La cybersécurité dans le secteur de la santé : Sauvegarder les données et la confiance des patients

Le secteur de la santé est une cible privilégiée pour les cyberattaques et figure régulièrement en tête de liste des secteurs d'activité où le coût des violations de données est le plus élevé. Selon le Cost of a Data Breach Report 2024 d'IBM, le secteur de la santé a dû faire face à un coût moyen de 9,7 millions de dollars l'année dernière[1], ce qui représente une baisse de 10,6 % par rapport à 2023, mais le secteur est resté le plus coûteux en matière de violations depuis 2011. Les enjeux sont incroyablement élevés : la sécurité des patients, la continuité des opérations et la confiance sont en jeu. Il ne s'agit pas seulement de pertes financières, mais aussi de l'interruption potentielle de services essentiels et de la compromission d'informations sensibles sur les patients.

La réalité du risque cybernétique

Des études de cas récentes soulignent la gravité des cybermenaces dans le secteur de la santé. Dans un cas, une attaque par ransomware a paralysé un cabinet médical par le biais de la variante HelloKitty, exploitant une vulnérabilité critique[2] Les attaquants ont exfiltré des données opérationnelles essentielles et exigé une rançon d'un million de dollars. Bien que les négociations aient permis de réduire le montant de la rançon à 521 000 dollars, les pertes totales - comprenant les enquêtes médico-légales, les conseils juridiques et les interruptions d'activité - ont dépassé les 800 000 dollars. Cet exemple met en évidence l'impact financier dévastateur que peuvent avoir les cyberattaques, même lorsqu'une rançon est (partiellement) récupérée. Ces coûts peuvent paralyser les petits cabinets et mettre à rude épreuve les grandes institutions.

Dans un autre scénario, un petit hôpital a été victime d'une attaque de logiciels malveillants, ce qui a entraîné des perturbations opérationnelles et des dommages importants aux systèmes[3]. Ces incidents illustrent de manière frappante l'éventail des cyberrisques auxquels sont confrontés les organismes de santé, allant des violations de données et des arrêts opérationnels aux menaces potentielles pour la sécurité des patients. Imaginez que les systèmes d'un hôpital tombent en panne lors d'une situation d'urgence : les conséquences pourraient être mortelles.

En outre, les menaces internes, qu'elles soient malveillantes ou accidentelles, représentent un risque important. Un incident récent a impliqué un sous-traitant qui a volé des appareils à un prestataire de soins de santé, perturbant ainsi les opérations[4], ce qui souligne l'importance non seulement de sécuriser les périmètres numériques, mais aussi de gérer l'accès interne et les risques potentiels liés aux initiés. Les vérifications d'antécédents, les journaux d'accès et les audits réguliers sont des éléments essentiels d'une stratégie de sécurité solide.

Au-delà de ces exemples, les organismes de soins de santé sont confrontés à une myriade d'autres cybermenaces :

• Phishing: tentatives trompeuses d'obtenir des informations sensibles (par exemple, noms d'utilisateur, mots de passe, détails de cartes de crédit) en se faisant passer pour une entité digne de confiance. Les courriels de phishing contiennent souvent des liens ou des pièces jointes malveillants. Le spear phishing est une attaque ciblée visant des personnes ou des organisations spécifiques.
• Attaques par déni de service (DoS) et par déni de service distribué (DDoS): Ces attaques inondent un système de trafic, le submergent et le rendent indisponible pour les utilisateurs légitimes. Dans le secteur des soins de santé, cela peut perturber l'accès aux systèmes et services essentiels, ce qui risque de retarder les soins aux patients. Les attaques DDoS utilisent plusieurs systèmes compromis pour amplifier l'attaque.
• Vulnérabilités de l'internet des objets (IoT): Les dispositifs médicaux, tels que les stimulateurs cardiaques, les pompes à insuline et les moniteurs de patients, sont de plus en plus connectés à Internet. Cette connectivité introduit de nouvelles vulnérabilités que les attaquants peuvent exploiter pour compromettre les dispositifs et potentiellement nuire aux patients.
• Risques liés à la sécurité de l'informatique dématérialisée: À mesure que les organismes de santé migrent leurs données et leurs applications vers l'informatique en nuage, ils sont confrontés à de nouveaux problèmes de sécurité, notamment des violations de données, des configurations erronées et des vulnérabilités dans les services d'informatique en nuage de tierces parties.
• Vulnérabilités des API (interfaces de programmation d'applications): Les systèmes de santé utilisent des API pour partager des données avec d'autres systèmes et applications. Des API non sécurisées peuvent être exploitées par des pirates pour accéder à des données sensibles.

L'évolution du paysage réglementaire

Les organismes de santé doivent également naviguer dans un environnement réglementaire complexe. Au Canada, la loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) est la pierre angulaire de la législation sur la protection de la vie privée. Elle fixe les règles de base concernant la manière dont les organisations du secteur privé, y compris les prestataires de soins de santé, peuvent collecter, utiliser et divulguer des informations personnelles. La LPRPDE impose des normes strictes en matière de sécurité et de confidentialité des informations de santé protégées (ISP), exigeant des organisations qu'elles mettent en œuvre des mesures de protection appropriées pour empêcher l'accès, l'utilisation ou la divulgation non autorisés. Ces garanties englobent des mesures administratives, physiques et techniques, reflétant la nature multiforme des cybermenaces. La non-conformité peut entraîner des amendes importantes et des répercussions juridiques. Il est essentiel de se tenir au courant de l'évolution de ces réglementations pour rester en conformité et éviter les sanctions.  

L'assurance cyber-responsabilité : Un filet de sécurité vital

Dans le monde interconnecté d'aujourd'hui, le monde numérique fait partie intégrante des opérations, mais cette dépendance à l'égard de la technologie a entraîné une recrudescence des cybermenaces. Les cyberattaques ne sont plus une question de "si" mais de "quand", d'où la nécessité d'une cybersécurité solide et d'une assurance responsabilité civile étendue.

L'assurance responsabilité civile cybernétique gère ces risques, agissant comme un filet de sécurité vital. Une police bien conçue protège contre les menaces numériques et fournit un soutien financier crucial après une violation de données. Elle couvre les frais juridiques et médico-légaux, les frais de notification, la surveillance du crédit des personnes touchées et, éventuellement, les amendes réglementaires. Elle permet également de gérer les retombées en termes de réputation.

Les rançongiciels sont une menace répandue, et l'assurance responsabilité civile est essentielle pour y faire face. Certaines polices peuvent couvrir le paiement des rançons, en particulier lorsqu'elles sont conseillées par les forces de l'ordre. Elles couvrent également les frais d'enquête et les pertes d'exploitation.

Au-delà de la compensation financière, de nombreux assureurs proposent des outils proactifs pour renforcer la sécurité. L'évaluation des vulnérabilités permet d'identifier les faiblesses et la surveillance des menaces en temps réel permet de détecter les activités suspectes. Les assureurs fournissent souvent des conseils sur les meilleures pratiques en matière de cybersécurité, et certains offrent l'accès à des experts en cybersécurité pour l'assistance en cas d'incident.

Il est essentiel de choisir la bonne politique. Les organisations doivent évaluer leurs besoins et leurs risques, en tenant compte de leur taille, de leurs données et de leur dépendance technologique. Travailler avec un courtier d'assurance spécialisé garantit une couverture adéquate. Comprendre les avantages de l'assurance cyber-responsabilité et adopter une approche proactive permet de se prémunir contre l'évolution des cyber-menaces et de garantir la continuité des opérations.

Meilleures pratiques en matière de cybersécurité dans le secteur de la santé

Outre l'assurance, les organismes de soins de santé doivent mettre en œuvre des mesures de cybersécurité solides :

• Évaluation des risques: Évaluez régulièrement les vulnérabilités et les menaces potentielles qui pèsent sur vos systèmes et vos données. Cette évaluation devrait comprendre des tests de pénétration, des analyses de vulnérabilité et un examen approfondi des contrôles de sécurité existants.
• Formation des employés: Former le personnel aux meilleures pratiques en matière de cybersécurité, notamment en ce qui concerne la reconnaissance des tentatives d'hameçonnage et la gestion des mots de passe. Des formations régulières et des campagnes de sensibilisation sont essentielles pour instaurer une culture de la sécurité.
• Contrôles d'accès: Mettre en place des contrôles d'accès stricts afin de limiter les personnes autorisées à accéder aux données et systèmes sensibles. Il convient de suivre le principe du moindre privilège, en n'accordant aux utilisateurs que l'accès dont ils ont besoin pour accomplir leurs tâches.
• Chiffrement des données: Crypter les données sensibles en transit et au repos pour les protéger même en cas de violation. Le cryptage rend les données illisibles pour les personnes non autorisées, même si elles y ont accès.
• Plan de réponse aux incidents: Élaborer et tester régulièrement un plan d'intervention en cas d'incident afin de garantir une réponse rapide et efficace à une cyberattaque. Un plan bien défini peut aider à minimiser les dommages et les temps d'arrêt en cas d'incident.  
• Mises à jour des logiciels: Maintenir tous les logiciels et systèmes à jour avec les derniers correctifs de sécurité. Les logiciels obsolètes constituent une vulnérabilité majeure que les attaquants exploitent souvent.
• Authentification multifactorielle (MFA) : Mettez en œuvre l'authentification multifactorielle pour tous les utilisateurs afin d'ajouter une couche supplémentaire de sécurité. L'AMF exige des utilisateurs qu'ils fournissent plusieurs formes d'authentification, ce qui rend l'accès beaucoup plus difficile pour les attaquants, même s'ils ont volé un mot de passe.
• Audits réguliers: Effectuez régulièrement des audits de sécurité afin d'identifier les faiblesses potentielles et d'y remédier. Des audits réalisés par des tiers indépendants peuvent fournir une évaluation objective de votre niveau de sécurité.
• Prévention de la perte de données (DLP): mettre en œuvre des solutions de prévention de la perte de données pour empêcher les données sensibles de quitter le contrôle de l'organisation.
• Segmentation du réseau: Segmentez votre réseau pour isoler les systèmes critiques et limiter l'impact d'une violation.
• Gestion des informations et des événements de sécurité (SIEM): Utiliser les systèmes SIEM pour surveiller les événements de sécurité et détecter les activités suspectes.

Protégez votre entreprise dès aujourd'hui

Les cyberattaques dans le secteur de la santé ne sont pas hypothétiques, elles constituent une menace actuelle et croissante aux conséquences dévastatrices. Les enjeux sont incroyablement élevés. Une cyberattaque réussie peut compromettre les données sensibles des patients, perturber les opérations critiques, éroder la confiance des patients et entraîner des pertes financières considérables. Au-delà des coûts immédiats de récupération, des frais juridiques et des amendes réglementaires, les atteintes à la réputation à long terme peuvent être encore plus profondes. Dans le pire des cas, les cyberattaques peuvent même mettre en péril la sécurité des patients en retardant des traitements, en compromettant des appareils médicaux ou en empêchant l'accès à des dossiers vitaux.

Les professionnels de la santé doivent prendre des mesures immédiates pour protéger les données des patients, maintenir la confiance et assurer la continuité des opérations.

• Investissez dans une assurance responsabilité civile cybernétique : Souscrivez une police d'assurance complète pour soutenir la réponse à la crise et le rétablissement de la situation. Cette assurance agit comme un filet de sécurité, en fournissant un soutien financier pour la réponse à la crise, les efforts de récupération, les conseils juridiques et les règlements potentiels. Elle aide les organismes de santé à faire face à la tempête et à minimiser les retombées financières d'une cyberattaque.
• Donner la priorité à la prévention : Mettez en œuvre des mesures de cybersécurité solides, y compris la sécurité des appareils, les politiques de mot de passe et la formation des employés. Une posture de sécurité proactive est la première ligne de défense contre les cybercriminels.
• S'associer à des experts : Tirez parti de l'expertise des assureurs et des professionnels de la cybersécurité pour remédier de manière proactive aux vulnérabilités. Les organismes de santé ont besoin d'accéder à des connaissances et à des ressources spécialisées pour rester à l'avant-garde des nouvelles menaces.

La cybersécurité n'est pas seulement un problème informatique ; c'est un élément fondamental de la sécurité des patients et de la confiance dans les soins de santé. En agissant maintenant, les organismes de santé peuvent renforcer leur résilience, protéger leurs activités et garantir la sécurité des patients qui dépendent d'eux.

Michael Fan

Chargé de clientèle, Services professionnels et financiers

Je suis Michael Fan, chargé de clientèle chez Axis Insurance. J'ai rejoint l'équipe en 2022. Ma carrière d'une dizaine d'années dans le domaine de l'assurance commerciale est marquée par une profonde compréhension de la gestion des risques, en particulier pour les architectes et les ingénieurs. Formé au British Columbia Institute of Technology, je suis titulaire d'un baccalauréat en administration des affaires et d'un diplôme en assurance générale et en gestion des risques, ainsi que des titres de Professionnel d'assurance agréé et de Gestionnaire de risques canadien.

BIOGRAPHIE DE L'AUTEUR

Danielle Wolff

Chargé de clientèle, Services professionnels et financiers

Je suis Danielle Wolff, chargée de clientèle chez Axis Insurance, spécialisée dans la responsabilité civile professionnelle. Mon rôle consiste à aider les clients des services professionnels à gérer les risques propres à leur secteur, qu'il s'agisse des soins de santé, des sciences de la vie, de l'immobilier, des avocats, de l'architecture ou de l'ingénierie. Titulaire d'un baccalauréat et d'une maîtrise de l'Université Wilfrid Laurier, ainsi que de la désignation de courtier d'assurance agréé au Canada, j'apporte une base solide à chaque interaction avec les clients.

BIOGRAPHIE DE L'AUTEUR

[1] : IBM. (2024). Rapport sur le coût d'une violation de données 2024.

[2] : Coalition. (n.d.). Medical office ransomware attack. Extrait de https://www.coalitioninc.com/en-ca/case-studies/healthcare/medical-office-ransomware-attack

[3] : CFC. (n.d.). Étude de cas sur les cyber-sinistres : Beyond the breach. Extrait de https://www.cfc.com/en-ca/knowledge/resources/case-studies/cyber-claims-case-study-beyond-the-breach/

[4] : Coalition. (n.d.). Contractor disrupts operation after stealing devices. Extrait de https://www.coalitioninc.com/en-ca/case-studies/healthcare/contractor-disrupts-operation-after-stealing-devices