Le secteur de la santé est confronté à d'importantes failles de sécurité
Le secteur de la santé a connu ces deux dernières années une période particulièrement difficile en matière de sécurité. Les piratages visant les hôpitaux et les caisses d'assurance maladie se produisent désormais presque quotidiennement, selon la base de données en ligne « » du ministère américain de la Santé et des Services sociaux, accessible à l'adresse (s'ouvre dans un nouvel onglet). Plus de 100 millions de dossiers médicaux auraient fait l'objet d'une fuite en 2015 , ce qui équivaut à un tiers de la population américaine. Cette année n'est pas plus réjouissante : près de 80 % des prestataires ont été confrontés à un « incident de sécurité majeur », selon une récente enquête de l' (s'ouvre dans un nouvel onglet) menée par la Healthcare Information and Management Systems Society (HIMSS), un organisme professionnel du secteur des technologies de l'information dans le domaine de la santé.
Le problème ne va pas disparaître. Les dossiers médicaux et les dispositifs médicaux ne feront que devenir de plus en plus connectés — à très grande échelle et à un rythme soutenu. Et bien que cette évolution vers des systèmes davantage interconnectés soit une avancée positive, elle rendra également les prestataires de soins de santé encore plus vulnérables aux attaques informatiques si le secteur ne fait pas de la cybersécurité une priorité.
La bonne nouvelle, c'est que tant les prestataires que le gouvernement commencent à prendre conscience qu'il s'agit d'un problème grave. Cette même étude HIMSS a montré que les prestataires de soins de santé accordent une priorité accrue à la sécurité de l'information — plus précisément, 87 % des prestataires de soins aigus et 81 % des prestataires de soins non aigus. Par ailleurs, le HHS a mis en place un groupe de travail sur la cybersécurité (s'ouvre dans un nouvel onglet) et, au début du mois, a annoncé qu’il enquêterait désormais sur les violations concernant moins de 500 dossiers — reconnaissant ainsi que, lorsqu’il s’agit de dossiers médicaux, aucune violation n’est trop mineure pour justifier une intervention.
Mais le secteur de la santé reste confronté à des problèmes majeurs et persistants qui en ont fait une cible de choix pour les pirates informatiques. La plupart des prestataires utilisent encore des systèmes hérités qui n'ont pas été conçus dans une optique de sécurité. Elles ne disposent souvent pas des moyens financiers nécessaires pour passer à des systèmes plus sécurisés ou pour recruter du personnel spécialisé. Et comme le montre la difficulté à mettre en place les dossiers médicaux électroniques, le secteur de la santé est généralement à la traîne par rapport aux autres secteurs en matière de technologie.
Les dossiers médicaux constituent également l'un des types d'informations les plus lucratifs qu'un pirate informatique puisse voler : ils rapportent bien plus d'argent sur les marchés noirs que les cartes de crédit volées ou les numéros de sécurité sociale isolés. Grâce à un dossier médical, vous avez accès à l'identité complète d'une personne — et, dans de nombreux cas, à celle de sa famille également. Tout cela explique pourquoi nous – professionnels de santé, entreprises de cybersécurité, pouvoirs publics – devons faire de la cybersécurité dans le secteur de la santé une priorité absolue.
Alors, quelle est la solution ?
En termes simples, il s'agit de bien maîtriser les principes fondamentaux et de renforcer la résilience des systèmes de santé à mesure que des mises à niveau sont mises en œuvre. Avant de rejoindre Tanium, j'ai passé six ans à enquêter sur des violations de la cybersécurité. Bon nombre des entreprises avec lesquelles je travaillais à l'époque — et 61 % des personnes interrogées dans le cadre de l'étude HIMSS aujourd'hui — s'inquiétaient des « menaces avancées ». Mais la grande majorité des violations de sécurité — même celles impliquant des menaces sophistiquées — pourraient être évitées grâce à des mesures élémentaires de sécurité.
Cinq moyens pour le secteur d'améliorer sa cyberhygiène
Voici cinq moyens permettant au secteur d'améliorer sa cyberhygiène :
- Découvrez votre réseau. Comme peuvent en témoigner de nombreux spécialistes de la gestion des incidents, la plupart des organisations sont incapables de vous indiquer le nombre d'ordinateurs qu'elles gèrent, et encore moins d'identifier toutes les failles de sécurité présentes sur ces ordinateurs. Pour avoir une vision complète de votre réseau — notamment de votre parc matériel et logiciel, de ses vulnérabilités et de ses configurations —, il est indispensable que vous puissiez accéder rapidement à tous les appareils.
- Assurez une visibilité en temps réel. Une visibilité constante et en temps réel sur votre réseau permet également aux entreprises d'identifier et de bloquer rapidement les attaques, en quelques minutes seulement. Lorsque j'ai enquêté sur des violations de sécurité, le plus souvent, les pirates avaient déjà réussi à s'introduire dans le système plusieurs mois, voire plusieurs années avant le début de l'enquête. La gravité et le coût d'une intrusion sont souvent directement proportionnels à la durée pendant laquelle un pirate est resté dans votre réseau sans être détecté.
- Définissez un état « souhaité » — qui concilie sécurité et facilité d'utilisation. Les conceptions doivent intégrer les pratiques en vigueur dans le secteur, telles que l'authentification multifactorielle, la segmentation du réseau, la liste blanche des applications et la limitation du nombre d'utilisateurs privilégiés. Les informations en temps réel concernant votre réseau peuvent également servir à établir des priorités budgétaires, contrairement à ce que de nombreuses organisations sont contraintes de faire : avancer à tâtons.
- Encouragez vos collaborateurs à adopter des comportements plus sûrs. Formez le personnel à l'utilisation correcte des systèmes et à la détection des e-mails potentiellement malveillants. Sensibilisez-les aux différentes menaces et expliquez-leur comment protéger les données sensibles. Cela n'empêchera pas toutes les attaques — ne vous y trompez pas, aucune solution de sécurité n'y parvient — mais cela réduira leur nombre et permettra aux employés de signaler celles qu'ils identifient.
- de la pratique. À mesure qu'une organisation gagne en maturité, elle devrait faire appel à des tiers pour tester en permanence ses systèmes — une pratique que l'on appelle le « red teaming ». Cela permet aux experts en cybersécurité de tester en permanence la résilience de votre réseau et aux organisations d'adapter en permanence leurs moyens de défense et de perfectionner leurs compétences.
Le secteur de la santé se trouve à un tournant décisif. Au cours des cinq prochaines années, la situation sera très différente de ce qu'elle est aujourd'hui. Les patients bénéficieront d'un accès plus facile et plus large aux soins, à mesure que les prestataires connecteront davantage de leurs systèmes à l'Internet des objets. À mesure que les mises à niveau sont effectuées, c'est le moment idéal pour mettre en place une architecture plus sécurisée et plus résiliente.
À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensic, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.
