Lorsqu'une patiente est décédée en Allemagne en 2020 après que des pirates informatiques, à l'aide d'un rançongiciel, ont pratiquement paralysé le fonctionnement de l'hôpital où les médecins souhaitaient la soigner, l'alerte a été donnée dans l'ensemble de la communauté médicale mondiale.
Cette attaque constituait le premier cas avéré où des cybercriminels avaient directement causé la mort d'une personne. Mais cette tragédie n'était en aucun cas le fruit du hasard. Les cyberattaques visant les prestataires de soins de santé ont connu une forte augmentation en 2020, en partie sous l’effet de la croissance spectaculaire de la télémédecine à l’ère de la COVID-19, comme le souligne l’ , ce qui a également entraîné une augmentation du nombre de pirates informatiques cherchant à exploiter cette tendance à leur propre profit. Par exemple, les attaques mondiales par ransomware visant le secteur de la santé ont doublé au cours de l'année 2020, selon le fournisseur de logiciels Check Point.
Les pirates informatiques considèrent depuis longtemps les établissements de santé comme des cibles faciles en raison de leur dépendance vis-à-vis de systèmes obsolètes — et comme des cibles lucratives en raison du véritable trésor d'informations qu'ils conservent dans leurs archives. C'est pourquoi la forte recrudescence des attaques observée l'année dernière a conduit les DSI et les RSSI du secteur de la santé à repenser leur approche en matière d'hygiène informatique et de sécurité. L'un des domaines sur lesquels ces dirigeants concentrent leur attention est le danger présent dans des secteurs du quotidien tels que l'automatisation des soins de santé.
[À lire également : Qu'est-ce que l'automatisation de la sécurité ?]
La dynamique en faveur de l'automatisation des systèmes informatiques dans le secteur de la santé
Les établissements de santé ont réalisé d'importants investissements dans l'automatisation et l'intelligence artificielle (IA) afin d'améliorer leur efficacité et de réduire leurs coûts. Ces outils peuvent faciliter la chirurgie, l' la radiologie, les soins infirmiers, les processus administratifs, les dossiers médicaux électroniques, la détection des fraudes et la réduction des erreurs de posologie ; selon Accenture, les dépenses dans ce domaine devraient atteindre 6,6 milliards de dollars en 2021.
L'IA est particulièrement utile pour aider les êtres humains à rendre les soins plus intelligents et plus efficaces. Par exemple, les établissements de santé ont recours à l’intelligence artificielle et à l’automatisation pour aider les soignants et le personnel à distribuer les médicaments, à faire fonctionner les respirateurs, à gérer les effectifs et à traiter les autorisations préalables des compagnies d’assurance ainsi que les décisions relatives aux demandes de remboursement, ce qui peut retarder, voire empêcher, les patients de bénéficier de soins adaptés.
« En automatisant et en allégeant la charge de travail [liée aux tâches routinières d’autorisation préalable] pour les médecins, le personnel et les patients, l’IA permet de s’adapter beaucoup plus rapidement à l’évolution des règles des payeurs », explique Jody Ranck, analyste senior et autrice d’un rapport intitulé « » publié par Chilmark Research. L'intelligence artificielle et l'automatisation peuvent accélérer les processus d'assurance, tels que le traitement des sinistres : « Cela prenait auparavant 20 jours », explique M. Ranck. « Désormais, tout se joue en quelques millisecondes. »
L'automatisation peut permettre d'économiser des milliards de dollars. Accenture estime que les trois principales applications générant une valeur à court terme sont la chirurgie assistée par robot (40 milliards de dollars d'économies), les aides-soignants virtuels (20 milliards de dollars) et l'assistance aux processus administratifs (18 milliards de dollars).
Il n’est guère surprenant que plus de la moitié des DSI des établissements de santé de l’ interrogés par Gartner aient déclaré prévoir d’investir dans l’automatisation robotisée des processus (RPA) basée sur l’IA au cours des trois prochaines années, contre 5 % en 2020.
Le côté obscur de l'automatisation
L'automatisation dans le secteur de la santé s'accompagne toutefois de défis en matière de sécurité. Dans une enquête menée par le Ponemon Institute, 90 % des personnes interrogées ont déclaré que leur établissement de santé avait subi au moins une faille de sécurité au cours de l'année précédente. Une analyse réalisée par SecurityScorecard et DarkOwl portant sur des téraoctets de données provenant de plus de 30 000 établissements de santé, entre 2019 et 2020 , a mis en évidence une augmentation des vulnérabilités et des attaques étroitement liées à la réputation des adresses IP (notamment les logiciels malveillants issus de tentatives d'hameçonnage), aux terminaux et aux correctifs de sécurité.
Les attaques spectaculaires menées par SolarWinds contre la chaîne d'approvisionnement , qui ont visé de grandes agences et organisations gouvernementales, ont mis en évidence ces vulnérabilités. Et ils ont mis en évidence la valeur des données de santé volées. Selon l' , l'agence d'évaluation du crédit à la consommation Experian, chaque dossier médical piraté peut rapporter jusqu'à 1 000 dollars sur le dark web, en raison des données extrêmement sensibles que contiennent les dossiers des patients.
Les terminaux constituent un maillon particulièrement faible de la chaîne de sécurité. Pour le réseau d'hôpitaux et de cliniques Sutter Health, qui dessert plus de 3 millions de Californiens, l'un des principaux problèmes résidait dans un manque de visibilité sur les milliers de terminaux de son réseau. Pour sécuriser les terminaux, les équipes informatiques devaient accéder manuellement aux appareils à l'aide d'ordinateurs de prêt, ce qui perturbait le flux de travail et augmentait les coûts.
[Découvrez comment votre organisation peut gérer la conformité à la loi HIPAA grâce à Tanium]
L'IA elle-même peut présenter des failles de sécurité, car elle repose sur des algorithmes entraînés à partir d'énormes ensembles de données. On sait que les pirates informatiques réentraînent parfois des algorithmes afin de « » perturber des systèmes, de rediriger des données vers eux, voire de «» empoisonner des données en amenant les algorithmes à croire qu’un code malveillant est inoffensif. Les bots basés sur l'IA ne sont souvent pas sécurisés, car leur programmation associe du code open source et du code personnalisé qui n'est pas rédigé par des spécialistes de la sécurité.
D'autres vulnérabilités découlent des systèmes utilisés par les algorithmes : des outils d'automatisation peuvent se trouver sur n'importe quel appareil connecté à un réseau disposant d'une autorisation d'accès au système, ce qui constitue autant de points d'entrée potentiels pour des acteurs malveillants. Une fois à l'intérieur, les malfaiteurs peuvent semer le trouble. Pour ne citer qu'un exemple frappant, M. Ranck, de Chilmark Research, évoque le cas de pirates informatiques qui ont utilisé de fausses images radiologiques pour se verser indûment des remboursements d'assurance.
Les experts en sécurité s'en inquiètent, notamment Carlos Perez, qui dirige le département de recherche de la société de cybersécurité TrustedSec. « La tendance qui m’inquiète, c’est que le secteur de la santé ne cesse de réduire ses coûts et d’externaliser de plus en plus ses activités de sécurité », déclare M. Perez. « Je n'ai pas constaté que le secteur de la santé ait pris la moindre mesure pour garantir la sécurité de l'information dans le cadre de l'utilisation de l'IA. »
Les failles institutionnelles du système de santé
Les secteurs fortement réglementés, tels que celui de la santé, sont souvent confrontés à un conflit entre les besoins de l'entreprise et le respect de la réglementation. Les hôpitaux utilisent souvent des versions anciennes de logiciels qui peuvent comporter des bogues et des failles de sécurité. La mise à niveau des systèmes peut amener les entreprises à se heurter à des problèmes de conformité.
« Les hôpitaux ont des directives plus strictes en matière d’application de correctifs et de mises à jour des ordinateurs et des serveurs en raison des systèmes qu’ils prennent en charge », explique Marc Moring, directeur des comptes stratégiques chez Tanium. « S’ils mettent à jour un système d’exploitation, ils risquent de provoquer une panne d’un respirateur, d’une perfusion intraveineuse ou d’un système d’administration de médicaments, ce qui pourrait mettre des vies en danger. » « Les hôpitaux se sont montrés réticents à mettre à jour leurs systèmes et à installer des correctifs, ce qui les rend extrêmement vulnérables aux attaques. » C'est pourquoi (gestion des correctifs), et (gestion de la configuration) constituent des éléments essentiels des stratégies informatiques et de sécurité au niveau des terminaux.
Les structures organisationnelles sont également responsables de la faiblesse du niveau de sécurité des systèmes informatiques du secteur de la santé. Des chercheurs d' Skybox Security ont constaté qu'une faille critique résultait du cloisonnement entre les équipes de cybersécurité et les équipes opérationnelles chargées de la surveillance de l'infrastructure. « Le démantèlement de ces cloisonnements doit se faire par le biais d'un changement itératif », ont noté les auteurs dans leur rapport n° 2020 . « Les équipes chargées de l'exploitation des équipements doivent acquérir des connaissances fondamentales qui leur permettront de protéger ces zones du réseau, réputées particulièrement difficiles à mettre à jour. »
L'étude de Tanium intitulée « IT Resilience Gap Study » a mis en évidence plusieurs fonctionnalités permettant d'atténuer ces risques. Les organisations résilientes adoptent les pratiques suivantes :
- Veillez à ce que leurs équipes chargées de la sécurité informatique, des opérations et de la gestion des risques collaborent afin de simplifier et de sécuriser l'environnement informatique.
- Recueillez des données fiables afin de prendre des décisions en toute confiance et de conserver une approche prospective et agile face aux menaces et aux changements constants.
- Prenez des mesures pour rationaliser l'infrastructure et mettre fin à la fragmentation des systèmes et des processus de gestion des terminaux.
- Unifiez-vous autour d'un ensemble commun de données exploitables afin de bénéficier d'une véritable visibilité et d'un contrôle effectif sur tous les appareils d'un réseau.
En fin de compte, l'automatisation et l'IA sont là pour rester. Les avancées récentes élargissent le champ des possibilités offertes par les technologies de la santé. Et cela entraîne parallèlement des pressions supplémentaires en faveur d'un renforcement de la sécurité.
« Il y a trois ans, les médecins étaient très sceptiques à l’égard de l’IA », explique M. Ranck. « Aujourd’hui, on constate que l’IA est très largement intégrée dans les systèmes. » Il affirme que les organisations en sont à des stades différents dans leur réponse aux menaces émergentes, « mais les dirigeants reconnaissent de plus en plus la nécessité de s'y préparer ».
