Dans une tribune publiée le 15 juin 2017 sur le site spécialisé Enterpriseinnovation.net, Steve Wood, vice-président d’Aruba pour la région Asie-Pacifique, délivre six conseils pour aider les établissements de santé à mieux se protéger des cyberattaques, l’essentiel étant avant tout selon lui de bien former les professionnels de la santé aux règles de base de la cybersécurité.
La moitié des établissements de santé attaqués ont du mal à corriger la faille
Selon la nouvelle étude mondiale réalisée par la société informatique Aruba « The Internet of Things: Today and Tomorrow », 87 % des organisations de santé adopteront la technologie IoT d’ici 2019.
Bien que la transition vers un futur modèle de soins, qui englobe une approche axée sur la technologie pour mieux répondre aux exigences des diverses régions, soit une évolution positive, les experts s’inquiètent de la menace qu’elle représente du point de vue de la cybersécurité.
89 % des organisations de soins ont connu une violation de leur système de sécurité liée à l’utilisation de l’IoT et 49 % d’entre elles ont eu du mal à lutter contre les logiciels malveillants, indiquent les auteurs de l’étude.
Cyberattaque : les erreurs humaines sont courantes
L’enquête a également révélé que les erreurs humaines étaient préoccupantes, tout comme les DDoS, ces attaques réalisées à partir de plusieurs sources. Comme les pirates informatiques commencent à déployer des attaques ciblées stratégiquement planifiées, que ce soit en violant des systèmes confidentiels ou en attaquant des sites web, ceux-ci peuvent nuire au bon fonctionnement des établissements de santé et, dans le pire des cas, mettre en danger la santé des patients.
Une attaque mondiale d’établissements de santé
« Récemment, nous avons assisté à une attaque mondiale de ransomware [(rançongiciel), un logiciel malveillant qui prend en otage des données personnelles,] qui a empêché les [équipes] du Service national de santé britannique, ainsi que des hôpitaux en Chine, en Indonésie et au Japon, d’accéder aux dossiers des patients et qui a entraîné l’annulation de rendez-vous et même le retard d’opérations d’urgence », raconte Steve Wood (Aruba, Asie-Pacifique).
Les raisons de cette attaque peuvent être multiples :
- les appareils d’IRM et les scanners sont principalement conçus pour la collecte de données et non pour leur mise en sécurité ;
- les utilisateurs sont souvent trop négligents lorsqu’ils effectuent les protocoles de base de cybersécurité, en agissant par exemple sur des connexions wifi non cryptées.
Les conseils d’Aruba pour limiter le risque de cyberattaque
Comment assurer les leaders du secteur que leurs organismes de santé soient protégés des cybercriminels ? M. Wood présente six solutions de cybersécurité que les entreprises de santé devraient selon lui adopter pour mettre en place des pratiques plus sûres afin d’assurer la réalisation d’opérations optimales et ainsi rassurer les patients.
1. Savoir quels sont les périphériques fiables
« Dans un environnement où les patients utilisent des appareils mobiles et les professionnels de la santé suivent les processus médicaux, il est nécessaire d’employer des experts IT qui savent quels périphériques sont connectés au réseau et de quelles manières il est possible de trouver des échappatoires en cas de piratage. »
2. Proposer un accès wifi différent pour les patients et les familles
« Au fur et à mesure que le nombre de périphériques connectés à un réseau non sécurisé augmente, il est important de mettre en place une réglementation pour segmenter le trafic des invités du trafic hospitalier afin de s’assurer que les personnes concernées peuvent accéder à leurs données tout en étant protégées des menaces. »
3. Éduquer l’utilisateur aux bonnes pratiques à adopter sur le numérique
Les utilisateurs d’appareils numériques devenant de plus en plus dépendants, ils ont tendance à négliger les protocoles de cybersécurité pour économiser quelques secondes. La prévention est primordiale en la matière, insiste Steve Wood. « Il est nécessaire de s’assurer que les ordinateurs portables utilisés au sein de l’établissement de santé sont entièrement conformes aux exigences internes et de vérifier systématiquement que les derniers correctifs des logiciels et les mises à jour soient effectués avant une connexion. »
4. Établir une culture de la sécurité
« Pour la plupart des attaques, un seul utilisateur peut provoquer l’arrêt d’une entité entière en donnant accès aux pirates à la base de données. Il est important de s’assurer que les employés soient formés pour être capable de reconnaître les e-mails suspects, les fichiers corrompus, les sites web non sécurisés et d’autres signes potentiellement menaçants (…). »
5. Nouer des partenariats avec des experts
« Toute panne technique peut entraîner des conséquences fatales au sein d’un établissement de soins. Établir des partenariats avec les bonnes entreprises technologiques contribueront grandement à créer un écosystème sécurisé et complet d’appareils médicaux et d’applications médicales toujours prêts à répondre aux besoins des patients et du personnel. »
6. Adopter une approche globale de la cybersécurité
« L’accès aux informations sur les patients via des dispositifs personnels ou appartenant à l’hôpital devient courant afin d’assurer la configuration de ces appareils avec les autorisations appropriées. La mise en place de périmètres simples, qui précisent notamment le rôle de l’utilisateur, le nom des périphériques, le lieu et la date de la connexion et quelles applications sont utilisées, permettent de gérer ces connexions. »