Expert Q&A : Comment le secteur de la santé peut-il se préparer à l'augmentation des cybermenaces ?

Ce Q&A a été publié à l'origine dans Soins de santé au niveau mondial. Entretien réalisé par Ella Thompson.

Selon le HIPAA Journal, les attaques de ransomware dans le secteur de la santé ont augmenté de 328% au cours du premier semestre 2022. Et le coût moyen d'une violation dans le secteur de la santé est de 10,1 millions de dollars, contre 4,35 millions de dollars en moyenne dans les autres secteurs, selon l'IBM Cost of a Breach Report 2022 (rapport sur le coût d'une violation en 2022).

Le secteur de la santé est une cible majeure des cyberattaques - comment les organisations peuvent-elles s'y préparer ?

Nous avons rencontré Trevor Dearing, directeur du marketing des solutions industrielles d'Illumio, pour discuter de la façon dont les organismes de soins de santé peuvent être proactifs face aux cybermenaces.

Rejoignez Illumio à HIMSS 2023 à Chicago du 17 au 21 avril au stand 2678. Inscrivez-vous dès aujourd'hui.

Pourquoi le secteur de la santé figure-t-il en tête de liste des cibles des cyberattaquants ?

Le secteur de la santé est une cible privilégiée des cyberattaques, car une attaque peut mettre en péril le bien-être - voire la vie - des patients.

Les cybercriminels s'attaquent toujours à ceux qui offrent le plus de chances de gagner de l'argent. Ils savent que les prestataires de soins de santé ne peuvent se permettre aucun temps d'arrêt lorsque la sécurité des patients est en jeu et sont donc plus enclins à payer et à le faire rapidement. C'est pourquoi le secteur est devenu l'une des principales victimes des attaques par ransomware, en particulier ces dernières années.

Mais les organisations ne doivent pas seulement se méfier des attaques de ransomware. Les prestataires de soins de santé détiennent d'importants volumes de données personnelles sur les patients, qui constituent une marchandise sur les marchés du dark web. Ces données alimentent des attaques plus ciblées, le chantage et la fraude.

Le secteur est également devenu une cible plus attrayante grâce à l'augmentation des dispositifs médicaux connectés qui ont élargi la surface d'attaque. L'instabilité économique et les pressions exercées sur les dépenses publiques signifient également que de nombreux prestataires de soins de santé n'ont pas le budget nécessaire pour s'aligner sur les stratégies cybernétiques plus robustes d'autres secteurs.

Comment se déroulent exactement les attaques de ransomware ?

La plupart des attaques de ransomware suivent un schéma similaire. Les acteurs du ransomware obtiennent un accès initial à une organisation et se cachent dans les réseaux (jusqu'à plusieurs mois) avant de frapper. Ils se déplacent furtivement sur le réseau de l'organisation, obtenant des privilèges d'accès de haut niveau pour accéder à des fichiers précieux et à des systèmes critiques avant de déployer leur ransomware, verrouillant ainsi les fichiers et les applications. Si les organisations ne parviennent pas à enrayer la propagation, elles verront rapidement toutes leurs activités s'arrêter.

Pour les prestataires de soins de santé, le pire scénario pourrait être la déconnexion des dispositifs médicaux, tels que les capteurs permettant de surveiller les signes vitaux des patients et d'administrer automatiquement un traitement. Il peut aussi bloquer les dossiers des patients et les systèmes de gestion des rendez-vous, paralysant ainsi l'organisation.

Nous constatons également que de plus en plus d'attaques utilisent une tactique de "double extorsion" combinant le cryptage des données et l'exfiltration. L'attaquant fait des copies des données et les crypte, puis menace de divulguer ou de vendre les informations confidentielles même si la victime paie la rançon.

Comment les organismes de santé peuvent-ils se prémunir contre les cybermenaces ?

Les organisations doivent cesser d'investir autant de ressources dans la prévention des attaques et investir plutôt dans la gestion de leur impact. Cela signifie qu'il faut accepter que des attaques se produisent et en atténuer l'impact en limitant les brèches.

L'un des meilleurs modèles de sécurité pour améliorer la cyber-résilience est la confiance zéro. Cette stratégie repose sur le mantra "ne jamais faire confiance, toujours vérifier", ce qui signifie qu'aucun utilisateur n'est automatiquement autorisé à accéder aux fichiers et aux applications simplement parce qu'il possède les informations d'identification appropriées.

En règle générale, la confiance zéro repose sur trois piliers : Accès réseau sans confiance (ZTNA), Sécurité des données sans confiance (ZTDS) et Segmentation sans confiance (ZTS). Ce dernier est essentiel pour contenir les brèches, en divisant le réseau en plusieurs sections scellées, les mouvements entre les zones étant régis par les principes de la "confiance zéro".

Une étude de l'Enterprise Strategy Group (ESG) a montré que les organisations qui ont adopté des stratégies de confiance zéro évitent en moyenne cinq cyber-catastrophes par an et économisent en moyenne 20 millions de dollars en temps d'arrêt des applications. De plus, une émulation d'attaque menée par Bishop Fox a révélé qu'Illumio ZTS peut rendre les attaquants inefficaces en moins de 10 minutes, soit quatre fois plus rapidement que la détection et la réponse aux points d'accès (EDR) seules.

Pourquoi le secteur des soins de santé devrait-il changer d'état d'esprit et s'efforcer d'isoler les attaques plutôt que de les prévenir ?

Ces dernières années, nous avons assisté à une évolution considérable des motifs d'attaque, l'accent étant mis non plus sur le vol de données, mais sur la disponibilité. Cela signifie que la cybersécurité n'est plus seulement un problème de sécurité ; c'est un problème opérationnel avec des impacts tels que des temps d'arrêt prolongés, des dommages financiers et des atteintes à la réputation, et pour les soins de santé, des pertes potentielles de vies humaines.

Les attaques sont désormais axées sur une perturbation maximale, les acteurs de la menace comptant sur leur capacité à atteindre les systèmes et les données critiques avant que les défenses ne les détectent. Les attaques sont également de plus en plus nombreuses et les cybercriminels utilisent des tactiques de plus en plus sophistiquées pour atteindre leurs objectifs. Cela signifie que la prévention seule n'est plus une stratégie viable.

Aussi bien sécurisé que soit le réseau, la compromission est inévitable. C'est ce que nous appelons la mentalité "assume breach". Cela peut sembler une attitude très défaitiste pour un spécialiste de la sécurité, mais c'est cette mentalité qui empêchera une violation de se transformer en un grave désastre. Si les organisations acceptent qu'un attaquant franchisse leurs défenses, elles peuvent mettre en place des mesures pour contenir la menace et en minimiser l'impact.

Parlez-nous des mesures que les organismes de santé, quels que soient leur taille et leur budget, peuvent prendre pour renforcer immédiatement leur position en matière de sécurité.

La première mesure à prendre par les organisations est de cartographier les communications de tous les systèmes. Une fois qu'un pirate s'est infiltré dans une organisation, il tente de s'attaquer aux actifs les plus précieux. Il peut s'agir de données relatives aux patients ou de dispositifs médicaux. Les organisations doivent déterminer quels systèmes peuvent communiquer et comment déterminer les restrictions à mettre en place.

Ensuite, les organisations doivent utiliser ces connaissances pour identifier et quantifier les risques auxquels est confronté tout bien ou toute application. Cela peut se faire en fonction de la vulnérabilité de chaque système et de l'exposition à laquelle il est confronté lorsqu'il se connecte à d'autres systèmes et appareils.

La dernière étape consiste à appliquer des contrôles basés sur le principe du moindre privilège afin de régir et de restreindre l'accès entre les ressources. L'arrêt des communications non autorisées permet de contenir une attaque en un seul endroit et d'empêcher les attaquants d'atteindre des biens et des services essentiels. Cette approche s'applique également aux dispositifs médicaux, aux centres de données, à l'informatique en nuage et aux terminaux.

En suivant ces étapes, l'infrastructure médicale sera plus tolérante aux brèches et les organisations pourront maintenir leurs services même en cas d'attaque, sans avoir à les interrompre ou à déplacer les patients.

Inscrivez-vous dès aujourd'hui à HIMSS 2023 et rencontrez Illumio à notre stand 2678.

Apprenez-en davantage sur la façon dont Illumio ZTS peut aider à sécuriser votre organisation de soins de santé.

Contactez-nous dès aujourd'hui pour une démonstration et une consultation gratuites.