Autoriser le cloud tout en protégeant les données de santé
Les établissements de santé semblent toujours penser que le fait de bloquer tout accès à des outils de stockage ou de collaboration en cloud non approuvés signifie qu'ils empêchent la fuite d'informations sensibles. Mais comme le dit le vieil adage, "Les données coulent comme l'eau". Elles finissent par trouver les trous pour s'échapper.
Même si un système informatique dans le secteur de la santé dispose de contrôles de données étanches, ce n'est pas le seul objectif de l'entreprise, ni même le plus important. Lorsque le blocage empêche un soignant d’effectuer son travail au mieux de ses capacités, les données sont particulièrement difficiles à contenir.
La nécessité d'une collaboration renforcée et plus efficace dans le secteur de la santé
Aujourd'hui, de nombreuses structures de santé s'efforcent de renforcer la collaboration entre les médecins et les équipes afin d'améliorer la qualité des soins et les résultats pour les patients. Si j'étais un patient en cours de traitement, je voudrais m'assurer que mon médecin traitant, les spécialistes et tous les différents services et établissements impliqués dans l'écosystème du traitement médical aient accès à toutes les informations nécessaires pour m'aider à soigner ma maladie. En fait, c'est l'un des principaux avantages transformationnels que les outils numériques ont apporté à la médecine ces dernières années.
Les patients s'attendent à ce que tous les différents prestataires de soins dont ils ont besoin travaillent ensemble pour résoudre leurs problèmes de santé. Mais l'idée même de bloquer le partage des données en tant que politique institutionnelle par défaut limite la capacité des prestataires de soins de santé à fonctionner comme une unité agile et coordonnée. Pour pouvoir collaborer, les données sensibles des patients doivent être partagées - entre les services et souvent en dehors de l'établissement. Et ce type de partage a toujours été un problème pour le secteur de la sécurité des soins de santé. Les équipes de sécurité ont tendance à bloquer d'abord et à poser des questions ensuite.
La gestion des risques liés aux données ne doit pas être un tout ou rien
Pourquoi voudrions-nous empêcher le partage des informations sur les patients entre les personnes qui en ont besoin ? Le blocage des outils de collaboration ou de l'accès aux sources de données hors du contrôle de l'organisation peut limiter le risque de perte de données, mais il nous fait reculer dans l'objectif principal qui est de traiter les patients de la meilleure manière possible.
Voici un bon exemple. Disons que la seule application de cloud gérée pour la collaboration dans un hôpital donné est Microsoft OneDrive. L'équipe de sécurité de l'hôpital bloque l'accès à tous les autres services (par exemple, Dropbox, Google Drive, Box) pour s'assurer que les données privées des patients/DPI ne peuvent pas être exfiltrées via ces outils. Mais que se passe-t-il si un médecin collabore avec une grande université de recherche sur un traitement spécialisé et que cette institution n'autorise l'accès que via Dropbox ?
Nous avons donc un problème. Des politiques rigides de blocage des données entravent la collaboration interinstitutionnelle et le meilleur traitement pour un patient, que les données en question contiennent ou non des informations sensibles. Il s'agit peut-être simplement de communications entre l'hôpital et l'université. Ne devraient-ils pas être automatiquement autorisés à collaborer sur différentes plateformes cloud dans des situations bienveillantes et sans conséquence grave, plutôt que de perdre du temps à demander et à attendre une exception approuvée par le service informatique d'un côté ou de l'autre ?
Dans ce cas, l'hôpital dit que les soignants ne peuvent pas aller sur Dropbox et l'université dit que les chercheurs ne peuvent pas aller sur OneDrive à cause de politiques de données trop rigides. Et comme les systèmes rigides ne fonctionnent pas, les médecins qui se consacrent aux soins des patients trouveront des solutions de contournement - par le biais de l'informatique parallèle, où les données peuvent de toute façon circuler en dehors de l'institution. Ce type de situation nous amène à dire qu’il est important de ne plus tout bloquer au nom de la transparence et de la collaboration avec les patients. La seule façon d'y parvenir est de faire en sorte que les professionnels de soins puissent faire ce qu’ils ont à faire.
Autoriser pour mieux protéger
Les organismes de santé modernes peuvent commencer à faciliter les soins coopératifs en obtenant d'abord une visibilité sur les données et les utilisateurs qui cherchent à accéder au cloud et aux outils de collaboration. Une fois que nous avons la visibilité, nous pouvons appliquer des contrôles spécifiques sur ce que les utilisateurs peuvent ou ne peuvent pas faire en fonction du contenu du fichier et de ce qu’ils essaient de faire.
Revenons à l'exemple précédent de l'hôpital travaillant avec l'université de recherche. Nous pouvons appliquer une stratégie de groupe qui permet aux cliniciens de l'hôpital d'accéder au compte Dropbox de l'université pour consulter ou télécharger des résultats de recherche partagés, mais la stratégie peut les empêcher de télécharger quoi que ce soit. Ou bien nous pouvons aller plus loin et dire que les soignants peuvent également télécharger des fichiers, à moins qu'ils ne contiennent des informations de santé protégées (PHI) ou des informations personnelles identifiables (PII). Si cette tentative est faite, les contrôles de sécurité bloqueront automatiquement l'utilisateur pour l'empêcher d'envoyer ces fichiers spécifiques.
En établissant une visibilité et en mettant en œuvre des contrôles granulaires basés sur des politiques, l'organisation pourra poursuivre une collaboration transparente, alors qu'auparavant, la politique de blocage universel laissait tout le monde dans l'impasse.
Le défi des instances d'utilisateurs multiples
De nombreux hôpitaux ne réalisent pas qu'en permettant à leurs utilisateurs d'accéder à Office 365 ou à Google Workspace, ces derniers peuvent potentiellement accéder à une autre instance de ces applications cloud.
Pour utiliser un autre exemple courant, disons que vous êtes un médecin sous contrat avec un hôpital local, mais que vous avez également votre propre cabinet privé. Vous pouvez accéder à votre instance d'Office 365 autorisée par l'hôpital, mais un jour, vous avez également besoin d'accéder à l'instance d'Office 365 de votre cabinet privé pour vérifier quelque chose d'autre. En autorisant les utilisateurs à accéder à Office 365 en tant que politique par défaut, l'hôpital n'est très souvent pas en mesure de voir à quelle instance vous accédez réellement. Vous pouvez vous connecter pour référencer les résultats de tests d'un patient extérieur, ou vous pouvez télécharger les informations personnelles d'un patient. L'hôpital peut ne pas être en mesure de voir suffisamment pour savoir ce qui transpire réellement, et encore moins de faire quoi que ce soit pour le contrôler.
Alors, comment les hôpitaux peuvent-ils obtenir la visibilité nécessaire pour distinguer l'instance Office 365 privée d'un médecin de celle qu’il utilise pour son travail au nom de l'hôpital ? Ils ont besoin d'une sécurité avec une visibilité adaptée à l'instance et des contrôles granulaires. Les politiques peuvent être définies de telle sorte qu'un contractant puisse venir à l'hôpital, consulter ses instances privées à titre de référence, mais il ne peut rien télécharger. Ou peut-être simplement rien qui contienne des informations sensibles ou privées.
Les établissements de soins ont besoin d’une telle sécurité adaptable pour rendre possible une collaboration flexible et un partage approprié des informations, sans introduire de risques excessifs pour les patients ou les institutions.
Les méthodes changent : La collaboration sécurisée commence aujourd'hui
Il est important de se rappeler que les données coulent comme de l'eau - elles trouvent le moindre interstice pour s'échapper. Les professionnels de la santé trouveront des moyens de contourner les contrôles de sécurité qui semblent les empêcher d'atteindre leur objectif principal : fournir aux patients les meilleurs soins possibles et sauver des vies.
La sécurité des soins de santé doit désormais se concentrer sur la visibilité et le contrôle afin que les conversations puissent passer d'un simple "non" standard à des politiques qui atténuent les risques sans entraver le travail d'équipe. Dans dix ans, les RSSI du secteur de la santé regarderont en arrière et diront : "Vous vous souvenez de l'époque où nous bloquions tout ?". Pour servir les patients et sauver des vies, cette évolution doit commencer aujourd'hui. Et heureusement, des solutions de sécurité offrant une visibilité transparente et un contrôle granulaire sont déjà disponibles pour rendre cela possible.