La cybersécurité, un enjeu de taille dans le monde de la santé

Actuellement, le monde de la santé est l’un des secteurs les plus menacés par les cyberattaques. C’est pour cette raison que la cybersécurité devient un enjeu pour les établissements de santé. En effet, ces établissements traitent dans leurs architectures SI médicales des informations sensibles et qui ont de la valeur. 

Le secteur détient des renseignements convoités et ultra lucratifs pour les hackers. D’ailleurs, le prix d’un dossier médical sur le marché noir numérique s’élève à 350 €, soit 2,5 fois supérieur aux autres types de documents. Ces données sont donc encore plus onéreuses que les renseignements bancaires.

En plus de la valeur des informations, les attaques réussissent à cause de la faiblesse généralisée des systèmes d’information étalés dans les établissements de santé. Ces structures n’ont pas été développées pour se prémunir contre de telles menaces. Elles n’ont le plus souvent ni les ressources budgétaires ni les ressources humaines pour assurer une protection convenable. D’autre part, les équipements médicaux sont des systèmes particuliers, si bien que les mises-à-jour peuvent être compliquées à faire et l’on se retrouve souvent avec des versions obsolètes et vulnérables.

Le phishing ou hameçonnage

C’est une attaque dont le principal objectif est d’accéder aux renseignements en utilisant le vol d’identité. Plus précisément, les organisations de cybercriminels prennent la place des célèbres entités comme les clients, la banque ou le fournisseur pour essayer d’avoir accès à des informations sensibles : les mots de passe, les identifiants et coordonnées bancaires.

Le spear phishing ou harponnage

Cette forme de cybermenace est une variante du phishing et touche souvent le secteur de la santé. Mais la seule différence, c’est qu’il contient une dimension d’ingénierie sociale. 

À l’inverse du phishing classique fondé sur la diffusion massive d’un message générique à plusieurs destinataires, le spear phishing se centralise plus sur des utilisateurs limités et ciblés. Les cybercriminels convoitent ainsi leurs victimes après à une étude sur des habitudes numériques. Pour un hôpital, il peut être un administrateur qui possède l’accès à tous les réseaux par exemple.

LE PHISHING OU HAMEÇONNAGE

La cyberattaque engendre de nombreuses conséquences au sein d’une structure de santé, réduisant ainsi de manière significative son activité :

• mettre hors services les appareils qui dépendent entièrement de la technologie : appareils d’anesthésie, IRM, etc.
• rendre impossible l’usage des ordinateurs pour voir les informations des patients ;
• perturber et interrompre les réseaux électriques et internet de l’établissement hospitalier.

En fait, ces impacts physiques provoquent aussi de grosses pertes financières :

• en cas de rétribution de la rançon ;
• coût de la gestion de crise ;
• frais de la réparation du système d’information.

Une formation continue des collaborateurs

Les attaques dans le domaine de la santé sont de plus en plus généralisées, ce qui invite chaque structure à davantage former les collaborateurs aux enjeux de la cybersécurité. Trop souvent, les cybercriminels profitent des failles humaines dans les normes de sécurité pour s’introduire dans les systèmes et les infecter. 

Néanmoins, des règles simples permettent de se prémunir de la plupart des attaques. Parmi ces règles, il y a le choix de mots de passe, qui doivent être robustes, et le fait de ne pas cliquer sur un lien ou de télécharger un pièce jointe venant d’un email externe.

Une telle hygiène numérique doit être propagée et consolidée auprès de tous les acteurs dans ce milieu. Par ailleurs, il est aussi conseillé de donner aux personnels informatiques des accès à des formations cyber de haut niveau.  

On distingue aussi d’autres moyens et mesures que vous pouvez déployer tous les jours pour se protéger des risques de piratage, à savoir :

• mettre en place un système de sécurité renforcé et recourir au service d’une entreprise de télésurveillance ;
• bien sécuriser les mots de passe ;
• sauvegarder régulièrement les données ;
• protéger l’accès Wi-Fi ;
• sécuriser l’accès aux postes de travail, et verrouiller sa session en cas d’absence ;
• choisir une messagerie sécurisée de santé ;
• sectionner les usages personnels et professionnels.

La condition législative et réglementaire en constante transformation s’ajoute à la charge mentale des équipes sous-dimensionnées et qui sont dans l’obligation de suivre les métiers relatifs au secteur, même s’ils ont chacun des besoins particuliers.

Dimitri Martinescu souligne aussi qu’il est primordial de bénéficier de la confiance de la Direction générale pour éviter d’être contraint financièrement et pour avoir la chance de mieux se préparer pour échapper au traumatisme éprouvé par le personnel soignant de Dax. Les personnels de la Fondation Bon Sauveur de Bégard prennent davantage conscience de l’enjeu d’un vol d’information dans un secteur sensible que la psychiatrie. C’est pour cette raison qu’ils restent attentifs et coopératifs en matière de cybersécurité dans le secteur de la santé.

Kevin Mitnick, un ancien pirate informatique très célèbre, a été actif entre les années 1980 à 1995, quand il avait été condamné pour ses crimes. Depuis, c’est devenu l’un des plus grands consultants en sécurité informatique. Son histoire de hacker est intéressante.  

Il est important de savoir que la technique de « l’ingénierie sociale » occupe une place importante pour son succès et reste l’une des stratégies principales des pirates en ce moment. Selon Mitnick, « l’ingénierie sociale fait usage de la supercherie, de l’influence ainsi que de la manipulation pour persuader une personne pouvant accéder à un système informatique de réaliser une action, à savoir cliquer sur pièce jointe dans un e-mail.

Il s’agit de la même approche que celle d’une stratégie fondamentale de piratage. Elle se révèle être très efficace étant donné l’usage constant des messages électroniques dans les institutions modernes.