{"id":95844,"date":"2018-06-05T07:45:28","date_gmt":"2018-06-05T06:45:28","guid":{"rendered":"https:\/\/www.stormshield.com\/?p=95844"},"modified":"2024-06-20T14:08:14","modified_gmt":"2024-06-20T13:08:14","slug":"hopital-connecte-et-e-sante-la-data-une-arme-a-double-tranchant","status":"publish","type":"post","link":"https:\/\/www.stormshield.com\/fr\/actus\/hopital-connecte-et-e-sante-la-data-une-arme-a-double-tranchant\/","title":{"rendered":"H\u00f4pital connect\u00e9 et e-sant\u00e9 : la data, une arme \u00e0 double tranchant"},"content":{"rendered":"

\"\"<\/p>\n

Comme dans bien d\u2019autres secteurs, l\u2019\u00e8re num\u00e9rique ouvre le champ des possibles dans le milieu hospitalier. Mais la multiplication des data de sant\u00e9 est aussi source de cyber-risques accrus qu\u2019il faut anticiper.<\/strong><\/p>\n

Depuis le 25 mai 2018, date d\u2019entr\u00e9e en vigueur du RGPD (R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es<\/a>), la notion de \u00ab donn\u00e9es de sant\u00e9<\/a><\/em> \u00bb est, pour la premi\u00e8re fois, clairement d\u00e9finie. Le d\u00e9cret fran\u00e7ais de janvier 2006 relatif \u00e0 l\u2019h\u00e9bergement de donn\u00e9es de sant\u00e9 \u00e0 caract\u00e8re personnel d\u00e9finissait les exigences de stockage pour les prestataires, mais pas les donn\u00e9es en elles-m\u00eames. Elles correspondent d\u00e9sormais aux \u00ab donn\u00e9es relatives \u00e0 la sant\u00e9 physique ou mentale, pass\u00e9e, pr\u00e9sente ou future, d\u2019une personne physique (y compris la prestation de services de soins de sant\u00e9) qui r\u00e9v\u00e8lent des informations sur l\u2019\u00e9tat de sant\u00e9 de cette personne<\/em> \u00bb. Cette d\u00e9finition large englobe alors les donn\u00e9es \u00e0 caract\u00e8re personnel, comme celles collect\u00e9es par les bracelets et autres objets connect\u00e9s.<\/p>\n

 <\/p>\n

Les promesses de l\u2019h\u00f4pital connect\u00e9<\/h2>\n

Une nouvelle donne qui arrive au moment o\u00f9, avec le vieillissement de la population, l\u2019h\u00f4pital<\/a> \u2013 qui doit plus que jamais devenir un lieu d\u2019accueil, d\u2019accessibilit\u00e9 et de confort \u2013 compte bien s\u2019appuyer sur les nouvelles technologies pour l\u2019y aider.<\/p>\n

L\u2019\u00e8re num\u00e9rique ouvre \u00e9galement celle de la t\u00e9l\u00e9m\u00e9decine (t\u00e9l\u00e9consultation, t\u00e9l\u00e9-expertise, t\u00e9l\u00e9surveillance m\u00e9dicale, t\u00e9l\u00e9assistance et r\u00e9gulation m\u00e9dicale), qui promet d\u2019am\u00e9liorer l\u2019acc\u00e8s aux soins et la qualit\u00e9 de prise en charge. Un levier pour r\u00e9soudre un probl\u00e8me structurel de la m\u00e9decine en France : les d\u00e9serts m\u00e9dicaux<\/a>. Le 13 f\u00e9vrier 2018, le gouvernement annon\u00e7ait ainsi, entre autres mesures, la cr\u00e9ation d\u2019une mission e-sant\u00e9 dont l\u2019objectif sera de faciliter l\u2019accessibilit\u00e9 en ligne, la d\u00e9mat\u00e9rialisation des prescriptions et la simplification du partage d\u2019information entre tous les professionnels de sant\u00e9.<\/p>\n

 <\/p>\n

Recrudescence des cyberattaques contre le secteur de la sant\u00e9<\/h2>\n

Mais la num\u00e9risation est aussi synonyme de cyber-risques accrus. Selon un rapport McAfee Labs Threats Report de d\u00e9cembre 2017, la sant\u00e9, comptant parmi les deux cibles les plus attaqu\u00e9es avec les institutions publiques, a connu tous secteurs confondus la plus forte augmentation du nombre de cyberattaques l\u2019an dernier (+35% de ran\u00e7ongiciels, +24% de logiciels malveillants Mac OS). Un autre acteur de la cybers\u00e9curit\u00e9<\/a> avance m\u00eame le chiffre de 32 000 attaques en moyenne par entreprise de sant\u00e9 en 2017. La sant\u00e9 serait-elle alors une cible de choix ?<\/p>\n

Effectivement, les donn\u00e9es de sant\u00e9 sont essentielles au bon fonctionnement des \u00e9tablissements hospitaliers : ne plus avoir acc\u00e8s \u00e0 ces donn\u00e9es reviendrait \u00e0 travailler \u00e0 l\u2019aveugle pour certains praticiens. En outre, de par leur criticit\u00e9, les machines \u00e0 usage m\u00e9dical sont des actifs int\u00e9ressants pour les cybercriminels, une indisponibilit\u00e9 de ces machines suite \u00e0 une attaque pouvant avoir des cons\u00e9quences d\u00e9sastreuses.<\/p>\n

Or, en raison de budgets limit\u00e9s, le niveau de s\u00e9curit\u00e9 est bien souvent insuffisant. Mais des probl\u00e8mes de s\u00e9curit\u00e9 r\u00e9currents (mots de passe int\u00e9gr\u00e9s cod\u00e9s en dur*, ex\u00e9cution de code \u00e0 distance\u2026) t\u00e9moignent \u00e9galement d\u2019une m\u00e9connaissance ou d\u2019une sous-\u00e9valuation du risque dans certaines organisations hospitali\u00e8res. Il y a donc plus de chance pour les cybercriminels d\u2019obtenir un retour financier \u00e0 leurs attaques en ciblant ce secteur. D\u2019autant plus que les cybercriminels ne cessent de changer de tactiques, passant des traditionnels ransomwares<\/em> \u00e0 l'ex\u00e9cution de logiciels malveillants sans fichier via la suite logicielle PowerShell de Microsoft.<\/p>\n

Peu s\u00e9curis\u00e9s par manque de moyens mais pourtant critiques, les \u00e9tablissements de sant\u00e9 sont des proies faciles<\/em><\/p>\n

Robert Wakim,<\/strong> offer manager Industry chez Stormshield<\/pre>\n<\/blockquote>\n
\u00ab Peu s\u00e9curis\u00e9s par manque de moyens mais pourtant critiques, les \u00e9tablissements de sant\u00e9 sont des proies faciles<\/em> \u00bb, confirme Robert Wakim, offer manager Industry chez Stormshield. \u00ab Ma\u00eetre-chanteurs (ransomwares), mafieux (vol de donn\u00e9es confidentielles) ou m\u00eame apprentis pirates (script kiddies), tous y trouvent un int\u00e9r\u00eat. Il est grand temps que les pouvoirs publics donnent plus de moyens aux \u00e9tablissements afin qu\u2019ils puissent investir plus massivement dans la s\u00e9curit\u00e9 des donn\u00e9es personnelles. Ce qui est pour nous, patients, le plus pr\u00e9cieux<\/em> \u00bb.<\/p>\n
 <\/p>\n
Avec le RGPD, une nouvelle \u00e9tape pour les \u00e9tablissements hospitaliers<\/h2>\n
\u00ab Or, ayant peu de moyens, les professionnels de sant\u00e9 utilisent souvent des outils gratuits et peu prot\u00e9g\u00e9s nativement comme Dropbox par exemple. Ils sont par ailleurs peu sensibilis\u00e9s \u00e0 la protection des donn\u00e9es<\/em> \u00bb, remarque Jocelyn Krystlik, Business Unit Manager chez Stormshield.<\/p>\n
Pourtant, les services informatiques des h\u00f4pitaux vont rapidement devoir envisager une mise \u00e0 niveau, avec l\u2019entr\u00e9e en vigueur du RGPD. \u00ab Des actions simples s\u2019imposent, comme le verrouillage automatique des sessions ; et d\u2019autres plus sophistiqu\u00e9es, comme le chiffrement des disques durs et de la donn\u00e9e, ou encore la protection par des pare-feux des machines m\u00e9dicales connect\u00e9es comme les scanners<\/em> \u00bb, conseille Jocelyn Krystlik.<\/p>\n
Les professionnels de sant\u00e9 sont peu sensibilis\u00e9s \u00e0 la protection des donn\u00e9es<\/em><\/p>\n
Jocelyn Krystlik,<\/strong> Business Unit Manager chez Stormshield<\/pre>\n<\/blockquote>\n
La mise \u00e0 jour des syst\u00e8mes d\u2019exploitation et des applications doit devenir un r\u00e9flexe. Ce point est d\u2019autant plus critique que, dans le domaine hospitalier, il existe toujours des machines fonctionnant sur des syst\u00e8mes d\u2019exploitation obsol\u00e8tes, et donc extr\u00eamement vuln\u00e9rables, comme l\u2019a d\u00e9montr\u00e9 l\u2019attaque WannaCry<\/a>.<\/p>\n
 <\/p>\n
Des solutions pour rem\u00e9dier aux faiblesses des \u00e9tablissements de sant\u00e9<\/h2>\n
Mais la fragilit\u00e9 des h\u00f4pitaux provient \u00e9galement du besoin de collaboration avec de nombreux professionnels de sant\u00e9 externes \u00e0 leurs organisations (autres \u00e9tablissements, praticiens ind\u00e9pendants\u2026). Autant de points d\u2019\u00e9changes et donc de risques informatiques. La s\u00e9curit\u00e9 se joue ainsi \u00e0 tous ces niveaux, pour pouvoir apporter des services de collaboration s\u00e9curis\u00e9s et s\u2019assurer du bon niveau de protection de ces tiers.<\/p>\n
La CNIL (Commission nationale de l'informatique et des libert\u00e9s) a pour sa part publi\u00e9 une s\u00e9rie de recommandations<\/a>, assortie d\u2019une d\u00e9marche \u00e0 suivre en six \u00e9tapes que les \u00e9tablissements de sant\u00e9 peuvent appliquer :<\/p>\n