2025 Mises à jour de la sécurité HIPAA : Ce que les organismes de santé doivent savoir

Les cyberattaques frappent plus durement que jamais le secteur de la santé. La sécurité des patients et les données sensibles étant en jeu, les nouvelles propositions de mise à jour de la règle de sécurité HIPAA constituent un appel audacieux à l'action : la résilience plutôt que les excuses.

Les mises à jour proposées de la règle de sécurité visent à renforcer la protection des informations électroniques protégées sur la santé (ePHI). Pendant des années, les organismes de soins de santé ont eu du mal à suivre les conseils en matière de cybersécurité. Nombre d'entre eux ont laissé des lacunes critiques dans leurs défenses.  

Aujourd'hui, l'Office for Civil Rights (OCR) appelle à une approche plus forte et plus claire pour sécuriser les systèmes de soins de santé du pays. Le message ? Il est temps de donner la priorité à l'action plutôt qu'à l'intention.

Voici un aperçu de ce que signifient les changements proposés et de la manière dont les prestataires de soins de santé peuvent s'y préparer.

Les 3 plus grands changements proposés en matière de sécurité HIPAA  

Les nouvelles propositions de l'HIPAA ne se limitent pas à de petites modifications des règles de sécurité existantes. Ils changent la donne en matière de cybersécurité des soins de santé. Voici les trois principaux changements auxquels les organismes de soins de santé doivent se préparer dès à présent.

1. Passer d'un état d'esprit de prévention à un état d'esprit de résilience

L'un des grands changements dans les mises à jour proposées est le passage d'une approche axée uniquement sur la sécurité à une approche axée sur la cyber-résilience.  

Il ne suffit pas d'empêcher les menaces d'entrer, il faut aussi être prêt à contenir les attaques et à en réduire l'impact. Les organismes de santé sont des infrastructures essentielles et toute perturbation de leurs activités peut être catastrophique. Ils doivent être en mesure de se rétablir rapidement en cas d'attaque.

Comme l'explique la proposition, "les entités réglementées doivent examiner comment leurs mesures de sécurité favorisent la résilience face à un événement indésirable".

Il s'agit là d'un puissant changement de mentalité. Les organismes de santé sont invités à mettre en place des systèmes capables de s'adapter et de se rétablir en cas de crise.  

Les nouvelles exigences signifient que la cyber-résilience n'est pas un simple bonus. Elle est essentielle pour protéger les patients, les données et les opérations dans le paysage actuel des menaces.

2. Construire des systèmes de cybersécurité personnalisés et fondés sur les risques

Une autre mise à jour importante est l'adoption d'une approche de la sécurité fondée sur les risques.  

Au lieu de traiter tous les risques de la même manière, les organisations doivent évaluer leurs menaces spécifiques et se concentrer sur les plus critiques.

Le projet de règlement stipule que "les entités doivent réduire les risques liés à leurs informations personnelles à un niveau raisonnable et approprié à leur situation spécifique".

Cette approche reconnaît que tous les organismes de soins de santé ne sont pas identiques. Un grand réseau hospitalier présente des risques différents de ceux d'une petite clinique. En adaptant les efforts de sécurité à leur situation particulière, les fournisseurs peuvent s'assurer que leurs défenses sont à la fois efficaces et efficientes.

3. S'attaquer à la sécurité des anciens appareils

L'un des défis les plus difficiles à relever pour les organismes de soins de santé est la gestion des dispositifs médicaux obsolètes. Ces systèmes anciens sont souvent dépourvus de dispositifs de sécurité modernes, ce qui rend les réseaux vulnérables aux attaques.  

La nouvelle proposition n'édulcore pas cette question. Le projet reconnaît que "certaines entités réglementées peuvent encourir des coûts pour le remplacement des dispositifs médicaux existants qui ne peuvent pas être raisonnablement protégés contre les menaces actuelles".

Bien que nécessaires, ces mises à jour pourraient peser sur les prestataires de petite taille et ruraux dont les budgets sont limités. Mais ignorer le problème n'est pas une option. Les cyberattaques visant les appareils vulnérables pourraient coûter encore plus cher à long terme.

Exigences techniques proposées par l'HIPAA pour la cybersécurité des soins de santé

Les mises à jour proposées ne se limitent pas à de grandes idées. Elles comprennent des mesures spécifiques que les organismes de soins de santé doivent prendre pour améliorer la sécurité :

• Réponse aux incidents : Les organisations doivent créer et tester régulièrement des plans de réponse aux incidents pour s'assurer qu'elles sont prêtes à faire face à d'éventuels cyber-événements.

• Sécurité de la chaîne d'approvisionnement : Les fournisseurs doivent évaluer les risques liés à leurs partenaires commerciaux et à leurs chaînes d'approvisionnement afin de remédier aux vulnérabilités des tiers.

Le projet met également l'accent sur les exigences techniques, en les rendant obligatoires plutôt que facultatives :

• Atténuation de la vulnérabilité

• Cryptage

• Authentification multifactorielle (MFA)

• Sauvegarde et récupération des données

• Restreindre les ports ouverts

• Segmentation

La segmentation, en particulier, mérite d'être soulignée. Bien que cela soit considéré comme une bonne pratique depuis des années, cela devient maintenant une exigence en matière de conformité et d'assurance.

Pourquoi la microsegmentation est-elle importante aujourd'hui pour les soins de santé ?

Le projet mentionne la segmentation du réseau, mais les organismes de soins de santé devraient aller plus loin avec la microsegmentation.  

La microsegmentation divise les réseaux en zones plus petites et isolées. Cela limite les mouvements des attaquants s'ils pénètrent dans le système, ce que l'on appelle les mouvements latéraux.

Contrairement à la segmentation traditionnelle, qui repose sur des défenses périmétriques, la microsegmentation fonctionne à un niveau granulaire. Il peut empêcher les menaces de se propager tout en maintenant les opérations normales. Pour les prestataires de soins de santé, cela signifie moins d'interruptions et une meilleure protection des données sensibles.

Chez Illumio, nous avons vu comment la microsegmentation transforme les stratégies de sécurité. Il ne s'agit pas seulement de respecter les réglementations, mais aussi de créer un système de défense proactif, prêt à faire face aux nouvelles menaces et résilient en cas d'attaque.

Quelle est la prochaine étape en matière de cybersécurité des soins de santé ?

Les propositions de mise à jour de la loi HIPAA sont plus que des ajustements réglementaires : elles constituent un signal d'alarme pour le secteur des soins de santé. Les organismes de santé doivent dépasser les pratiques dépassées et adopter une approche avant-gardiste de la cybersécurité.  

La résilience n'est plus une option, c'est une nécessité.

Ces changements ne seront pas faciles. Leur mise en œuvre nécessitera du temps, de l'argent et un changement d'état d'esprit. Mais le coût de l'inaction est bien plus élevé. Les cyberattaques sont de plus en plus sophistiquées et les enjeux sont trop importants pour être ignorés.

Les organismes de santé doivent considérer ces mises à jour comme une opportunité et non comme un fardeau. En investissant dans la résilience et en adoptant les meilleures pratiques telles que la microsegmentation, elles peuvent construire un avenir plus solide et plus sûr.

Les organisations qui relèveront ce défi seront mieux préparées aux menaces de demain - et gagneront ainsi la confiance de leurs patients et de leurs partenaires.

Lisez notre guide sur la façon dont la plateforme de segmentation Illumio Zero Trust peut vous aider à répondre aux nouvelles exigences de sécurité de l'HIPAA.