Southcoast Health aborde la cybersécurité avec une approche radicale : simuler des pannes de systèmes critiques en pleine activité pour tester la résilience de ses équipes et identifier les points faibles. Cette stratégie, présentée lors du CHIME Fall Forum, vise à intégrer la gestion des risques cybernétiques au cœur des opérations de l’établissement de santé.
Selon Jim Feen, vice-président directeur, directeur du numérique et de l’information, et Matthew Shaw, RSSI (responsable de la sécurité des systèmes d’information) de Southcoast Health, la préparation aux cyberattaques doit être aussi rigoureuse que la planification d’une intervention chirurgicale. Ils ont exposé un programme de « confiance zéro » reposant sur une gouvernance solide, une évaluation minutieuse des risques liés aux prestataires externes et des exercices de résistance délibérés.
Southcoast Health a mis en place une structure de gouvernance interfonctionnelle regroupant les responsables de cinq équipes technologiques au sein d’un comité dédié à l’alignement du support infrastructurel sur la stratégie globale de l’organisation. Un groupe central de gestion des risques et de surveillance, intégrant les aspects juridiques, de conformité, de confidentialité, technologiques et de sécurité, sert de point central pour la prise de décision et la remontée des risques.
« Le risque cybernétique est désormais discuté partout où le risque commercial est abordé », a expliqué Jim Feen, s’inspirant de son expérience au sein d’un conseil consultatif d’une banque communautaire. Il souligne l’importance d’un registre des risques discipliné, d’une acceptation formelle des risques et d’une surveillance continue, des pratiques qu’il adapte au secteur de la santé en collaboration avec les responsables de la conformité.
L’établissement renforce également ses contrôles concernant les risques liés aux tiers. Matthew Shaw, arrivé du secteur bancaire, a instauré une procédure d’examen de la sécurité des informations avant la signature des contrats technologiques, plutôt qu’après leur mise en œuvre. Les contrats incluent désormais des exigences de sécurité spécifiques et l’accès des fournisseurs est conditionné à une évaluation de leur documentation de sécurité.
Techniquement, Southcoast Health a adopté une plateforme d’accès à distance strictement contrôlée, limitant la connexion aux ordinateurs portables gérés par l’organisation et accordant l’accès en fonction des rôles, plutôt que via un réseau privé virtuel général. Cette architecture renforce la gouvernance en rendant les exceptions visibles et contrôlées.
Pour gérer les inévitables lacunes, l’équipe de Shaw a mis en place un processus structuré d’acceptation des risques et de surveillance continue. Les fournisseurs bénéficiant d’exceptions sont placés sur une liste de surveillance avec des délais de résolution précis. « La résistance diminue progressivement », a noté Matthew Shaw, à mesure que de plus en plus de fournisseurs obtiennent des attestations de sécurité indépendantes et s’habituent à des questions de sécurité approfondies.
Southcoast Health va plus loin en simulant des pannes de systèmes en pleine activité. « Nous sommes habitués à tester l’organisation en coupant complètement l’accès pendant un mercredi matin entier », a précisé Jim Feen. Ces exercices, plus longs que les courtes interruptions liées aux mises à niveau planifiées, visent à tester les procédures de gestion des pannes, à identifier les faiblesses des flux de travail, des communications et des plans d’urgence.
Ces simulations sont complétées par des exercices de simulation de scénarios de perturbations prolongées, notamment des attaques de ransomware pouvant paralyser les systèmes pendant des semaines. Ces tests révèlent une dépendance croissante des cliniciens aux outils numériques, en particulier chez les nouveaux employés qui n’ont jamais utilisé de dossiers papier.
Southcoast Health encourage ses services, comme les urgences, à fonctionner périodiquement sans systèmes électroniques pendant plusieurs heures, dans un environnement contrôlé, afin de révéler les dépendances cachées et les besoins en formation. L’objectif est de développer une « mémoire musculaire » pour les flux de travail manuels en cas de crise.
Pour optimiser l’allocation des ressources, Southcoast Health utilise la modélisation des risques au niveau de l’entreprise et des analyses d’impact commercial afin de hiérarchiser les investissements en matière de sécurité en fonction de la probabilité et de l’impact potentiel. Jim Feen insiste sur la nécessité de favoriser des conversations franches avec les dirigeants et les cliniciens sur le niveau de risque que l’organisation est prête à accepter. « Nous devons nous sentir plus à l’aise avec les risques réels auxquels nous sommes confrontés », a-t-il conclu.
Pour aller plus loin
