La sécurité des données dans le secteur de la santé est devenue un défi majeur, bien au-delà de la simple conformité réglementaire. Les experts insistent sur la nécessité d’une approche plus humaine et proactive, axée sur la formation continue et l’adaptation des systèmes aux besoins réels des professionnels de santé.
Trop souvent, les organisations se contentent de cocher des cases pour satisfaire aux exigences des audits, sans pour autant réduire significativement les risques. Or, la plupart des failles de sécurité ne sont pas dues à des attaques sophistiquées, mais à des erreurs humaines involontaires : un clic sur un lien malveillant, une mauvaise configuration d’un système, ou le partage d’informations sensibles par un employé agissant de bonne foi. Dans le domaine de la santé, où l’instinct d’aide est particulièrement fort, ce risque est amplifié.
Il est donc crucial de repenser la formation et la sensibilisation à la sécurité. La formation traditionnelle, souvent générique et obsolète, se concentre davantage sur la conformité que sur la gestion des risques réels. Elle aborde des sujets comme le phishing, la loi HIPAA ou la lutte contre la fraude de manière isolée, sans tenir compte de leur interdépendance.
Une approche plus efficace consiste à proposer une formation globale, adaptée au rôle de chaque collaborateur et intégrant les menaces et les flux de travail dans un contexte concret. Il s’agit de passer des modules annuels standardisés à un apprentissage continu et personnalisé, qui évolue en fonction des risques auxquels l’organisation est réellement confrontée.
Le personnel représente à la fois le principal atout et la principale vulnérabilité en matière de sécurité. Les attaquants exploitent l’instinct d’assistance des professionnels de santé, comme le démontrent les récentes violations de données et les campagnes de phishing ciblées. Pour contrer cette menace, il est essentiel de concevoir des processus qui facilitent les comportements sécurisés, en faisant de la conformité l’option la plus simple et la plus pratique. Si le personnel doit contourner les contrôles de sécurité pour accomplir son travail, c’est un signe que le système est défaillant, et non que l’utilisateur est responsable.
Une stratégie de sécurité solide repose sur trois piliers, que l’on peut appeler les « trois E » : l’éducation, l’ingénierie et l’application.
Éducation : Utiliser une formation continue et pertinente, axée sur les menaces réelles, plutôt que des modules génériques. Le profilage des menaces permet de concentrer la formation sur les risques spécifiques à l’organisation, tels que les erreurs de configuration, la sécurité des interfaces de programmation (API) ou les risques liés aux tiers. L’engagement peut être stimulé par le renforcement positif et la gamification, par exemple en organisant des concours pendant le mois de la sensibilisation à la cybersécurité ou en reconnaissant publiquement les signalements de tentatives de phishing.
Ingénierie : Créer des systèmes sécurisés par défaut, qui réduisent les risques d’erreur et améliorent la visibilité. Il est impossible de corriger ce que l’on ne peut pas voir. L’objectif est d’éliminer la nécessité de trouver des solutions de contournement en fournissant aux employés des outils adaptés à leurs flux de travail quotidiens, ce qui contribue à réduire le développement de systèmes informatiques parallèles non autorisés. Ces systèmes parallèles sont souvent le signe de besoins non satisfaits, et non d’une simple violation des règles.
Application : Il est important de trouver un équilibre entre le renforcement positif et des conséquences significatives. Cela implique de reconnaître publiquement les bons comportements tout en traitant les violations de manière cohérente et équitable. Les politiques doivent être clairement communiquées et liées à des situations concrètes, afin que les membres de l’équipe comprennent ce qui est attendu d’eux et pourquoi.
Le secteur de la santé est particulièrement vulnérable en raison de sa forte dépendance vis-à-vis de fournisseurs et de partenaires tiers, ce qui élargit considérablement la surface d’attaque. Une seule compromission peut avoir des conséquences en cascade sur les cliniques, les assureurs et les prestataires de soins.
La gestion des identités et des accès (IAM) est essentielle, mais difficile à mettre en œuvre dans les grandes organisations existantes. De nombreux établissements de santé sont confrontés à des problèmes de visibilité sur les comptes et les niveaux d’accès, d’accès trop permissifs motivés par la commodité opérationnelle, et de comptes de service non surveillés qui créent un risque persistant. Une feuille de route IAM efficace doit se concentrer sur la clarté, le contrôle et la responsabilité des utilisateurs, sans compromettre l’efficacité opérationnelle.
En fin de compte, la sécurité n’est pas seulement un défi technique, mais aussi culturel. Il est nécessaire d’aligner les collaborateurs, les processus et la technologie pour créer une culture dans laquelle les pratiques sécurisées sont la norme et font partie intégrante des opérations quotidiennes. En appliquant les trois E, on dépasse la mentalité de conformité et on réduit significativement les risques, en donnant aux équipes les moyens de prendre les bonnes décisions dès le départ.
Dans un secteur fondé sur le soin et l’aide aux autres, une culture de sécurité est une évolution naturelle.
À ne pas manquer
