Les professionnels de la sécurité des établissements de santé doivent repenser en profondeur leurs méthodes de vérification d’identité, face à la multiplication des fraudes et à la disparition des frontières traditionnelles de sécurité. L’accès aux données sensibles des patients est de plus en plus menacé par des documents d’identification falsifiés, facilement disponibles sur le dark web.
La vérification de l’identité, pilier de la sécurité depuis l’Antiquité, se heurte aujourd’hui à des défis inédits. Le développement du télétravail et des systèmes informatiques dématérialisés a normalisé la vérification d’identité à distance, mais de nombreuses organisations continuent de s’appuyer sur des procédures inadéquates, créant ainsi des vulnérabilités dangereuses.
Un problème majeur réside dans la sophistication croissante des faux documents. Sur des plateformes du dark web comme DRED, des « packs complets » – comprenant permis de conduire, cartes de crédit et numéros de sécurité sociale – sont proposés à la vente, permettant à des individus mal intentionnés de contourner les contrôles d’embauche classiques.
« Nous passons par le processus de vérification des employés I-9, qui sert de base à l’ensemble de notre vérification d’identité, explique Jason Taule, RSSI (responsable de la sécurité des systèmes d’information) de Luminis Health, un réseau hospitalier régional de la région médio-atlantique. Mais comment être certain de l’authenticité des documents présentés, surtout si ceux-ci sont potentiellement contrefaits ? »
Le défi ne se limite pas à l’embauche. Lors d’opérations sensibles effectuées à distance, comme la modification des numéros de téléphone associés à l’authentification multifacteur, des vérifications supplémentaires sont indispensables. L’équipe de Jason Taule exige désormais une vérification vidéo, où les employés doivent présenter leur badge directement devant leur visage, afin de prévenir les fraudes par deepfake, qui sont, selon lui, « incroyablement faciles » à réaliser avec les outils disponibles sur les smartphones.
Le personnel des centres d’assistance doit également être soutenu par la direction pour faire respecter les protocoles de sécurité, même face à la pression des utilisateurs. Les responsables de la sécurité doivent définir des procédures claires d’escalade et s’assurer que les employés de première ligne ne seront pas sanctionnés s’ils suivent les procédures établies, même si cela engendre des désagréments temporaires pour les soignants ou les cadres.
Pour Jason Taule, le rôle des responsables de la sécurité ne se limite pas à agir comme des gardiens, approuvant ou refusant des demandes. Il s’agit plutôt de fournir aux décideurs une information complète sur les risques liés aux stratégies commerciales et aux choix technologiques. Chaque décision importante comporte un risque, et celui-ci doit être clairement identifié avant que l’organisation puisse évaluer si les mesures de contrôle proposées justifient leur coût financier et opérationnel.
« Comment, en tant que RSSI, pouvons-nous permettre à l’entreprise de mener à bien ses activités sans compromettre notre sécurité, celle de nos patients et la confidentialité de leurs données ? », interroge-t-il. « Il faut itérer sur les solutions, sur la stratégie et, parfois, sur les objectifs initiaux eux-mêmes. »
Les responsables de la sécurité doivent s’imposer comme des acteurs clés dans les processus décisionnels, même en adoptant un rôle de conseil. Leur présence lors des discussions stratégiques permet d’intégrer l’expertise en matière de sécurité avant que des engagements ne soient pris. Attendre la signature des contrats pour soulever des questions de sécurité est une approche risquée qui pourrait avoir été évitée.
L’intelligence artificielle (IA) représente un nouveau défi. Si les avantages de l’IA générative et agentique dans le domaine de la santé sont indéniables, leur déploiement doit s’accompagner de contrôles appropriés. Ce problème rappelle celui du shadow IT, où les services métiers souscrivaient à des offres cloud sans l’aval du service informatique. Aujourd’hui, on observe l’émergence d’une « IA fantôme », où les employés utilisent des outils d’IA intégrés à diverses applications sans visibilité ni gouvernance centralisée.
Les responsables de la sécurité ont besoin de capacités de détection et de surveillance centralisée des outils d’IA, comme ils le font déjà pour les autres ressources informatiques. Ils doivent soit acquérir des outils spécialisés de gouvernance de l’IA, soit exiger de leurs fournisseurs actuels qu’ils intègrent la détection de l’IA à leurs feuilles de route.
« Que faites-vous ? Est-ce prévu dans votre feuille de route ? Si ce n’est pas le cas, il est temps de chercher ailleurs », résume Jason Taule, décrivant le type de dialogue que les RSSI doivent engager avec leurs fournisseurs.
Il est essentiel de mettre en œuvre trois types de contrôles pour l’IA : la détection et la surveillance, le renforcement des protections et de l’application, et la détection des entrées avec des garde-fous. Ces contrôles doivent être basés sur des politiques plutôt que sur des actions individuelles, afin de garantir une gestion centralisée.
Les établissements de santé devraient également créer des comités de gouvernance informatique pour aborder la technologie dans son ensemble. Les risques liés à l’IA (exposition des données, divulgation involontaire, contamination des données d’entraînement) s’appliquent à tous les domaines technologiques. Des cadres de gouvernance larges et durables sont donc plus efficaces que des approches spécifiques à chaque technologie.
Enfin, les exigences des compagnies d’assurance en matière de cybersécurité sont de plus en plus strictes, ce qui pose des défis aux organisations qui doivent mettre en œuvre des contrôles dans des délais courts. Les assureurs connaissent désormais les acronymes comme MFA, PAM et PIM, et les traduisent en calculs de primes qui pénalisent les organisations qui ne respectent pas les normes.
« Il faut décrire précisément ce qui existe aujourd’hui », insiste Jason Taule. « Si vous ne le faites pas, vous commettez une fraude à l’assurance, ce qui peut entraîner des sanctions légales, y compris des peines de prison. »
Les responsables de la sécurité doivent examiner personnellement les demandes d’assurance ou, à tout le moins, vérifier les réponses avant de les soumettre, en ajoutant des précisions pour éviter toute interprétation erronée des mesures de sécurité. Ils doivent également s’assurer que les polices d’assurance de leurs dirigeants couvrent spécifiquement le poste de RSSI.
Les compagnies d’assurance devraient adopter des modèles de tarification similaires à ceux de l’assurance-vie, en offrant des primes réduites aux organisations qui respectent des exigences de contrôle spécifiques. Cette approche permettrait aux RSSI de justifier clairement les investissements en matière de sécurité et d’améliorer durablement la posture de sécurité du secteur.