La cybersécurité : un enjeu quotidien pour les acteurs de santé

Le développement croissant du numérique, de la e-santé, de la télémédecine, du Big Data, des objets connectés et de l’intelligence artificielle rend le secteur médical de plus en plus interconnecté. Consultations médicales à distance, lecteurs de glycémie, moniteurs cardiaques, pacemakers réglables à distance ou encore patchs électroniques implantés sous la peau mesurant les signes vitaux, sont autant de points d’entrée pour les cyberattaques et sont synonymes de vulnérabilité pour les acteurs de santé. Si la protection des données est un enjeu majeur, d’autres risques liés au matériel et à l’infrastructure informatique sont aussi des points de préoccupation récurrents.

La protection des données de santé

Données personnelles particulièrement sensibles, les données de santé font l’objet d’une protection renforcée notamment sur le plan juridique.

Ainsi, la protection des données de santé implique de protéger à la fois leur confidentialité et leur intégrité. La confidentialité des données est un aspect à prendre en compte notamment lors de leur collecte dans de nombreux contextes, tels que :

• les services en ligne : portails de résultats d’analyse, dossier médical partagé, logiciels médicaux en ligne, etc.
• les objets connectés : systèmes de télésurveillance, bracelets connectés, piluliers connectés, etc.
• les systèmes d’information des hôpitaux : logiciels et serveurs utilisés en interne pour la gestion des patients, l’organisation interne et le stockage des informations
• la télémédecine et la téléconsultation

Attention aux cyberattaques !

Incluant les pertes de données, les ransomwares ou encore les interruptions d’activité, la cyberattaque consiste principalement à couper l’accès aux données stockées dans des serveurs informatiques jusqu’à ce qu’une rançon soit reversée généralement.

De même, avec les évolutions numériques, les pirates informatiques n’ont cessé de renforcer leur niveau de sophistication. À titre d’exemple, dans leurs tentatives visant à dérober des dossiers médicaux et des informations de santé protégées, les cybercriminels ont aujourd’hui recours à des bots (robots informatiques) évolués qui remplissent automatiquement, et à un rythme extrêmement rapide, les pages de connexion avec des noms d’utilisateur et des mots de passe usurpés.

Et les motivations se révèlent diverses : revente des données personnelles, dont celles de santé, anéantissement d’un avantage concurrentiel, augmentation d’un pouvoir de négociation. Les conséquences sont elles aussi diverses : mise en danger la vie des patients, perte de réputation des professionnels, entreprises et organismes de santé et perte de confiance de la part des citoyens, usagers de santé.

La cybersécurité a donc pour objet de regrouper tous les éléments de protection des systèmes informatiques (système, réseau, programme) et leurs données qu’ils soient :

• technique par le biais des outils informatiques comme les Firewall ou les antivirus
• conceptuel grâce à une méthode de gestion des risques Ebios (Expression des Besoins et Identification des Objectifs de Sécurité)
• humain avec le recours à des ingénieurs sécurité, des formations et des compétences spécifiques
• législatif et réglementaire avec notamment la présence d’organisme comme l’ANSSI la CNIL… ou la mise en place de normes ISO

Cette protection poursuit plusieurs objectifs :

• Intégrité : s’assurer que les données soient bien authentiques sans corruption, c'est-à-dire garantir que les données sont bien celles que l'on croit être.
• Confidentialité : l'information ne doit être accessible qu'aux personnes autorisées.
• Disponibilités des systèmes : garantir la disponibilité du système pour son utilisation au bon endroit et au bon moment.
• Non-répudiation : impossibilité de nier une transaction.
• Authentification : s'assurer que les personnes qui accèdent aux données sont bien celles qui doivent l'être notamment pour éviter les usurpations d'identité.

> Pour en savoir plus, obtenez le guide de la cybersécurité pour les médecins libéraux

Quelles solutions adopter pour protéger les données de santé ?

Tout d’abord, quelques bonnes pratiques sont à prendre de la part des professionnels de santé et des entreprises et établissements de santé telles que choisir des mots de passe compliqués et les mettre à jour régulièrement, informer et sensibiliser ses utilisateurs.

En effet, la sensibilisation des utilisateurs est un point primordial dans la politique de sécurité puisqu’un utilisateur concerné et impliqué dans cette démarche représente un atout majeur pour une bonne sécurité des données.

Ensuite, l’externalisation des données de santé chez un prestataire de confiance, expert en hébergement et surtout agréé HDS (Hébergeur de Données de Santé) est strictement nécessaire. En France, les acteurs de santé ont ainsi l’obligation de stocker les données par des hébergeurs certifiés HDS, afin que l’hébergement soit adapté au niveau de criticité des données. Cet agrément HDS a pour mission d’encadrer le dépôt, la conservation et la restitution des données de santé. En choisissant d’externaliser leurs données de santé chez un hébergeur certifié, les professionnels de santé garantissent ainsi la disponibilité, l’intégrité, la confidentialité et la traçabilité des données de leurs patients.

> L’hébergement de données de santé chez CGM

Par ailleurs, la mise en place de la législation RGPD qui porte sur toutes les données personnelles, dont les données de santé, renforce les droits des personnes concernées par un traitement de leurs données (pertinence et proportionnalité, conservation limitée…), et confirme un principe d’interdiction de traitement des données de santé en raison de leur sensibilité. La RGPD fixe également l’obligation de signaler les incidents de sécurité, impliquant alors de protéger et surveiller attentivement ce qui se passe sur le système d’information.

> Evaluer sa conformité RGPD

En conclusion, la confiance constitue une notion centrale pour les technologies numériques dans le domaine de la santé. Celle-ci étant un sujet à la fois intime et avec des répercussions vitales, les risques concernant la cybersécurité peuvent déclencher des réactions de méfiance et de rejet. Dans ce contexte, il est donc indispensable de prévenir tout type de failles de cybersécurité, afin d’obtenir la confiance des patients, des médecins et de la société dans son ensemble. 

Depuis de nombreuses années, CompuGroup Medical a fait le choix d’être son propre hébergeur agréé de données de santé afin de proposer des solutions conçues dans le respect des enjeux réglementaires sur la protection et la confidentialité des données patients.