Quelles solutions pour contrer les risques de cybersécurité dans la santé ?
Préoccupation qui fut notamment discutée lors du dernier Forum International de la Cybersécurité à Lille, le secteur de la santé demeure particulièrement vulnérable aux cyberattaques.
En examinant des données collectées sur le dernier trimestre 2021, un récent rapport révélait que la santé était le deuxième secteur le plus ciblé par les cyberattaques au quatrième trimestre 2021, avec 12% du nombre total détectées.
L’actualité des derniers mois confirme cette tendance. En avril dernier, des hackers réclamaient une rançon de plus d’un million d’euros à un hôpital dans la Marne, après avoir dérobé des numéros de sécurité sociale et des RIB qu’ils menaçaient autrement de divulguer. En quasi simultané, neuf établissements du Groupement hospitalier de territoire Cœur Grand-Est subissent les conséquences d'une cyberattaque, avec comme menace des données elles aussi retenues en otage contre rançon. Fin mai, c’est au tour du centre hospitalier de Mâcon de subir une cyberattaque, avec pour conséquence l’arrêt pendant plusieurs jours de l’ensemble des flux internet et de la messagerie.
La vulnérabilité particulière du secteur, conduisant à des attaques à répétition, a également été confirmée dans un récent rapport qui souligne l’évolution des menaces en matière de cybersécurité, notamment dans le domaine de la santé. Parmi les d’explications avancées pour l’expliquer : le recours croissant aux dispositifs électroniques médicaux tels que les appareils d'anesthésie, les pompes intraveineuses, les appareils au point de service (PDS) ou les appareils IRM. Connectés en réseau et au réseau, ces dispositifs médicaux présentent de nombreuses vulnérabilités et sont attrayants pour les cybercriminels, notamment parce qu’ils ne respectent pour la plupart pas certains protocoles de sécurité fondamentaux.
Selon les experts, le principal danger auquel fait face l’industrie médicale est aujourd’hui celui du rançongiciel, ce qui suggère que les dispositifs médicaux doivent être convenablement protégés, ce qui n’est pourtant pas toujours le cas. Autre constat issu du rapport : le marché noir des données de santé n’est plus en vogue. Alors que les cyberattaquants collectaient auparavant des données médicales et vendaient celles-ci sur le darkweb, les cybercriminels divulguent aujourd'hui sans frais les données des hôpitaux et des cliniques qui refusent de payer une rançon.
Pour un système de santé qui fait par ailleurs face à des pressions en termes de personnels et de budget, ce cyber-risque omniprésent est aujourd’hui une préoccupation majeure pour l’industrie et face à une telle criminalité, une question demeure : quelles solutions sont possibles ?
L’importance d’une collaboration efficace entre public et privé
Évidemment, la modernisation des équipements informatiques et des solutions logicielles de cybersécurité s’impose. Mais elle n’est pas toujours réaliste et elle n’a surtout de sens que si d’autres paramètres sont respectés. Elle ne s’entend notamment pas sans la mise en place d’une collaboration plus étroite entre secteur public et secteur de la cybersécurité, sous forme de partenariats public-privé, et en mettant l'accent sur le partage de renseignements sur les cybermenaces. Interrogés sur cette question, 87% des professionnels de la sécurité interrogés en Europe déclaraient en effet considérer que les gouvernements ont un rôle essentiel à jouer dans le renforcement des cyberdéfenses nationales et des infrastructures critiques comme le secteur de la santé. En France plus précisément, 95% des répondants français estiment qu'il est possible d'améliorer le niveau des partenariats avec leurs gouvernements respectifs.
L'adoption d'un système centralisé de détection des cyber-risques
De nombreuses organisations au sein du secteur sont par ailleurs équipées d’un patchwork de solutions de cybersécurité qui peut créer des défis en raison d’un manque d’intégration : des alertes sont manquées, l'équipe de sécurité informatique perd du temps à passer d'un outil à un autre pour rechercher des anomalies et par conséquent la protection offerte n’est pas optimale.
Idéalement, les établissements de santé tireraient bénéfice de pouvoir faire évoluer leur sécurité aujourd’hui cloisonnée en silo en mettant en œuvre une architecture XDR (détection et réponse étendues) flexible et évolutive qui peut s'intégrer de manière transparente à leurs outils de sécurité actuels. L’idée est simple : les données issues de différentes sources sont introduites dans une plateforme centralisée et évoluent dans un environnement natif et ouvert. Les alertes deviennent alors plus facilement identifiables vu que tout est centralisé. L'équipe en charge de la sécurité informatique obtient une visibilité unique sur chaque système et les failles de sécurité peuvent être plus rapidement diagnostiquées et corrigées.
La formation continue des professionnels au cœur du dispositif
En intégrant une infrastructure agile dotée d’une notion de sécurité adaptative, les établissements de santé pourront améliorer leur ligne de défense, tout en disposant d’une sécurité évolutive. Le contexte exige d’ailleurs définitivement une nouvelle approche de la cybersécurité : remplacer une sécurité statique et cloisonnée par une "sécurité vivante" intégrée, capable de s'adapter au paysage des menaces. Ce n'est qu'à cette condition que les établissements de santé pourront s'adapter aussi vite que les cybercriminels, en veillant à ce que la numérisation ne rende pas l'organisation vulnérable aux attaques.
Pour y contribuer, la formation continue des employés en charge de la cybersécurité reste évidemment essentielle. Il va sans dire qu’avec l’évolution constante des menaces et la pénurie de main-d’œuvre que connait le secteur, elle demeure un facteur de succès important et est souvent sous-évaluée par les entreprises. Fait intéressant, la moitié des répondants français (56%) interrogés dans le cadre d’une récente étude jugeaient les diplômes inutiles à la poursuite d’une brillante carrière dans la cybersécurité. Ils étaient toutefois 85% à considérer la formation professionnelle comme très ou extrêmement importante.
En outre, la multiplication des appareils et des connexions, ainsi que la dépendance à l’égard de la technologie impliquent une nouvelle approche en matière de cybersécurité dont toutes les parties prenantes doivent prendre conscience. Il ne va pas sans dire que le bilan des récentes attaques, toujours plus sophistiquées, doivent agir comme la sonnette d’alarme pour les établissements de santé et les inciter à réellement mettre en place les mesures nécessaires d’une défense optimale.