Les enjeux de la cybersécurité dans le domaine de la santé
Comprendre les enjeux et les menaces
La cybersécurité est l’ensemble des pratiques, technologies et processus conçus pour protéger les systèmes informatiques, les réseaux, les programmes et les données contre les attaques, les dommages ou les accès non autorisés.
Elle vise à assurer la confidentialité, l’intégrité et la disponibilité de l’information, tout en prévenant les cybermenaces telles que les virus, les ransomwares, le piratage, les vols de données et autres formes de cybercriminalité.
La cybersécurité est d’une importance capitale dans le secteur de la santé. En cas de cyberattaques, les systèmes d’information hospitaliers (SIH) peuvent être partiellement ou totalement paralysés, entraînant des fuites de données sensibles des patients.
Parmi les menaces les plus fréquentes dans le domaine de la santé, on retrouve notamment :
Les ransomwares
Ce sont des logiciels malveillants, des malwares, qui cryptent les données des systèmes hospitaliers avant d’exiger une rançon pour leur décryptage. Les opérations cliniques et administratives sont alors paralysées jusqu’à la résolution de l’attaque.
Les attaques par phishing
Des courriels frauduleux sont envoyés aux employés afin de les induire en erreur. Un clic malencontreux peut alors suffire pour fournir des informations sensibles à l’attaquant ou lui mettre d’installer des logiciels malveillants sur les réseaux hospitaliers.
Les violations de données
Les cybercriminels utilisent des techniques d’exfiltration afin d’accéder à des données médicales sensibles. En les divulguant, ils mettent alors en danger la confidentialité des patients.
Les attaques DDoS
(Déni de Service Distribué)
Lors de ces attaques, les cybercriminels saturent les réseaux hospitaliers de requêtes afin de rendre les services en ligne indisponibles. L’accès aux dossiers médicaux électroniques et aux autres services essentiels peut alors être perturbé.
Impacts d’une attaque sur les systèmes de santé
Depuis 2021, le secteur de la santé enregistre en moyenne une cyberattaque par semaine. Ces attaques peuvent avoir des conséquences majeures pour les établissements de santé, affectant à la fois leurs opérations quotidiennes et leur avenir à long terme. Les impacts se manifestent de différentes manières , allant de la perturbation directe des soins aux patients à des répercussions financières et juridiques significatives.
Perturbation des soins aux patients :
Les atteintes des systèmes d’information d’un établissement de santé peuvent à la fois perturber le quotidien des professionnels et mettre en péril la prise en charge des patients. Les cyberattaques peuvent en effet toucher les systèmes biomédicaux, les données de programmation des soins, les dossiers patients, les messageries, les données de gestion et de ressources humaines, les données de santé… Dans le cas du suivi d’un patient par exemple, l’indisponibilité des dossiers médicaux électroniques peut empêcher les médecins d’accéder à ses antécédents médicaux et ainsi retarder le diagnostic et le traitement. Autre exemple, la réalisation de procédures vitales peut être compromise en cas de système d’imagerie médicale inutilisable.
Atteinte à la réputation :
L’accès aux données de santé des patients est réservé à un cercle restreint de personnes autorisées. Or, en cas de cyberattaque et de perte de confidentialité, les données peuvent être volées ou utilisées sans l’accord du principal concerné. Sans oublier que cette perte d’information impacte également le professionnel de santé, responsable du traitement de ces données.
Ces événements peuvent alors engendrer des amendes lourdes, une perte de confiance et ainsi une atteinte à la réputation de l’établissement de santé et/ou du professionnel de santé.
Pertes financières :
Les cyberattaques peuvent avoir de lourdes conséquences financières sur les établissements de santé, en entraînant des coûts directs et indirects.
En effet, face aux cybercriminels et aux conséquences de leurs attaques, les établissements de santé peuvent céder à la pression et payer des rançons élevées pour récupérer l’accès à leurs données.
Une attaque peut également entraîner des coûts de réparation et de restauration des systèmes informatiques ainsi que des données. Cette manipulation demande l’intervention d’experts et l’achat d’équipements et/ou de logiciels, ce qui occasionne des frais pour l’établissement de santé. Sans oublier que ces derniers sont soumis à des réglementations strictes en matière de confidentialité des données (Règlement général sur la protection des données (ou RGPD) en Europe par exemple). En cas de pertes de données, des amendes réglementaires pour non-conformité aux lois de protection des données peuvent ainsi leur être assignées de la part des autorités de régulation.
Une cyberattaque peut également entraîner des coûts indirects pour l’établissement de santé. Les pannes des systèmes de gestion des patients peuvent par exemple entraîner des annulations de consultations, d’interventions chirurgicales ou d’autres services médicaux, et ainsi réduire les revenus. De plus, si la confiance en l’établissement a souffert du fait d’une attaque, alors la fréquentation de ce dernier peut se réduire sur le long terme et induire une perte de revenus. Enfin, une cyberattaque peut entraîner une augmentation des primes d’assurance cyber et des autres assurances liées à la responsabilité.
