Lors d’entretiens avec trois responsables de l’information médicale issus de différents systèmes de santé, chacun a été interrogé sur son incident de cybersécurité le plus récent. La réponse a été unanime et révélatrice : aucun d’entre eux n’avait subi d’attaque directe sur ses propres systèmes. Au contraire, tous trois étaient aux prises avec les conséquences de failles de sécurité chez des fournisseurs tiers, qui avaient eu des répercussions en cascade sur leurs activités. Ce n’est pas une coïncidence, c’est la nouvelle réalité de la cybersécurité dans le domaine des soins de santé.
Le problème du fournisseur du fournisseur
« Nous sommes suffisamment importants pour compter au sein de notre équipe ces experts qui sont là pour nous protéger », explique un CMIO. « J’ai parfois l’impression que cela peut nuire à notre agilité, car nous sommes très stricts et très rigoureux dans nos évaluations. Mais je pense que nous ne pouvons pas garantir que nos partenaires en fassent autant. »
Voici le défi : les établissements de santé sont devenus extrêmement pointus dans la sélection de leurs fournisseurs directs. Le processus de passation de marchés est rigoureux, les évaluations de sécurité sont approfondies et les exigences en matière de conformité ne sont pas négociables. Mais que se passe-t-il lorsque votre fournisseur conclut un accord avec un autre fournisseur ? Vous êtes soudainement exposé à des risques que vous n’avez jamais évalués, provenant d’entreprises dont vous n’avez jamais entendu parler, par le biais de relations que vous ne contrôlez pas.
Un responsable de la sécurité l’a parfaitement illustré : « Je vais conclure un accord pour faire appel au fournisseur X afin qu’il réalise une tâche pour moi. Mais le fournisseur X peut conclure un accord avec le fournisseur Y qui lui permet d’accomplir sa mission. Ainsi, s’il y a un problème avec le fournisseur Y, avec lequel je n’ai techniquement pas de contrat, mais dont mon fournisseur a besoin pour fonctionner, je ne peux pas contrôler cela. »
Quand l’écosystème défaillit
L’incident survenu chez Change Healthcare en est un exemple frappant. Lorsque ses systèmes ont été mis hors service à la suite d’une cyberattaque, ce n’est pas seulement Change Healthcare qui en a souffert, mais toutes les organisations de soins de santé qui dépendaient de ses services de traitement des ordonnances. Un CMIO a décrit l’impact : « Nous avons rencontré de nombreuses difficultés pour envoyer et recevoir les ordonnances, sans savoir clairement ce qui avait été traité, ce qui ne l’avait pas été et qui n’avait pas reçu ses médicaments. »
L’impact clinique en aval a été immédiat et grave. Les patients ne pouvaient pas obtenir leurs médicaments, les prestataires ne pouvaient pas vérifier l’état des ordonnances et les équipes de soins de santé se sont efforcées d’identifier les patients susceptibles d’être affectés. Il s’agissait d’un problème direct de sécurité des patients causé par un incident chez un fournisseur, totalement indépendant de la volonté des prestataires de soins de santé. Mais l’impact clinique n’était qu’un début. Les implications en matière de conformité étaient tout aussi graves, mettant en évidence un défi fondamental dans le paysage réglementaire des soins de santé.
Le piège de la conformité : quand les défaillances des fournisseurs deviennent votre problème réglementaire
Les organismes de santé sont confrontés à une réalité réglementaire sévère : les incidents impliquant des prestataires ne les dispensent pas de leurs obligations de conformité. En réalité, celles-ci les renforcent souvent. La loi HIPAA exige des entités concernées qu’elles concluent des accords de partenariat commercial (Business Associate Agreements) avec les prestataires traitant des informations de santé protégées. Si ces accords transfèrent théoriquement une partie de la responsabilité, la réalité pratique est tout autre. Lorsqu’un prestataire subit une violation de données, l’établissement de santé reste exposé à des sanctions potentielles, à un contrôle réglementaire et à des obligations de déclaration.
La charge administrative liée à la déclaration des incidents génère à elle seule une pression opérationnelle considérable. Les obligations de déclaration dans les 72 heures prévues par la loi HIPAA, similaires à des réglementations telles que la NIS2 et la DORA de l’UE pour les établissements transfrontaliers, exigent des prestataires de soins de santé qu’ils signalent rapidement les incidents, que la violation provienne de leurs propres systèmes ou de ceux d’un prestataire.
Comme l’a fait remarquer un directeur médical chargé de la conformité (CMIO) : « Nous devons en fait communiquer à l’État, aux Centres pour les services Medicaid et Medicare : “Voici ce qui se passe. Voici où nous en sommes dans notre rétablissement.” »
Cela signifie que lors d’un incident en cours, alors que les équipes cliniques s’efforcent d’assurer la continuité des soins aux patients et que les équipes informatiques coordonnent les efforts de rétablissement, les équipes chargées de la conformité doivent simultanément enquêter, documenter et signaler des incidents dont elles ne sont pas responsables et sur lesquels elles ne disposent parfois que d’une visibilité limitée. Le défi de la souveraineté des données ajoute à la complexité. Les prestataires qui stockent des données de santé en dehors des régions autorisées peuvent entraîner des violations de conformité dont les organisations peuvent ignorer l’existence jusqu’à ce qu’un incident les oblige à procéder à un audit complet de leur écosystème de prestataires.
« Nous exigeons des prestataires qu’ils nous fournissent tout ce que nous leur demandons afin que nous puissions l’examiner », explique un responsable de la sécurité qui a déjà été victime d’une attaque par ransomware lancée par un prestataire. « Il n’y avait donc aucune limite à ce que nous pouvions demander. » Mais ce niveau de surveillance n’est généralement possible qu’avec les plus grands fournisseurs, laissant de nombreux fournisseurs plus petits, mais néanmoins essentiels, dans une zone d’ombre en matière de conformité.
Le signal d’alarme de CrowdStrike
L’incident CrowdStrike a mis en évidence une autre réalité : lorsque les fournisseurs d’infrastructures critiques tombent en panne, c’est tout l’écosystème des soins de santé qui s’effondre simultanément.
« Nous avions mené [des exercices sur table] en partant du principe qu’il s’agirait d’une attaque par rançongiciel… un événement plutôt localisé », a déclaré un responsable. « Or, cela a affecté l’ensemble de l’écosystème. C’est là que nous avons [compris] que nous devions mettre en place davantage de mesures de résilience tenant compte des cas où l’écosystème lui-même serait largement touché. »
Le défi n’était pas seulement technique, il était également opérationnel et réglementaire. Lorsque tout le monde est hors service en même temps, les plans d’urgence habituels (comme appeler les fournisseurs pour obtenir de l’aide ou se tourner vers d’autres fournisseurs) ne fonctionnent tout simplement pas. Les établissements de santé ont dû faire face non seulement à une interruption des soins prodigués aux patients et à des coûts liés à des temps d’arrêt considérables, mais également à des exigences complexes en matière de rapports de conformité pour un incident qui échappait totalement à leur contrôle.
Au-delà de l’évaluation traditionnelle des risques
Les établissements de santé prennent conscience que leur approche traditionnelle de la gestion des risques liés aux prestataires n’est pas suffisante. Le processus standard (envoi de questionnaires, examen de la documentation, vérification des certifications de conformité) ne couvre que les relations directes.
Mais depuis cet incident, le discours a changé. Au lieu de se contenter de demander « Faites-vous ceci ? Faites-vous cela ? », les organisations exigent désormais de voir précisément comment les prestataires mettent en œuvre leurs plans de sécurité et de reprise d’activité. Elles demandent des preuves des tests effectués, exigent des droits contractuels leur permettant d’examiner les relations avec les sous-traitants et mettent en place des protections financières.
Le nouveau modèle de relation avec les fournisseurs
Les organismes de santé avant-gardistes prennent plusieurs mesures concrètes pour faire face aux risques liés à l’écosystème :
- Souveraineté
des données :
« Nous voulons commencer à nous approprier davantage les données… afin de disposer d’éléments nous permettant de nous reconstruire, voire de nous tourner vers un autre tiers si possible », a déclaré un dirigeant.
Plutôt que de laisser les fournisseurs détenir l’intégralité des données, les organisations exigent des exportations régulières de données et conservent leurs propres copies des informations critiques. Cette approche permet de répondre aux exigences en matière de résidence des données et assure la continuité de la conformité même en cas de défaillance des fournisseurs. - Amélioration des dispositions contractuelles : les négociations contractuelles post-incident abordent désormais explicitement les obligations de conformité. Les organisations exigent des délais de notification conformes aux exigences réglementaires, des garanties de rétablissement qui minimisent les coûts liés aux temps d’arrêt et une compensation financière pour les pertes directes et les pénalités de conformité résultant des pannes causées par les fournisseurs.
- Gestion des mises à jour tenant compte de la conformité : l’incident CrowdStrike a mis en évidence la manière dont les mises à jour des fournisseurs peuvent créer des risques opérationnels et de conformité. De nombreuses organisations ont mis en place des politiques de « deux versions de retard » pour les mises à jour de sécurité critiques, afin de trouver un équilibre entre le risque lié au retard des correctifs et le risque de non-conformité lié à des mises à jour non testées qui pourraient entraîner des pannes généralisées.
- Intégration des exigences réglementaires dans la gestion des fournisseurs : les organisations intègrent directement les considérations de conformité dans l’évaluation des fournisseurs et la surveillance continue. Cela implique notamment de s’assurer que les fournisseurs sont en mesure de respecter les mêmes exigences de déclaration dans les 72 heures, de maintenir une localisation appropriée des données et de fournir la documentation nécessaire aux déclarations réglementaires.
Le point de vue du secteur des assurances
Le point de vue du secteur des assurances sur ces risques est peut-être le plus révélateur. Comme l’a confié un responsable de la sécurité à propos d’une collègue spécialisée dans la modélisation des risques d’assurance : « Le risque numéro un auquel nous sommes confrontés est le type de panne comme celle de CrowdStrike, où nous sommes tellement dépendants de ces plateformes technologiques que, lorsque celles-ci sont hors service, cela entraîne des perturbations massives dans les services et les opérations. Elle affirme que c’est le risque numéro un dans notre modèle de risque. Ce ne sont pas les ransomwares. »
Cette évolution dans l’évaluation des risques reflète un changement fondamental. La cybersécurité traditionnelle visait principalement à empêcher les acteurs malveillants de s’introduire dans les systèmes. La cybersécurité moderne doit également tenir compte du fait que les fournisseurs critiques, même avec les meilleures intentions et des pratiques de sécurité rigoureuses, peuvent toujours mettre à mal des écosystèmes entiers en raison de défaillances opérationnelles.
Le défi de la viabilité minimale dans un monde écosystémique
La planification traditionnelle de la reprise après sinistre part souvent du principe que tout peut être restauré de manière systématique, mais lorsque des écosystèmes entiers tombent en panne simultanément, les organisations doivent se concentrer sur une reprise minimale viable (MVR).
Le concept de viabilité minimale devient essentiel lorsque vos fournisseurs, leurs sous-traitants et, éventuellement, vos fournisseurs de secours sont tous touchés. Comme nous l’avons vu dans notre analyse des cybermenaces dans le secteur de la santé et de la MVR, la question n’est pas seulement « Comment tout récupérer ? », mais « Quels sont les éléments indispensables pour maintenir la prise en charge des patients pendant que l’écosystème se reconstruit ? ».
Cette réalité de l’écosystème rend la préparation à la reprise des activités organisationnelles plus complexe que jamais. Lorsque vous ne pouvez pas compter sur vos fournisseurs habituels ou vos prestataires de secours, votre plan de reprise minimale viable doit tenir compte d’une véritable indépendance vis-à-vis de l’écosystème au sens large, du moins temporairement.
Aller de l’avant
Les organisations ne peuvent pas se contenter de sécuriser leur propre périmètre ; elles doivent comprendre et anticiper le réseau interconnecté de dépendances sur lequel repose le secteur de la santé moderne. Cela implique de repenser en profondeur la planification de la continuité des activités afin de tenir compte des défaillances simultanées de l’écosystème. Cela implique de préserver la souveraineté des données, même lorsque l’on fait appel à des fournisseurs SaaS. Et cela implique d’accepter que certains risques ne peuvent tout simplement pas être éliminés – mais seulement gérés et anticipés.
Les responsables du secteur de la santé avec lesquels nous nous sommes entretenus ne se sont pas montrés pessimistes face à ces défis ; ils ont fait preuve de pragmatisme. Ils comprennent que les avantages des systèmes de santé interconnectés et basés sur le cloud l’emportent largement sur les risques.
Testez la résilience de votre écosystème
Comprendre les risques n’est que la première étape. La suivante consiste à évaluer honnêtement si votre organisation est préparée à la nouvelle réalité des défaillances interconnectées. Dans quelle mesure êtes-vous sûr que votre plan MVR fonctionnerait si vos fournisseurs habituels et vos systèmes de secours étaient également compromis ? Les organismes de santé soucieux de la résilience de leur écosystème doivent évaluer leur Readiness dans trois domaines critiques : la hiérarchisation des priorités essentielles à l’activité, la réponse technique mesurable et la capacité de Recovery organisationnelle. L’évaluation « Minimum Viability Healthcare » de Commvault vous aide à évaluer vos capacités actuelles et vous propose des recommandations concrètes pour combler vos lacunes. N’attendez pas le prochain incident à l’échelle de l’écosystème pour découvrir si vos plans de reprise tiennent compte de la réalité des technologies de l’information interconnectées dans le domaine de la santé. Réalisez l’évaluation dès aujourd’hui et développez une véritable résilience pour relever les défis de demain.
