Une attaque informatique qui rend indisponible le serveur d’images ne bloque pas seulement un outil numérique : elle peut retarder des décisions cliniques. Ce cas pratique, construit à partir d’un scénario fictif, décrit une réponse organisée pour contenir l’incident et remettre en service un PACS sans compromettre les données des patients.

Le scénario : des examens inaccessibles au début de la journée

Dans un établissement hospitalier de taille moyenne, les équipes constatent au changement de garde que plusieurs postes ne peuvent plus interroger le système d’archivage et de transmission d’images (PACS). Les examens récents n’apparaissent pas dans les listes de travail, tandis que des fichiers inhabituels sont signalés sur un serveur connecté au réseau d’imagerie. Le système d’information hospitalier suspecte un rançongiciel, mais l’origine et l’étendue de l’incident restent inconnues.

La priorité immédiate n’est pas de redémarrer les serveurs à tout prix. Il faut préserver les éléments permettant de comprendre l’attaque, éviter sa propagation et maintenir l’accès aux informations essentielles pour les soins. La cellule de crise réunit la direction, le responsable informatique, le référent cybersécurité, le service de radiologie, la sécurité des systèmes d’information et, selon l’organisation, le délégué à la protection des données.

Première étape : contenir sans détruire les preuves

Le responsable technique isole du réseau les équipements identifiés comme suspects, notamment les serveurs PACS concernés et les postes potentiellement compromis. Cette mesure se fait de manière coordonnée avec les équipes cliniques : une déconnexion brutale peut interrompre des flux DICOM en cours ou rendre indisponible une modalité. Les modalités d’imagerie, les passerelles et les systèmes de compte rendu sont inventoriés avant toute action afin de repérer les dépendances.

Les journaux d’événements, les alertes de sécurité et les informations sur les connexions sont conservés. L’équipe évite de supprimer les fichiers suspects, de réinstaller les machines ou de restaurer une sauvegarde sur l’environnement touché avant d’avoir sécurisé les preuves utiles. Les identifiants des comptes administrateurs sont révoqués ou renouvelés depuis un poste sain, en commençant par les comptes à privilèges. Cette précaution réduit le risque qu’un attaquant conserve un accès actif.

Maintenir l’activité avec un mode dégradé préparé

La cellule de crise évalue les examens urgents et les ressources encore disponibles. Les procédures de continuité précisent comment identifier les patients, transmettre les demandes prioritaires et communiquer les résultats lorsque la consultation habituelle des images est interrompue. Les services cliniques sont informés par un canal vérifié : ils savent quels examens restent consultables, à qui signaler une urgence et comment éviter les doublons.

Si des stations locales ou des copies temporaires sont encore accessibles, leur utilisation est décidée par les équipes responsables après vérification de leur sécurité et de la cohérence des données. Une copie visible sur un poste ne garantit pas que l’examen est complet, correctement associé au patient ou disponible pour tous les professionnels autorisés. Chaque mesure doit donc préserver la traçabilité et respecter les règles de confidentialité.

Restaurer le PACS à partir d’une base fiable

Avant la remise en service, l’équipe cherche à déterminer le périmètre compromis : serveurs d’archivage, base de données, consoles d’administration, comptes utilisateurs et interfaces avec les modalités. Elle vérifie si les sauvegardes sont accessibles depuis un environnement indépendant et si elles sont antérieures à l’intrusion. Une sauvegarde connectée en permanence au réseau peut avoir été touchée elle aussi ; la date de création ne suffit donc pas à établir sa fiabilité.

La restauration s’effectue sur une infrastructure assainie, avec des correctifs appliqués et des accès reconstruits. Des contrôles portent sur l’intégrité des archives, les droits d’accès, les flux DICOM et la bonne association des images aux dossiers correspondants. Avant le retour en production, les radiologues et les manipulateurs testent les scénarios courants : réception d’un examen, consultation antérieure, transfert d’images et récupération du compte rendu.

Les examens réalisés pendant l’interruption doivent ensuite être rapprochés avec soin. La réconciliation s’appuie sur des identifiants fiables et une validation humaine lorsque nécessaire ; il faut prévenir les erreurs d’association et éviter qu’un examen soit importé deux fois. La reprise est progressive, surveillée, et accompagnée d’une communication claire aux utilisateurs.

La sécurité se construit aussi dans les gestes quotidiens

Cette préparation ne concerne pas uniquement les services informatiques. Dans les établissements de santé, les plans efficaces reposent sur des consignes compréhensibles par les équipes et sur des responsabilités définies à l’avance. À une autre échelle, les conseils pratiques publiés par Maison Diarra rappellent que l’entretien régulier et l’anticipation facilitent la gestion des imprévus dans un logement. Dans un service d’imagerie, cette logique de prévention se traduit par des procédures testées, des accès maîtrisés et des sauvegardes vérifiées.

Après l’incident : transformer le retour d’expérience en mesures concrètes

Une fois le service stabilisé, l’établissement documente la chronologie, les décisions prises, les interruptions et les difficultés rencontrées. Cette analyse permet d’identifier les causes possibles sans réduire l’événement à une erreur individuelle. Elle nourrit un plan d’action assorti de responsables et d’échéances : segmentation réseau, authentification renforcée, limitation des comptes à privilèges, supervision des journaux et exercices réguliers de restauration.

Les obligations de notification et d’information sont évaluées avec les interlocuteurs compétents, selon la nature des données et les conséquences de l’incident. La direction et le délégué à la protection des données déterminent les démarches applicables ; les équipes techniques conservent les éléments nécessaires à cette analyse. Le retour d’expérience est également partagé avec les utilisateurs, en indiquant les nouveaux réflexes et les voies de signalement.

Un PACS résilient ne se résume donc pas à un serveur de secours. Il repose sur une architecture documentée, des sauvegardes isolées et testées, des procédures cliniques de mode dégradé et une coordination claire entre radiologie et informatique. Pour suivre les évolutions de l’imagerie et de ses infrastructures numériques, retrouvez nos dossiers sur la page d’accueil de Med-Image Mag.