Contexte relatif au Service national de santé
L'année dernière, le gouvernement britannique s'est fixé l'objectif ambitieux de faire du Service national de santé (NHS) une administration sans papier d'ici 2020, une initiative qui permettra la numérisation de centaines de milliers de dossiers médicaux. En 2017, les hôpitaux seront tenus de permettre aux patients de consulter leur dossier médical en ligne, à l'instar des médecins généralistes britanniques. Pour prendre une longueur d'avance, de nombreux hôpitaux du NHS transfèrent d'ores et déjà les données de leurs patients vers des réseaux en ligne. Cependant, un nombre important d'entre eux ne prennent pas les mesures adéquates pour protéger ces données personnelles sensibles contre les pirates informatiques, comme l'a révélé fin de l'année dernière une enquête de Sky News (s'ouvre dans un nouvel onglet) .
Après avoir obtenu l'accès à des documents en vertu des lois sur la liberté d'information, Sky News a découvert que sept trusts du NHS (groupes d'hôpitaux placés sous contrôle central), qui fournissent des services à plus de deux millions de patients, n'avaient rien dépensé en matière de cybersécurité en 2015. Cela fait 0 dollars. Ce qui est peut-être plus inquiétant, c'est que cette étude a révélé une augmentation du nombre de cyberattaques, qui est passé de huit sur 2014 à 60 l'année suivante (parmi les 97 établissements ayant fourni des données).
Une faille de sécurité peut paralyser les réseaux hospitaliers, entraînant l'annulation de rendez-vous et d'opérations, comme cela a été le cas pour trois hôpitaux britanniques (s'ouvre dans un nouvel onglet). Et bien que cela soit gênant, le risque de perdre les données privées et personnelles des patients est encore plus préoccupant. Ces informations ne peuvent pas être modifiées, contrairement à un numéro de carte bancaire. Et comme ces informations contiennent davantage de données exploitables par un cybercriminel — telles que le numéro de sécurité sociale, les antécédents médicaux, le nom de l’assureur, les ordonnances, etc. —, les données de santé atteignent des prix plus élevés, comme l’indique , pouvant aller jusqu’à 60 fois (s’ouvre dans un nouvel onglet) la valeur des données de cartes de crédit volées, ce qui en fait une cible de choix pour les personnes mal intentionnées.
Pour des raisons évidentes, un responsable hospitalier vous dira que la priorité absolue du NHS est la santé, et non la sécurité des données. De ce fait, les ressources limitées dont nous disposons sont consacrées à sauver des vies, et non à renforcer la sécurité des systèmes en ligne. Pourtant, la sécurité des données est désormais un élément essentiel des soins de santé et du sauvetage de vies humaines, ce qui oblige les dirigeants à relever trois défis afin de mieux protéger les données des patients.
Défi n° 1 - Répartition du budget
Tout comme les entreprises ont réorienté leurs budgets opérationnels pour financer leurs cyberdéfenses, les hôpitaux doivent eux aussi réaffecter leurs fonds à cette fin. L'impact d'une faille de sécurité sur un hôpital a des répercussions financières comparables à celles subies par une grande entreprise : les services sont perturbés et la confiance des clients (en l'occurrence, les patients) est gravement ébranlée. Pour que les patients aient l'assurance que leurs dossiers sont protégés, ils doivent savoir que les hôpitaux consacrent des moyens suffisants aux outils et aux technologies nécessaires pour empêcher les pirates informatiques d'y accéder.
Défi n° 2 - Formation du personnel
En tant que professionnels de santé, les membres du personnel hospitalier comptent parmi les professionnels les mieux formés et les plus compétents de toutes les professions. Cependant, en matière de compétences dans le domaine de la cybersécurité, on constate une grave pénurie. Pour y remédier, les compétences en cybersécurité devraient faire partie intégrante du programme de formation et d'intégration proposé au personnel hospitalier. L'objectif ne doit pas être de transformer tous les médecins et infirmiers en chasseurs de cybermenaces, mais de les sensibiliser aux principes fondamentaux et de leur inculquer les meilleures pratiques en matière de cybersécurité. En respectant les principes de base, comme la mise en place d'une authentification par mot de passe fort et en faisant preuve de prudence lorsqu'ils cliquent sur des liens contenus dans des e-mails, les professionnels de santé peuvent éviter les erreurs élémentaires qui ouvrent la porte aux pirates informatiques.
Défi n° 3 - Hôpitaux connectés
Le plus grand défi réside dans la nature même de l'hôpital moderne. Les hôpitaux d'aujourd'hui ne sont en aucun cas « analogiques ». Le nombre croissant d'appareils connectés et de systèmes de maintien des fonctions vitales signifie qu'il existe d'innombrables terminaux dans chaque hôpital et que leur nombre devrait augmenter de manière exponentielle au fil du temps. Sans une visibilité et une protection adéquates du réseau, chaque appareil, ou terminal, représente une vulnérabilité potentielle face aux intrusions.
Un NHS numérique devrait être considéré comme l'avenir des soins de santé. Mais comme l'ont souligné ces récents rapports, il y a un certain nombre de mesures que nous devons prendre au préalable si nous voulons garantir cet avenir.
À propos de l'auteur
: En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensique, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.
