« La santé numérique est une force, mais aussi une fragilité. Les données sont précieuses, convoitées, et il nous appartient de les protéger. » La journée « Cyber et Santé » de l’European Cyberweek de Rennes s’est ouverte sur ce rappel sans détour d’Hélène Delaveau, responsable du département Innovation en santé à l’ARS Bretagne. D’emblée, elle a replacé la cybersécurité au centre des préoccupations hospitalières. Dans un contexte où la transformation numérique s’accélère et où les usages digitaux se généralisent, cette fragilité n’est plus un risque théorique : elle constitue désormais un paramètre structurel avec lequel les établissements doivent composer au quotidien. 

Premier temps fort de la journée, la table ronde « Comprendre, anticiper et maîtriser le risque cyber » réunissait Florence Favrel-Feuillade, directrice générale du CHU Brest, Cécile Spender, directrice générale d’Hospi Grand Ouest (HGO), et Virginie Valentin, directrice générale du CHU Rennes. Trois dirigeantes confrontées à des cybercrises majeures, trois retours d’expérience, et un constat partagé : aucun établissement, même préparé, n’est totalement armé face à une attaque informatique. 

Si Virginie Valentin, récemment arrivée à la tête de l’institution, n’a pas vécu de l’intérieur l’attaque subie par le CHU de Rennes le juin 2023, ses conséquences restent marquantes : le vol de 300 Go de données avait contraint l’établissement à fonctionner en mode dégradé durant plusieurs jours. Pour elle, la conclusion est sans ambigüité : « le risque cyber ne se résume pas à des attaques spectaculaires ; la défense se construit au quotidien, dans un effort continu de toutes les équipes. »  

Même constat pour Cécile Spender, dont l’intervention a été l’un des temps forts de la table ronde. La directrice générale d’Hospi Grand Ouest est revenue avec une grande transparence sur l’attaque d’octobre 2024. Interprété au départ comme une opération menée depuis l’étranger, l’incident s’est finalement révélé être une malveillance interne, orchestrée par un ancien RSSI du groupe. Un scénario auquel personne ne s’attendait. « Nous nous pensions prêts, comme tout le monde. Pourtant, rien ne se passe vraiment comme prévu le jour J », confie-t-elle. Pendant six semaines, plusieurs établissements ont vu leur système d’information impacté, certaines activités ont dû être suspendues, des interventions chirurgicales reportées, tandis que la fuite de données devenait rapidement un enjeu critique.  

Pour Cécile Spender, cette crise a mis en lumière un maillon essentiel : la gouvernance. « Nous n’avions pas assez anticipé la gouvernance », souligne-t-elle, en insistant sur le fait que « les attaques cyber ne relèvent pas uniquement du champ informatique : elles obligent à des arbitrages stratégiques, médicaux, logistiques et parfois médiatiques. »  

L’expérience a fait émerger plusieurs priorités : disposer d’une cartographie précise du système d’information, clarifier les procédures d’urgence, définir des responsabilités partagées, et surtout fluidifier la communication entre soignants, cadres, DSI et direction générale. « Depuis, ajoute-t-elle, le groupe HGO a renforcé sa coopération avec les établissements partenaires et engagé un vaste travail d’acculturation aux enjeux cyber. » Une manière de transformer ce traumatisme en levier de progrès collectif. 

C’est précisément cette idée de transformation par la crise que l’on a retrouvée dans l’expérience du CHU de Brest. Pour Florence Favrel-Feuillade, l’attaque du 9 mars 2023 est devenue un événement fondateur dans l’histoire récente de l’établissement. « Nous avions connu des incendies, des pannes, la crise Covid… mais jamais une crise cyber de cette ampleur », rappelle-t-elle. À 20 h 48, ce jour-là, l’ANSSI (Agence nationale de la sécurité des systèmes d’information) alerte la direction de communications frauduleuses repérées sur un serveur. 

Moins de deux heures plus tard, la décision tombe : coupure totale d’Internet pour empêcher la progression de l’attaque. À 22 h 30, le CHU bascule en vase clos. Cette mise sous cloche inaugure 35 jours de crise, mobilisant intensivement les équipes informatiques, les directions fonctionnelles et les soignants. Pour la directrice générale, la clé de la résilience a résidé dans la communication interne : « Quatre réunions par jour au début. Informer vite, en interne comme en externe, a permis la résilience des équipes. » Ces rendez-vous réguliers, réunissant cadres, directions, DSI et soignants, « ont permis d’éviter les rumeurs, de maintenir la cohésion et d’associer les équipes à chaque étape du rétablissement ». Aujourd’hui, cette crise est devenue un accélérateur majeur. Plus aucun projet numérique ne passe sans validation par le RSSI, les règles d’hygiène informatique ont été renforcées, et la prise de conscience collective, du service informatique au bloc opératoire, a profondément marqué la culture de l’hôpital, ancrant la cybersécurité dans ses organisations. 

Quel que soit l’établissement, une attaque cyber laisse une empreinte durable. Mais elle constitue aussi une source de progrès, en révélant les fragilités et les leviers d’amélioration. En tête de liste : la formation, que les trois directrices qualifient unanimement de « première ligne de défense, fragile, mais la plus décisive ». La question des moyens demeure tout aussi cruciale. Les recommandations d’investissement, autour de 2 % du budget d’un établissement, « restent difficilement lisibles », déplore Virginie Valentin, qui plaide pour « une politique nationale claire ».  
Pour Cécile Spender, la réponse passe par une mutualisation renforcée : le partage des retours d’expérience est « indispensable pour bâtir une résilience collective ». Car, au-delà des aspects techniques, ces témoignages soulignent que la cybersécurité touche désormais à la gouvernance, à l’organisation, à la communication et à la souveraineté numérique. Comme le résume Hélène Delaveau, « c’est bien d’un engagement collectif autour de la cybersécurité en santé dont nous avons besoin ». 

> Article paru dans Hospitalia #71, édition de décembre 2025, à lire ici 

Ensemble, portés par un même élan de solidarité et d’humanité, les acteurs de l’hôpital public livrent leurs regards, capturés par un photographe d’art, et narrés par une écrivaine, face à la pandémie de Covid de janvier 2020 à décembre 2021.

Pour témoigner et rendre hommage aux hospitaliers de France « Ils auraient dû être 15000 à figurer dans cet ouvrage, les 15000 hospitaliers du CHU de Bordeaux…Ces 51, de toutes origines professionnelles, représentent donc leurs 14949 collègues et au-delà d’eux ; ils sont l’image et la voix des hospitaliers de France », déclare Yann Bubien , Directeur général CHU de Bordeaux.

« …envie constante de reconnaître nos soignants médicaux comme non médicaux, et de les mettre en valeur » C’est un défi réussi, quel bel hommage auquel je me joins ! Souvent, nous disons ce mot pour conclure moi je souhaite l’utiliser pour vous dire ma reconnaissance, ma fierté et ma détermination à me tenir à vos côtés : Merci », affirme Olivier Véran, Ministre des Solidarités et de la Santé.

« En janvier 2020, le premier patient identifié sur le sol européen et français arrive au CHU de Bordeaux….événement fondateur d’un engagement et d’une rencontre avec l’Histoire », note Denis Malvy, professeur d’infectiologie, membre du conseil scientifique du gouvernement.

L’ouvrage est en vente à compter du 17 mars 2022, au prix de 25€. Pour chaque achat, 2 euros sont reversés au profit du mécénat du CHU de Bordeaux.
 
(*) Les Editions Hospitalières (LEH) publient Regards face au Covid, un ouvrage d’art qui marque l’histoire et porte la voix des hospitaliers de France pour l’ensemble des acteurs de l’écosystème santé, étudiants, usagers, grand public…

« Prenons garde, notait Paul Valéry, d’entrer dans l’avenir à reculons ». Et c’est justement pour que notre système de santé puisse mieux appréhender cet avenir et ses crises futures que les deux auteurs ont conçu Voyage au cœur du système de santé, présentant sans doute la recherche la plus approfondie qui ait été menée sur la crise Covid. Hervé Dumez, directeur du Centre de Recherche en Gestion de l’École polytechnique et de l’Institut Interdisciplinaire de l’Innovation (i3 UMR CNRS), et Étienne Minvielle, Directeur de Recherche CNRS et Professeur à l’École polytechnique (i3-Centre de Recherche en Gestion), par ailleurs également rattaché à l’Institut Gustave Roussy en tant que médecin de santé publique, ont ainsi recueilli 109 témoignages, d’infirmiers, médecins généralistes, kinésithérapeutes, chefs de service, directeurs d’hôpital, étudiant en médecine, fonctionnaires d’administrations centrales et d’Agences Régionales de Santé, membres de cabinets ministériels, exerçant dans différentes régions, des plus touchées ou moins impactées, en métropole comme dans les îles. Ces échanges sur le vif, survenus en pleine période de crise pour éviter les reconstructions a posteriori, permettent de disposer d’une vue synoptique des différentes situations rencontrées sur le terrain, afin de revenir sur les grandes questions qui ont été posées et bousculer, par là même, les idées reçues.
 

Suivant, comme fil rouge, la performance organisationnelle du système de santé, l’ouvrage apporte un nouvel éclairage sur les capacités collectives à agir en cherchant à isoler les bonnes pratiques. Les auteurs en sont d’ailleurs aujourd’hui convaincus : l’hôpital et le système de santé n’ont pas besoin d’une énième réforme structurelle, mais bien d’une nouvelle approche managériale, un management de proximité centré sur le parcours du patient, un management d’anticipation des futures menaces, un management inclusif et décentralisé où les tutelles guident et accompagnent l’initiative locale. « Dans la continuité de leur brillant rapport publié au tout début de la crise de Covid-19, Hervé Dumez et Étienne Minvielle […] offrent dans cet ouvrage une analyse rigoureuse et passionnante, identifiant les fondements de l'amélioration et de la construction de la résilience de notre système de santé », souligne Éric Labaye, Président de l’École polytechnique.

- DUMEZ Hervé et MINVIELLE Étienne, « Voyage au cœur du système de santé », MA Éditions - ESKA, 246 pages, 30€ broché/25,99€ e-book.

Article publié dans l'édition de février 2022 d'Hospitalia à lire ici.

Fondé sur les témoignages des acteurs du système de santé qui l’ont gérée, recueillis durant ses vagues successives, "Voyage au cœur du système de santé"  de Hervé Dumez & Étienne Minvielle présente la recherche sans doute la plus approfondie qui ait été menée sur la crise Covid.

Elle revient sur les grandes questions qui se sont posées : y a-t-il excès de centralisation, les médecins ont-ils repris le pouvoir sur l’hôpital ? et bouscule les idées reçues.

Ce n’est pas d’une énième réforme de structure dont ont besoin l’hôpital et le système de santé. Alors même qu’il a mauvaise presse, associé qu’il est uniquement à la contrainte financière, c’est bien le management qu’il faut développer, mais un management de proximité centré sur le parcours du patient, d’anticipation des futures menaces, et inclusif, où les tutelles guident et accompagnent l’initiative locale. C’est ce qu’a montré la gestion de la crise Covid, dans ses réussites comme dans ses problèmes.

L’enjeu est crucial : d’autres crises sont probables et le système de santé doit donc apprendre à gérer avec la crise.

"Dans la continuité de leur brillant rapport publié au tout début de la crise de Covid-19, Hervé Dumez et Etienne Minvielle, enseignants-chercheurs à l’Ecole polytechnique, offrent dans cet ouvrage une analyse rigoureuse et passionnante, identifiant les fondements de l'amélioration et de la construction de la résilience de notre système de santé : une focalisation sur le parcours patient et une approche managériale de proximité et décentralisée", explique Eric Labaye, Président de l’Ecole polytechnique
 

Les auteurs de ce livre sont chercheurs en gestion, et l’un d’eux est médecin hospitalier. Ils ont commencé leur enquête sur la crise pendant la première vague à un moment où le pic d'hospitalisation était passé mais les hôpitaux restaient encore sous grande tension.

Ils ont ainsi pu recueillir le témoignage des acteurs de la santé en plein cœur de la crise, et non après les faits, afin d’éviter les reconstructions a posteriori (the after-the-factness).

La campagne d’entretiens a repris en octobre 2020 au moment de la deuxième vague. Les acteurs, un peu moins sous tension mais souvent épuisés, étaient encore pris par les cellules de crise. Ils ont pourtant accepté de passer une heure ou plus en visio-conférence pour parler de la gestion de cette crise.

Il a parfois fallu réaliser ces interviews en deux temps. Ce fut le cas par exemple pour un établissement d’une région particulièrement touchée en première vague, parce que le premier entretien avait été placé juste avant la réunion de la cellule de crise de 11h30 et qu’il restait des questions à évoquer.

Au total, 109 entretiens ont été menés en un mois et demi, de fin avril à début juin 2020, puis de fin octobre 2020 à mai 2021. Avec, toujours, la volonté d'avoir une vue synoptique des différentes situations de la crise.


Hervé Dumez et Étienne Minvielle ont ainsi interrogé :

• Des acteurs aux différents niveaux : infirmières, médecins généralistes, kinésithérapeute, pharmacien, étudiant en médecine, chefs de services, directeurs d’hôpitaux, fonctionnaires d’administration centrale et d’Agences Régionales de Santé (ARS), membres de cabinets ministériels ;
• Dans les différentes régions : les plus touchées en première, deuxième et troisième vague comme les moins touchées, en métropole comme dans les îles (Corse, Martinique).

"Ce livre rend compte avec justesse et honnêteté des problèmes qu’ont rencontrés les soignants durant la crise Covid", note une Infirmière d’un groupe hospitalier public, en Seine Saint-Denis.

Il est toujours difficile de caractériser une discipline scientifique qui n’est, après tout, comme le pensait Karl Popper, qu’un nœud de problèmes.

La gestion présente toutefois deux caractéristiques propres :
D’une part, elle s’intéresse aux dispositifs de gestion qui agencent des compétences individuelles, des éléments matériels (informatique, locaux, moyens divers), sur la base de règles, pour créer une capacité collective à agir.
D’autre part, l’analyse gestionnaire s’intéresse au concept analytique/normatif de performance. Le management s’interroge sur ce qui marche bien et ce qui marche moins bien dans ces capacités collectives à agir, en cherchant à isoler les bonnes pratiques.

Performance ne doit pas être pris au sens étroit, économique et financier. Les dimensions de la performance sont toujours multiples. La gestion de la crise Covid l’illustre bien : au niveau du système hospitalier, la dimension financière a été mise entre parenthèses durant plusieurs mois, la performance médicale du système étant centrale (selon les mots du président de la République, elle devait être assurée « quoiqu’il en coûte »).

Mais si la dimension financière de la performance du système hospitalier a été mise de côté, l’analyse de sa performance organisationnelle est fondamentale dans la perspective d’un retour d’expérience.

• Comment les acteurs se sont-ils organisés pour faire fonctionner le système sanitaire dans une crise d’une ampleur inconnue ?
• Quelles ont été les bonnes pratiques organisationnelles mises en place, quelles ont été les tensions organisationnelles qui se sont fait jour ?

C'est à ces questions cruciales que "Voyage au cœur du système de santé" permet de répondre.

"Ce livre est important car il va au-delà des discours convenus sur le management hospitalier", remarque un Directeur d’établissement à Lyon.
 

À savoir