En raison de la recrudescence des attaques par ransomware et d’autres menaces de cybersécurité, les organismes de santé doivent s’attacher à renforcer leurs défenses. Cela implique non seulement de déployer des solutions technologiques, mais aussi de changer la culture du lieu de travail.
C’est le point de vue de Ray Deiotte, Chief Data Officer de NetApp, qui estime que le secteur des soins de santé doit passer d’une posture de formation à une posture de gestion du changement organisationnel.
« Tant qu’il n’y a pas d’attaque et que le DSE ne tombe pas en panne ou que le système ERP ne tombe pas en panne, les cliniciens et les responsables des opérations commerciales n’y prêtent pas beaucoup d’attention, et c’est un vrai problème auquel nous sommes confrontés du point de vue de la sensibilisation », dit-il. C’est un véritable problème auquel nous sommes confrontés du point de vue de la sensibilisation », ajoute-t-il. « Pour les services informatiques, de conformité et juridiques, c’est une priorité, mais le reste de l’entreprise est blasé sur le sujet. »
Les pirates ont un accès plus facile aux outils d’attaque qui sèment le chaos
Comme le souligne M. Deiotte, les données relatives aux soins de santé font partie des données les plus précieuses que l’on puisse mettre en vente sur le dark web, et les organismes de santé sont généralement prompts à payer la rançon.
« Il est facile d’avoir un impact sur un organisme de santé lorsqu’il n’a pas accès au DSE », explique-t-il. « Certains de ces attaquants veulent simplement le chaos, la perte de contrôle ou même la perte de vie, et la disponibilité d’outils pour y parvenir rend la chose plus courante. »
Malgré le risque élevé que représentait le ransomware lorsque la pandémie s’est installée, M. Deiotte pense que les événements de l’année dernière ont en fait contribué à sensibiliser davantage à ce type de menace de cybersécurité.
« Cela a vraiment été un coup de pouce dans la bonne direction. Dans le cadre de nos webinaires et de nos discussions individuelles, la protection contre les ransomwares est toujours évoquée », explique-t-il. « Avant avril ou mai de l’année dernière, ces discussions avaient rarement lieu avec nos clients. »
Aujourd’hui, les organismes de soins de santé veulent avoir une meilleure visibilité et une autre couche de protection lorsqu’il s’agit de sécuriser leurs données, d’autant plus que les conditions de travail à domicile et à distance sont de plus en plus ancrées.
Certaines organisations sont plus exposées aux cyberattaques à « marée lente ».
Selon M. Deiotte, la menace que représentent les ransomwares est devenue plus sérieuse, non seulement en raison du nombre d’attaques, mais aussi de la disponibilité accrue des logiciels de type Ransomware as a Service et de la subtilité avec laquelle les attaques sont menées.
« Les pirates jouent le jeu à long terme, par exemple dans les cas où les informations d’identification de base sont volées et où le logiciel malveillant attend pendant des semaines ou des mois pour élever les privilèges et accéder à des éléments qui n’étaient pas attaqués auparavant, comme les sauvegardes ou les archives », explique M. Deiotte. « Cela met vraiment les clés du royaume entre les mains de l’attaquant ».
Comme les attaques mûrissent et deviennent de plus en plus sophistiquées, les organisations de soins de santé qui manquent de capacités de configuration holistique, du réseau de périphérie au stockage des données centrales, sont susceptibles d’être soumises aux types d’attaques qui se sont produites récemment.
Du point de vue technologique, M. Deiotte estime qu’il est essentiel de mettre en place une stratégie globale en matière de sécurité et de confidentialité. Cela va de l’authentification, du cryptage sur le fil et des pare-feu à l’immuabilité des instantanés et aux sauvegardes en air-gapping afin qu’elles soient hors ligne et ne puissent pas être infectées.
« La première étape consiste à s’engager dans toutes les lignes de défense disponibles, à bien comprendre quelles sont les données véritablement critiques et comment les différencier », explique-t-il. « Vous devez savoir quel est le risque potentiel des données, puis déployer les technologies pour protéger l’infrastructure informatique centrale contre les attaques extérieures ainsi que les accidents internes et les acteurs néfastes. »
La sécurité des soins de santé dépend de défenses holistiques et de changements de comportement
Selon M. Deiotte, l’amélioration des connaissances organisationnelles en matière de cybersécurité et l’incitation au changement de comportement nécessiteront un effort tout aussi concerté.
« Vous avez un certain nombre de personnes qui travaillent avec des données à haute vulnérabilité, et la surface de menace sur le dispositif de l’utilisateur final est beaucoup plus grande que dans l’activité principale », dit-il. « Lorsque ces personnes téléchargent des données sur des ordinateurs portables pour faire leur travail, elles doivent comprendre que lorsque vous faites cela, vous augmentez la surface de menace bien plus large que le fichier que vous avez fait descendre. »
La clé est de maintenir le contrôle sur les données tout en permettant aux gens de travailler – par exemple, en fournissant une plateforme centrale pour la consommation des données, à laquelle on ne peut accéder que par une infrastructure de bureau virtuel.
La surveillance des menaces est un autre outil indispensable, dit-il. Elle offre un niveau de sophistication qui va au-delà de l’alerte traditionnelle pour inclure des technologies d’apprentissage automatique intégrées qui peuvent identifier des modèles de comportement, comprendre les utilisateurs et les fichiers afin de refuser activement l’accès ou de stopper une attaque.
« Nous avons besoin d’un changement complet de méthodologie dans la façon dont les gens pensent aux données et à leur consommation, et ces changements contribueront à durcir l’espace de défense des soins de santé », déclare Deiotte. « Il doit y avoir une évolution dans la façon dont nous faisons la détection et la prévention face à une variété de menaces en constante évolution. Il faut tout savoir et être préparé à tout, ce qui est impossible. Il est préférable d’avoir une stratégie holistique qui soit flexible pour prévenir ou surmonter l’inconnu. »
