Contexte du service national de santé
L’année dernière, le gouvernement britannique s’est fixé pour objectif ambitieux de rendre le service national de santé (NHS) sans papier d’ici 2020, une initiative qui verra des centaines de milliers de dossiers de patients numérisés. En 2017, les hôpitaux seront tenus de permettre aux patients de consulter leurs dossiers médicaux en ligne, suivant les traces des médecins généralistes du Royaume-Uni. Pour prendre une longueur d’avance, de nombreux hôpitaux du NHS transfèrent déjà les données des patients vers des réseaux en ligne. Mais un nombre significatif ne prend pas de mesures adéquates pour protéger ces données personnelles sensibles contre les pirates informatiques, comme l’a révélé une enquête de Sky News à la fin de l’année dernière.
Bénéficiant d’un accès aux documents en vertu des lois sur la liberté de l’information, Sky News a constaté que sept fiducies du NHS (groupes d’hôpitaux sous supervision centrale), fournissant des services à plus de deux millions de patients, n’ont rien dépensé en cybersécurité en 2015. C’est 0 $. Peut-être plus inquiétant, cela a révélé une augmentation des cyber-violations de huit en 2014 à 60 l’année suivante (sur les 97 fiducies qui ont fourni des données).
Une violation peut fermer les réseaux hospitaliers, obligeant l’annulation des rendez-vous et des opérations, comme cela a été le cas pour trois hôpitaux britanniques. Et même si cela n’est pas pratique, le risque de perdre les données personnelles et privées des patients est plus problématique. Ces informations ne peuvent pas être modifiées comme un numéro de carte de crédit. Et parce que les informations contiennent plus de données qu’un cybercriminel peut utiliser, telles que le numéro d’assurance nationale, les antécédents médicaux, le fournisseur d’assurance, les ordonnances, etc., les données de santé récupèrent des prix plus élevés, jusqu’à 60 fois ceux des données de carte de crédit volées, ce qui garantit qu’elles restent une cible chaude pour les mal intentionnés.
Pour des raisons évidentes, un administrateur d’hôpital vous dira que l’objectif numéro un du NHS est la santé, et non la sécurité des données. Par conséquent, les ressources limitées disponibles sont destinées à sauver des vies, et non à renforcer les systèmes en ligne. Pourtant, la sécurité des données est désormais un élément clé des soins de santé et de la sauvegarde des vies, ce qui oblige les dirigeants à relever trois défis pour mieux protéger les données des patients.
Défi n° 1 - Affectation du budget
Tout comme les entreprises ont redirigé les budgets opérationnels pour financer les cyberdéfenses, les hôpitaux doivent réaffecter les fonds pour faire de même. L’impact d’une faille de sécurité sur un hôpital a des répercussions financières similaires à celles d’une grande entreprise, avec des services perturbés et la confiance des clients (dans ce cas, les patients), gravement endommagés. Pour que les patients aient l’assurance que leurs dossiers sont protégés, ils doivent savoir que les hôpitaux dépensent suffisamment pour les outils et la technologie nécessaires pour empêcher les pirates informatiques d’entrer.
Défi n° 2 - Formation du personnel
En tant que praticiens médicaux, le personnel hospitalier est l’un des opérateurs les mieux formés et les plus qualifiés de toutes les professions. Cependant, lorsqu’il s’agit de cyber-compétences, il y a une grave pénurie. Pour y remédier, les cyber-compétences doivent faire partie du programme de formation et d’intégration fourni au personnel hospitalier. L’objectif ne devrait pas être de transformer tous les médecins et infirmières en cyberchasseurs, mais de sensibiliser les personnes à la base et d’inculquer les meilleures pratiques de cybersécurité. En faisant les bases, telles que l’instauration d’une authentification forte par mot de passe et en faisant attention lorsque vous cliquez sur des liens d’e-mail, les professionnels de santé peuvent éviter les erreurs simples qui ouvrent la porte aux pirates informatiques.
Défi n° 3 - Hôpitaux connectés
Le plus grand défi réside dans la nature de l’hôpital moderne. Les hôpitaux d’aujourd’hui ne sont en aucun cas analogiques. Un nombre croissant d’instruments connectés et de systèmes de survie signifie qu’il existe d’innombrables endpoints dans un seul hôpital et qu’il est exponentiellement plus attendu qu’ils soient en ligne au fil du temps. Sans la visibilité et la protection réseau appropriées, chaque appareil, ou endpoint, représente une vulnérabilité potentielle à l’intrusion.
Un NHS numérique doit être considéré comme l’avenir des soins de santé. Mais comme ces rapports récents l’ont souligné, il existe un certain nombre de mesures que nous devons prendre en premier si nous voulons sécuriser cet avenir.
À propos de l’auteur
: en tant que directeur de la sécurité, David Damato fournit une orientation stratégique des produits sur le développement de modules pour Tanium Platform et gère le programme de sécurité interne de l’entreprise. David apporte une expertise approfondie en matière de sécurité à Tanium, couvrant la réponse aux incidents et l’informatique légale, les évaluations des vulnérabilités, le développement de programmes de sécurité, les opérations de sécurité et l’architecture de réseau et de sécurité. Avant Tanium, David a récemment occupé le poste de directeur général chez Mandiant, une société FireEye, où son équipe a dirigé les efforts de réponse aux incidents et de remédiation post-violation dans plus de 100 entreprises du Fortune 500 . Chez Mandiant, David a également joué un rôle essentiel dans le développement de nouvelles capacités de services de réponse aux incidents et dans l’établissement de bureaux de conseil à la fois au niveau national et international. Avant Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC dans le cadre de son cabinet fédéral de Washington et a occupé des postes informatiques chez Raytheon axés sur la gestion des réseaux internes et gouvernementaux. David partage fréquemment son expertise et ses connaissances lors d’événements du secteur et avec les médias.
