Aider le secteur de la santé à remporter son grand combat contre les cyberattaques
Quiconque dirige une entreprise connaît probablement l'expression « construire l'avion tout en le pilotant ». Au cours de cette période mouvementée de 19 mois, nombre d'entre nous ont incarné cette phrase, devenant du jour au lendemain les pilotes et les ingénieurs de nos nouvelles réalités.
Mais peu d'entre nous l'ont incarnée comme l'a fait le secteur de la santé et son personnel. Ils ne se sont pas contentés de construire l'avion tout en le pilotant, ils modifiaient également les schémas de vol, utilisaient différents aéroports et formaient le nouveau personnel en vol. En d'autres termes, ils ont trouvé le moyen de mettre en place une main-d'œuvre à distance, d'étendre de manière exponentielle les soins virtuels et de mettre au point un vaccin, tout cela alors qu'un grand nombre d'employés faisaient des heures supplémentaires dans des conditions périlleuses pour s'occuper de centaines de milliers de personnes gravement malades.
Prenons un moment pour célébrer cet incroyable essor de l'innovation dans le domaine de la santé. Le secteur a pris des années de blocages réglementaires, de dettes techniques et de scepticisme de l'industrie et les a transformées en expériences digitales qui ont permis la continuité des soins pour des milliards de personnes.
Mais ce n'est pas tout. Les organismes de santé ont accompli tout cela en subissant des cyberattaques de plus en plus nombreuses et variées. En effet, au milieu d'une pandémie, le secteur de la santé a combattu sur un autre front qui a généré un autre groupe de héros.
Comme le personnel de l'University of Florida Health. Lorsque l'UF Health a été victime d'un événement de cybersécurité sur une partie de son réseau en juin dernier, le personnel a dû contacter les pharmacies pour compléter les informations manquantes sur les médicaments. Ils ont dû se démener pour trouver de nouvelles voies d'accès aux soins en faisant appel à des médecins externes. Ed Jimenez, directeur général de l'un des hôpitaux touchés, a remercié son personnel d'avoir permis à son établissement de surmonter la crise. « Nos employés sont de véritables héros. Ils ont en effet su surmonter les difficultés pour retrouver un fonctionnement normal, sacrifiant souvent des moments de détente avec leurs proches pour faire des heures supplémentaires. »
La pandémie : une période propice aux attaques de logiciels malveillants
Selon un rapport du département de la Santé et des Services sociaux des États-Unis (HHS) et une étude d'IBM, le secteur de la santé a enregistré une augmentation de 50 % des cyberattaques depuis le début de la pandémie. De plus, ces attaques ont été les plus coûteuses, avec un coût moyen de 7,13 millions de dollars par incident. Selon les données d'IBM, les attaques par ransomware constituaient la menace la plus courante, les cybercriminels ont en effet profité de la nécessité de restaurer rapidement les systèmes hospitaliers et de soins de santé, le vol de données et l'accès aux serveurs venant ensuite. Les prestataires de santé, en particulier, sont des cibles attrayantes des attaques par ransomware, car les dossiers de santé électroniques (DSE) peuvent se vendre pour 1 000 dollars l'unité sur le Dark Webalors que les informations relatives aux cartes de crédit se vendent à environ 110 dollars et les numéros de sécurité sociale à seulement 1 dollar l'unité.
« Les systèmes des hôpitaux étaient déjà fragiles avant la pandémie », explique Josh Corman, chef du groupe de travail COVID-19 de la Cybersecurity and Infrastructure Security Agency (CISA). « Les attaques par ransomware sont ensuite devenues plus variées, plus agressives et plus coûteuses. » À l'automne 2020, cette agressivité a donné lieu à un rare avis de cybersécurité rédigé conjointement par la CISA, le FBI (Federal Bureau of Investigation) et le HHS, avertissant spécifiquement les responsables des soins de santé de la menace imminente que représentent les attaques par ransomware et conseillant une approche de sauvegarde consistant à enregistrer trois copies de toutes les données essentielles dans au moins deux formats différents, avec une copie hors ligne, hors d'atteinte des codes malveillants.
Cependant, pour de nombreuses organisations du secteur de la santé, suivre ce conseil crée un autre compromis financier difficile. Selon Stephen Lopez, titulaire d'un doctorat et d'un MBA, et directeur principal de la sécurité de l'information auprès de l'Association of American Medical Colleges (AAMC), les organisations du secteur de la santé ont tendance à différer les investissements en matière de cybersécurité. « Consacrer des ressources à la sécurité de l'information peut s'avérer difficile lorsque cet acte semble se faire au détriment des services aux patients », a-t-il déclaré. « Mais dans cet environnement, les services aux patients sont en danger si les entreprises remettent à plus tard la protection contre les ransomwares. » La CISA confirme cela en notant dans son rapport 2021 sur les perspectives médicales que lorsque l'infrastructure soutenant la prestation de soins de santé est attaquée ou fait l'objet d'une demande de rançon, les opérations se dégradent rapidement, en particulier en période de crise ou d'urgence.
La formation du personnel à tous les niveaux des organisations du secteur de la santé est l'une des clés de la lutte. « Si vous pouvez améliorer les mesures de sécurité élémentaires des membres du personnel concernant les courriels d'hameçonnage, vous pouvez éviter ou atténuer la plupart des attaques de logiciels malveillants », ajoute M. Lopez. Il recommande de mettre en place un programme de formation qui montre des exemples réels de messages d'attaques par ransomware, afin de rappeler au personnel de réfléchir avant de réagir à toute demande urgente d'informations sensibles.
Les décisions d'investissement en matière de sécurité dépendent du stockage et de l'accès aux données
Même si la pandémie fait encore trop de victimes, les responsables du secteur de la santé doivent s'attaquer à cette nouvelle bataille. Alors, par où commencer ? Les priorités en matière de cybersécurité sont les suivantes : sécuriser les points d'accès contre les ransomwares (en plus de former le personnel à la détection de l'hameçonnage) ; réduire l'exposition des informations de santé protégées (PHI) disponibles dans les DSE ainsi que la propriété intellectuelle dans la fabrication des médicaments ; et sécuriser les technologies de connectivité qui permettent le partage de ces informations avec des systèmes externes, des partenaires et des fournisseurs (tels que le CDC et d'autres départements de santé).
De nombreuses organisations du secteur de la santé ont déplacé leurs DSE, leur propriété intellectuelle et d'autres données médicales dans le cloud afin d'améliorer la flexibilité, l'accessibilité et la rapidité d'extraction. Mais comme la migration vers le cloud s'est faite très rapidement et sans planification organisationnelle solide, les informations sur la santé des patients et d'autres données sensibles sont souvent hébergées dans des environnements cloud multifournisseurs, qui peuvent être encore plus fragilisés par des configurations erronées.
Cette liste loin d'être exhaustive met en exergue la palette de données nécessaires à la création de soins continus et à la réduction de la taille potentielle de la surface de menace d'une organisation du secteur de la santé.
Dossiers de santé électroniques (DSE) : dossiers médicaux digitaux, antécédents médicaux, résultats de laboratoire et d'examens, et autres données.
Registres de patients ou de maladies : bases de données contenant les résultats cliniques des patients qui partagent un diagnostic ou une affection spécifique.
Données relatives aux demandes de remboursement : données relatives aux codes de facturation soumises par les prestataires de soins de santé aux compagnies d'assurance.
Enquêtes de santé : données collectées par les organisations du secteur de la santé publique afin d'évaluer les risques pour la santé publique et de guider les politiques ainsi que les pratiques en matière de santé publique.
Système d'archivage et de communication d'images (Picture archiving and communication system, PACS) : données générées par un terminal d'imagerie médicale (tel qu'un scanner ou une IRM) qui sont archivées pour être accessibles aux médecins, aux chercheurs ou à d'autres membres autorisés du personnel médical.
Données d'essais cliniques : données sur les résultats d'études cliniques, privées ou publiques, utilisées dans le développement de terminaux médicaux, de produits pharmaceutiques et d'autres innovations.
Les responsables de la sécurité (CSO) du secteur de la santé qui cherchent à réduire cette zone de menace et à suivre les conseils de l'approche de sauvegarde décrite dans l'avis fédéral (sauvegarder trois copies dans au moins deux formats différents, dont une hors ligne) se tournent de plus en plus vers une approche hybride. Le stockage des données sur site leur permet de mieux contrôler la sécurité, mais cette approche peut s'avérer coûteuse et difficile à étendre à la vitesse nécessaire, en particulier avec l'explosion actuelle des données de santé et la transformation digitale des soins, toutes deux stimulées par la pandémie. Le stockage des données dans le cloud public est plus rentable, mais les organisations risquent des pannes et un manque de transparence sur la façon dont les données sont protégées.
Une approche hybride permet de conserver les données sensibles dans les locaux, tandis que les données moins sensibles sont stockées dans le cloud. Même cette approche n'est pas parfaite, car la sécurité doit être mise en place pour protéger le transfert des données entre les deux types de stockage et garantir que l'accès est limité aux personnes autorisées à effectuer les transferts et à consulter les données. Le respect des sept exigences clés pour la mise en œuvre d'une architecture de Zero Trust Network Access permet aux institutions de protéger leurs données, en accordant aux utilisateurs l'accès aux seules applications dont ils ont besoin dans le cadre de leur fonction, avec une sécurité supplémentaire offerte par l'authentification multifactorielle (MFA).
Soutenir le secteur de la santé à travers et au-delà de la crise
Les prestataires de santé sont en train d'élaborer une expérience digitale du XXIe siècle et Akamai est honoré de contribuer à l'avènement de cette nouvelle ère de la santé en ligne en proposant des moyens innovants pour soutenir les soins aux patients et obtenir des résultats positifs partout et à tout moment.
Découvrez ce qu'Akamai rend possible dans le secteur de la santé.
