La multiplication des appareils connectés et l’essor de l’intelligence artificielle générative complexifient la protection des données sensibles dans le secteur de la santé. Les hôpitaux doivent repenser leurs stratégies de cybersécurité pour faire face à une surface d’attaque en constante expansion.
La pandémie de Covid-19 a accéléré la digitalisation des soins, forçant les établissements à étendre leurs réseaux et à adopter de nouvelles technologies. Si cette évolution a permis de maintenir l’accès aux soins à distance, elle a également ouvert de nouvelles brèches potentielles en matière de sécurité. L’arrivée de l’IA générative ajoute une couche de complexité supplémentaire, rendant la protection des données plus délicate que jamais.
« Avec l’IA générative, il est aussi simple de demander une recette de guacamole que de télécharger des données patient », explique Ravi Monga, responsable de la sécurité des systèmes d’information (RSSI) pour le secteur de la santé chez Zscaler. « Le paysage des menaces est en mutation permanente. »
Ismelda Garza, directrice informatique de l’Hôpital Régional du Cuir à Cuero, au Texas, souligne l’importance de la formation du personnel. Selon elle, l’éducation aux bonnes pratiques en matière de sécurité, à tous les niveaux de l’organisation – du conseil d’administration aux infirmiers et médecins – est essentielle pour prévenir les attaques réussies.
Cependant, Ravi Monga constate souvent un manque de communication entre les équipes informatiques et le personnel médical. Les risques sont remontés du service informatique au directeur général (CIO), puis au conseil d’administration, mais ces informations ne parviennent pas toujours aux cliniciens sur le terrain. « Il est crucial d’établir un pont et d’impliquer les cliniciens dans la discussion », insiste-t-il.
Les dispositifs médicaux et les objets connectés représentent un défi particulier. Si les ordinateurs portables, serveurs et ordinateurs de bureau sont généralement protégés par des logiciels de sécurité robustes, les appareils médicaux sont souvent plus vulnérables. Certains modèles peuvent être obsolètes, fabriqués par des entreprises qui ont cessé leur activité il y a plus de dix ans. Même lorsque des correctifs de sécurité sont disponibles, les équipes biomédicales peuvent hésiter à les déployer, craignant des interruptions de service.
Ravi Monga compare un hôpital à une maison : les attaquants chercheront d’abord à pénétrer par la porte d’entrée, mais s’ils constatent une protection adéquate, ils se tourneront vers des points d’entrée moins sécurisés. Les pompes à perfusion, les téléviseurs connectés et autres appareils similaires sont souvent négligés et constituent des portes d’entrée faciles pour les cybercriminels. Les mettre hors ligne n’est généralement pas envisageable, car les cliniciens ont besoin de leurs fonctionnalités. Ces vulnérabilités permettent aux attaquants de s’infiltrer dans le réseau d’un établissement et d’y rester indétectés jusqu’à ce qu’une opportunité se présente.