Voir la traduction automatique
Ceci est une traduction automatique. Pour voir le texte original en anglais cliquez ici
#Actualités du secteur
{{{sourceTextContent.title}}}
La cybersécurité dans le secteur de la santé : Menaces et prévention
{{{sourceTextContent.subTitle}}}
Protéger les dossiers médicaux et les patients
{{{sourceTextContent.description}}}
Le secteur des soins de santé a énormément bénéficié de l'utilisation généralisée d'Internet et d'ordinateurs médicaux spécialisés. Les dossiers médicaux électroniques, la télémédecine et les dispositifs de l'internet des objets (IdO) ne sont que quelques-uns des avantages dont bénéficient les hôpitaux et les cabinets médicaux à l'ère du numérique.
Malheureusement, toutes ces données transmises dans les deux sens entre les dispositifs électroniques de santé constituent une cible de choix pour les cybercriminels. Au 22 septembre 2023, le Bureau des droits civils du Département américain de la santé et des services sociaux avait enquêté sur 907 violations de données au cours des seuls 24 mois précédents. Chaque violation concernait au moins 500 personnes, la plus importante touchant plus de 11 millions de personnes. La cybersécurité dans le secteur de la santé n'est pas seulement l'affaire des équipes informatiques ; c'est une préoccupation essentielle pour tous les employés, à tous les niveaux du secteur.
Sensibilité des données dans le secteur de la santé
Les données relatives aux soins de santé sont un type d'information très sensible et privé. Elles englobent un large éventail d'informations critiques, telles que les dossiers médicaux des patients, les données personnelles, les informations relatives aux assurances et d'autres données sensibles.
Les données de santé sont particulièrement sensibles en raison de la nature des informations qu'elles contiennent, qui peuvent avoir un impact significatif sur la santé et le bien-être d'une personne. La protection de ces données est essentielle pour garantir le respect de la vie privée des patients et la sécurité et la confidentialité de leurs informations sensibles.
Informations de santé personnelles (PHI) : les PHI comprennent des informations sur les antécédents médicaux, les diagnostics, les traitements et les prescriptions d'une personne. L'accès non autorisé à ces données peut conduire à une usurpation d'identité, à une fraude à l'assurance, voire mettre en danger la vie du patient si les dossiers médicaux sont modifiés ou utilisés à mauvais escient.
Informations financières : Les dossiers médicaux contiennent souvent des informations relatives à la facturation et à l'assurance, ce qui les rend attrayants pour les cybercriminels qui cherchent à en tirer un profit financier.
Une violation de données dans le secteur de la santé peut entraîner une perte de confiance entre les patients et les prestataires de soins. Les patients s'attendent à ce que leurs informations sensibles soient protégées, et les violations peuvent éroder la confiance dans les établissements de santé.
Principaux acteurs de la cybersécurité dans le secteur de la santé
Plusieurs acteurs majeurs sont responsables de la cybersécurité dans le secteur de la santé. Les patients, les cadres dirigeants, les membres du personnel et les fournisseurs d'équipements sont tous responsables de l'adoption ou du respect des meilleures pratiques en matière de cybersécurité.
Les patients doivent savoir comment communiquer en toute sécurité avec leurs prestataires de soins. Ils doivent également comprendre les politiques de confidentialité et de sécurité et savoir comment protéger leurs informations personnelles. Cela est particulièrement important s'ils interagissent virtuellement avec leur prestataire, par exemple par l'intermédiaire de plateformes de télésanté.
Les cadres supérieurs définissent les politiques qui déterminent l'approche d'un organisme de santé en matière de cybersécurité. De nombreuses entreprises emploient désormais un responsable de la sécurité de l'information (CISO), au même titre qu'un directeur financier ou qu'un responsable du marketing. La responsabilité du RSSI est de se concentrer sur la stratégie globale de cybersécurité de l'entreprise, tandis que ses subordonnés l'exécutent.
Les employés des établissements de santé sont tenus de comprendre les politiques de confidentialité et de sécurité de leur organisation. Ils doivent également se former régulièrement aux meilleures pratiques en matière de cybersécurité, être en mesure d'expliquer ces politiques aux patients et savoir ce qu'il faut faire en cas d'urgence liée à la cybersécurité.
Les vendeurs et les fournisseurs du marché doivent proposer des produits dotés d'options rigoureuses de cybersécurité et de protection de la vie privée. Étant donné que les vendeurs disposent souvent d'informations d'identification ou de privilèges élevés dans plusieurs établissements de santé, ils doivent veiller tout particulièrement à ne pas subir de violation de données, de peur que ces informations d'identification compromises ne soient utilisées à l'encontre de leurs clients.
Menaces de cybersécurité courantes dans le secteur de la santé
Les pirates informatiques disposent d'un large éventail de méthodes et d'outils pour s'introduire dans les réseaux de soins de santé et voler des données. Les réseaux des organismes de santé peuvent être ciblés de différentes manières par les cybercriminels.
Hameçonnage
L'hameçonnage consiste en des tentatives frauduleuses visant à tromper des personnes et à leur faire révéler des informations sensibles, telles que des identifiants de connexion ou des données personnelles, en se faisant passer pour des entités dignes de confiance que le destinataire connaît bien. Les cybercriminels utilisent souvent de faux courriels ou messages texte pour demander à la cible d'ouvrir un lien ou de télécharger un programme qui nécessite l'utilisation de ses identifiants de connexion ou d'autres informations personnelles qui seront ensuite utilisées à mauvais escient
Par exemple, un employé peut recevoir un courriel apparemment légitime lui demandant de mettre à jour ses identifiants de connexion et donner ainsi accès aux cybercriminels sans le savoir.
Le phishing est l'un des types de cybercriminalité les plus courants, car il ne demande qu'un minimum d'effort de la part du criminel et cible l'un des points faibles de tout système de sécurité : les personnes qui le gèrent. Il peut conduire à un accès non autorisé aux dossiers des patients, à une fraude financière ou à l'introduction de logiciels malveillants dans les systèmes de santé.
Les rançongiciels
Un ransomware est un logiciel malveillant qui crypte les données d'une organisation, les rendant inaccessibles jusqu'à ce qu'une rançon soit versée à l'attaquant. Les établissements de santé sont des cibles privilégiées en raison de la nature critique des données des patients.
Si la victime ne paie pas la rançon, les pirates téléchargent souvent les données volées sur Internet ou désactivent définitivement l'appareil dont ils ont pris le contrôle. Les attaques par ransomware compromettent la vie privée et la sécurité des patients et peuvent paralyser le système de l'établissement.
Rien qu'en 2022, le secteur de la santé a été la cible de 210 attaques de ransomware. L'une des plus importantes, qui visait CommonSpirit Health, a touché plus de 620 000 patients.
Attaques de l'homme du milieu (MITM)
Dans une attaque MITM, les cybercriminels interceptent les données transmises par un réseau. Ils peuvent le faire en installant des points d'accès Wi-Fi dans des lieux publics, comme les hôpitaux, qui semblent légitimes mais qui sont gérés par des acteurs malveillants. Les criminels peuvent également utiliser des techniques avancées, telles que l'imitation d'adresses IP, pour rediriger les internautes vers de faux sites web au lieu de la destination prévue.
Une fois que les attaquants ont accès aux messages transmis, ils peuvent tenter de les décrypter et d'y accéder. Cela met en danger les informations sensibles des utilisateurs, car les attaquants peuvent les utiliser pour voler l'identité, perturber les opérations commerciales, et plus encore, en fonction du contenu des messages interceptés.
Sécurité physique
Les pirates peuvent accéder à un réseau de différentes manières, mais l'une des méthodes les plus simples consiste à voler un appareil utilisé dans ce réseau. En accédant à un appareil enregistré, ils peuvent infiltrer le réseau et accéder à des informations sensibles, telles que les dossiers des patients et les données relatives à l'assurance. Cela peut être catastrophique pour les organismes de santé, car les actions du pirate passeront inaperçues jusqu'à ce qu'il soit trop tard pour empêcher la violation. Pour prévenir de telles menaces, les organismes de santé doivent se doter de dispositifs de sécurité robustes tels que le SSO (Single Sign-On) et le RFID (Radio Frequency Identification), permettant uniquement au personnel autorisé d'utiliser leurs appareils. Ces mesures de sécurité peuvent contribuer à garantir la sécurité des informations sensibles.
Attaques par déni de service distribué (DDoS)
Une attaque DDoS consiste en un déluge de fausses demandes de connexion ciblant le même serveur. Le serveur ralentit ou tombe en panne parce qu'il s'efforce de répondre à un trop grand nombre de demandes.
Dans le secteur des soins de santé, cela peut rendre les ressources du réseau inutilisables et empêcher les prestataires de soins d'accéder aux dossiers médicaux des patients ou d'utiliser leur équipement.
Les attaques DDoS sont souvent utilisées en conjonction avec d'autres types de cybercriminalité. Par exemple, un appareil déjà compromis par un logiciel malveillant peut être utilisé dans le cadre d'une attaque DDoS sans que son propriétaire s'en rende compte.
Conséquences des atteintes à la sécurité des données dans le secteur de la santé
Les prestataires de soins de santé qui subissent une violation de données peuvent être confrontés à diverses conséquences douloureuses par la suite, allant de la perte financière aux répercussions réglementaires.
Inquiétude pour la vie privée des patients
La quantité d'informations privées qu'elles contiennent fait des données de santé une cible si tentante pour les criminels. Par exemple, les conditions médicales, les traitements et les détails d'identification personnelle, comme les coordonnées, le numéro de sécurité sociale et les informations financières, sont des données potentielles qui peuvent être compromises lors d'une violation.
Lorsque ces dossiers tombent entre de mauvaises mains à la suite d'une violation, il peut en résulter de graves problèmes de protection de la vie privée :
Le vol d'identité : Les cybercriminels peuvent utiliser les données volées d'un patient pour commettre une usurpation d'identité, ouvrir des lignes de crédit, obtenir des services médicaux ou se livrer à des activités frauduleuses sous le nom de la victime.
Stigmatisation : Les patients peuvent être victimes de stigmatisation sociale ou de discrimination si leurs antécédents médicaux, tels que les diagnostics de santé mentale ou les traitements de toxicomanie, sont rendus publics.
Détresse émotionnelle : Le fait de savoir que leurs informations de santé privées ont été compromises peut provoquer une détresse émotionnelle importante chez les patients et éroder leur confiance dans les prestataires de soins et les institutions.
Impact sur les soins aux patients
Une violation de données peut entraîner la perte d'accès à un réseau, voire l'arrêt complet d'un appareil. Il peut en résulter des scénarios frustrants, comme l'impossibilité d'accéder aux dossiers médicaux électroniques d'un patient, ou des situations dangereuses, comme l'arrêt sans préavis d'un équipement de maintien en vie.
Temps d'arrêt : Les attaques telles que les ransomwares peuvent entraîner des temps d'arrêt du système, empêchant les professionnels de santé d'accéder aux dossiers des patients et retardant les procédures médicales critiques.
Intégrité des données : Les violations peuvent compromettre l'intégrité des dossiers des patients, entraînant des décisions de traitement erronées et des conséquences potentiellement néfastes pour les patients.
Perte de confiance : Les patients peuvent perdre confiance dans les prestataires de soins de santé et les institutions, ce qui les rend réticents à partager des informations sensibles ou à se faire soigner.
Détournement des ressources : La réponse aux incidents de cybersécurité détourne les ressources des soins aux patients, ce qui a un impact sur les opérations de soins de santé et la productivité du personnel.
Pertes financières
Les coûts de récupération des données, les frais juridiques et les atteintes à la réputation portent le coût moyen d'une violation de données dans le secteur de la santé à environ 11 millions de dollars en 2023. C'est presque deux fois plus que le deuxième secteur le plus coûteux, le secteur financier, avec 5,9 millions de dollars par violation de données. Ce coût est dû à l'interruption de services vitaux que les hôpitaux ne peuvent pas se permettre de laisser s'arrêter, et à la prévalence des attaques de ransomware contre les prestataires de soins de santé.
Malheureusement, le nombre de violations de données et leurs coûts augmentent chaque année, car de plus en plus de cybercriminels reconnaissent que le secteur de la santé est une cible tentante.
Conséquences juridiques et réglementaires
Même après que la violation de données a été identifiée et scellée, les malheurs d'un prestataire de soins de santé ne font que commencer. Les données relatives à la santé des patients sont fortement réglementées, et si une entreprise ou un prestataire se révèle négligent dans la manière dont il stocke ou protège ces données, il peut être confronté à de lourdes répercussions juridiques. Les infractions à la loi HIPAA, par exemple, peuvent coûter entre 100 et 50 000 dollars par infraction. Les infractions particulièrement négligentes peuvent même entraîner des peines d'emprisonnement.
Les recours collectifs intentés par des particuliers constituent un autre problème. Par exemple, le Johns Hopkins Health System a récemment été poursuivi en justice après avoir été victime d'une violation de données. La plainte accuse Johns Hopkins d'avoir été au courant de l'existence d'une sécurité informatique "inférieure aux normes", mais de ne pas avoir agi et de ne pas avoir notifié rapidement les personnes touchées par la violation.
Bonnes pratiques en matière de cybersécurité dans le secteur de la santé
Les organismes de santé doivent appliquer les meilleures pratiques en matière de cybersécurité pour se protéger des menaces. Les entités du secteur de la santé peuvent mieux s'équiper pour faire face aux menaces de cybersécurité en suivant les conseils et les solutions proposés.
Contrôle d'accès et authentification
Les ordinateurs médicaux mettent souvent en œuvre des méthodes de contrôle d'accès telles que des lecteurs RFID ou des cartes à puce pour garantir la sécurité physique. Les personnes qui tentent d'utiliser l'ordinateur sans l'identification appropriée sont bloquées. Même quelque chose d'aussi simple qu'un écran de confidentialité peut empêcher les regards indiscrets d'espionner un prestataire de soins de santé pendant qu'il entre son mot de passe.
Formation et sensibilisation des employés
Le type de cyberattaque le plus courant, l'hameçonnage, repose sur l'inconscience et la confiance excessive de la cible. Apprendre aux employés à reconnaître et à signaler les tactiques d'hameçonnage, ainsi qu'à utiliser correctement les filtres anti-spam, permet d'éviter les failles.
Une formation similaire pour une réaction rapide à une notification de violation, l'utilisation de l'authentification multifactorielle et d'autres principes de base de la cybersécurité peuvent contribuer grandement à la protection des organismes de soins de santé.
Chiffrement et protection des données
La mise en œuvre du cryptage des données sensibles est une couche cruciale de la cybersécurité. Il garantit que même si des acteurs malveillants accèdent à vos données, ils ne peuvent rien en faire s'ils ne possèdent pas les clés de décryptage. Il est donc conseillé de n'utiliser que des tablettes et des ordinateurs médicaux équipés par défaut d'un logiciel de cryptage tel qu'Imprivata.
En outre, il est essentiel de sauvegarder régulièrement les données et les systèmes de santé critiques pour garantir la récupération des données en cas d'incident.
L'internet des objets
Les hôpitaux modernes s'appuient de plus en plus sur des réseaux d'appareils sans fil qui interagissent entre eux dans le cadre d'un "Internet des objets" Par exemple, le moniteur de fréquence cardiaque d'un patient peut transmettre des informations sans fil à l'ordinateur d'un prestataire de soins pour une surveillance à distance.
Cependant, le problème de ces dispositifs est qu'ils manquent souvent d'une cybersécurité solide. C'est particulièrement vrai pour les anciens systèmes sur lesquels de nombreux hôpitaux s'appuient encore. En connectant ces anciens appareils à un ordinateur médical plus moderne, un hôpital peut continuer à les utiliser tout en mettant en œuvre des mesures de cybersécurité plus modernes.
Réponse aux incidents et récupération
Si le pire se produit et que votre établissement de santé est victime d'une violation de données, il est essentiel de savoir comment réagir. Vous devez considérer la réponse à un incident de la même manière qu'un plan d'évacuation en cas d'incendie, c'est-à-dire comme une chose préparée, mise à jour et à laquelle on s'entraîne. Plus vite votre organisation sécurisera ses systèmes et corrigera les vulnérabilités, moins vous subirez de dommages.
Élaborez un plan complet de réponse aux incidents qui décrit les mesures à prendre en cas d'atteinte à la cybersécurité.
Testez et mettez à jour régulièrement le plan de réponse aux incidents pour vous assurer qu'il reste efficace.
Établir des protocoles de communication clairs pour informer les parties prenantes, y compris les patients et les autorités réglementaires, en cas de violation de données.
Prévenir les cyberattaques avec les bons ordinateurs médicaux
Le nombre de cyberattaques contre les organismes de santé et leur coût n'ont cessé d'augmenter, et cette tendance ne semble pas près de s'arrêter. Avec des conséquences aussi lourdes, les organismes de santé ne peuvent pas se permettre d'ignorer la cybersécurité dans leurs priorités.
Si votre organisation souhaite améliorer sa cybersécurité, pensez à la gamme d'ordinateurs médicaux spécialisés de Cybernet Manufacturing. En plus d'être conçus spécifiquement pour les environnements médicaux, nos ordinateurs intègrent de nombreuses fonctionnalités pour mieux se protéger contre les menaces de la cybercriminalité, comme le cryptage Imprivata et les scanners RFID pour verrouiller les accès non autorisés. Contactez nos experts dès aujourd'hui ; nous pouvons vous aider à choisir l'ordinateur médical adapté aux besoins de votre organisation. La cybersécurité dans le secteur de la santé : Menaces et prévention
Le secteur des soins de santé a énormément bénéficié de l'utilisation généralisée d'Internet et d'ordinateurs médicaux spécialisés. Les dossiers médicaux électroniques, la télémédecine et les dispositifs de l'Internet des objets (IoT) ne sont que quelques-uns des avantages dont bénéficient les hôpitaux et les cabinets médicaux à l'ère du numérique.
Malheureusement, toutes ces données transmises dans les deux sens entre les dispositifs électroniques de santé constituent une cible de choix pour les cybercriminels. Au 22 septembre 2023, le Bureau des droits civils du Département américain de la santé et des services sociaux avait enquêté sur 907 violations de données au cours des seuls 24 mois précédents. Chaque violation concernait au moins 500 personnes, la plus importante touchant plus de 11 millions de personnes. La cybersécurité dans le secteur de la santé n'est pas seulement l'affaire des équipes informatiques ; c'est une préoccupation essentielle pour tous les employés, à tous les niveaux du secteur.
Sensibilité des données dans le secteur de la santé
Les données relatives aux soins de santé comptent parmi les informations les plus sensibles et les plus privées. Elles comprennent non seulement les dossiers médicaux des patients, mais aussi leurs données personnelles, leurs informations d'assurance, etc.
Voici pourquoi les données relatives aux soins de santé sont particulièrement sensibles :
Informations de santé personnelles (PHI) : les PHI comprennent des informations sur les antécédents médicaux, les diagnostics, les traitements et les prescriptions d'une personne. L'accès non autorisé à ces données peut conduire à une usurpation d'identité, à une fraude à l'assurance, voire mettre en danger la vie du patient si les dossiers médicaux sont modifiés ou utilisés à mauvais escient.
Informations financières : Les dossiers médicaux contiennent souvent des informations relatives à la facturation et à l'assurance, ce qui les rend attrayants pour les cybercriminels qui cherchent à en tirer un profit financier.
Une violation de données dans le secteur de la santé peut entraîner une perte de confiance entre les patients et les prestataires de soins. Les patients s'attendent à ce que leurs informations sensibles soient protégées, et les violations peuvent éroder la confiance dans les établissements de santé.
Principaux acteurs de la cybersécurité dans le secteur de la santé
Plusieurs acteurs majeurs sont responsables de la cybersécurité dans le secteur de la santé. Les patients, les cadres dirigeants, les membres du personnel et les fournisseurs d'équipements sont tous responsables de l'adoption ou du respect des meilleures pratiques en matière de cybersécurité.
Les patients doivent savoir comment communiquer en toute sécurité avec leurs prestataires de soins. Ils doivent également comprendre les politiques de confidentialité et de sécurité et savoir comment protéger leurs informations personnelles. Cela est particulièrement important s'ils interagissent virtuellement avec leur prestataire, par exemple par l'intermédiaire de plateformes de télésanté.
Les cadres supérieurs définissent les politiques qui déterminent l'approche d'un organisme de santé en matière de cybersécurité. De nombreuses entreprises emploient désormais un responsable de la sécurité de l'information (CISO), au même titre qu'un directeur financier ou qu'un directeur du marketing. La responsabilité du RSSI est de se concentrer sur la stratégie globale de cybersécurité de l'entreprise, tandis que ses subordonnés l'exécutent.
Les employés des établissements de santé doivent comprendre les politiques de confidentialité et de sécurité de leur organisation. Ils doivent également se former régulièrement aux meilleures pratiques en matière de cybersécurité, être en mesure d'expliquer ces politiques aux patients et savoir ce qu'il faut faire en cas d'urgence liée à la cybersécurité.
Les vendeurs et les fournisseurs du marché doivent proposer des produits dotés d'options rigoureuses de cybersécurité et de protection de la vie privée. Étant donné que les fournisseurs disposent souvent d'informations d'identification ou de privilèges élevés dans plusieurs établissements de santé, ils doivent veiller tout particulièrement à ne pas être victimes d'une violation de données, de peur que ces informations d'identification compromises ne soient utilisées à l'encontre de leurs clients.
Menaces de cybersécurité courantes dans le secteur de la santé
Les cybercriminels disposent d'un arsenal de tactiques et d'outils pour s'introduire dans un réseau de santé et voler des données. Voici quelques moyens par lesquels un pirate peut cibler le réseau d'un organisme de santé.
Hameçonnage
L'hameçonnage consiste en des tentatives frauduleuses visant à tromper des personnes pour qu'elles révèlent des informations sensibles, telles que des identifiants de connexion ou des données personnelles, en se faisant passer pour des entités dignes de confiance que le destinataire connaît bien. Les cybercriminels utilisent souvent de faux courriels ou messages texte pour demander à la cible d'ouvrir un lien ou de télécharger un programme qui nécessite l'utilisation de ses identifiants de connexion ou d'autres informations personnelles qui seront ensuite utilisées à mauvais escient
Par exemple, un employé peut recevoir un courriel apparemment légitime lui demandant de mettre à jour ses identifiants de connexion et donner ainsi accès aux cybercriminels sans le savoir.
Le phishing est l'un des types de cybercriminalité les plus courants, car il ne demande qu'un minimum d'effort de la part du criminel et cible l'un des points faibles de tout système de sécurité : les personnes qui le gèrent. Il peut conduire à un accès non autorisé aux dossiers des patients, à une fraude financière ou à l'introduction de logiciels malveillants dans les systèmes de santé.
Les rançongiciels
Un ransomware est un logiciel malveillant qui crypte les données d'une organisation, les rendant inaccessibles jusqu'à ce qu'une rançon soit versée à l'attaquant. Les établissements de santé sont des cibles privilégiées en raison de la nature critique des données des patients.
Si la victime ne paie pas la rançon, les pirates téléchargent souvent les données volées sur Internet ou désactivent définitivement l'appareil dont ils ont pris le contrôle. Les attaques par ransomware compromettent la vie privée et la sécurité des patients et peuvent paralyser le système de l'établissement.
Rien qu'en 2022, le secteur de la santé a été la cible de 210 attaques de ransomware. L'une
l'une des plus importantes, qui visait CommonSpirit Health, a touché plus de 620 000 patients.
Attaques de l'homme du milieu (MITM)
Dans une attaque MITM, les cybercriminels interceptent les données transmises lorsqu'elles transitent par un réseau.
L'une des méthodes les plus simples consiste à ouvrir des points d'accès Wi-Fi dans un lieu public, tel qu'un hôpital. Ces points d'accès portent souvent le nom du lieu dans le réseau, mais sont en réalité gérés par des acteurs malveillants. D'autres techniques avancées consistent pour les criminels à imiter les adresses IP afin de rediriger les internautes vers leurs faux sites web plutôt que vers la destination prévue.
Quelles que soient leurs méthodes, une fois que les attaquants MITM ont accès aux messages, ils peuvent tenter de les décrypter et d'y accéder. Une fois que cela est fait, l'attaquant peut utiliser ces messages piratés pour effectuer des vols d'identité, perturber les opérations commerciales, et plus encore, en fonction du contenu des messages interceptés.
Sécurité physique
Malgré la diversité des possibilités d'infiltration à distance, l'un des moyens les plus simples pour les pirates d'accéder à un réseau est de mettre la main sur un appareil utilisé dans ce réseau. Une fois l'appareil volé, les pirates peuvent l'utiliser pour accéder aux dossiers des patients, aux informations relatives à l'assurance, etc. Pire encore, comme ils utilisent un appareil enregistré sur le réseau, leurs actions ne seront pas signalées comme illégitimes avant qu'il ne soit trop tard pour les arrêter. C'est pourquoi les fonctions de sécurité, telles que le SSO et la RFID, qui permettent uniquement au personnel autorisé d'utiliser les appareils d'un organisme de santé, sont si importantes.
Attaques par déni de service distribué (DDoS)
Une attaque DDoS consiste en un déluge de fausses demandes de connexion ciblant le même serveur. Le serveur ralentit ou tombe en panne car il s'efforce de répondre au nombre écrasant de demandes. Dans le secteur des soins de santé, cela peut rendre les ressources du réseau inutilisables et empêcher les prestataires de soins d'accéder aux dossiers médicaux des patients ou d'utiliser leur équipement.
Les attaques DDoS sont souvent utilisées en conjonction avec d'autres types de cybercriminalité. Par exemple, un appareil déjà compromis par un logiciel malveillant peut être utilisé dans le cadre d'une attaque DDoS sans que son propriétaire s'en rende compte.
Conséquences des atteintes à la sécurité des données dans le secteur de la santé
Les prestataires de soins de santé qui subissent une violation de données peuvent être confrontés à diverses conséquences douloureuses par la suite, allant de la perte financière aux répercussions réglementaires.
Inquiétude pour la vie privée des patients
La quantité d'informations privées qu'elles contiennent fait des données de santé une cible si tentante pour les criminels. Par exemple, les conditions médicales, les traitements et les détails d'identification personnelle, comme les coordonnées, le numéro de sécurité sociale et les informations financières, sont des données potentielles qui peuvent être compromises lors d'une violation.
Lorsque ces dossiers tombent entre de mauvaises mains à la suite d'une violation, il peut en résulter de graves problèmes de protection de la vie privée, notamment
Le vol d'identité : Les cybercriminels peuvent utiliser les données volées d'un patient pour commettre une usurpation d'identité, ouvrir des lignes de crédit, obtenir des services médicaux ou se livrer à des activités frauduleuses sous le nom de la victime.
Stigmatisation : Les patients peuvent être victimes de stigmatisation sociale ou de discrimination si leurs antécédents médicaux, tels que les diagnostics de santé mentale ou les traitements contre la toxicomanie, sont rendus publics.
Détresse émotionnelle : Le fait de savoir que leurs informations de santé privées ont été compromises peut provoquer une détresse émotionnelle importante chez les patients et éroder leur confiance dans les prestataires de soins et les institutions.
Impact sur les soins aux patients
L'une des conséquences les plus immédiates d'une violation de données est la perte d'accès au réseau ou l'arrêt complet de l'appareil. Cette situation peut être aussi frustrante que l'impossibilité d'accéder aux dossiers médicaux électroniques d'un patient ou aussi désastreuse que l'arrêt sans préavis d'un équipement de maintien en vie.
Temps d'arrêt : Les attaques telles que les ransomwares peuvent entraîner une indisponibilité du système, empêchant les professionnels de la santé d'accéder aux dossiers des patients et retardant les procédures médicales critiques.
Intégrité des données : Les violations peuvent compromettre l'intégrité des dossiers des patients, entraînant des décisions thérapeutiques erronées et des conséquences potentiellement néfastes pour les patients.
Perte de confiance : Les patients peuvent perdre confiance dans les prestataires de soins de santé et les institutions, ce qui les rend réticents à partager des informations sensibles ou à se faire soigner.
Détournement des ressources : La réponse aux incidents de cybersécurité détourne les ressources des soins aux patients, ce qui a un impact sur les opérations de soins de santé et la productivité du personnel.
Pertes financières
Les coûts de récupération des données, les frais juridiques et les atteintes à la réputation portent le coût moyen d'une violation de données dans le secteur de la santé à environ 11 millions de dollars en 2023. C'est presque deux fois plus que le deuxième secteur le plus coûteux, le secteur financier, avec 5,9 millions de dollars par violation de données. Ce coût est dû à l'interruption de services vitaux que les hôpitaux ne peuvent pas se permettre de laisser s'arrêter, et à la prévalence des attaques de ransomware contre les prestataires de soins de santé.
Malheureusement, le nombre de violations de données et leurs coûts augmentent chaque année, car de plus en plus de cybercriminels reconnaissent que le secteur de la santé est une cible tentante.
Conséquences juridiques et réglementaires
Même après que la violation de données a été identifiée et scellée, les malheurs d'un prestataire de soins de santé ne font que commencer. Les données relatives à la santé des patients sont fortement réglementées, et si une entreprise ou un prestataire se révèle négligent dans la manière dont il stocke ou protège ces données, il peut être confronté à de lourdes répercussions juridiques. Les infractions à la loi HIPAA, par exemple, peuvent coûter entre 100 et 50 000 dollars par infraction. Les infractions particulièrement négligentes peuvent même entraîner des peines d'emprisonnement.
Les recours collectifs intentés par des particuliers constituent un autre problème. Par exemple, le Johns Hopkins Health System a récemment été poursuivi en justice après avoir été victime d'une violation de données. La plainte accuse Johns Hopkins d'avoir été au courant de l'existence d'une sécurité informatique "inférieure aux normes", mais de ne pas avoir agi et de ne pas avoir notifié rapidement les personnes touchées par la violation.
Bonnes pratiques en matière de cybersécurité dans le secteur de la santé
Les menaces étant si répandues et les conséquences si graves, les établissements de santé doivent plus que jamais appliquer les meilleures pratiques en matière de cybersécurité. Ces solutions et conseils permettront à votre organisme de soins de santé d'être mieux équipé pour faire face aux menaces liées à la cybersécurité.
Contrôle d'accès et authentification
Les ordinateurs médicaux mettent souvent en œuvre des méthodes de contrôle d'accès telles que des lecteurs RFID ou des cartes à puce pour garantir la sécurité physique. Les personnes qui tentent d'utiliser l'ordinateur sans l'identification appropriée seront bloquées. Même quelque chose d'aussi simple qu'un écran de confidentialité peut empêcher les regards indiscrets d'espionner un prestataire de soins de santé pendant qu'il entre son mot de passe.
Formation et sensibilisation des employés
Le type de cyberattaque le plus courant, l'hameçonnage, repose sur l'inconscience et la confiance excessive de la cible. Apprendre aux employés à reconnaître et à signaler les tactiques d'hameçonnage, ainsi qu'à utiliser correctement les filtres anti-spam, permet d'éviter les failles.
Une formation similaire pour une réaction rapide à une notification de violation, l'utilisation de l'authentification multifactorielle et d'autres principes de base de la cybersécurité peuvent contribuer grandement à la protection des organismes de soins de santé.
Chiffrement et protection des données
La mise en œuvre du cryptage des données sensibles est un élément essentiel de la cybersécurité. Ainsi, même si des acteurs malveillants parviennent à accéder à vos données, ils ne pourront rien en faire s'ils ne disposent pas des clés de décryptage. C'est pourquoi vous ne devriez utiliser que des tablettes et des ordinateurs médicaux équipés par défaut d'un logiciel de cryptage tel qu'Imprivata.
En outre, sauvegardez régulièrement les données et les systèmes de santé critiques pour garantir la récupération des données en cas d'incident.
L'internet des objets
Les hôpitaux modernes s'appuient de plus en plus sur des réseaux d'appareils sans fil qui interagissent entre eux dans le cadre d'un "Internet des objets" Par exemple, le moniteur de fréquence cardiaque d'un patient peut transmettre des informations sans fil à l'ordinateur d'un prestataire de soins pour une surveillance à distance.
Cependant, le problème de ces appareils est qu'ils manquent souvent d'une cybersécurité solide. C'est particulièrement vrai pour les anciens systèmes sur lesquels de nombreux hôpitaux s'appuient encore. En connectant ces anciens appareils à un ordinateur médical plus moderne, un hôpital peut continuer à les utiliser tout en mettant en œuvre des mesures de cybersécurité plus modernes.
Réponse aux incidents et récupération
Si le pire se produit et que votre établissement de santé est victime d'une violation de données, il est essentiel de savoir comment réagir. Vous devez considérer la réponse à un incident de la même manière qu'un plan d'évacuation en cas d'incendie, c'est-à-dire comme une chose préparée, mise à jour et à laquelle on s'entraîne. Plus vite votre organisation sécurisera ses systèmes et corrigera les vulnérabilités, moins vous subirez de dommages.
Élaborez un plan complet de réponse aux incidents qui décrit les mesures à prendre en cas d'atteinte à la cybersécurité.
Testez et mettez à jour régulièrement le plan de réponse aux incidents pour vous assurer qu'il reste efficace.
Établir des protocoles de communication clairs pour informer les parties prenantes, y compris les patients et les autorités réglementaires, en cas de violation de données.
Prévenir les cyberattaques avec les bons ordinateurs médicaux
Le nombre de cyberattaques contre les organismes de santé et leurs coûts n'ont cessé d'augmenter, et cette tendance ne semble pas près de s'arrêter. Avec des conséquences aussi lourdes, les organismes de santé ne peuvent pas se permettre d'ignorer la cybersécurité dans leurs priorités.
Si votre organisation souhaite améliorer sa cybersécurité, pensez à la gamme d'ordinateurs médicaux spécialisés de Cybernet Manufacturing. En plus d'être conçus spécifiquement pour les environnements médicaux, nos ordinateurs intègrent de nombreuses fonctionnalités pour mieux se protéger contre les menaces de la cybercriminalité, comme le cryptage Imprivata et les scanners RFID pour verrouiller les accès non autorisés. Contactez nos experts dès aujourd'hui ; nous pouvons vous aider à choisir l'ordinateur médical adapté aux besoins de votre organisation.
