Quel avenir pour la sécurisation de nos données santé ?

L’année dernière, le secteur santé était répertorié comme l’un des plus vulnérables aux cyberattaques. Mais entre évolution digitale et augmentation des cybermenaces, comment les établissements de santé peuvent-ils réellement faire face aux risques de cybersécurité ?

Les données santé, cibles préférées des hackers

La digitalisation des processus internes des organisations est maintenant une pratique courante mais elle est aussi source de vraies menaces pour le secteur de la santé, les données manipulées étant beaucoup plus sensibles. Une entreprise privée peut par exemple plus facilement résister à l’attaque d’un rançongiciel – ou ransomware, qu’un hôpital, car même si des données sensibles peuvent être compromises dans les deux cas, une seule situation peut s’avérer réellement dramatique.

C’est ce cas précis qui justifie leur grande valeur financière, et par conséquent l’intérêt qu’elles suscitent auprès des pirates informatiques. Mais d’autres facteurs peuvent motiver une cyberattaque visant des établissements de santé. Le pouvoir résultant de l’accès – et donc du contrôle, de données aussi importantes que les données santé est tel qu’il peut compromettre la vie même des patients ou la sécurité nationale, particulièrement lorsque l’attaque vise des opérateurs d’importance vitale.

Il suffit d’imaginer que ces données soient utilisées de façon malveillante ; les systèmes d’informations des secours et de santé peuvent être altérés ou même effacés, entraînant une corruption des données, et de surcroît une désorganisation pouvant s’étendre au niveau national.

L’ampleur de la menace

Le secteur de la santé regroupant des structures publiques et privées, la menace est décuplée. Les attaques peuvent survenir pour différents motifs ou par accident, et toucher les établissements à différents niveaux. En plus des risques sanitaires et de sécurité, elles peuvent atteindre les finances des organisations en ciblant directement leur département ou en ternissant leur réputation. Une attaque de ce type pourrait alors engendrer des conséquences budgétaires fortes qui impacteraient la capacité des établissements à renouveler leurs matériels de santé ou encore à maintenir une bonne discipline sanitaire.

Sans compter l’effet qu’une attaque réussie sur un établissement de santé aurait sur la population. Il est facile d’imaginer qu’un incident de ce type entraîne un manque de confiance notable des citoyens envers ce que l’on pourrait considérer comme un système de sécurité nationale à part entière.

Concrètement, à quels enjeux les établissements de santé sont-ils confrontés ?

Alors quels sont les enjeux pour le secteur de la santé ? Cédric Cartau, responsable de la sécurité des systèmes d’information au CHU de Nantes, distingue trois enjeux principaux pour les établissements de santé :

• Tout d’abord, la disponibilité des données, dont dépend la bonne prise en charge des patients. Les données santé représentant toutes les informations incombant aux patients, il est impossible pour les médecins de traiter correctement les individus s’ils n’ont pas accès à leur dossier. Le cas contraire pourrait s’avérer catastrophique. Des données santé indisponibles peuvent donc entraîner la fermeture d’un établissement et la réaffectation urgente de ses patients, une situation à laquelle le Hollywood Presbyterian Medical Center a été confronté lors d’une attaque ransomware en début d’année.

• L’intégrité des données est aussi un enjeu de taille pour le secteur. Une attaque de ce type peut facilement conduire les professionnels de santé à une erreur. La question de l’intégrité des données constitue d’ailleurs le plus grand enjeu de sécurité des établissements de santé selon Cédric Cartau, qui la place devant les risques de confidentialité pour cette même raison : « jusqu’à présent et à notre connaissance, la confidentialité n’a jamais mené à un décès ».

• En effet, l’enjeu de la confidentialité des données santé soulève une problématique plus opaque : d’un côté, les patients souhaitent que leurs données personnelles restent leur propriété et de l’autre, leur intérêt est de les divulguer pour être soigné. Et puisqu’il n’y a pas de véritable confidentialité dès lors que les données des patients sont dans le Big Data, l’enjeu est plutôt de les sécuriser au mieux afin qu’elles ne soient pas divulguées au plus grand nombre.

Ce dernier point est d’autant plus problématique que l’internet des objets (IoT) devient de plus en plus populaire et apporte de nouveaux cyber-risques. En plus de cela, les responsables informatiques des établissements de santé sont soumis à des contraintes budgétaires importantes alors qu’on attend d’eux qu’ils fournissent un service de protection des données de plus en plus performant. Toutes ces conditions contribuent à des menaces de cybersécurité élevées.

Les derniers chiffres présentés par l’ATLAS 2016 des SIH confirment ces enjeux:

Des solutions adaptées à des enjeux de cybersécurité grandissants

Le challenge des établissements de santé est donc de répondre à ces cyber-risques de manière rapide, ciblée et à moindre coût.

Pour cela, la sensibilisation des équipes aux enjeux de cybersécurité ainsi que l’application d’une politique de sécurité commune au sein des établissements de santé sont nécessaires pour assurer la bonne protection des données. Avec une solution certifiée et sans agent, WALLIX les aide à contrôler les différentes menaces qui planent sur leurs infrastructures.

A travers un déploiement simple, agile et efficace, WAB Suite trace en temps réel, enregistre et prévient les cybermenaces grâce à des fonctionnalités de session management et d’authentification hautement sécurisée via un coffre-fort à mots de passe. Ses fortes capacités d’audit permettent également la supervision, l’analyse et la compréhension des risques pesant sur les SI des établissements de santé, et participent à leur mise en conformité (HDS, CNIL, etc.).

Découvrez toutes les fonctionnalités de la WAB Suite en téléchargeant notre cas client !