Brève

95 à 98 % des établissements de santé ne sont pas couverts pour le risque cyber

Publié le 04/05/2021

Article réservé aux abonnés

De 50 à 100 millions d'euros pour une à deux semaines d'arrêt de l'activité : c'est la perte évaluée par l'assureur Sham (groupe Relyens) pour un grand groupe hospitalier privé européen qui serait paralysé par un ransomware. Ces montants comprennent les pertes d'exploitation de données et notamment la reconstitution de données d'analyse médicale nécessaires à un établissement pour être remboursées par la Sécurité sociale. Pour ce cas, les conséquences financières sont calculées en fonction de la gravité de l'incident. Premier étage de la fusée, pour des pannes ou des bugs, le préjudice s'élève de 0,25 à 1 million d'euros. Pour des erreurs (plus graves que les bugs), il monte à 5 à 10 millions d'euros. Enfin, le ransomware fait exploser les pertes (ici à 50 à 100 millions). Mais l'utilisation d'une application dédiée et connectée à l'hôpital par 17 millions de patients (par conséquent victimes aussi de violations de données) aggrave encore plus le préjudice à 7,6 milliards d'euros (soit 17 millions X 450 euros, coût estimé d'un dossier médical). Résultat, ces sommes ne sont pas couvertes par le contrat de responsabilité civile médicale. Les assureurs ne sont en capacité d'intervenir qu'avec des franchises sur des montants de 5 à 10 millions d'euros dans lesquels les erreurs et les bugs ne sont même pas pris en compte. Conséquence sévère, puisque les assureurs ne couvrent pas ce segment, le risque financier demeure au sein de l'hôpital. Reste à ce dernier l'obligation impérative de renforcer sa partie OT. Commentaire de Pierre-Yves Antier (Relyens) : « Une fois que l'hôpital aura monté son niveau de sécurité comme tous les autres secteurs, le risque pour les assureurs deviendra gérable, transférable et donc assurable. » A bon entendeur...

Source : Relyens