Les pressions en matière de cybersécurité augmentent pour les hôpitaux à mesure que les outils de santé numériques se multiplient

En matière de cybersécurité, les hôpitaux doivent accepter que les menaces ne sont plus seulement une éventualité. Les cyberattaques font désormais partie de la vie et les prestataires de soins de santé sont une cible prioritaire sur plusieurs fronts. Il ne s’agit plus de savoir si, mais quand ils frapperont. Même avant la pandémie, c’était la tendance dominante.

Des incidents comme l’attaque WannaCry de 2017 contre le NHS au Royaume-Uni ont fait la une des journaux. Mais ils n’étaient que la pointe de l’iceberg. L’enquête HIMSS Cybersecurity 2020 a révélé que 70% des hôpitaux interrogés avaient connu un incident de sécurité important au cours des 12 derniers mois.

Du phishing et des ransomwares aux violations de données, ils étaient déjà confrontés à une menace multiple : un fardeau accru de pertes financières, des atteintes à la réputation, des résultats cliniques compromis et de graves préoccupations concernant la vie privée des patients.

Une vague de technologie de santé numérique

Lorsque la pandémie a frappé, la vague de technologie de santé numérique et de connectivité qui a permis la poursuite des services a balayé tous les établissements de santé. Malgré tous ses avantages, elle s’est également accompagnée d’une augmentation de l’exposition des hôpitaux aux risques de cybersécurité et à la furtivité des mauvais acteurs. La présence de la technologie dans de nouveaux endroits, la mise en œuvre de nouveaux systèmes et la prolifération des dispositifs médicaux connectés ont créé de nouvelles opportunités pour que les menaces pénètrent même les pare-feu les plus robustes.

Alors que le COVID-19 mettait les établissements de santé sous une pression sans précédent, il en allait de même pour l’augmentation des cyberattaques. L’impact a été noté par l’Agence de l’Union européenne pour la cybersécurité (ENISA), qui a déclaré qu’il y avait eu une augmentation de 47 % des attaques contre les réseaux hospitaliers et de santé en 2020.

Souche de sécurité

Tout au long de la pandémie, les organisations de soins de santé se sont retrouvées sous une pression croissante, explique Engin Demirel, responsable des solutions client EMEA, Digital Health, Olympus Europe. Les technologies de santé numériques ont été utilisées efficacement dans de nombreux domaines pour surmonter les pénuries de personnel, les contraintes de temps et pour éviter le surpeuplement des salles, réduisant ainsi le risque d’infection. Cependant, l’adaptation et l’utilisation accrues des technologies de santé numériques dans le domaine de la santé ont entraîné une vulnérabilité accrue aux ransomwares et autres cyberattaques.

Les hôpitaux sont déjà bien conscients des mesures qu’ils doivent prendre pour atténuer et réduire le risque d’attaque. Certaines d’entre elles sont basées sur des politiques et axées sur la culture : campagnes régulières de sensibilisation et de prévention pour le personnel et établissement de solides plans de continuité des activités. D’autres concernent la sécurité et la gestion des systèmes et dispositifs informatiques.

« Des actions et mesures ponctuelles ne suffisent pas à instaurer la confiance des personnes concernées. Des actions et des améliorations constantes sont nécessaires. Le choix de fournisseurs et d’autres partenaires sans évaluer soigneusement les risques de sécurité des données et sans déterminer de manière approfondie les responsabilités augmente le risque de violation des droits des patients et données du personnel. »

Engin Demirel, responsable des solutions clients EMEA, Digital Health, Olympus Europe

De nombreuses applications administratives, cliniques et de soins de santé migrent vers des plateformes virtuelles et cloud. Et l’Internet des objets (IoT) se développe à un rythme soutenu, les appareils connectés collectant des données comme une évidence. C’est là qu’entre en jeu l’importance d’une relation solide et interactive avec les fournisseurs de technologies médicales d’un hôpital.

Multiplier et diversifier

Le secteur de la santé est transformé et parfois perturbé par le nombre croissant d’outils et d’appareils IoT, déclare Demirel. Ceux-ci traitent souvent des données sensibles et des patients, comme les informations personnellement identifiables (PII) et les informations de santé protégées (PHI). Ces données pourraient être utilisées à mauvais escient si elles tombent entre de mauvaises mains.

Il souligne une étude récente révélant que 53 % des appareils connectés médicaux et autres appareils IoT de soins de santé présentent au moins une vulnérabilité non résolue. Malgré les améliorations que ces appareils ont apportées aux soins des patients et aux établissements de santé, ces vulnérabilités se multiplieront s’ils n’incluent pas les mesures de contrôle de sécurité appropriées.

Ces mesures comprennent des flux de données cryptés, des outils d’authentification puissants et des mises à jour logicielles et de sécurité continues, qui peuvent tous souffrir d’une fourniture et d’une gestion fragmentées dans les infrastructures informatiques hospitalières complexes d’aujourd’hui. Des signes positifs indiquent que les leaders du numérique intensifient leurs efforts sur ce front.

Les hôpitaux se sont considérablement concentrés sur la sécurité ces dernières années, ce qui a entraîné à la fois une meilleure protection de leurs actifs critiques et des questions plus approfondies avec les fournisseurs de technologie, déclare Mike Ryan, responsable mondial de l’ingénierie numérique chez Olympus. J’encourage tous les acteurs de la santé à faire de la sécurité une priorité absolue pour leurs établissements et nous avons l’intention d’être un modèle pour la mise sur le marché de produits numériques hautement sécurisés qui répondent aux besoins cliniques réels.

Plus qu’une intégration

L’intégration améliorée des systèmes est un aspect clé de la cybersécurité pour atténuer l’impact d’une attaque. Les systèmes hospitaliers d’aujourd’hui bénéficient souvent de correctifs de sécurité automatisés, de mises à jour de virus et de logiciels malveillants, et disposent de capacités de rapport complètes afin que les équipes informatiques aient toujours une image complète de l’état de la sécurité. Mais ils doivent être compatibles à tous les niveaux.

« Nous comprenons que la sécurité est fondamentale pour un produit viable et nous prenons des mesures pour renforcer la sécurité du produit et des systèmes d’information associés. Nous travaillons activement sur une feuille de route de sécurité pour rester à jour et tirer parti de nos différents produits numériques. »

Mike Ryan, responsable mondial de l’ingénierie numérique chez Olympus

De plus, comme le souligne Engin Demirel, même avec les derniers outils et systèmes, l’intégration étroite de l’infrastructure informatique avec les systèmes de sécurité informatique n’est souvent pas suffisante pour empêcher une attaque. Une surveillance continue, associée à une approche multicouche de la sécurité, une combinaison de meilleures pratiques et de technologies basées sur des normes est essentielle. C’est l’approche prônée par Olympus et intégrée dans le développement de son système de gestion de contenu (VaultStream) et des appareils connectés.

Nous comprenons que la sécurité est à la base d’un produit viable et nous prenons des mesures pour assurer la sécurité à la fois du produit et des systèmes d’information associés, déclare Mike Ryan. Nous travaillons activement sur une feuille de route de sécurité pour rester à jour et tirer parti de nos différents produits numériques.

C’est le niveau d’intégration de la cybersécurité que les hôpitaux devraient désormais exiger de leurs fournisseurs de technologie. Pouvoir faire confiance à la sécurité des données de santé sensibles tout au long du continuum de soins est essentiel, et pas seulement pour s’assurer que les établissements de santé sont conformes aux réglementations sur la protection des données telles que le RGPD. Il est tout aussi important que les patients et les cliniciens puissent faire confiance aux hôpitaux pour gérer l’accès à leurs données.

Diligence raisonnable pour les données sensibles

Il est donc encore plus urgent que les prestataires de soins de santé travaillent avec chacun de leurs fournisseurs partenaires à travers le domaine numérique et fassent preuve de diligence raisonnable avant de s’engager dans une nouvelle relation. Avec l’implication de fournisseurs tiers si répandue dans le secteur de la santé, les responsables informatiques doivent avoir une compréhension claire des mesures de sécurité des données prises par chaque fournisseur et du fonctionnement de leur concept de sécurité.

Des actions et des mesures ponctuelles ne suffisent pas à renforcer la confiance des personnes concernées, déclare Demirel. Une action et des améliorations constantes sont nécessaires. Choisir des fournisseurs et d’autres partenaires sans évaluer soigneusement les risques de sécurité des données et sans déterminer de manière approfondie les responsabilités augmente le risque de violation des données des patients et du personnel.