La cybersécurité dans le secteur de la santé évolue rapidement, passant d’une fonction de contrôle à un véritable partenariat stratégique. Randall (Fritz) Frietzsche, responsable de la sécurité de l’information (RSSI) chez Denver Health, explique comment intégrer la sécurité au cœur des opérations pour protéger les patients et les données, tout en facilitant l’innovation.
Denver Health, un établissement hospitalier de premier plan à Denver, Colorado, qui comprend un centre de traumatologie de niveau 1 et dessert la communauté depuis 1860, a vu sa stratégie de cybersécurité se transformer. L’approche de Frietzsche, développée au cours des neuf dernières années, vise à positionner la sécurité non pas comme un obstacle, mais comme un allié des équipes soignantes et administratives.
« Au lieu de simplement dire non, nous devons trouver des moyens de faire les choses de manière plus sécurisée », explique Frietzsche. Cette philosophie implique d’intégrer l’analyse des risques dès le début des projets, que ce soit lors de l’évaluation de nouveaux fournisseurs, de la planification d’acquisitions ou du lancement de nouvelles initiatives.
L’implication précoce des équipes de cybersécurité dans les processus de diligence raisonnable permet d’identifier les risques potentiels et de négocier des exigences de sécurité claires dans les contrats. Cela peut avoir un impact significatif sur les prix et les conditions, évitant ainsi des problèmes coûteux après l’acquisition et renforçant la posture globale de gestion des risques de l’organisation.
Construire la confiance est essentiel pour obtenir une place à la table des décideurs. Frietzsche souligne l’importance de développer des relations solides au sein de l’organisation et de démontrer une expertise constante. Il insiste sur le fait qu’il faut du temps et des compétences pour gagner la confiance des dirigeants.
Le partenariat avec le directeur des systèmes d’information (DSI) est particulièrement crucial. Un DSI qui comprend les enjeux de la cybersécurité peut défendre les initiatives de sécurité auprès des autres membres de la direction, expliquant clairement les raisons qui sous-tendent les contrôles et leur importance pour la protection de l’organisation.
Frietzsche s’efforce de rester visible au sein de Denver Health, intervenant même directement sur les tickets d’assistance pour comprendre les défis rencontrés par les utilisateurs. Cette approche pratique lui fournit des informations précieuses pour améliorer à la fois les solutions tactiques et la stratégie de sécurité globale.
L’équilibre entre la sécurité et l’expérience utilisateur est un défi constant. Il est essentiel de comprendre comment les différents niveaux de contrôles de sécurité (points finaux, réseau, périmètre, filtrage Web, messagerie) interagissent et affectent les flux de travail quotidiens du personnel soignant et administratif.
« La cybersécurité est à la fois une science et un art », affirme Frietzsche. L’art réside dans la capacité à trouver le juste équilibre entre protection et convivialité, en veillant à ce que les mesures de sécurité n’entravent pas inutilement la productivité.
Une communication claire et pédagogique est essentielle lors de la mise en œuvre de nouvelles mesures de sécurité qui affectent les interfaces utilisateur ou les flux de travail. Expliquer les raisons des changements et fournir des instructions claires permet aux utilisateurs de s’adapter plus facilement et de réduire le nombre de demandes d’assistance.
Frietzsche illustre ce principe avec un exemple concret : après avoir constaté que l’écoute de musique améliorait l’expérience des patients lors d’IRM, il a immédiatement modifié la politique de filtrage Web de Denver Health pour permettre au personnel du service d’imagerie d’accéder aux services de streaming pour les patients.
Au-delà des compétences techniques, les responsables de la sécurité doivent développer des compétences interpersonnelles telles que la négociation, la création de relations, l’empathie et le sens des affaires. Comprendre le fonctionnement de l’entreprise, identifier les domaines clés et reconnaître l’impact des mesures de sécurité sur les fonctions critiques nécessite un engagement constant avec les parties prenantes.
Le secteur de la santé présente des défis uniques, notamment la priorité absolue accordée aux soins d’urgence aux patients, qui peut parfois primer sur les exigences de la loi HIPAA et d’autres réglementations sur la confidentialité. De plus, la culture du partage d’informations et de l’ouverture, courante dans les centres médicaux universitaires, peut entrer en conflit avec les approches de sécurité traditionnelles.
En conclusion, Frietzsche souligne que la cybersécurité offre une opportunité unique à ceux qui sont attirés par les rôles de protection : « L’informatique est un domaine passionnant, et la cybersécurité est une véritable profession. Vous êtes la personne qui se tient entre les menaces et ce que vous êtes là pour protéger. »
À lire aussi
