Agir pour prévenir les attaques par rançongiciel

Les conséquences des attaques par rançongiciel sur les établissements de santé sont considérables. Une étude réalisée entre 2016 et 2021 a montré que 44,4 % des attaques ont perturbé la prestation des soins, notamment en raison de pannes des systèmes électroniques (41,7 %), d’annulations de soins programmés (10,2 %) ou de déroutements d’ambulances (4,3 %).² D’après les premiers résultats d’une étude, un économiste de la santé de l’université du Minnesota a souligné que la mortalité hospitalière augmentait de 20 à 35 % chez les patients admis dans un établissement victime d’une attaque par rançongiciel.³ Les rançongiciels peuvent également perturber vos opérations administratives, comme la facturation et la gestion des salaires, et nuire gravement à votre réputation.

Les cyberattaques peuvent perturber les systèmes critiques, en rendant les données inaccessibles et en compromettant la capacité des systèmes de santé à garantir la sécurité des patients et à fournir des soins rapides. En fin de compte, ce sont les patients qui souffrent le plus dans ces situations. Les cliniciens peuvent se trouver dans l’impossibilité de réaliser des interventions ou de prescrire des médicaments, tandis que les pharmacies peinent à accéder aux informations nécessaires pour délivrer les ordonnances. De plus, les processus de facturation de l’établissement deviennent inefficaces, affectant le nombre de patients pouvant être pris en charge.

Cependant, vous n’êtes pas à la merci des cybercriminels. Il existe des mesures que vous pouvez prendre pour réduire le risque d’attaque par rançongiciel, notamment en comprenant pourquoi les systèmes de santé sont exposés, comment opèrent les cybercriminels et en quoi un partenariat avec des entreprises comme Philips, qui accordent la priorité à la cybersécurité dans le développement de leurs logiciels, peut contribuer à protéger votre établissement.

Les systèmes de santé sont des cibles de choix pour les rançongiciels en raison d’une combinaison de facteurs : la numérisation des données médicales, la complexité des réseaux comportant de nombreux points d’accès, des dispositifs n’ayant pas reçu les dernières mises à jour de sécurité, ainsi que des facteurs humains et un manque de contrôle.

Les dispositifs médicaux et les dispositifs portatifs peu sécurisés sont de plus en plus connectés à Internet, offrant ainsi des points d’accès aux réseaux hospitaliers. En particulier, les appareils qui ne bénéficient pas de mises à jour régulières peuvent ne pas être protégés contre les derniers logiciels malveillants. Un autre facteur réside dans le fait que les chaînes d’approvisionnement dans le secteur de la santé sont devenues de plus en plus complexes et que même le plus petit système de santé comporte de nombreux maillons. Cette complexité, aggravée par les nombreux fournisseurs tiers connectés aux systèmes hospitaliers, rend quasiment impossible pour les hôpitaux d’avoir une visibilité et un contrôle complets sur tous les aspects de leurs réseaux, ce qui amplifie le risque et l’effet potentiel d’une cyberattaque.

Les pénuries de main-d’œuvre clinique et administrative constituent un facteur humain non négligeable. Compte tenu de la réduction des effectifs et de l’allongement des horaires de travail, la cybersécurité peut être reléguée au second plan, ce qui entraîne des erreurs et ouvre la voie aux cyberattaques.

La formation à la cybersécurité peut également être négligée, ce qui conduit les employés à aider involontairement les cybercriminels. L’Institut national de la santé a indiqué que 90 % des violations de données commencent par du phishing (courriels de masse) ou du spear phishing (courriels ciblés).⁴ Dans les deux cas, les hackers utilisent des courriels ou des sites web trompeurs pour recueillir des informations – par exemple, des identifiants de connexion au PACS. Le rapport citait une étude américaine qui a révélé que les professionnels de santé ont cliqué sur un courriel de phishing simulé sur sept.

Les dossiers médicaux électroniques (DPI), qui permettent de partager efficacement les données patient actualisées pour améliorer leur prise en charge, deviennent également des cibles de choix pour les cybercriminels en raison de la grande valeur des informations qu’ils renferment.

Une fois que le rançongiciel a chiffré les fichiers d’un établissement, il demande à l’utilisateur de payer une rançon. Pour l’établissement de santé concerné, c’est une course contre la montre pour reprendre le contrôle de l’accès à son système et/ou à ses données patients. Pour un système de santé de grande taille, la sauvegarde de millions de dossiers est un processus chronophage qui ne peut être mené à bien dans le temps imparti, et les hackers en sont parfaitement conscients. Si aucune sauvegarde des données n’est disponible ou si celles-ci ont elles-mêmes été chiffrées, la victime n’a d’autre choix que de payer la rançon pour récupérer ses fichiers.⁶ Dans de nombreux cas, les établissements de santé sont prêtes à payer pour rétablir leurs services et éviter l’embarras public et la perte de confiance.

Même si l’établissement de santé refuse de payer, les cybercriminels peuvent tout de même tirer profit de la situation en vendant ces informations sur le dark web. Les informations de santé protégées (P.H.I.) ont une valeur supérieure à celle des autres données, car elles peuvent être largement exploitées, notamment pour déposer de fausses demandes de remboursement d’assurance, acheter de fausses prescriptions ou recevoir des soins.⁷ Les dossiers volés constituent une marchandise, et leur prix de vente dépend autant de leur provenance que de l’offre et de la demande. Lors d’une émission diffusée en mars 2024, un chercheur en cybersécurité interrogé sur CNBC a indiqué que les dossiers médicaux se vendent environ 60 dollars sur le dark web, contre 15 dollars pour un numéro de sécurité sociale et 3 dollars pour des informations de carte bancaire.⁸

Cédric L. Truss, directeur de programme et professeur adjoint en informatique médicale à la Georgia State University, recommande aux établissements de mettre en place plusieurs mesures logiques pour prévenir les attaques par rançongiciel,⁶

et notamment :

Philips adhère à une politique globale de cybersécurité, qui consiste notamment à se tenir informé des nouvelles vulnérabilités de sécurité et des menaces externes potentielles. L’entreprise travaille en étroite collaboration avec les agences de réglementation, les partenaires du secteur et les professionnels de santé, entre autres, afin de combler les failles de sécurité et de mettre en place des mesures de protection.

Les solutions d’informatique en radiologie appliquent des directives de cybersécurité tout au long du cycle de vie de ses produits et du développement de ses services. Elles intègrent des normes de sécurité reconnues, telles que NIST, ISO, DICOM, IHE et DIACAP (désormais RMF). De plus, nous examinons attentivement les lois internationales, telles que l’HIPAA et la directive européenne sur la protection des données, pour identifier les exigences applicables aux produits et mettre en œuvre les dernières recommandations. Notre approche garantit que les dispositifs médicaux sont conçus selon une stratégie de défense en profondeur, intégrant plusieurs niveaux de contrôles de sécurité couvrant la sécurité des applications, des systèmes informatiques, des données et des réseaux. Ces contrôles, conformes aux normes de sécurité mondiales, sont rigoureusement intégrés à nos solutions médicales afin d’atténuer efficacement les cybermenaces.

Conformément aux meilleures pratiques du secteur, les mesures de cybersécurité que nous appliquons dans le domaine de l’informatique en radiologie comprennent :

Dans le cadre de notre stratégie de réponse aux menaces, la protection de la sécurité des actifs essentiels, tels que Vue PACS et le logiciel de gestion d’images, est une priorité au Centre de sécurité informatique (SOC)* Philips, accessible 24 h/24, 7 j/7. Nous appliquons une approche globale, conçue sur mesure pour relever rapidement et efficacement les défis liés à la cybersécurité. Notre stratégie multidimensionnelle intègre des mesures proactives telles que la surveillance continue et la détection des menaces, en tirant parti des technologies de pointe.

De plus, Philips Radiology Informatics propose aux clients qui utilisent un système PACS/de gestion d’images sur site de découvrir l’offre Philips HealthSuite Imaging Data Protection, un nouveau service permettant aux établissements de santé de protéger leurs images médicales et leurs systèmes de fichiers PACS contre toutes les menaces, y compris les cyberattaques, les virus et les catastrophes naturelles, en tirant parti des données technologiques d’Amazon Web Services (AWS). Les fonctions de sécurité avancées d’AWS incluent le cryptage des données en transit et au repos, ainsi que la conformité à plus de 50 normes internationales. Cette protection renforcée réduit encore davantage le risque d’attaques par rançongiciel, tout en garantissant la sécurité et l’accessibilité des données d’imagerie médicale critiques, et permet aux établissements du système de santé d’assurer la continuité des soins aux patients.

Les fonctions de sécurité avancées d’AWS incluent le cryptage des données en transit et au repos, ainsi que la conformité à plus de 50 normes internationales. L’offre Philips HealthSuite Imaging Data Protection assure la conformité réglementaire, une grande durabilité et une restauration rapide des données en cas de sinistre, sans perturber le flux de travail de l’imagerie médicale sur site ni la configuration du PACS. Le service rend inutile les sauvegardes sur site, réduit la charge administrative et offre une évolutivité avantageuse, permettant aux établissements de santé de se concentrer sur les soins aux patients sans compromettre l’intégrité des données.