Les cyberattaques ne se limitent plus aux services informatiques des hôpitaux : elles impactent désormais directement les finances, le bon fonctionnement des établissements et même la prise en charge des patients. Une étude récente révèle que les systèmes de santé américains sont de plus en plus vulnérables et que la cybersécurité est devenue un enjeu stratégique majeur.
Selon le rapport « US Healthcare Cyber Resilience Survey » de KLAS et EY, 72 % des dirigeants d’établissements de santé interrogés ont subi un impact financier, allant de modéré à sévère, au cours des deux dernières années. 59 % d’entre eux ont également constaté des conséquences cliniques directes. Les menaces les plus courantes sont le phishing, les intrusions par des tiers et les logiciels malveillants, avec une moyenne de cinq types d’attaques distincts par organisation sur la dernière année.
Face à cette situation, les hôpitaux réorientent leurs priorités budgétaires. La gestion des identités et des accès (IAM) arrive en tête des investissements prévus pour le prochain exercice, avec 68 % des établissements y allouant des fonds supplémentaires. La gestion des menaces et des vulnérabilités suit de près (64 %), ainsi que diverses initiatives de modernisation et de services gérés.
L’étude souligne un changement de mentalité : la cybersécurité est perçue de plus en plus comme un outil stratégique pour assurer la pérennité de l’activité. 81 % des dirigeants interrogés estiment qu’une stratégie commerciale intégrant la cybersécurité est essentielle pour surmonter les défis actuels. Cependant, 65 % d’entre eux reconnaissent un manque de moyens pour mettre en œuvre efficacement ces mesures, soulignant la nécessité d’un engagement fort et durable de la direction.
« Le RSSI (responsable de la sécurité des systèmes d’information) doit être un véritable partenaire stratégique, impliqué dès la phase de planification des activités, et non plus simplement un exécutant de dernière minute », estime un dirigeant interrogé dans le rapport. Cette approche permet de traduire la cybersécurité en bénéfices concrets, tels que la réduction des temps d’arrêt, l’amélioration de la sécurité des patients et une plus grande stabilité financière.
La gestion des identités, qu’elles soient humaines ou non, est devenue une priorité absolue. Les acteurs malveillants exploitent de plus en plus les identifiants volés et les comptes aux droits d’accès excessifs. Les établissements renforcent donc les contrôles sur le cycle de vie des comptes privilégiés, vérifient la légitimité des identités non humaines et exigent une authentification plus rigoureuse, notamment pour l’accès aux portails patients et aux dossiers médicaux.
Le facteur humain reste une vulnérabilité majeure. Un responsable de la sécurité a ainsi rapporté des cas d’appels frauduleux où des individus se font passer pour des médecins, et plus récemment, pour des patients ayant oublié leurs identifiants. La prolifération des informations personnelles sur le marché noir rend les méthodes d’authentification traditionnelles, comme la validation téléphonique, de moins en moins efficaces.
La sécurité des fournisseurs tiers représente également un défi important. 68 % des personnes interrogées ont rencontré des difficultés à imposer des exigences de cybersécurité dans leurs contrats avec des prestataires externes, et 56 % s’inquiètent des implications réglementaires liées à la sécurité de ces derniers.
Les dirigeants d’établissements de santé critiquent une approche de la conformité trop axée sur le respect de « cases à cocher », qui ne permet pas de réduire efficacement les risques. Ils plaident pour une gouvernance basée sur une évaluation des risques mesurée et transparente, intégrée à l’ensemble de l’entreprise. Cette évolution favorise l’innovation, car la cybersécurité contribue de plus en plus à des initiatives clés, telles que les soins virtuels, la télémédecine, les dispositifs connectés et l’utilisation de l’intelligence artificielle pour la documentation.
Le manque de personnel qualifié reste un obstacle majeur. Les postes vacants peuvent rester ouverts pendant des mois, ce qui oblige les établissements à combiner le recrutement interne, la formation croisée, l’automatisation et le recours à des prestataires spécialisés. Plus de la moitié des répondants (52 %) considèrent la formation et le perfectionnement des équipes comme un levier efficace pour faire face aux menaces actuelles.
En conclusion, l’étude met en évidence l’importance d’associer la sécurité aux résultats concrets, tels que la sécurité des patients, la réduction des interruptions de service et la protection des revenus. Il est également crucial de renforcer la gestion des identités, de traiter les fournisseurs tiers comme faisant partie intégrante du périmètre de sécurité, de privilégier une gouvernance basée sur les risques et d’investir dans le développement des compétences.
Comme le souligne un dirigeant interrogé : « Mettre en œuvre l’intelligence artificielle et l’analyse de données sans tenir compte de la cybersécurité, c’est comme acheter une voiture sans ceinture de sécurité. »
Sur le même sujet
