Les établissements de santé sont particulièrement exposés aux cyberattaques:

• Numérisation croissante des échanges de données et d’informations entre acteurs médicaux
• Interconnexion croissante du parc informatique; le dysfonctionnement d’appareils est un risque pour la santé, voire pour la vie des patients
• Infrastructure informatique hétérogène dans les hôpitaux, les laboratoires et les cabinets médicaux – il y a encore peu de normes et de standards minimaux contraignants en matière de sécurité informatique
• Sensibilisation du public au thème de la protection des données – les atteintes à la protection des données font de plus en plus scandale et portent préjudice à l’image des établissements

Plus la sécurité informatique est cruciale pour une organisation, plus cette dernière fera l’objet de tentatives de chantage. La rançon la plus forte jamais demandée par des cybercriminels en Suisse et dont le grand public a eu connaissance s’élève tout de même à 6 millions de francs, tendance à la hausse!

Les établissements de santé de plus en plus visés

On observe que les pirates informatiques s’attaquent de plus en plus au secteur médical depuis ces dernières années. Trois exemples l’illustrent:

• Fin octobre 2019, plusieurs hôpitaux et divers établissements de santé suisses ont fait l’objet d’une cyberattaque très agressive: des pirates se sont introduits dans leurs serveurs et ordinateurs par l’intermédiaire d’un cheval de Troie (baptisé Emotet). Le maliciel était en mesure d’espionner des données, de manipuler des appareils et de coder des mémoires de données.
• En 2019 également, des médias ont révélé que des radiographies haute résolution de millions de patients étaient conservées sur des serveurs sans aucune protection, avec le nom et prénom de la personne concernée, sa date de naissance, les informations sur le traitement, etc. Une négligence scandaleuse eu égard à la protection des données!
• En 2018, les données médicales de 1,5 million de citoyens singapouriens ont été dérobées.

Advanced Persistent Threats

Depuis longtemps, les cyberattaques ne sont plus le seul terrain de jeu de «nerds» boutonneux: elles constituent le business d’entités criminelles parfaitement formées et rigoureusement organisées. Les experts en sécurité parlent ici d’«Advanced Persistent Threats»

(APT). Ce terme fait référence à des attaques professionnelles menées grâce à des ressources massives et préparées longtemps à l’avance avec un objectif clair: extorquer une rançon, espionner, etc.

L’augmentation des points faibles potentiels est une conséquence de cette professionnalisation des cyberattaques.

Les responsables informatiques doivent corriger de plus en plus de failles de sécurité dans des délais toujours plus serrés.

Stratégie de la défense dynamique

Les concepts de sécurité classiques ne sont plus en mesure de repousser efficacement les cyberattaques modernes de type APT. Aujourd’hui, installer des pare-feux et des antivirus et les mettre à jour régulièrement ne suffit plus. Le paysage informatique est devenu trop complexe et évolue trop vite.

La cybersécurité moderne suit donc la stratégie de la défense dynamique. En voici les principes:

• Mises à jour en continu: surveillance des nouvelles menaces et mises à jour continues des systèmes de défense (pare-feux, passerelles, etc.)
• Isolation: séparation des produits/systèmes par des instances de contrôle intercalées pour éviter une «contamination» mutuelle. L’isolation de systèmes anciens qui ne sont pas actualisés régulièrement est particulièrement importante. (Exemple: un ordinateur qui fonctionne encore sous Windows 7)
• Authentification: authentification mutuelle des appareils utilisés de façon à pouvoir modifier le parc informatique de façon dynamique sans créer de failles de sécurité (exemple: le remplacement de l’ordinateur du cabinet médical)
• Codage: tous les flux de données sont codés si bien que des failles de sécurité au sein du réseau n’entraînent pas la divulgation d’informations.

Le nouveau concept de sécurité du réseau MediData

Le nouveau réseau MediData applique la stratégie de défense dynamique de façon systématique. Les deux éléments clés sont les produits d’Adnovum et la MediData Box:

Le produit logiciel Nevis de la société Adnovum assure un maximum de sécurité lors de la transmission d’informations au sein du réseau MediData. Adnovum fait partie des grands spécialistes de la cybersécurité – UBS, la Poste ou la douane suisse lui font confiance. L’entreprise analyse en continu les menaces issues d’Internet et actualise les composants du réseau en conséquence. Nevis garantit par exemple l’application automatique du protocole de codage le plus actuel.

La MediData Box – un mini-ordinateur autonome – s’intercale entre le réseau à proprement parler et l’ordinateur du cabinet médical (principe de l’isolation). MediData l’alimente directement par Internet avec les mises à jour de Nevis (principe de l’actualisation périodique).

La Box communique avec l’ordinateur et le logiciel spécifique à la branche par un processus d’échange de données spécial après authentification standardisée correspondante. Concrètement, elle offre au logiciel spécifique à la branche une API REST avec clé d’authentification facile à mettre en place pour télécharger des données sur le réseau et consulter des informations. Un cabinet médical peut par exemple faire tourner 5 ordinateurs qui sont reliés entre eux et accèdent tous les 5 en toute sécurité à la MediData Box.

L’ensemble de la communication entre l’ordinateur du cabinet médical et la Box et entre la Box et Internet est codé (TLS).

Une protection maximale contre les pannes

La MediData Box étant un mini-ordinateur autonome, elle peut mettre en mémoire tampon l’ensemble de la communication du et vers l’ordinateur du cabinet médical en cas de panne du réseau et la transmettre ultérieurement. Les coupures du réseau du fournisseur d’accès Internet sont alors moins stressantes.

À ceci s’ajoute le fait que le réseau MediData est doublement géré: il n’y a pas un, mais deux centres de données parallèles reliés entre eux par fibres optiques. Si un centre de données tombe en panne, l’autre poursuivra son activité sans discontinuité, sans que l’utilisateur s’en rende compte.

Conclusion

La cybersécurité ne s’achète pas, on doit y veiller. Il n’existe pas de produit tout fait qui sécurise automatiquement le réseau. La sécurité s’obtient plutôt par une analyse précise et la combinaison habile de différents éléments. Dans le cas du réseau MediData, elle résulte de la combinaison entre cybersécurité externe (Nevis/Adnovum), centres de données haute sécurité et MediData Box avec les interfaces logicielles correspondantes.

La combinaison, la plus futée qui soit, ne servira à rien si elle est conçue comme un «mur de sécurité» statique. Seul un système dynamique qui s’adapte en permanence aux nouveaux cas de figure et menaces peut faire front aux cyberattaques professionnelles de notre époque.