Innovation et conformité dans le secteur de la santé
The use of big data to assist providers with patient care decisions, 3D printed skin for burn victims and enabling patients’ instant access to their medical records are just some examples of amazing technology advances transforming the healthcare industry. Toutefois, toutes ces technologies présentent un risque potentiel pour la vie privée des patients et les informations de santé protégées (PHI) ; ce risque s'accompagne de réglementations que tous les organismes de santé basés aux États-Unis doivent respecter, notamment la loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA).
La mise en œuvre concrète des mesures de sécurité appropriées prévues par la loi HIPAA, destinées à permettre aux établissements de santé de se conformer à cette législation, est appelée « règle de sécurité ». Face à la liste sans cesse croissante des règles de conformité à la loi HIPAA, les organisations sont constamment amenées à repenser leur approche en matière de gestion des terminaux.
Avec l'essor du télétravail, en particulier chez les utilisateurs des établissements de santé, il est difficile d'assurer un suivi précis de tous les terminaux présents sur le réseau. Les appareils se déplacent constamment au sein du réseau, hors du réseau, à la maison, dans les cafés ou via un VPN. Cet environnement extrêmement instable est difficile à suivre, et les outils actuellement utilisés au sein de l'entreprise ne collectent pas les données assez rapidement et ne garantissent pas non plus un niveau de fiabilité suffisant quant à leur exactitude.
In fact, KlasResearch found in a study of 600+ healthcare organizations that the top medical-device-security struggle is a lack of asset and inventory visibility due to insufficient tools and the large number of devices that must be secured1. Sans un inventaire précis et à jour des actifs, il est pratiquement impossible de réaliser une analyse des risques adéquate d'un environnement, d'appliquer les correctifs aux appareils afin de pallier les vulnérabilités et de les configurer correctement conformément aux normes.
Évaluation des vulnérabilités et des risques dans votre environnement
La règle de sécurité HIPAA impose aux établissements de santé d'évaluer les vulnérabilités et les risques présents dans leurs environnements et de mettre en œuvre des politiques et des procédures pour y remédier. Trop d'entreprises ignorent quels correctifs leur manquent, dans quelle mesure elles sont vulnérables et quelles configurations sont appliquées à quels terminaux. Cela représente un risque considérable, car cela expose les terminaux à une divulgation des données de santé protégées (PHI) à la suite d'un incident de sécurité ou d'une faille de sécurité.
La réalité concernant les systèmes actuels de gestion des terminaux est que bon nombre d'entre eux collectent tout simplement les données trop lentement, ne peuvent pas intervenir assez rapidement ou ne fonctionnent plus comme prévu. Les vulnérabilités « zero-day » étant divulguées et exploitées en moyenne 22 jours après found2, les organisations sont souvent contraintes de s'écarter des cycles mensuels traditionnels de correctifs ou d'évaluation des vulnérabilités et d'agir rapidement. Ce dilemme est aggravé par des outils obsolètes qui ne s'adaptent pas suffisamment aux environnements de grande envergure et qui mettent trop de temps à effectuer les corrections ou les analyses de vulnérabilités nécessaires.
On peut citer comme exemple l'année 2017 , au cours de laquelle de nombreux hôpitaux à travers le monde ont été touchés par la faille « EternalBlue » et le ransomware « WannaCry » en raison de l'absence de correctifs systems3. Cela a entraîné des interruptions de service dans les hôpitaux, a compromis la sécurité des patients et a contraint de nombreux hôpitaux à refuser des patients. Les conséquences des attaques par ransomware auraient pu être évitées si les organisations avaient simplement connu l'état en temps réel de leurs terminaux, ce qui leur aurait permis de réagir immédiatement aux résultats obtenus, avec rapidité et à grande échelle.
Voici trois mesures que nous vous recommandons de mettre en œuvre dès aujourd'hui pour vous aider à gérer la conformité à la loi HIPAA à l'aide de Tanium :
- Bénéficiez d'une visibilité sur 100 % de vos appareils. Grâce à Tanium Discover, vous pouvez effectuer plusieurs fois par jour des analyses continues à l'échelle de l'entreprise afin d'identifier tous les appareils et de maîtriser l'ensemble des terminaux. Une fois mis en place, Tanium Asset vous donne accès à l'ensemble des données de vos appareils concernant les logiciels, le matériel et les informations relatives aux utilisateurs. Cela vous apporte une assurance immédiate, car vous connaissez les caractéristiques des appareils exposés à des informations médicales protégées.
- Soyez immédiatement informé de l'état des correctifs et des vulnérabilités sur tous vos appareils. Grâce à Tanium Comply, vous pouvez consulter l'état actuel de toutes les vulnérabilités. Tanium Patch envoie ensuite les correctifs du système d'exploitation à ces systèmes en quelques minutes afin de remédier à ces vulnérabilités. Tanium Deploy envoie les correctifs de logiciels tiers d' tout aussi rapidement à tous les logiciels vulnérables tels qu'Adobe, Java, Chrome et Firefox.
- Connaissez l'état de configuration de tous les terminaux afin de pouvoir assurer le suivi des mesures de protection prévues par les règles de sécurité partout. Tanium Comply offre une visibilité immédiate sur tous les états de configuration et assure le suivi de la configuration de sécurité de vos terminaux au fil du temps.
Pour aider les établissements de santé à mieux s'y retrouver dans les règles de sécurité, consultez notre présentation de la solution « » () destinée au secteur de la santé :. Vous pouvez le télécharger gratuitement à tout moment.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
1 « Dans quelle mesure les organismes de soins de santé se conforment-ils aux pratiques de cybersécurité du secteur de la santé (HICP) ? » https://klasresearch.com/report/how-aligned-are-provider-organizations-with-the-health-industry-cybersecurity-practices-hicp-guidelines/1587.
2 «« Zéro jour, des milliers de nuits : Découverte n° 5” » https://www.rand.org/content/dam/rand/pubs/research_reports/RR1700/RR1751/RAND_RR1751.pdf.
3 « »« Cyberattaque contre le NHS - Parliament.uk ». https://publications.parliament.uk/pa/cm201719/cmselect/cmpubacc/787/787.pdf.
