La sécurité des données de santé est de plus en plus menacée, non pas tant par des attaques directes contre les hôpitaux que par des failles chez leurs prestataires de services. Plus de 80 % des données de santé protégées (PHI) compromises cette année proviennent de ces fournisseurs externes, une tendance qui oblige le secteur à repenser sa stratégie de cybersécurité.
Selon une étude récente, plus de 90 % des dossiers médicaux piratés ont été volés en dehors des systèmes directement contrôlés par les établissements de santé. Ce constat souligne un changement majeur : le pare-feu traditionnel de l’hôpital n’est plus suffisant pour garantir la protection des informations sensibles des patients.
Les vulnérabilités se cachent désormais dans un écosystème complexe de partenaires, incluant les plateformes d’analyse, les services de facturation, les outils d’engagement patient, les systèmes de télésanté, les associés d’affaires et les plans de santé. La protection des données en 2025 exige une approche nouvelle : considérer l’infrastructure de ses fournisseurs comme une extension de sa propre sécurité.
L’expansion rapide du numérique dans le secteur de la santé a créé un réseau interconnecté où les systèmes d’ordonnancement, de gestion des demandes de remboursement, de suivi de la santé de la population et de surveillance à distance échangent des PHI avec des entités externes. Chaque partenaire stocke et traite ces données sur une infrastructure que l’hôpital ne maîtrise pas directement.
Les violations de données à grande échelle signalées cette année au Bureau des droits civils sont souvent dues à des failles dans l’infrastructure des fournisseurs, telles que des environnements cloud mal configurés, des sauvegardes non sécurisées ou une gestion laxiste des accès. Une compromission d’une plateforme de facturation ou d’un service d’intelligence artificielle peut avoir des conséquences désastreuses pour tous les fournisseurs connectés.
La sécurité est donc passée d’une question purement informatique à une responsabilité partagée. Les hôpitaux et les cabinets médicaux doivent désormais se poser les bonnes questions pour évaluer le niveau de sécurité de leurs fournisseurs.
Voici cinq questions essentielles à poser :
- Où sont stockées les PHI, physiquement et virtuellement ? Il est crucial de vérifier que les données sont hébergées dans des installations américaines conformes à la loi HIPAA et non dans des environnements partagés ou à l’étranger.
- Qui a accès administratif ? Les fournisseurs doivent isoler les données de chaque client dans des environnements distincts, évitant ainsi les systèmes multi-locataires où les données sont mélangées.
- Comment sont gérées les sauvegardes et la reprise après sinistre ? Renseignez-vous sur le chiffrement, les délais de conservation et la conformité des centres de données hébergeant les sauvegardes hors site.
- Quels audits ou certifications indépendantes valident la sécurité ? Les certifications SOC 2 Type II, HITRUST et les tests d’intrusion réguliers par des tiers sont des indicateurs d’un programme de sécurité mature.
- Comment le risque fournisseur est-il géré ? Tous les sous-traitants ayant accès aux PHI doivent être identifiés, liés par des accords de partenariat commercial et soumis aux mêmes normes de sécurité.
Ces questions permettent de passer d’une logique de confiance à une logique de transparence. Les hôpitaux qui intègrent la vérification des fournisseurs à leur programme de cybersécurité, et pas seulement à leur processus d’approvisionnement, réduisent considérablement leur risque de devenir la prochaine victime d’une violation de données.
Pour les éditeurs de logiciels de santé, la sécurité doit être intégrée dès la conception de l’infrastructure d’hébergement. Les instances cloud partagées et les machines virtuelles non gérées introduisent des vulnérabilités communes. Une infrastructure dédiée à chaque client offre un contrôle total sur l’accès, les correctifs et la surveillance.
Une infrastructure sécurisée doit inclure :
- Des environnements isolés pour chaque client ou charge de travail.
- Un chiffrement complet du disque et une détection d’intrusion en temps réel.
- Des pare-feu redondants et un stockage de sauvegarde physiquement segmenté.
- Une journalisation d’audit complète, conforme aux normes HIPAA et HITRUST.
- Un contrôle direct des correctifs, des mises à jour et des configurations de sécurité.
Cette rigueur technique n’est pas seulement une question de conformité, mais aussi un facteur de différenciation sur le marché. Les hôpitaux évaluent de plus en plus leurs fournisseurs en fonction de leur capacité à décrire en détail leur modèle de sécurité.
En 2025, il est clair que les hôpitaux ne peuvent plus dissocier « leur réseau » du « cloud » de leurs partenaires. Chaque organisation de soins de santé dépend d’un réseau complexe de systèmes externes dont les décisions d’hébergement ont un impact direct sur la confiance des patients. La gestion des risques liés aux fournisseurs doit évoluer vers un véritable partenariat, basé sur la transparence, la communication continue et des investissements dans une infrastructure sécurisée et conforme.
Sur le même sujet
