L'AP-HP regroupe 38 hôpitaux où près de 100 000 professionnels soignent plus de huit millions de patients chaque année, selon sa présentation officielle. Un tel réseau manipule une quantité énorme de données de santé. Il est aussi une cible tentante pour les auteurs de cyberattaques.
Depuis plusieurs années, l'Assistance publique des hôpitaux de Paris modernise son informatique pour limiter ce risque. Les chiffres présentés à sa commission médicale d'établissement permettent de suivre ce chantier.
Des hôpitaux devenus des cibles
Les établissements de santé français ont subi plusieurs attaques par rançongiciel depuis 2019. Le CHU de Rouen en novembre 2019, l'hôpital de Dax en février 2021 ou le centre hospitalier Sud Francilien de Corbeil-Essonnes en août 2022 ont dû revenir au papier pendant des jours, voire des semaines.
L'AP-HP a elle-même connu un incident marquant. En septembre 2021, elle a annoncé le vol de données concernant environ 1,4 million de personnes testées pour la Covid-19 à la mi-2020. Les fichiers provenaient d'un service de partage sécurisé utilisé ponctuellement pour transmettre des résultats à l'Assurance maladie et aux agences régionales de santé.
Selon la CNIL, les données dérobées comprenaient notamment l'identité, le numéro de sécurité sociale, des coordonnées et le résultat du test. L'AP-HP a porté plainte et prévenu les personnes concernées par mail.
Un schéma numérique de 364 millions d'euros
Selon une dépêche d'APM publiée en 2022, l'AP-HP prévoyait d'investir entre 70,8 et 78,4 millions d'euros par an dans ses systèmes d'information entre 2021 et 2025. Le total atteignait 364 millions d'euros sur la période.
La plus grosse part, 187,3 millions d'euros, allait à la performance du système d'information, cybersécurité comprise. Il s'agissait d'un plan prévisionnel. Les montants finalement dépensés ne sont pas détaillés dans les documents publics consultés.
Des postes de travail moins anciens
Un ordinateur trop vieux ne reçoit plus les mises à jour de sécurité. Il devient une porte d'entrée pour les pirates. La direction des services numériques de l'AP-HP considère comme vétuste un poste fixe de plus de sept ans et un portable de plus de cinq ans.
Selon sa présentation de mars 2025 à la commission médicale, la part de postes vétustes est passée de 45 % à 15 % en moins de deux ans. Un autre document de la même direction parle de 46 % d'obsolescence fin 2022 et de moins de 15 % fin 2024.
Ce renouvellement a un coût régulier. Un poste neuf vieillit à son tour. Le parc doit donc être remplacé par vagues pour ne pas retomber dans la même situation quelques années plus tard.
L'authentification à deux facteurs
Un mot de passe volé suffit souvent à ouvrir une porte. L'authentification à deux facteurs ajoute une seconde vérification, par exemple un code sur le téléphone, avant d'accorder l'accès.
L'AP-HP indique avoir poursuivi ce déploiement en 2024, en particulier sur sa messagerie web et pour les accès de ses prestataires. Les prestataires extérieurs sont un point sensible, car une entreprise moins protégée peut servir de tremplin vers le réseau de l'hôpital.
Des exercices de crise à grande échelle
S'entraîner avant une attaque permet de gagner un temps précieux le jour où elle arrive. Fin 2023, le responsable de la sécurité des systèmes d'information de l'AP-HP indiquait que 25 exercices de crise cyber avaient été organisés depuis 2021.
L'un d'eux, en novembre 2022, a duré vingt-quatre heures avec l'hôpital de la Pitié-Salpêtrière. En 2024, des exercices d'une ampleur inédite ont mobilisé près de 1 500 personnes au total, selon le bilan présenté en 2025.
L'AP-HP a aussi lancé l'élaboration de plans de continuité et de reprise d'activité. Ils décrivent comment continuer à soigner sans informatique, puis dans quel ordre redémarrer les applications.
Les prochaines étapes
Les priorités numériques 2025 de l'AP-HP prévoient de préparer le passage du dossier patient informatisé vers une nouvelle version à partir de la mi-2026. Elles fixent aussi un objectif de 70 % d'identités nationales de santé qualifiées, ce qui réduit les erreurs d'identification des patients.
La sécurité des comptes d'administration fait également partie des chantiers listés. Ces comptes aux droits étendus sont recherchés par les attaquants, qui s'en servent pour se déplacer dans un réseau.
| Chantier | Ce qui a été publié |
|---|---|
| Budget du schéma numérique | 364 M€ prévus sur 2021 à 2025, dont 187,3 M€ pour la performance du SI |
| Postes vétustes | de 45 % à 15 % en moins de deux ans |
| Exercices de crise | 25 depuis 2021 fin 2023, près de 1 500 personnes mobilisées en 2024 |
| Double authentification | étendue à la messagerie web et aux prestataires |
| Continuité d'activité | démarche de plans de continuité et de reprise lancée |
Ce que les patients peuvent retenir
Pour un patient, ces chantiers restent invisibles tant que tout fonctionne. Ils servent surtout à éviter qu'une attaque n'oblige à reporter des opérations ou à transférer des malades, comme cela s'est produit ailleurs.
Côté individuel, la prudence reste de mise face aux mails et SMS qui se font passer pour un hôpital ou l'Assurance maladie. Le guide sur la sécurité de la messagerie Bbox rappelle les réflexes face à l'hameçonnage.
Les objets connectés de santé méritent aussi un peu d'attention. Le comparatif des montres Wear OS et de leur autonomie aide à choisir un modèle et à régler ses notifications.
Foire aux questions
Combien l'AP-HP investit-elle dans le numérique ?
Selon une dépêche d'APM de 2022, son schéma directeur prévoyait 364 millions d'euros entre 2021 et 2025, soit 70,8 à 78,4 millions d'euros par an.
L'AP-HP a-t-elle déjà été victime d'une cyberattaque ?
Oui. En septembre 2021, elle a annoncé le vol de données d'environ 1,4 million de personnes testées pour la Covid-19 à la mi-2020.
Combien d'hôpitaux compte l'AP-HP ?
L'AP-HP compte 38 hôpitaux et près de 100 000 professionnels, selon sa présentation officielle.
Que fait l'AP-HP pour se protéger des cyberattaques ?
Elle renouvelle ses postes trop anciens, étend l'authentification à deux facteurs, organise des exercices de crise et prépare des plans de continuité.
