PRÉSENTATION Défis et complexité de la cybersécurité dans les soins de santé en contexte de transformation Les quatre principaux enjeux de la cybersécurité dans le domaine de la santé. Résumé Depuis le début de la pandémie de COVID-19, les organismes de soins de santé ont fait évoluer et étendu leur empreinte technologique. Une réponse au développement rapide de la télémédecine, au déferlement de professionnels de santé à distance, au passage à une gestion des données et à une activité basée sur le cloud, ainsi qu’à la prolifération des dispositifs connectés de télésurveillance des patients. Cette évolution, si elle a permis aux professionnels de fournir de n’importe où des soins de qualité en personne, de manière virtuelle ou à domicile, a également créé – ou exacerbé – un certain nombre de défis en matière de cybersécurité. Cette présentation se penche sur les défis et la complexité de la cybersécurité propres au secteur de la santé dans son ensemble suite à ces transformations. Introduction Les enjeux sont élevés dans le domaine de la santé. Les nouvelles technologies et applications médicales influencent le bien-être et la sécurité des patients tout au long des soins. L’effet domino de cyberattaques abouties sur les infrastructures sanitaires vitales et sur les dossiers médicaux électroniques peut avoir de terribles répercussions sur les soins aux patients : PAYEURS Soins primaires Cliniciens et autres professionnels de santéInformations propriétaires et confidentielles. Tous droits réservés. Modèle Beveridge, modèle Bismarck, modèle national d’assurance santé ou modèle à la charge des patients Médicaments, matériel, IRM, équipements, etc. $$$ Patients Hôpitaux Domicile Centre de soins post-aigus (maisons de santé...) Autres structures (ambulatoires, centres de chirurgie) FOURNISSEURS FOURNISSENT
2|Défis et complexité de la cybersécurité dans les soins de santé en contexte de transformation •Des patients ne reçoivent pas les soins nécessaires parce que les prestataires sont déconnectés suite à une attaque de ransomware ou DDoS. •Des chirurgiens repoussent des opérations vitales parce que les informations nécessaires pour les effectuer deviennent inaccessibles. •Des défaillances dans les procédures de diagnostic et les tests de laboratoire retardent les traitements médicaux. •Une indisponibilité des urgences force les ambulances à dévier vers des établissements beaucoup plus éloignés, entraînant une aggravation de l’état de santé qui peut avoir une issue irréversible. Les PHI ont plus de valeur sur le Dark Web Les hôpitaux et autres établissements de santé sont parmi les cibles les plus recherchées de cyberattaques, qu’elles se produisent en interne ou de l’extérieur, car les informations de santé protégées (PHI) sont très demandées sur le Dark Web. Elles se vendent donc souvent plus cher que d’autres informations d’identification personnelle (PII). Les numéros de cartes de crédit, par exemple, sont désactivés et remplacés dès la détection de transactions douteuses, d’où une valeur moindre sur le marché. Les dossiers médicaux, en revanche, sont plus intéressants parce qu’immuables et difficiles à modifier ou à effacer. Les cybercriminels en retirent donc des bénéfices durables. Les patients, eux, souffrent financièrement et psychologiquement et il faut du temps pour réparer les dommages d’activités frauduleuses. Il peut s’agir de la prescription d’ordonnances, de l’obtention de traitements, du remboursement de faux frais médicaux, ou de l’obtention de prêts personnels ou de cartes de crédit avec des dossiers de santé volés. Les ransomwares sèment toujours le trouble Les agresseurs trouvent encore des moyens d’exploiter des faiblesses que les centres des opérations de sécurité (SOC) sanitaires n’ont pas traitées ou décelées (parce que les méthodes de piratage évoluées ont toujours une longueur d’avance sur les investissements dans le renforcement des contrôles de sécurité). Par exemple, les cybercriminels sont activement à l’affût des vulnérabilités sans correctif, comme Log4j, premier vecteur de lancement d’une attaque de ransomware. Aussi les ransomwares sont-ils considérés comme la plus grande menace dans le secteur de la santé. Cette tendance se poursuivra probablement en 2022, sachant que 42 %1des organismes de soins de santé ont subi des attaques de ransomwares au cours des deux dernières années. À cela s’ajoute qu’environ 36 %2de ces incidents se sont produits via des tiers, comme c’est le cas des attaques hautement médiatisées sur la chaîne logistique contre des logiciels de gestion d’infrastructure critique vulnérables.
4|Défis et complexité de la cybersécurité dans les soins de santé en contexte de transformation Les dix principales fuites de données de santé signalées en 2021 ont toutes été attribuées à un piratage abouti, la gravité étant mesurée par le nombre de sujets atteints. 90 % de ces fuites se sont produites sur les serveurs réseau des prestataires (Figure 4). Serveurs réseau et messages électroniques réunis totalisent 80 % des vecteurs d’attaque, impactant les traitements aigus, avec les graves conséquences que cela peut avoir. Office américain des droits civils du département des services sociaux et de santé, surface d’attaque en 2021 Top dix des fuites de données de santé signalées aux États-Unis en 2021 1 9 0 1 2 3 4 5 6 7 8 9 10 0 2 000 000 4 000 000 6 000 000 8 000 000 10 000 000 12 000 000 14 000 000 16 000 000 18 000 000 20 000 000 E-mailServeur réseau Vecteur de menace 2021 Top 10 Reported Healthcare Data Breaches in US Somme des sujets atteints Volume de la surface de menace Figure 4 Piratage/ incident IT 443, 75 % E-mail 168, 28 % Terminal 27, 5 % Serveur réseau 316, 54 % Other 14, 2% Paper/Films 30, 5% Dispositif électronique portatif 8, 1 % Papier/films 30, 5 % Autre 14, 2 % Dossiers médicaux électroniques 28, 5 % Élimination inappropriée 5, 1 % Élimination inappropriée 190540, 1 % Perte 9, 1 % 17, 3 % U.S. Department of Health and Human Services Office for Civil Rights, Attack Surface 202
This site uses cookies to ensure you get the best experience.By using this site you agree to our use of cookies for analytics, and for personalized content and ads.