Les organismes de santé doivent être préparés aux risques liés à la sécurité des données et aux perturbations opérationnelles causées par les cyberattaques. La mise en œuvre des meilleures pratiques renforce la cyber-résilience, garantissant une réponse et une reprise efficaces lorsque ces incidents se produisent.
« La résilience dans le secteur de la santé est cruciale », déclare David Houlding, directeur de la stratégie mondiale en matière de sécurité et de conformité dans le secteur de la santé chez Microsoft. « Sans elle, l’accès rapide et fiable aux données est compromis, ce qui peut avoir de graves conséquences sur les soins prodigués aux patients. L’accès aux données sur le lieu de soins est essentiel, et toute perturbation peut entraver considérablement la prestation des soins, nuire à la qualité des soins prodigués aux patients ou, dans le pire des cas, mettre en danger leur sécurité. »
Pour renforcer leur résilience et maintenir un accès ininterrompu aux données critiques, les établissements de santé devraient mettre en œuvre les bonnes pratiques suivantes.
1) Réaliser une évaluation approfondie des risques
Une évaluation complète des risques aide les organismes de santé à identifier et à combler les failles de sécurité avant qu’elles ne puissent être exploitées par des cybermenaces.
La réglementation HIPAA impose aux entités concernées de réaliser une évaluation des risques et de mettre en œuvre des mesures appropriées pour traiter les domaines clés et protéger les informations de santé protégées sous forme électronique. Risk Analysis doit être un processus continu dans le cadre duquel les entités concernées et leurs partenaires commerciaux évaluent en permanence les risques et les mesures de sécurité. Des évaluations efficaces identifient et hiérarchisent les risques, et aident les organisations à concentrer leur temps et leurs ressources limitées sur les risques les plus prioritaires. Pour chaque risque identifié, elles peuvent ensuite identifier les vulnérabilités associées, notamment les réseaux non sécurisés, les systèmes non mis à jour et bien d’autres encore dans l’ensemble de l’environnement informatique.
« Il est essentiel de mesurer le niveau de sécurité à l’aide d’évaluations des risques afin d’identifier les lacunes et d’atténuer les risques », note M. Houlding. « Des cadres de conformité fiables permettent également d’affecter les ressources limitées là où elles peuvent le mieux améliorer la sécurité et réduire les risques. »
Au cours d’une évaluation des risques, les professionnels de la sécurité identifient les risques pesant sur la confidentialité, l’intégrité et la disponibilité des données de santé sensibles, puis hiérarchisent ces risques en fonction de leur impact et de leur probabilité de survenue. Si une évaluation des risques ne permet pas d’éliminer les cyberattaques, elle aide à orienter des ressources limitées vers les risques les plus prioritaires, là où elles peuvent être les plus efficaces pour améliorer le niveau de sécurité. Cela complique la tâche des acteurs malveillants et offre à l’équipe de sécurité une meilleure visibilité, ce qui améliore les efforts de surveillance, de détection, de réponse et de Recovery.
2) Mettre en œuvre des politiques et des procédures rigoureuses en matière de cybersécurité
Après avoir identifié les failles de sécurité grâce à une évaluation des risques, les établissements de santé doivent mettre en place des contrôles de cybersécurité rigoureux et renforcer leurs procédures afin de réduire la fréquence et l’impact des cyberattaques. Par exemple, la segmentation des systèmes critiques du réseau peut contribuer à empêcher les acteurs malveillants de se déplacer latéralement au sein de l’établissement de santé et d’accéder aux systèmes essentiels, minimisant ainsi le risque de perturbation des soins aux patients.
À titre préventif, les professionnels de la sécurité doivent corriger les vulnérabilités connues et sécuriser les dispositifs médicaux susceptibles d’être exploités. Parmi les vulnérabilités courantes et les configurations non sécurisées dans le secteur de la santé figurent les vulnérabilités des applications Web et les logiciels non pris en charge, comme le montrent les données de la Cybersecurity and Infrastructure Security Agency.
Veiller à ce que tous les systèmes soient protégés par une authentification multifactorielle (MFA) est un autre moyen de réduire la fréquence et l’impact des cyberattaques. Les données du programme HHS 405(d) ont montré que, bien que plus de 90 % des hôpitaux utilisent la MFA, son application inégale crée des failles. La mise en œuvre de la MFA sur tous les systèmes renforce la sécurité du réseau et complique la tâche des acteurs malveillants.
Les sauvegardes de données et un chiffrement puissant sont également essentiels pour gagner du temps et réduire les coûts en cas de violation. Les meilleures pratiques éprouvées, notamment la segmentation du réseau, l’authentification multifactorielle (MFA) et la gestion des vulnérabilités, peuvent aider les entreprises à atténuer les risques et à se préparer aux attaques.
3) Élaborer des plans d’intervention et de reprise
La première étape consiste à reconnaître qu’une cyberattaque ou une violation de données est probable. À partir de là, les experts en sécurité peuvent planifier les mesures d’intervention et de reprise en prévision d’un incident. La loi HIPAA exige que les entités concernées élaborent un plan d’intervention en cas d’incident, ainsi qu’un plan de sauvegarde des données, de reprise après une cyberattaque et de fonctionnement en mode d’urgence afin de maintenir la conformité.
Lorsqu’un incident cybernétique se produit, les établissements de santé doivent être prêts à collaborer avec les parties prenantes, les conseillers juridiques, les forces de l’ordre et les patients. La réalisation d’exercices de simulation avec les principales parties prenantes avant qu’un incident cybernétique ne se produise peut aider les établissements à réagir de manière plus efficace et efficiente en cas d’incident réel.
Les plans d’intervention en cas d’incident doivent inclure des stratégies de communication, des moyens alternatifs d’accéder aux dossiers des patients pendant les périodes d’indisponibilité du système de DSE, ainsi que des procédures visant à garantir la disponibilité des données de santé critiques. Une fois la menace maîtrisée, l’accent est mis sur la mise en œuvre d’un plan de reprise visant à restaurer les données et les systèmes aussi rapidement que possible.
« Le cloud offre une sécurité supérieure à celle des hôpitaux individuels, ce qui permet aux organismes de santé de mettre en œuvre des plans d’intervention et de reprise plus efficaces tout en transférant leur infrastructure en toute sécurité et en se concentrant sur l’innovation et l’efficacité », observe Jaimie Fox, stratège technologique senior chez Microsoft.
Si les cyberattaques sont inévitables, les organismes de santé peuvent toutefois contrôler certains aspects, tels que la réalisation d’évaluations des risques, la mise en œuvre des meilleures pratiques en matière de sécurité et la mise en place de procédures de réponse et de reprise après incident.
4) Établir un partenariat avec un partenaire stratégique en matière de technologie et de services
Le partenariat avec un prestataire de protection des données spécialisé dans la cyber-résilience et la Recovery dans le secteur de la santé offre plusieurs avantages essentiels. Les établissements de santé disposant d’une infrastructure mixte (sur site, hybride, cloud, multicloud) ont besoin d’un partenaire capable d’unifier la cyber-résilience et la protection des données dans tous les environnements, afin de garantir une sécurité et une disponibilité constantes. La consolidation des systèmes de sauvegarde au sein d’une solution unique réduit les coûts, élimine les infrastructures redondantes et minimise la dette technique, ce qui se traduit par un gain d’efficacité. Un partenaire spécialisé dans la restauration des données renforce également la cyber-résilience en garantissant une restauration dans des environnements sains, réduisant ainsi le risque de réinfection après une attaque.
Enfin, un fournisseur de services de protection des données et de gestion de l’information proposant des fonctionnalités avancées en matière de stockage, de portabilité et d’accessibilité des données peut permettre un transfert et une réutilisation transparents des données, faciliter la migration vers le cloud et améliorer la continuité des activités. L’automatisation basée sur l’IA simplifie encore davantage les processus de protection, de gouvernance et de récupération des données, réduisant ainsi la charge administrative des équipes informatiques et permettant une récupération plus rapide et plus sécurisée après une attaque par ransomware ou toute autre menace.
La solution « Cleanroom Recovery » de Commvault offre une solution révolutionnaire aux établissements de santé confrontés à des attaques par ransomware, en garantissant une restauration dans un environnement « propre » et en réduisant le risque de réinfection. Validée par l’Enterprise Strategy Group, elle s’appuie sur sa portabilité « any-to-any » unique pour assurer une restauration des données efficace et sécurisée. Cette fonctionnalité est essentielle pour renforcer la cyber-résilience et permettre aux établissements de santé de se remettre rapidement et en toute sécurité d’une attaque.
« Commvault est un partenaire clé pour les organismes de santé qui souhaitent migrer vers le cloud sur Azure », déclare Karen Cox, responsable mondiale de la stratégie de partenariat pour le secteur de la santé chez Microsoft. « Grâce à une intégration approfondie avec les solutions de sécurité Microsoft, les solutions avancées de Commvault protègent les données et les applications de santé dans les environnements cloud hybrides. »
