Hôpitaux et cybersécurité à l'heure de Covid-19

Certains auraient pu imaginer que le secteur de la santé serait épargné par les cybercriminels, mais malheureusement, il n'en est rien. Depuis le début de la pandémie et pour diverses raisons, les hôpitaux ont été particulièrement exposés aux cyber-risques.

Il y a 8 mois, personne n'aurait pu prévoir l'impact mondial du Covid-19 et nous avons assisté à un changement majeur dans la façon dont les entreprises et les institutions ont adopté le télétravail. Seules exceptions, les hôpitaux, établissements de santé et de recherche, qui sont toujours sur le "qui-vive" pour lutter contre un virus qui se propage. Certains auraient pu imaginer que le secteur de la santé serait épargné par les cybercriminels, mais malheureusement, il n'en est rien.

Depuis le début de la pandémie et pour diverses raisons, les hôpitaux ont été particulièrement exposés aux cyberisques. En mai dernier, la situation était devenue si grave que la Croix Rouge avait d’ailleurs exhorté les hackers à cesser les hostilités qui frappaient les organismes de santé déjà lourdement touchés par la crise sanitaire.

La cybersécurité des établissements de santé est-elle efficace ?

Plusieurs facteurs rendent le secteur de la santé vulnérable et contribuent à l’explosion des cyberattaques dans les hôpitaux :

Des infrastructures obsolètes, soumises à des contraintes extrêmes

Le système informatique des hôpitaux est complexe et les logiciels ou composants souvent obsolètes ou non conformes. Beaucoup de SI s'appuient, en effet, sur des systèmes anciens et ne disposent pas d’experts pour les entretenir et contrer les nouvelles menaces. Or, la situation actuelle soumet l'infrastructure informatique des hôpitaux à des pressions extrêmes, ainsi qu'à une demande croissante de l’ensemble des services.

De nouveaux dispositifs et applications vulnérables

Actuellement, les hôpitaux et établissements de santé ont dû mettre en place des technologies de surveillance à distance pour accueillir les patients atteints du Covid-19. Ils se sont dotés d’équipements informatiques, de communication (tels que des routeurs domestiques), de caméras IP et autres capteurs, tous connectés aux réseaux locaux. Beaucoup de ces technologies, introduites dans des environnements sensibles sans les précautions requises, peuvent servir de porte d'entrée aux hackers.

Des risques pour les tiers

Les établissements de santé travaillent avec une multitude de fournisseurs (prestataires de services, fournisseurs, universités, ONG). Si l’un des acteurs de la chaîne est mal protégé et ne respecte pas la même norme de cybersécurité, il peut devenir la faille qui permettra aux hackers de pénétrer l’ensemble de l’écosystème.

Comment les cyberattaques contre les établissements de santé se sont intensifiées pendant le Covid-19 ?

Les cyberattaques contre les hôpitaux, en particulier les ransomwares, ont énormément augmenté au cours des 8 derniers mois... Fin octobre, un groupe de hackers de l'Est a lancé l'une des plus grandes cyberattaques de l'histoire pour perturber le système de santé américain.

Les attaques se traduisent presque toujours par des violations de données

La plupart des cyberattaques réussies se traduisent aujourd'hui par une violation de données. Elles entraînent un casse-tête réglementaire pour l’établissement de santé touché, ont des conséquences financières et de réputation et causent souvent des dommages résiduels aux patients. Si la violation de données est l’une des formes de cyberattaques qui se développe le plus, les coûts augmentent aussi considérablement. Selon une étude IBM, le coût moyen d’une violation de données médicales s’élève à environ 7,13 millions de dollars dans le monde.

Une 1ère première victime de la cybercriminalité

Et si les pirates informatiques s’attaquaient au matériel de santé ? Aucun dispositif de ce type n’a encore été piraté mais un incident tragique a pourtant eu lieu en septembre dernier. Une cyberattaque dans un hôpital de Düsseldorf en Allemagne, qui avait endommagé le système informatique, a empêché l’admission d’une patiente. En transit vers un autre hôpital, elle est décédée. Une enquête pour homicide est menée par les autorités locales.

Des initiatives de protection des hôpitaux contre les cybermenaces

Alors que la situation des hôpitaux en matière de cybersécurité se dégrade, certaines initiatives tentent d'améliorer les choses. L’Israël a annoncé des plans pour un programme national de défense des hôpitaux. Au Royaume-Uni, un fonds a été mis en place pour fournir une certification et une formation gouvernementales gratuites en matière de cybersécurité. Mais même si ces grandes initiatives peuvent avoir un réel impact, c'est aux établissements de santé de lutter contre ces cybermenaces.

Les solutions pour lutter contre les cybermenaces ?

On dit souvent "mieux vaut prévenir que guérir", cela vaut également pour la cybersécurité. Voici quelques principes à suivre pour améliorer la cybersécurité des établissements de santé :

• Sensibilisation et protection des emails : le facteur humain est souvent le maillon faible de la sécurité dans un établissement de santé. Une meilleure sensibilisation des soignants réduira les risques qu’ils téléchargent des documents suspects ou qu’ils cliquent sur des liens malveillants.
• Dispositifs d'accès à Internet : de nombreuses cyberattaques utilisent des ports ouverts et des protocoles d'accès à distance. Seuls les ports nécessaires devraient donc être ouverts à l'internet,  les ports RDP vulnérables augmentent de 37% la probabilité de réussite d’une attaque par ransomware.
• Vol d'identifiants : Les pirates utilisent des techniques agressives pour accéder aux mots de passe et aux identifiants. Une fois les mots de passe décryptés, ils peuvent ensuite facilement accéder aux serveurs et se propager sur le réseau. Choisir des mots de passe robustes réduit considérablement les risques.
• Sécurité des postes de travail : les endpoints, étant le principal vecteur pour accéder à un réseau, les hôpitaux doivent se doter d'une solution de sécurité avancée sur tous les terminaux et serveurs afin de lutter contre les cybermenaces.