Santé : l’innovation en toute sécurité

Entre l’amélioration de la qualité et de l’égalité d’accès aux soins d’une part, et l’implication accrue des patients dans leur parcours thérapeutique de l’autre, les technologies numériques révolutionnent le monde de la santé. Les médecins et autres soignants ont ainsi pu gagner en productivité et en efficacité pour prendre leurs décisions sur la base de données précises et améliorer la coordination et la continuité des soins à travers les différents corps médicaux. L’analytique avancée et l’IA permettent par exemple d’obtenir des informations et éclairages précieux à partir de quantités massives de données de santé. Fiabilisation des décisions, personnalisation des plans de traitement, analyses prédictives pour la gestion des politiques de santé publique, innovations et progrès de la recherche médicale... les avantages sont innombrables.

Les DSI des acteurs de la santé ont aujourd’hui un rôle essentiel à jouer dans la concrétisation d’un modèle numérique de prestation de soins. Leur mission consiste à mettre en place les innovations et systèmes digitaux qui sous-tendent le parcours médical de A à Z, tout en veillant à la confidentialité et à la sécurité des dossiers médicaux et des données personnelles des patients.

À l’image de la transformation numérique qui bouleverse aujourd’hui tous les pans de la société, les lieux de soins sortent des hôpitaux et des cabinets pour se réinventer autour de nouvelles pratiques comme les unités de soins ambulatoires, la télémédecine ou encore les soins hospitaliers à domicile. Si ces nouveautés ont permis de recentrer les prestations médicales sur le patient et son bien-être, elles n’en provoquent pas moins une expansion considérable de la surface d’attaque que les DSI et les RSSI doivent protéger.

L’impact sécuritaire de l’innovation numérique dans le milieu médical

La transformation numérique du monde de la santé crée une multitude d’opportunités pour les patients et prestataires... mais aussi pour les cybercriminels. Dans ce domaine, les dirigeants doivent donc intégrer trois éléments à leur réflexion :

Menaces de cybersécurité continues

Les systèmes numériques des prestataires de santé traitent et stockent d’énormes volumes de données personnelles et médicales sensibles, qui constituent à bien des égards un véritable trésor pour les acteurs malveillants. Vol de données, perturbations de soins vitaux, paralysie des systèmes informatiques, tentatives d’extorsion sur les dirigeants des hôpitaux, voire parfois sur les patients eux-mêmes... tous les moyens sont bons pour s’en emparer. Parmi les modes opératoires privilégiés des cybercriminels, le ransomware et les attaques de la supply chain arrivent en tête. Dans un cas comme dans l’autre, le moindre service ou système vulnérable et exposé peut servir de porte d’entrée. Côté tactique, le phishing reste le vecteur d’attaque de prédilection, faisant de chaque collaborateur interne une menace en puissance, souvent accidentelle mais parfois volontaire.

Diversité des appareils et équipements connectés

Les prestataires de soins de santé sont à la tête d’un parc d’équipements connectés d’une extrême diversité, que l’on pourrait classer en trois catégories :

• Matériels gérés par la fonction IT (postes de travail, serveurs, ordinateurs portables, imprimantes, caméras, etc.)
• Équipements gérés par des prestataires externes (appareillages médicaux, systèmes de gestions des bâtiments hospitaliers, etc.)
• Appareils ingérables (équipements spécialisés statiques et impossibles à mettre à jour, appareils médicaux d’ancienne génération pour lesquels aucune solution de remplacement n’existe, etc.)

L’architecture distribuée des nouveaux environnements numériques représente un problème majeur en termes de visibilité sur les appareils connectés et leurs modes d’utilisation, ce qui rend difficile l’application de contrôles de sécurité préventifs visant à empêcher tout incident en amont. C’est ainsi qu’apparaissent des failles dans lesquelles les cybercriminels ne tardent pas à s’engouffrer pour causer des dommages souvent catastrophiques pour les acteurs de la santé.

Dispersion des applications et des collaborateurs

La décentralisation des soins marque une rupture très nette avec un modèle historiquement centralisé et plus facile à protéger. Pour compliquer un peu plus l’équation, le SaaS et les applications hébergées dans le cloud public sont en complet décalage avec un modèle de sécurité assuré depuis les data centers internes des établissements de santé. D’où l’importance d’une connectivité fiable et de l’application homogène de contrôles de sécurité distribués pour octroyer aux seules personnes autorisées un accès sécurisé aux services, applications et données des patients. Ce n’est qu’à cette condition que l’innovation digitale permettra de décentraliser les prestations de soins sans compromis sur la sécurité.

Les six terrains d’action stratégique d’une transformation numérique sécurisée

Pour s’imposer comme un levier plutôt qu’un frein à l’innovation numérique, la sécurité doit être transparente et incorporée tout au long du processus. Proactive, préventive et programmatique : tels sont les trois attributs d’une sécurité reposant sur une architecture flexible, elle-même garante du contrôle de tous les utilisateurs, appareils, applications et données, peu importe le lieu. Mieux, les équipes de sécurité pourront également identifier et prévenir les menaces connues et inconnues de façon automatisée, sur la base d’un contexte et de données précis. Pour placer leur transformation numérique sous le signe de la sécurité, les acteurs de la santé devront agir dans six grands domaines :

• Implémentation d’une stratégie Zero Trust. Le Zero Trust consiste à abandonner toute notion de confiance implicite au profit d’une validation continue des utilisateurs et appareils à chaque étape de leurs interactions digitales.
• Sécurisation de tous les appareils connectés. Chaque appareil ou équipement connecté doit d’abord être identifié automatiquement. Ensuite, il faut surveiller en permanence ses communications, ses configurations, son utilisation et les risques associés. Enfin, des politiques de sécurité préventives doivent assurer la protection et la disponibilité de tous les appareils connectés.
• Décentralisation de la prestation des soins. Offrez aux professionnels de santé la possibilité d’accéder en tous lieux à leurs applications et aux données des patients via un dispositif SASE. Ils profiteront ainsi d’une expérience transparente et sécurisée pour assurer des soins irréprochables à leurs patients.
• Protection de toutes les applications et données. Des politiques de sécurité centralisées assurent une visibilité et un contrôle homogènes sur les données et applications, indépendamment du lieu.
• Conformité réglementaire. L’automatisation de la sécurité permet d’adopter une approche proactive de validation continue de la posture de conformité.
• Intégration et automatisation maximales. Misez sur une plateforme de sécurité intégrée et automatisée pour réduire la prolifération des outils de sécurité, optimiser l’utilisation d’équipes en sous-effectifs et éviter le surmenage des analystes.

Soutien aux initiatives de transformation numérique, accélération et protection de l’innovation digitale, facilitation des prestations de soins et garantie d’une expérience de qualité pour les patients et les soignants : telles sont les caractéristiques d’une sécurité en phase avec les grands enjeux de la santé. Rendez-vous sur paloaltonetworks.com/healthcare pour en savoir plus.