De la note E à un audit validé : redressement cyber d'un centre hospitalier

Le plan France Relance a permis à de nombreux établissements de santé de faire évaluer leur niveau de maturité en cybersécurité. Pour ce centre hospitalier, le diagnostic réalisé par Orange Cyberdefense a débouché sur une note E - la note la plus basse de l'échelle. Une réalité difficile à entendre, mais qui a le mérite d'être claire : le niveau de sécurité du système d'information était insuffisant et nécessitait une intervention urgente.

Les premiers pentests : une compromission totale de l'Active Directory

Avant de définir un plan d'action, nous avons réalisé nos propres tests d'intrusion pour mesurer concrètement l'exposition de l'établissement. Les résultats ont été sans équivoque :

• prise de contrôle des comptes administrateurs du domaine ;
• accès au contrôleur de domaine de l'établissement.

Un attaquant disposant d'un accès initial au réseau - via un poste compromis, un rançongiciel ou une attaque de phishing - aurait pu prendre le contrôle total du système d'information. Dans un contexte hospitalier, cela signifie une menace directe sur la continuité des soins.

Pouvoir se connecter au contrôleur de domaine d'un hôpital depuis un simple poste de travail compromis, c'est la démonstration que le SI tout entier peut être mis sous contrôle d'un attaquant en quelques heures.

Le plan d'action : réduire au maximum la surface d'attaque

Sur la base de ces constats, nous avons défini et mis en place un plan d'action complet visant à réduire au maximum les risques cyber de l'établissement. Ce plan a couvert les axes structurants de la sécurisation d'un SI hospitalier :

• mise en place du tiering Active Directory pour isoler les comptes à privilèges et protéger les contrôleurs de domaine ;
• durcissement des politiques d'authentification et des comptes administrateurs ;
• réduction de la surface d'attaque sur les équipements exposés ;
• correction des vulnérabilités identifiées lors des tests d'intrusion initiaux ;
• mise en conformité avec les recommandations de l'ANSSI.

La validation par un cabinet d'audit externe indépendant

Une fois le plan d'action déployé, un cabinet d'audit en cybersécurité externe et indépendant est venu tester l'ensemble des mesures mises en place. Les tests d'intrusion réalisés par ce cabinet n'ont rien donné : les failles exploitées lors de nos premiers pentests n'étaient plus accessibles, et aucune nouvelle voie de compromission n'a été trouvée.

C'est la validation la plus solide qui soit : un tiers, sans lien avec nous, qui cherche à compromettre le SI avec les mêmes techniques qu'un attaquant réel - et qui ne trouve plus rien.

Entre les premiers pentests - où nous avons pris le contrôle de l'Active Directory - et les tests du cabinet externe - où plus rien n'a été trouvé - c'est l'ensemble du niveau de sécurité du SI qui a été transformé.

Ce que cette intervention illustre

Ce cas montre qu'un niveau de maturité cyber faible, même documenté par une note E, n'est pas une fatalité. Avec un plan d'action structuré, priorisé et mis en oeuvre rigoureusement, il est possible de redresser significativement le niveau de sécurité d'un établissement de santé - et d'en apporter la preuve par des tests indépendants. C'est cette rigueur, de l'audit initial à la validation finale, que nous mettons au service des établissements que nous accompagnons.