Les établissements de santé, confrontés à une augmentation constante des cyberattaques et à des contraintes budgétaires croissantes, doivent impérativement optimiser leur gestion des applications informatiques. Une approche structurée, axée sur la valeur, le coût, le risque et la performance de chaque logiciel, s’avère désormais essentielle pour renforcer leur résilience face aux menaces numériques.
Le secteur de la santé est particulièrement vulnérable : une violation de données coûte en moyenne 11 millions de dollars (environ 10,2 millions d’euros), soit trois fois plus que la moyenne mondiale. En 2024, 118 attaques de ransomware confirmées ont déjà compromis plus de 15 millions de dossiers de patients. Les conséquences opérationnelles sont lourdes : 17 jours d’interruption moyenne par incident, engendrant des pertes quotidiennes de 1,9 million de dollars (environ 1,75 million d’euros).
Si les pare-feu, les VPN et les systèmes de détection d’intrusion restent des outils de base, ils ne suffisent plus. Les cybercriminels exploitent de plus en plus les failles internes, notamment via des applications obsolètes ou non surveillées, ainsi que le recours à des logiciels non autorisés (shadow IT). « Si vous ne savez pas ce qui s’exécute dans votre environnement, vous ne pouvez pas le protéger », souligne l’importance d’une visibilité complète.
La gestion du portefeuille d’applications (GPA), ou Application Portfolio Management (APM), consiste à inventorier, évaluer et rationaliser l’ensemble des logiciels utilisés par un établissement. Cela implique de classer les applications en fonction de leur valeur ajoutée, de leur coût, des risques qu’elles présentent et de leurs performances.
Une GPA efficace permet de :
- Obtenir une visibilité claire sur l’ensemble du parc applicatif.
- Identifier et prioriser les risques de sécurité.
- Réduire l’exposition aux logiciels obsolètes et vulnérables.
- Réaliser des économies significatives en supprimant les licences inutiles et en optimisant les coûts de maintenance.
- Garantir la conformité aux réglementations, telles que la loi HIPAA.
- Préparer le terrain pour la modernisation et l’innovation.
Les bénéfices de la GPA se répercutent sur l’ensemble de l’organisation : les directeurs informatiques peuvent aligner les investissements sur les objectifs stratégiques, les responsables de la sécurité renforcent la gestion des risques, les directeurs financiers constatent un retour sur investissement tangible, et les responsables de l’information médicale bénéficient de flux de travail cliniques plus efficaces et d’une meilleure intégrité des données.
Pour mettre en œuvre une GPA, il est recommandé de suivre les étapes suivantes :
- Réaliser un inventaire exhaustif de toutes les applications, qu’elles soient cliniques ou administratives.
- Cartographier les applications par rapport aux processus métiers.
- Évaluer les risques et la conformité, en tenant compte de la sensibilité des données et des exigences réglementaires.
- Rationaliser et supprimer les applications redondantes ou à haut risque.
- Intégrer les informations issues de la GPA dans les programmes de gouvernance et la stratégie de cybersécurité.
Si l’identification des applications redondantes est une première étape importante, la véritable difficulté réside dans la gestion de la gouvernance, le respect de la conformité et le retrait des systèmes sans perturber les soins ou compromettre les données. Faire appel à un partenaire spécialisé peut apporter l’expertise et les outils nécessaires pour accélérer et sécuriser ce processus.
En conclusion, la gestion du portefeuille d’applications n’est plus une option, mais une nécessité pour renforcer la cybersécurité, optimiser les ressources et préparer l’avenir. Le coût de l’inaction est élevé : risques accrus, ressources gaspillées et opportunités manquées. Agir dès maintenant permet de simplifier l’environnement informatique, de réduire les vulnérabilités et de libérer des capacités pour fournir des soins plus sûrs, plus efficaces et centrés sur le patient.
À ne pas manquer
