tout naturellement rapprochés du service de santé en travail pour leur savoir-faire », explique Patrick Cambon, membre de l’équipe SSI à l’origine du projet. « En matière de cybersécurité, on entend souvent dire que “le problème est entre la chaise et le clavier”. Jugé par beaucoup comme le maillon faible, l’humain est pourtant bien une victime qu’il faut accompagner », ajoute le spécialiste, insistant sur la nécessité de fournir des « explications claires et bien comprises, pour une prévention réussie ».
 

Ludique et pédagogique, le format de l’escape game s’est donc imposé pour cette démarche qui vise avant tout à « analyser des mécanismes d'erreurs et de mésusages, au travers d'un scénario mettant en scène le professionnel de santé dans un environnement de travail complexe face à une situation cybercritique », détaille-t-il. Encore à la phase de projet, le jeu devrait donc proposer des modalités d’accès nouvelles aux recommandations de bonnes pratiques habituellement délivrées par les équipes en charge de la SSI comme par le service de santé au travail.

« Afin de faire passer nos messages de manière simple, nous avons dû nous détacher de notre expertise, nous mettre dans la peau des différents utilisateurs », précise le Dr Mariam Roman. Pour compléter l’expérience, l’équipe prévoit d’ailleurs de distribuer, en fin de partie, des fiches reprenant les bonnes pratiques vues dans le jeu. « Tout est pensé pour que les principaux messages de prévention soient compris et assimilés au mieux », ajoute le médecin.
 

Au travers de cette approche, résolument tournée vers l’humain, les créateurs de ce jeu sérieux ont donc pensé leur message autour de deux principales thématiques : les risques psychosociaux (RPS) et le risque cyber. Sur ce dernier point, les équipes strasbourgeoises ont décidé d’aborder plusieurs sujets comme la nécessité de protéger les données confidentielles, la formalisation des mots de passe ou encore le traitement des mails. « De nombreuses situations ont été pensées autour de ces deux risques avec, à chaque fois, un chemin pour aller vers les bonnes pratiques », résume Patrick Cambon qui insiste d’ailleurs sur « la complémentarité de ces deux sujets ». « La majorité des erreurs humaines ont lieu lors d’un moment d’inattention. Le lien entre RPS et risque cyber s’est fait très vite », complète le Dr Mariam Roman.

Interruptions de tâches, stress constant, sollicitations intempestives… Le milieu hospitalier est propice aux RPS, qui sont au cœur des actions de prévention menées par les services de santé au travail. Si le manque d’effectifs dans les hôpitaux en est une cause majeure, « il reste toujours des leviers, précise le médecin. On peut toujours agir sur l’équipe, la communication, la gestion de ses mails, les interruptions de tâches… ». Et c’est justement pour mieux exploiter ces différents leviers, tout en mettant à profit les nouvelles approches pédagogiques, que les équipes du CHRU de Strasbourg ont choisi l’escape game. Pour aller encore plus loin dans la mise en contexte des soignants, ils ont fait appel à l’école de création visuelle e-artsup de la ville, afin de créer des contenus adaptés.
 

« Nous avons réellement travaillé à trois : le SSI, le service de santé au travail et l’école d’art », précise Patrick Cambon. Les étudiants en première année de l’école ont ainsi pu, pendant un trimestre, réaliser des éléments visuels – décors, affiches et vidéos – pour ce jeu qui, à cause de la crise sanitaire, n’a pas pu avoir lieu selon le calendrier prévu. « Ces travaux se sont déroulés au printemps 2020. Le contexte était alors particulier. Pour autant, les étudiants s’y sont plongés et ont pu échanger avec les équipes du CHRU », se souvient Vincent Lamarche, directeur de cette école ouverte en 2019. Pour lui, l’intérêt est majeur : « les étudiants ont ainsi pu se confronter à de nouvelles personnes et à un nouveau milieu ». Pour les équipes des Hôpitaux Universitaires de Strasbourg, cette coopération a également permis de développer une charte graphique originale, ainsi qu’un groupe de travail plus diversifié.

« Nos usages du numérique divergent suivant notre poste, notre formation, notre âge… Bénéficier de ces regards plus jeunes, qui eux-mêmes utilisent ces outils de manière différente, a donc été un avantage indéniable pour proposer un jeu qui s’adapte à tous », confie Patrick Cambon. Et la démarche paie, puisque si le jeu n’a pas encore pu être mené à son terme, il a déjà été récompensé par le prix « Réduction du risque cyber », décerné par Sham dans le cadre de son concours européen « Risk management » 2021. « L’escape game n’ayant pas eu lieu comme prévu, nous étions très frustrés. Ce prix a donc été le bienvenu », note le Dr Mariam Roman.
 

Si la crise sanitaire a freiné le projet dans son développement, les créateurs l’assurent : « il se poursuit ». Une version « live » devrait ainsi être proposée à l’occasion du congrès national de Médecine et Santé au travail, qui se déroulera du 14 au 17 juin à Strasbourg. Afin de limiter les risques sanitaires et pour aller plus loin, les équipes du CHRU envisagent également de numériser le format. « Il faudrait alors intégrer de nouveaux collaborateurs, embarquer des écoles d’ingénieurs par exemple », complète Patrick Cambon qui compte bien développer un peu plus ce qu’il qualifie lui-même de « belle aventure humaine ».

Article publié dans l'édition de février 2022 d'Hospitalia à lire ici.