La confiance zéro est désormais un impératif dans le secteur de la santé : Les enseignements de HIMSS 2022

Directeur du marketing des solutions industrielles

Mars 24, 2022

23 min. lire

Après une année record en matière de violations de données médicales aux États-Unis, le retour de HIMMS, la plus grande conférence mondiale sur les soins de santé, s'est déroulé la semaine dernière à un moment charnière pour le secteur.

Le centre du salon était dominé par le mélange habituel de stands de haute technologie et de grande valeur présentant les dernières aides aux soins des patients, de la gestion des images au PACS et aux systèmes automatisés de flux de travail des patients. La transition vers les technologies de l'industrie 4.0 sur le marché des soins de santé se généralise à mesure que les systèmes sont davantage interconnectés et que l'accès à ces systèmes est nécessaire dans un plus grand nombre d'endroits.

À l'une des extrémités du hall caverneux se trouvait le Centre de commandement de la cybersécurité, un point central pour les praticiens de la sécurité dans le secteur de la santé, avec des fournisseurs de pointe et des sessions de formation examinant les derniers sujets et tendances en matière de sécurité.

Les conversations avec les participants à la conférence ont mis en évidence une chose : le rythme des changements dans le déploiement de nouveaux systèmes n'a pas été suivi par les investissements nécessaires en matière de cybersécurité.

Les défis les plus fréquents que nous avons entendus sont les suivants :

Le rythme de mise en œuvre des nouvelles technologies
Protection des équipements médicaux
Maintenir la disponibilité du système
L'étalement technologique
Attaques par ransomware

D'un point de vue positif, le choix judicieux que font de nombreuses équipes est d'élaborer une stratégie de confiance zéro. Dans les théâtres d'éducation, toutes les sessions sur la confiance zéro ont été bien suivies.

L'avantage d'une approche de la sécurité fondée sur la confiance zéro est qu'elle peut être indépendante de toute infrastructure, ce qui répond à un défi majeur de la mise en œuvre de nouvelles technologies. Le processus d'identification des actifs clés et de compartimentation des ressources qui composent ce système fonctionnera indépendamment du fait qu'il s'agisse d'une application financière ou d'un chariot de chevet. De même, la confiance zéro est indépendante de l'emplacement, de sorte qu'il importe peu que ce que vous protégez se trouve dans la chambre d'un patient ou dans le nuage.

Voici quelques mesures simples que tout organisme de soins de santé peut prendre pour adopter facilement la confiance zéro :

Identifiez les systèmes et les actifs que vous devez protéger. Identifiez les systèmes qui ont besoin de communiquer et ceux qui n'en ont pas besoin. Même si la tendance actuelle est à l'hyperconnectivité, il est peu probable qu'un scanner IRM ait besoin d'une communication directe avec le système RH. La cartographie des connexions entre les applications, les données et les actifs médicaux permet de visualiser les éléments qui composent chaque système. La visualisation des communications vous aidera à identifier les scanners, les terminaux, les bases de données et les applications qui composent le système de gestion d'images. À partir de là, vous pouvez mettre en évidence les restrictions à introduire pour contrôler le flux de données et, par défaut, le mouvement latéral de tout ransomware.
Identifier les risques potentiels qui existent au sein de votre infrastructure. Tous les systèmes présentent des vulnérabilités qui peuvent être dues à des correctifs qui n'ont pas encore été appliqués ou à des failles de sécurité qui n'ont pas encore été découvertes. Il est essentiel de connaître les autres ressources auxquelles vos systèmes sont connectés pour comprendre le risque que représentent ces vulnérabilités. En combinant l'analyse des vulnérabilités, les informations sur les menaces et les données de connectivité, il est possible de créer une vue contextuelle mettant en évidence les endroits où des restrictions doivent être appliquées.
Appliquer les politiques de sécurité optimales. Une fois que vous avez identifié les composants d'un système et déterminé le risque, il est temps de compartimenter les systèmes les uns par rapport aux autres afin de stopper la propagation potentielle d'une attaque. L'un des obstacles à la compartimentation ou à la segmentation d'un environnement est la nécessité de réorganiser le réseau. L'application de la segmentation au niveau du système, où elle est découplée de toute infrastructure sous-jacente, élimine la nécessité de modifier le réseau. En segmentant facilement les applications, les dispositifs médicaux et les autres systèmes, la disponibilité des actifs clés peut être maintenue même en cas d'attaque.

Si ces mesures rendent la confiance zéro pratique et réalisable, la sécurisation de l'ensemble de l'infrastructure des soins de santé devient de plus en plus difficile, car de nombreux nouveaux dispositifs médicaux n'agissent pas de la même manière qu'un dispositif informatique. Si un bien, tel qu'un chariot de chevet, est alimenté par un système Windows, il est relativement facile de recueillir des informations sur son fonctionnement et ses modes de communication. Toutefois, s'il s'agit d'une pompe, le fonctionnement est légèrement différent. Il ne répondra pas aux mêmes commandes et ne réagira pas de la même manière.

Ce défi rend difficile la visualisation de l'interaction entre les systèmes informatiques traditionnels et l'IdO médical. Pour résoudre ce problème, Illumio s'est associé à Cylera pour réunir les deux environnements de manière simple. L'une des nombreuses activités de Cylera consiste à recueillir des informations et des métadonnées sur les dispositifs médicaux IoT. Ces données peuvent être importées dans Illumio Core et tous les actifs sont affichés sur une carte dans une vue unique.

Cela permet d'avoir une vision très simple de l'ensemble du système médical et de montrer l'interaction entre les différents systèmes médicaux. Grâce à ce processus, vous serez en mesure de déterminer les communications qui doivent être autorisées et celles qui doivent être interrompues.

À partir de la carte, les politiques de confiance zéro peuvent être facilement appliquées d'un simple clic de souris - ce qui simplifie grandement le processus de déploiement d'une stratégie de confiance zéro dans l'ensemble de l'infrastructure des soins de santé, quel que soit le type d'actif ou l'emplacement.

Apprenez-en davantage sur la façon dont Illumio peut aider votre organisation de soins de santé dans son cheminement vers la confiance zéro :