Les hôpitaux et autres établissements de santé sont en train de révolutionner leur approche de la sécurité informatique, passant d’une surveillance générale des réseaux à un suivi précis de chaque appareil connecté. Cette transformation s’avère cruciale face à l’explosion du nombre d’équipements médicaux connectés, qui complexifie considérablement la gestion des actifs.
Selon des experts du secteur, la complexité de la gestion des actifs dans le domaine de la santé dépasse largement celle de la plupart des autres industries. Un hôpital de taille modeste peut gérer un parc d’appareils connectés plus important que celui de grands fabricants, posant des défis considérables aux équipes de sécurité et d’exploitation déjà sollicitées.
À titre d’exemple, l’hôpital pour enfants de Dayton, dans l’Ohio, recense environ 25 000 appareils connectés à son réseau, pour un peu moins de 5 000 employés – un ratio de cinq appareils par employé, incluant ordinateurs traditionnels et dispositifs médicaux. Parmi ces 25 000 appareils, environ 5 000 sont des postes de travail classiques (PC, serveurs Windows) pouvant accueillir des logiciels de sécurité. Les 20 000 restants, en revanche, ne peuvent pas en supporter et nécessitent une surveillance passive du réseau pour être inventoriés et sécurisés.
« La seule façon d’obtenir des informations sur ces appareils est d’analyser leurs communications réseau », explique JD Whitlock, directeur des systèmes d’information (DSI) de l’hôpital pour enfants de Dayton.
La standardisation des équipements représente un autre obstacle majeur, notamment pour les grands groupes hospitaliers. Le système de santé des Franciscains Missionnaires de Notre-Dame, qui exploite 10 établissements et environ 400 sites ambulatoires en Louisiane, compte 20 000 membres du personnel. Le remplacement des dispositifs médicaux – systèmes de télémétrie, pompes à perfusion, distributeurs automatiques de médicaments – sur 2 500 lits peut prendre plusieurs années, obligeant les équipes informatiques à gérer simultanément des équipements de différents fabricants.
« Gérer et surveiller les équipements de plusieurs fournisseurs à travers l’ensemble du système est un véritable défi », souligne Will Landry, vice-président principal et DSI du Franciscan Missionaries of Our Lady Health System.
Mike Vipond, responsable du secteur de la santé chez ServiceNow, insiste sur la singularité de ce secteur : « La complexité du secteur de la santé ne réside pas seulement dans le volume d’actifs, mais aussi dans les contraintes opérationnelles auxquelles les équipes sont confrontées. C’est beaucoup plus complexe que dans n’importe quelle autre industrie, et il faut gérer cela avec des équipes déjà surchargées de travail. »
Les responsables informatiques s’orientent vers une approche plus globale de la gestion des actifs, abandonnant la simple visibilité au niveau du réseau pour une intelligence complète des appareils, quel que soit le réseau auquel ils sont connectés. Wes Wright, directeur des soins de santé chez ORDR, illustre cette évolution avec une analogie : « La gestion au niveau du réseau revient à surveiller les autoroutes et les rues, en utilisant des outils différents pour chaque ‘quartier’ des fournisseurs de réseau. Gérer au niveau de l’appareil, c’est se concentrer sur les véhicules et les passagers, quelles que soient les routes qu’ils empruntent. »
« Si vous savez ce qu’il y a sur la route, où elle va, où elle va normalement, vous n’avez pas à vous soucier des routes elles-mêmes », ajoute-t-il. « Lorsque vous avez une connaissance approfondie de chaque appareil connecté à votre réseau, vous avez atteint le niveau de base de l’information. Tout le reste découle de là. »
Cette nouvelle approche permet de mieux gérer les menaces au niveau des actifs, d’identifier les équipements vieillissants pour planifier les investissements, de réagir rapidement aux rappels de la FDA affectant la sécurité des patients et de prioriser les vulnérabilités en fonction de leur impact sur l’entreprise.
Les processus d’approvisionnement restent toutefois un point faible. La structure décentralisée du secteur de la santé permet parfois aux cliniciens et aux chefs de service d’acquérir des appareils connectés en dehors des canaux informatiques. Contrairement aux environnements industriels, où les employés n’ont pas le pouvoir d’achat, les professionnels de la santé se sentent souvent légitimes à prendre des décisions d’acquisition qui peuvent affecter la sécurité du réseau.
Pour y remédier, il est nécessaire de mettre en place des politiques d’approvisionnement dotées de mécanismes de contrôle. Les équipes chargées des achats doivent avoir le pouvoir de bloquer les acquisitions présentant des risques pour le réseau, avec un alignement des dirigeants entre le DSI, le directeur financier (DFO) et le responsable des achats. Cependant, même les politiques les plus strictes peuvent nécessiter des exceptions.
« Nous faisons des exceptions pour des raisons commerciales, et c’est généralement moi qui les approuve », précise Landry. « Il peut y avoir une justification commerciale légitime, qu’il s’agisse de coûts, de la gamme de services ou d’autres facteurs. »
Instaurer un climat de confiance entre les services informatiques et les équipes médicales permet de réduire le recours à des solutions informatiques non autorisées. Lorsque les services informatiques démontrent leur capacité à répondre efficacement aux besoins cliniques, les équipes sont plus enclines à leur confier les décisions technologiques.
L’intelligence artificielle (IA) offre de nouvelles perspectives pour automatiser les tâches de routine et accélérer les opérations. L’IA générative, entraînée sur des données complètes sur les actifs, peut automatiser les mouvements, les ajouts et les modifications, mettre en œuvre la segmentation du réseau et aider à la gestion des vulnérabilités, tout en s’appuyant sur l’inventaire réel des appareils pour minimiser les risques d’erreurs.
« Cela accélère le travail de mes ingénieurs réseau et de mes experts en cybersécurité, tout en améliorant leur efficacité », explique Whitlock. « S’ils ont des questions sur les résultats de l’IA, ils peuvent toujours vérifier les informations de manière traditionnelle. »
Au-delà de l’inventaire, l’intelligence des actifs est utilisée pour prioriser les correctifs de sécurité en fonction de l’importance des applications, justifier le remplacement des équipements vieillissants et faciliter les processus de déclassement.
En conclusion, la gestion des actifs dans le secteur de la santé doit se concentrer sur une connaissance approfondie de chaque appareil connecté, permettant une gestion proactive des risques et une utilisation efficace des nouvelles technologies, telles que l’IA. Wright souligne l’importance d’un changement de mentalité : « Pour exploiter pleinement le potentiel de l’intelligence des actifs, il faut un changement radical dans la façon dont les équipes informatiques conçoivent leurs responsabilités et l’importance d’un inventaire complet des actifs pour leurs opérations. »
À ne pas manquer
