[Tribune] Le secteur de la santé peut-il se prémunir contre les futures cybermenaces ?

L’une des leçons les plus fondamentales de la crise du Covid est que la santé doit toujours être une priorité pour les pays. Néanmoins, on observe, ces dernières semaines, avec notamment l’exemple de l’hôpital de Corbeil-Essonnes, que le secteur lui-même est désormais une cible privilégiée pour un autre type de menace extérieure : les cyberattaques. Dr. Kiri Addison, Senior Product Manager chez Mimecast, nous livre son analyse.

Qu’il s’agisse d’une attaque par des ransomware ou de campagnes de phishing très élaborée, le secteur de la santé est confronté à des cyberattaques constantes et a du mal à faire face. Il est peu probable que cette menace disparaisse de sitôt, le secteur doit donc adopter une attitude proactive et préventive pour rester en sécurité.

A lire aussi : Quelles leçons tirer de la cyberattaque du Centre hospitalier de Corbeil-Essonnes ?

Passage au numérique

La nature réactive des services de santé – en particulier des hôpitaux – signifie que l’efficacité est cruciale pour les opérations standard du secteur. Pour y parvenir, le secteur a adopté des avancées technologiques susceptibles d’améliorer la qualité du travail, de permettre au personnel de respecter les délais ou encore d’améliorer les soins aux patients avec des diagnostiques plus juste grâce à des appareils de pointe tels que des IRM, scanners, radios…. Cette évolution est essentielle pour offrir des soins de haute qualité aux patients et sauver des vies, mais elle signifie également que le secteur est devenu plus dépendant de l’informatique, ce qui peut présenter un risque si les processus de cybersécurité employés sont jugés inadéquats. Sans mesures de sécurité adéquates, les gains d’efficacité souhaités peuvent être perdus en un clin d’œil.

Ainsi, une défaillance élémentaire du système peut avoir des répercussions considérables dans de nombreux domaines, qu’il s’agisse de l’accès aux dossiers des patients, de la réalisation de scanners, de la protection de la propriété intellectuelle liée au développement de traitements expérimentaux ou dans la pire des situations, la mort de patients, Ce nouveau type de malware aussi intitulé « killware » récolte des rançons et extorque les victimes en prenant le contrôle d’appareils connectés qui peuvent blesser ou causer la mort de patients s’ils sont éteints ou hors-service. Ces dispositifs IoT comprennent par exemple les respirateurs, les perfusions distribuant des médicaments par intraveineuse, ou encore le système orientant les ambulances vers les hôpitaux les plus proches¹.

Pour éviter cela, les organisations de santé doivent s’assurer qu’elles considèrent la cybersécurité comme majeure de leur stratégie globale de transformation numérique et établir les bonnes bases pour créer une culture où la sécurité va de pair avec les soins aux patients.

A lire aussi : MentalTech pour conjuguer santé mentale et numérique

Renforcer les défenses

Avant de mettre en œuvre un processus de cybersécurité, les services de santé doivent évaluer les risques potentiels auxquels ils sont confrontés. En fonction de la quantité de données confidentielles, de l’endroit où elles sont stockées, des personnes qui y ont accès et par quels moyens, la stratégie de cybersécurité et les solutions associées changeront. La prise en compte de la configuration existante et de ce que les organisations cherchent à réaliser avec leur stratégie de transformation numérique aura donc un impact immédiat sur la stratégie de cybersécurité.

Malgré cela, il existe des principes fondamentaux que toute organisation devrait mettre en œuvre :

• Revoir et tester la politique de sauvegarde pour s’assurer qu’elle est complète et suffisante

En ne sauvegardant pas régulièrement les données, les hôpitaux prennent le risque de perdre toute la traçabilité des soins prescrit à un client et de ce fait, le mette directement en danger. Les sauvegardes sont essentielles pour continuer d’opérer (sans avoir à payer la rançon) et limiter les pertes.

• Effectuer un contrôle préalable sur l’ensemble de la chaîne d’approvisionnement de l’organisation

Faire des contrôles réguliers permet d’éviter les mauvaises surprises et de s’assurer du bon fonctionnement et de la sécurité de la chaîne d’approvisionnement

• Mettre en place une formation obligatoire de sensibilisation à la cybersécurité

Le meilleur moyen pour minimiser les erreurs (qui peuvent s’avérer fatales) est de comprendre les enjeux et conséquences derrières les actions les plus minimes. Les entreprises doivent inclure la sensibilisation à la cybersécurité dans les processus RH tels que les entretiens de recrutement et d’évaluation. La formation à la sensibilisation est un moyen efficace de prévenir les erreurs humaines.

• Envisager un degré de séparation entre les réseaux IT et OT

Les réseaux informatiques et les réseaux de technologies opérationnelles (IT et OT) doivent être séparés. Bien qu’ils se soutiennent mutuellement et dépendent les uns des autres, les employés ne devraient pas accéder à l’un par l’autre. Cette passerelle peut créer des failles de sécurité.

• S’assurer que l’envoi et la réception d’emails soient sécurisés de bout en bout

Protéger les échanges et tous les types de communications est le premier moyen pour éviter les brèches de sécurité. En effet, avec le chiffrement de bout en bout seuls l’émetteur et le récepteur peuvent accéder au contenu des échanges.  C’est donc un système sécurisé qui permet de se protéger de la surveillance ou de la falsification de messages.

Alors que le secteur devient une cible commune pour les activités frauduleuses et malveillantes, il est essentiel de placer la cybersécurité au cœur des opérations de l’organisation. Cela permettra de limiter les risques de perturbation dus aux cyberattaques, de réduire le temps passé par l’équipe de cybersécurité à résoudre des erreurs facilement évitables, et de faire en sorte que les établissements puissent dispenser des soins aux patients en toute sécurité.

Combattre les menaces futures

La technologie continuant à changer le visage des services de santé, la surface et les vecteurs disponibles pour les attaques des acteurs malveillants ne cessent d’augmenter. Avec l’introduction d’applications, de dispositifs de surveillance en réseau et d’un besoin de communication, les vecteurs d’attaque ne cessent de s’étendre, une tendance qu’il faut surveiller et contre laquelle il faut se protéger.

Pour éviter tout dommage aux patients, au personnel ou à l’organisation dont ils sont responsables, les dirigeants des services de santé doivent placer la sécurité au cœur de leur stratégie de transformation numérique. Ce n’est qu’à cette condition que le secteur pourra tirer pleinement parti des avantages de la technologie.

En fin de compte, cela permettra aux organisations de santé de faire ce qu’elles font le mieux : fournir le plus haut niveau de soins aux patients, en sachant que leurs opérations, leurs patients et leurs données sont en sécurité.

 

¹  Source Zdnet