La mise en œuvre de l’authentification multifacteur (MFA) et les nouvelles exigences en matière de conformité représentent un défi majeur pour les établissements de santé, allant bien au-delà des hôpitaux traditionnels. Ces changements, motivés par la sophistication croissante des cybermenaces, exigent une agilité opérationnelle et une automatisation accrues pour garantir la sécurité des données sensibles des patients.
Le secteur de la santé se distingue des autres entreprises par son aspect clinique, qui impose des contraintes spécifiques sur les flux de travail des soignants. Par exemple, une infirmière de première ligne peut être amenée à se connecter et à se déconnecter de plusieurs appareils tout au long de sa journée. Chaque réauthentification, même brève (une minute et demie), peut avoir un impact significatif sur la qualité des soins prodigués. La MFA, bien qu’essentielle pour la sécurité, peut donc perturber la continuité clinique et l’expérience patient.
Un autre obstacle réside dans la gestion des accès utilisateurs, notamment pour les personnels soignants occasionnels. Les hôpitaux peinent souvent à mettre en place des processus d’intégration et de désintégration rapides et sécurisés, permettant de créer des comptes temporaires supprimés à la fin d’un quart de travail. La plupart des fournisseurs de solutions actuelles ne sont pas adaptés à ce type de cycle de vie court pour un compte.
Les nouvelles réglementations en matière de sécurité imposent des délais de conformité stricts, comme la résiliation de l’accès en moins d’une heure et la restauration du système en 72 heures. Ces exigences témoignent d’une volonté de renforcer l’agilité opérationnelle et la réactivité face aux cyberattaques. Il ne suffit plus de mettre en place des mesures de sécurité, il faut également pouvoir en démontrer l’efficacité à travers des indicateurs de performance précis et mesurables. Cela implique des processus hautement automatisés, des plans de réponse aux incidents bien rodés et une surveillance continue.
La mise en conformité nécessite également une refonte des politiques de conservation des données. De nombreuses organisations conservent actuellement les informations « pour toujours », par crainte de devoir les retrouver en cas de litige. Or, certains types de données, comme les images médicales, occupent un espace de stockage considérable. Il est donc crucial de définir des périodes de conservation appropriées et de mettre en place des processus technologiques pour gérer le stockage et les coûts associés.
Les établissements de santé peuvent s’inspirer des bonnes pratiques d’autres secteurs, comme celui des cartes de paiement, qui a établi des normes de sécurité des données depuis plus d’une décennie. Il est impératif de protéger les données des patients, qui sont encore plus sensibles que les informations financières.
La conformité à la loi HIPAA (Health Insurance Portability and Accountability Act) ne se limite pas aux hôpitaux. Elle concerne également les établissements d’accueil pour personnes âgées et toute organisation manipulant des informations de santé protégées. Avec l’essor de la télémédecine et des services de santé connectés, la conformité HIPAA s’étend désormais à la gestion financière et au suivi du mode de vie des patients, et pas seulement aux soins cliniques.