Les systèmes de santé sont confrontés à une vulnérabilité croissante en matière de sécurité, malgré le déploiement massif de l’authentification multifacteur (MFA). Des experts ont mis en garde contre une approche trop simpliste de la gestion des identités, soulignant la nécessité d’une stratégie globale et d’une prise de conscience accrue des risques à tous les niveaux de l’organisation.
Lors du forum d’automne de CHIME, la session « L’identité sous le feu : réduire le risque à un niveau acceptable » a mis en évidence l’importance cruciale de l’identité comme fondation de toute stratégie de cybersécurité. Les intervenants ont insisté sur le fait que la technologie, la gouvernance et la culture d’entreprise doivent évoluer simultanément pour contrer les menaces, qu’elles soient d’origine humaine ou technologique, et de plus en plus sophistiquées.
Si l’authentification multifacteur est désormais largement adoptée, elle ne constitue qu’une première étape, selon James Case, vice-président/RSSI de Baptist Health. « La MFA n’est qu’un niveau de protection, mais nous devons mettre en œuvre de nombreuses autres mesures pour sécuriser efficacement les identités », a-t-il déclaré.
Jason Taule, RSSI chez Luminis Health, a rappelé que la sécurité des identités a toujours été un enjeu central, même si elle n’a pas toujours été priorisée. « L’identité est le problème numéro un que nous devons résoudre, car tout le reste repose sur elle », a-t-il affirmé.
Les panélistes ont décrit un environnement où les attaquants exploitent les failles dans les processus d’inscription, de vérification et d’assistance. Ils ont notamment évoqué l’existence de marchés en ligne où des identités complètes sont vendues, permettant de contourner les contrôles d’embauche, ainsi que les difficultés liées à la vérification des identités à distance, où les numéros de téléphone sont souvent privilégiés à l’authentification réelle.
Une question fondamentale soulevée lors de la discussion a été de savoir qui doit définir le niveau de risque acceptable pour un établissement de santé. Jason Taule a précisé que son rôle de RSSI consiste à soulever la question du risque et à permettre aux dirigeants de prendre des décisions éclairées. « Mon rôle n’est pas de décider du niveau de risque, mais de m’assurer que cette question est posée et que les dirigeants disposent de toutes les informations nécessaires pour prendre une décision », a-t-il expliqué.
James Case a souligné l’importance d’intégrer la gestion des risques liés à la cybersécurité dans une approche globale de gestion des risques d’entreprise chez Baptist Health. « La gestion des risques d’entreprise définit le niveau de risque acceptable pour Baptist Health, et la cybersécurité en fait partie intégrante », a-t-il précisé.
Monique St. John, vice-présidente, RSSI/CIO associée de l’Hôpital pour enfants de Philadelphie, a présenté une méthode consistant à utiliser des notes de service sur les risques pour formaliser la responsabilité partagée. « Ces notes de service obligent les équipes à documenter les risques, à collaborer sur leur évaluation et à les présenter conjointement aux décideurs », a-t-elle expliqué. Ce processus implique la participation des responsables de la sécurité, des affaires juridiques, de la confidentialité et de la direction, afin d’obtenir une décision claire et documentée.
La discussion s’est également portée sur les identités non humaines, telles que les comptes de service, les connexions tierces et les agents d’intelligence artificielle (IA). Les panélistes ont souligné que de nombreux établissements de santé utilisent encore des comptes de service de longue durée, dont les identifiants ne sont jamais mis à jour et ne bénéficient pas de l’authentification multifacteur, ce qui suscite des inquiétudes auprès des assureurs et des autorités de régulation.
La gestion des accès privilégiés a été identifiée comme un contrôle essentiel pour maîtriser ces risques. Certaines organisations adoptent des modèles où les identités privilégiées sont créées à la demande, utilisées pour une tâche spécifique, puis supprimées, limitant ainsi les possibilités de mouvements latéraux et d’attaques persistantes.
Les intervenants ont également mis en garde contre le potentiel des systèmes d’IA, qui deviennent des acteurs de plus en plus puissants. À mesure que ces outils sont intégrés aux flux de travail cliniques et opérationnels, ils accumulent des autorisations et un accès aux données comparables à ceux des utilisateurs humains. Sans politiques claires concernant leur provisionnement, leur surveillance et leur suppression, les systèmes de santé pourraient être confrontés à des défaillances ou à des abus imprévus.
Au-delà de la technologie, les panélistes ont souligné l’importance de la culture d’entreprise et de l’adhésion des équipes cliniques. Ils ont reconnu les tensions entre les exigences de sécurité et les contraintes des flux de travail cliniques, en particulier dans les situations d’urgence. Plusieurs intervenants ont décrit des cas où des attaquants se sont fait passer pour des cliniciens en détresse, exploitant l’empathie du personnel pour contourner les mesures de sécurité.
Pour contrer cette pression, les intervenants ont préconisé l’établissement de relations directes avec les dirigeants cliniques, ainsi qu’un soutien visible de la part du conseil d’administration, de la direction générale, du médecin-chef et du responsable infirmier. Ils ont souligné qu’un parrainage clair de la direction facilite l’application de contrôles plus stricts, tels que la vérification vidéo ou l’enregistrement biométrique, même si ces mesures peuvent ajouter des étapes supplémentaires pour les cliniciens.
Monique St. John a ajouté que la documentation des risques et les forums de gouvernance ne sont efficaces que si les participants sont disposés à s’engager activement. Cette participation, selon elle, dépend moins des organigrammes que de la compréhension par les dirigeants que la sécurité des identités est une priorité au même titre que la qualité des soins, les finances et les opérations.
Points clés à retenir :
- Considérez l’authentification multifacteur comme un élément d’une stratégie d’identité plus large, incluant des contrôles stricts en matière d’inscription, de vérification et d’assistance.
- Intégrez les décisions relatives aux cyber-risques dans la gestion globale des risques d’entreprise.
- Utilisez des notes de service structurées sur les risques pour documenter l’exposition, recueillir différents points de vue et obtenir une acceptation explicite des risques ou des mesures de remédiation.
- Mettez en œuvre la gestion des accès privilégiés pour contrôler les identités non humaines et limiter la durée de vie des identifiants d’administrateur.
- Impliquez les dirigeants cliniques et exécutifs dès le début pour que les contrôles d’identité plus stricts soient perçus comme des facteurs de sécurité des patients plutôt que comme des contraintes administratives.
Les panélistes ont conclu en soulignant que la sécurité des identités ne peut être déléguée ou ignorée si les établissements de santé souhaitent protéger les soins aux patients dans un contexte de menaces en constante évolution. Pour garantir la fiabilité de leurs applications, de leurs réseaux et de leurs données, les fournisseurs de soins doivent commencer par définir correctement leurs identités.
Sur le même sujet
