Archives par mot-clé : santé

Qu’est-ce qui rend les systèmes informatiques de santé difficile à protéger ?

Aujourd’hui la protection des systèmes informatiques des services de santé pose un réel problème.

Et cela dans un contexte où nous pouvons observer librement la multiplication des attaques informatiques dans le secteur. La question n’est plus de savoir pourquoi ces attaques augmentent de plus en plus. On doit juste pas chercher à comprendre Ce qui rend aussi vulnérable les systèmes informatiques des établissements de santé ? Est-ce dû à quelques complications liées intimement au secteur ? La question est juste posée. Les spécialistes les spécialistes tablent là-dessus.

Cet article va aussi vous intéresser : Les recommandations de l’Union Européenne pour la protection des hôpitaux contre les attaques informatiques

« La sûreté, qui consiste à lutter contre les défaillances et les erreurs, et la sécurité, qui vise les attaques délibérées, sont aujourd’hui traitées comme des activités distinctes. Or, dans le domaine de la santé où les données sont bien souvent confidentielles, il s’agit de concepts étroitement liés, en particulier depuis la mise en œuvre du RGPD. Faute de solutions idéales, il faut alors se contenter de compromis imparfaits. », explique LEIF Nixon, expert en sécurité informatique chez Sectra Communications. « Les accès aux bases de données ont ainsi été strictement limités aux seules personnes authentifiées via une procédure sécurisée. Mais l’urgence médicale s’accommode mal des verrouillages d’écran et autres mots de passe oubliés. D’où la mise en place de dispositifs de type « bris de glace » permettant de contourner le contrôle d’accès normal en cas d’urgence, voire de solutions plus pragmatiques consistant à placer la souris d’ordinateur à l’intérieur d’un agitateur pour empêcher l’activation du verrouillage d’écran. » précise le spécialiste.

La nature des systèmes informatiques des établissements des santés est tripartite. Le fait qu’elle se constituent à trois niveaux aggrave sa complexification. Il se détaille comme suit :

– Le premier niveau est destiné typiquement à la gestion des tâches quotidiennes de bureautique. Cette partie ne fait pas l’exclusivité pour le système de santé. Donc la pratique Générale peut aider à l’améliorer

– Quand au second niveau, il est beaucoup misé sur les dispositifs médicaux. « Beaucoup contiennent des ordinateurs intégrés dont les mises à jour ne sont plus supportées par le fabricant. Les placer dans des réseaux entièrement isolés peut alors empêcher les personnels d’accéder à leurs données médicales depuis un poste distant, ce qui peut être problématique pour assurer la continuité des soins ou échanger avec des opérateurs tiers. » explique notre spécialiste.

– Quant au troisième niveau, il n’est pas très bien connu il faut l’avouer.  C’est à ce stade qu’on parle de système de contrôle et d’acquisition de données. Un système qui gère l’ensemble des aspects plus ou moins vital de l’établissement à savoir l’électricité, le chauffage, la ventilation… S’il est certain que cette partie est plus que vitale pour l’établissement, elle généralement négligée voir mis de côté lors de la définition de la sécurité informatique du système dans son ensemble. Pourtant il n’est pas à l’abri des attaques informatiques dont les conséquences peuvent s’avérer dramatiques. On pense par exemple à un rançongiciels qui pourrait faire stopper le fonctionnement de la ventilation ou même de l’électricité lors d’une opération chirurgicale par exemple, mettant alors en danger les patients sur le coup.

« À cette complexité technique s’ajoute un véritable dédale règlementaire. Par exemple, en ce qui concerne le système de distribution d’oxygène médical, la responsabilité des canalisations physiques revient à l’installateur, tandis que celle du produit médical est du ressort d’un professionnel de santé. L’industriel n’est pas en reste, la règlementation imposant la mise en place d’un service interne de sécurité pour les gaz sous pression. À qui incomberait alors, en dernier ressort, la sécurité informatique ? Ce manque de clarté dans les chaînes de responsabilité augmente les risques et complexifie la mise en œuvre d’une politique de sécurité informatique cohérente. » note Leif Nixon.

Malheureusement selon plusieurs approches techniques, on ne peut pas résoudre tout ce problème avec une solution universelle. Car il en existe pas. Il faudra alors procéder par étape et être patient. À ce propos, Leif Nixon souligne : « Trouver des solutions efficaces sera long et nécessitera une étroite collaboration entre toutes les parties prenantes. Les fabricants d’équipements médicaux doivent s’efforcer d’améliorer la sécurité de leurs produits, les tutelles doivent tenter d’établir une coopération internationale efficace, et les établissements de santé doivent s’attacher à renforcer leur sécurité de manière continue et progressive. »

Sécurité informatique et santé : la sensibilisation en lieu et place de l’investissement

Depuis le début de l’année 2021, nous assistons constamment à une déferlante de la cybermalveillance dans le domaine de la santé.

En France, plusieurs cas de fuite de données ainsi que de violation de système d’informations ont été identifiés. Face à cela le gouvernement français a affirmé qu’il prenait très au sérieux la menace dans le secteur sanitaire. En 2020 il a été recensé près de 27 établissements de santé touchés par les attaques informatiques. Enfin février 2021, laboratoire français du nom de Ocealab, situé dans les vannes était d’attaque informatique, une attaque qui a permis aussi cybercriminels de dérober des données personnelles de près de 121 669 patients.

Cet article va aussi vous intéresser : La vulnérabilité des systèmes informatiques des établissements de santé selon L’ANSSI

Si aujourd’hui d’une certaine manière, l’on est habitué à ce genre de cas de figure, il faut reconnaître que cela a connu une certaine augmentation. Malgré ces menaces, les organisations sanitaires de la Vannes n’ont pas encore adapté leur système informatique.  Pourtant ils le savent très bien, à tout moment ils peuvent être victime d’une attaque informatique. Il y a d’ailleurs de fortes chances qu’il soit victime d’attaquer informatique. En effet, comme bien d’autres, ils ont à gérer des centres donnés très sensibles. Des données qui à de la valeur aux yeux des cybercriminels.

« On est sur le qui-vive malgré toutes les précautions que nous prenons. On se demande tous quand est-ce que ça va nous tomber dessus. On vit avec une hantise permanente d’être sur le tableau de chasses de ces cybercriminels », souligne Rolland Barel, le directeur des Systèmes d’information du GHBA.

« Ce n’est pas une menace qui nous met en tension permanente puisque les risques sont identifiés », affaire avec nuance Nicolas-Pierre Poizat, directeur de l’hôpital privé Océane.

« Améliorer la sécurité informatique est une préoccupation permanente », souligne de son côté Yann Deguillaume, le directeur général délégué du laboratoire Océalab.

Pourtant, malgré le fait que l’alerte est donnée, les professionnels du secteur de la santé ne se précipitent pas pour verser de grosse somme d’argent dans leur sécurité. Au contraire, ils saisissent l’opportunité pour accentuer la communication autour de la menace cyber. « Il a été l’occasion de recommuniquer sur la responsabilité individuelle qu’ont nos employés », note à cet effet, Nicolas-Pierre Poizat. En d’autres termes, sensibiliser tous les acteurs directs et indirects liés à la cybersécurité.

Ce n’est pas tout, les professionnels profitent des cyberattaques pour observer les tactiques utilisées par les cybercriminels. « L’agression dont a été victime Océalab confirme notre investissement dans la sécurité. Nous suivons de très près les conséquences et les ajustements nécessaires à tirer de cet évènement », souligne, le directeur adjoint de la Caisse primaire d’assurance maladie (CPAM), Gaspard Lallich.

Pour ce qui est de l’action gouvernementales, un renforcement du statut des organisations de santé publique est en cours de développement. Les exigences en matière de gestion de données ainsi que de protection des systèmes informatiques évoluent. Les hôpitaux et autres centres de santé seront alors encadrés pour reprendre ses nouvelles exigences.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Santé : quelle approche Française de la Cybersécurité ?

2021 vient à peine de finir, que nous observons continuellement des cyberattaques qui touchent directement les de secteurs clés de la société moderne.

En particulier, celui de la santé. On observe aussi beaucoup de fuite de données de santé dues aux logiciels malveillants et aux actes de cybermalveillance. L’importance de la cybersécurité a toujours es un fait. L’année 2020 l’a assez bien prouvé ainsi que les années précédentes. Mais, ces derniers moments le secteur de la santé semble être l’une des cibles de choix des pirates informatiques. Et cela se comprend nettement.  La situation actuelle a littéralement mis sur la sellette le secteur de la santé et les cybercriminels, comme à leur accoutumée veulent en profiter leur manière.

Cet article va aussi vous intéresser : Fuites de données médicales : vérifier si l’on est concerné par la fuite massive de données de santé

Vu sous cet aspect, nous nous interrogeons alors sur approche françaises de la cybersécurité dans le secteur de la santé.

« La France a pourtant pris en compte la protection des données dès 1978, avec la Loi Informatique et libertés ayant inspiré le Règlement général sur la protection des Données (RGPD), connu pour ses sanctions très dissuasives. De même, la France a largement œuvré en matière de cybersécurité dans le secteur santé, et spécifiquement dans les établissements de santé, ce dont témoignent les nombreux textes et référentiels applicables, la plupart associés à des mécanismes contraignants tels que certification/accréditation obligatoire, et/ou incitations financières. » explique Marguerite Brac de La Perrière, Avocat associé, département Santé numérique au cabinet LERINS & BCW.

Sur cette lancée rappelons les déclarations du ministre de la santé en novembre 2019. Ce dernier avait considéré la sécurité informatique des établissements de santé comme étant une « priorité nationale ». Il profite de cet instant pour interpeller pour les citoyens et les encourager à la vigilance numérique.

De plus, il a été institué depuis le 1er octobre 2017 une obligation pour les établissements de santé, de déclarer tout incident lié à la sécurité informatique à travers un portail qui a été spécialement institué à cet effet. Cette situation était susceptible de l’accompagnement de la part de l’Agence Régionale de la Santé, un démembrement du ministère. Il y a aussi l’obligation de signaler toute violation de données à la Commission nationale de l’Informatique et des libertés, une obligation bien sûr qui ne se limite pas qu’aux établissements de santé cette fois ci.

La disponibilité des informations des patients est importante dans la mise en place d’un quelconque soins ou d’une quelconque prise en charge. Cependant, « cette prise en charge a largement évolué ces dernières années pour les besoins d’un meilleur maillage du territoire et de rationalisation des modes de gestion. » note Marguerite Brac. « En effet, la prise en charge n’est plus assurée au niveau d’un établissement de santé, mais d’un territoire avec, en clef de voûte, un Groupement Hospitalier de Territoire (GHT) pouvant rassembler autour d’un projet médical partagé jusqu’à vingt établissements de santé, lesquels assurent une prise en charge commune et graduée, mise en œuvre au moyen d’un système d’information hospitalier convergent, et notamment d’un dossier patient informatisé (DPI) permettant une prise en charge coordonnée des patients au sein des différents établissements partis au groupement. Ainsi, les informations concernant une personne prise en charge par un établissement public de santé partie à un groupement doivent désormais pouvoir être partagées avec l’ensemble des autres établissements, le GHT étant considéré comme une équipe de soins. » ajoute l’avocate.

« En dehors des GHT, et dans le même sens, la donnée est partagée entre acteurs de santé dans le cadre des parcours de soins coordonnés, articulés autour d’une prise en charge décloisonnée et partagée entre professionnels exerçant dans les secteurs sanitaire, médico-social et social, et ce, via le déploiement et l’usage des services socles tels que le dossier médical partagé (DMP) et les services numériques de coordination. » énonce cette dernière.

Les échanges de données lorsqu’elles sont exécutés dans des contextes en également définis répondant aux critères de sécurité, cela ne pose aucun problème. Cependant cette situation entraînement une plus grande connectivité des établissements de santé. Une situation qui dans une certaine mesure est susceptible de poser problème. En effet, il est clair que les établissements de santé en France ne sont pas suffisamment mature pour appréhender tout ce que tu as fait sans risque.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Santé et sécurité informatique

Depuis le début de l’année jusqu’à la période de confinement depuis le mois de mars, les établissements de santé sont devenus l’une des cibles privilégiées des pirates informatiques.

Les exemples sont légions et il ne passe pas un mois sans que l’établissement de santé quelconque que ce soit un hôpital ou un laboratoire ne soit victime d’une attaque informatique au d’une tentative d’intrusion. Le besoin d’accroître la capacité de protection des réseaux de service de santé est devenu aujourd’hui une priorité.

Cet article va aussi vous intéresser : En pleine crise de la pandémie du coronavirus, un hôpital Tchèque est victime d’une attaque informatique

Il y a 1 ans de cela on estimait déjà que la sécurité au niveau des établissements de santé n’était pas réellement ce qu’il y avait de mieux et pire encore, on estimait qu’elle était à un niveau alarmant. L’année s’est terminée avec la violation et la divulgation ou le vol de données qui appartenaient à près de 16 milles professionnels du secteur de la santé. Des données qui sont constituées à la fois de mots de passe et autres identifiants de connexion ou informations nominatives. Tout ces problèmes ont malheureusement été amplifiés durant l’année 2020. Et les raisons qui peuvent expliquer cela sont nulles autres que ce dont tout le monde a déjà idée : la pandémie à coronavirus et ses conséquences directes telles que l’adoption massive du télétravail.

On a pu observer alors, au vu de tout cela que les infrastructures informatiques pour presque tout les secteurs d’activité étaient nettement vulnérables en particulier au niveau de la santé.

« L’année 2020 aura amplifié ces préoccupations, car la pandémie de COVID-19 a révélé la véritable vulnérabilité des infrastructures de santé. Les établissements sanitaires ont dû faire face dans un premier temps aux conséquences médicales et financières de la pandémie. Et dans un second temps, aux risques de sécurité inhérents au modèle du travail à domicile et aux attaques de plus en plus sophistiquées des cybercriminels cherchant à exploiter ces vulnérabilités. » explique Martyn Crew, Directeur du marketing des solutions chez Gigamon.

La pandémie à coronavirus se constitue comme une aubaine pour la cybercriminalité. Les pirates informatiques ont tout mis en œuvre pour être en mesure de profiter au maximum des retombées de cette situation. À travers différents formes d’attaque tel que le phishing, ils n’ont pas cessé leur collecter des données nécessaires pour la mise en place de la stratégie de cybermalveillance. La crainte des individus face à la maladie les a malheureusement rendus vulnérables.

« Les cybercriminels et acteurs malveillants ont rapidement su trouver un moyen de tirer profit de la pandémie de COVID-19 par le biais d’attaques de phishing. Ils ont exploité les craintes des patients et du personnel de santé qui, dès la généralisation du télétravail, accédaient majoritairement aux réseaux d’entreprise via leurs smartphones et ordinateurs personnels sécurisés depuis leurs réseaux à domicile. », souligne Martyn Crew.

À partir de là le problème de sécurité en commencé. Les attaques de type Mirai, des Botnet ont exploité les diverses vulnérabilités qu’offraient les réseaux et systèmes informatiques. Le secteur de la santé a été particulièrement visé sur tous les établissements de recherche en pour le vaccin contre le CoVid-19. Les attaque de type Dropper ont aussi connu un boom avec les rançongiciels.

Face à la situation, les établissements de santé en décidé de prendre des mesures qui s’imposent et pour améliorer leur sécurité. Cependant les attaques informatiques persistent. Malheureusement certaines atteignent même leur but. Il y a quelques mois de cela, une patiente allemande mourait après une attaque informatique subie par l’établissement de santé dans lequel il était interner.

En outre, force est de constater que les mesures de protection déployées par les organisations de santé ont du mal à répondre au besoin. Et même au-delà des organisations de santé, les entreprises aussi sont touchées par le manque d’efficacité de leur protection dans certains sens. Martyn Crew explique à cet effet : « De nombreuses entreprises ont mis à la disposition des employés en télétravail des ordinateurs sécurisés utilisant des solutions de détection et de réponse (EDR). Elles ont également rendu obligatoire l’utilisation de réseaux privés virtuels (VPN), mais cela ne résout pas entièrement le problème de sécurité. En effet, ces solutions permettent de protéger l’utilisateur et le réseau contre de futures attaques. Mais si une infiltration du réseau a déjà eu lieu, les attaques sous forme de menaces persistantes avancées (APT) peuvent rester en sommeil pendant des semaines, des mois, voire des années, sur un réseau qui en apparence, semble sécurisé. ».

Par conséquent, l’on migre inéluctablement vers un modèle nouveau de cybersécurité. Les spécialistes évoquent à cet effet l’architecture de sécurité Zero Trust. Une organisation qui permet de répondre aux besoins de la collaboration à distance et de la relation entre professionnels de la santé et patient.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage

Fuite de données : Les cybercriminels volent des données de santé en Finlande et les exposent

Le centre de psychothérapie Vastaamo a été touché par une attaque informatique qui a eu pour conséquence immédiate, détournement de plusieurs données appartement à une centaine de patients durant la semaine dernière.

Pour mettre la pression sur le centre de psychothérapie pour le paiement d’une rançon de plus de 450 000 €, les cybercriminels ont commencé à publier en ligne certaines données. Pour stopper ces agissements, ils ont exigé alors le paiement de ladite rançon.

Cet article va aussi vous intéresser : La problématique de la vie privée et les données personnelles

Les informations qui ont été publiées étaient composées des données relatives au contenu des séances de thérapie subies par les patients du centre de santé. Cela comprend aussi les données de mineurs. Mais depuis le vendredi, les publications ont cessé. Certains supposent alors que le centre a fini par céder aux chantages.

Les faits ont été rapportés par la plateforme en ligne Foreigner.fi. Elle rapporte : « Les pirates informatiques ont réussi à accéder à la base de données de milliers de clients de la société Vastaamo et ont commencé à publier des données personnelles sur des patients après avoir détecté des vulnérabilités dans leur système ». Elle ajoute par ailleurs « Mais le scandale causé par l’extorsion d’un groupe de pirates informatiques à la société privée qui fournit des services de psychothérapie au système de santé publique a pris fin vendredi à la grande stupéfaction des Finlandais. ».

Notons à toutes fins utiles que Vastaamo, la cible des cyberattaques, et un centre privé dédié à la psychothérapie. Il fonctionne généralement en tant que sous-traitants dans le système de santé publique de la Finlande. Il fournit essentiellement des traitements psychiatriques aux personnes atteintes de dépression où certains troubles mentaux. Il est affilié à la population en grande partie grâce à la société d’assurance sociale KELA. Dans un sens, la fille qui a toujours une bonne réputation en terme de révolution numérique en Europe, ne peut malheureusement échapper à ses problèmes liés à la cybersécurité. Et les données des patients atteints de troubles psychiatriques ont été exposées par ce manque.

Pour inciter le responsable du centre à payer les 450 000 € en bitcoin non de rançon, les cybercriminels ont commencé à publier des informations 100 patients par jour, sur le réseau informatique chiffré Tor. Vu que l’entreprise continue à résister, les cybercriminels ont accéléré la cadence avec des données de 200 patients par jour.

Le journal rapporte que les extorqueurs ont exigé environ 450 000 euros (en bitcoins) en échange de la non-publication des données cliniques et de santé mentale de milliers de personnes. Pour emmener les responsables de Vastaamo à vite réagir, les cybercriminels ont commencé à publier les données de 100 personnes chaque jour, à partir de mercredi dernier, sur le réseau informatique chiffré Tor. Les informations divulguées sont essentiellement constituées de noms et prénoms des patients, de leur numéro d’identification personnelles, leurs numéros de téléphone, de leur adresse physique et électronique ainsi que le contenu des séances de thérapie.

« Une entité hostile inconnue a contacté Vastaamo et a prétendu avoir obtenu des informations confidentielles des clients de l’entreprise. La police criminelle centrale a lancé une enquête pénale sur cette affaire. Des notifications immédiates ont également été faites au Centre finlandais de cybersécurité, à Valvira et au commissaire à la protection des données. En outre, Vastamo a pris des mesures immédiates pour clarifier l’affaire en coopération avec des experts en sécurité externes et indépendants », a souligné la Vastaamo dans un communiqué de presse, selon la plateforme Foreigner.fi.

On pouvait lire sur la ligne de la plate-forme en ligne que si les cybercriminels ont cessé de divulguer les informations volées au centre de santé psychiatrique, personne ne sait véritablement les raisons qui ont pu motiver les cybercriminels à procéder ainsi. Cependant, rien ne garantit qu’ils de détiennent plus ces informations ou s’ils n’ont plus l’intention de les utiliser. En effet certaines informations telles que les adresses email, les noms et prénoms peuvent être utilisés dans les cadres de cyberattaques ciblées, de quoi à mettre en danger les patients une seconde fois. Il faudra alors vérifier le plus souvent sur le dark web si ces données n’ont pas été revendues et exposées là-bas.

Accédez maintenant à un nombre illimité de mot de passe :

Découvrez nos logiciels de piratage