L’Agence du Numérique, via le programme régional Cyberwal By Digital Wallonia, présente dans un livre blanc une stratégie globale pour renforcer les défenses en cybersécurité des institutions de santé. Des conseils précieux qui valent des bitcoins.

Dans cet ouvrage, plusieurs spécialistes réclament des moyens spécifiques et enjoignent les professionnels de la santé et les experts en cybersécurité à collaborer davantage. Ils encouragent également la diffusion des meilleures pratiques pour protéger l’intégrité de notre système de santé. Ce livre blanc a été présenté lors de la récente cyberweek par le ministre wallon du Numérique, Willy Borsus, et est le premier jalon d’une série d’actions.    

«Ces dernières années, le secteur médical s’est révélé être une cible privilégiée des cyberattaques, en raison de l’urgence de la disponibilité et de la sensibilité des données. La Belgique a connu, elle aussi, plusieurs incidents majeurs qui ont fortement perturbé le fonctionnement d’hôpitaux et d’autres organisations liées aux soins de santé», rappelle Miguel De Bruycker. Le directeur général du Centre pour la cybersécurité Belgique (CCB) recommande à toutes les organisations du secteur médical de prendre quatre précautions minimales.

• Premièrement, disposer de sauvegardes hors ligne non connectées au réseau de l’institution.
• Deuxièmement, limiter les accès au strict minimum nécessaire pour le bon fonctionnement. Cela s’applique à la fois aux droits des utilisateurs et à l’accès aux serveurs et dispositifs spécifiques.
• Troisièmement, garantir les capacités de détection. Au-delà des logiciels et du matériel (système de détection d’intrusion, pare-feu, EDR, antivirus, etc.), il s’agit également de veiller à ce que les alertes générées par ces produits soient transmises et analysées en temps utile par les bonnes personnes.
• Quatrièmement, planifier et tester les procédures à suivre en cas d’incident ou de détection. La communication interne, avec les collègues, les partenaires extérieurs… est à inclure dans cette démarche.

Miguel De Bruycker conseille également aux institutions piratées de contacter le Cyber Emergency Response Team fédérale (Cert) pour signaler un incident, en plus des notifications requises par le GDPR auprès, entre autres, de l’Autorité de protection des données.

Une question de priorité et de budget
On le sait, les hôpitaux manquent de moyens financiers et humains pour renforcer leur cybersécurité. Wallonie Santé vient d’ailleurs de proposer des prêts «cybersécurité» (lire sur www.lespecialiste.be) pour permettre aux institutions de soins de s’équiper.

«Un défi réside dans l’absence de budgets spécifiques dédiés à la cybersécurité dans de nombreux hôpitaux», explique Anthony van der Maren (Ataya Partners) dans le livre blanc. «Les budgets informatiques sont souvent «saupoudrés», regroupant toutes les demandes informatiques au sein d’une même enveloppe. Cette approche peut rendre difficile l’attribution de fonds suffisants pour mettre en place des mesures de cybersécurité robustes et adaptées aux besoins spécifiques de chaque établissement.»

L’expert insiste également sur la formation et la sensibilisation des employés. «Le facteur humain est souvent un maillon faible dans la chaîne de la sécurité informatique et c’est pourquoi la sensibilisation à la cybersécurité au sein de l’ensemble du personnel hospitalier revêt une importance cruciale.» 

Jorien Decroos (Approach Cyber) souligne d’ailleurs que «les médecins, qui sont souvent indépendants et apportent leur propre matériel, les employés, les stagiaires et les étudiants contribuent à la complexité du contexte de sécurité.»

L’hôpital est un lieu public dans lequel de nombreuses personnes entrent et sortent. Il faut donc aussi tenir compte de la menace interne. C’est le cas classique d’un médecin ou d’un membre du personnel qui se connecte avec un ordinateur infecté au réseau et le contamine. «Une fois de plus, cela souligne l’importance de la segmentation du réseau, qui est cruciale dans les hôpitaux en raison de l’utilisation d’appareils médicaux obsolètes et de technologies en fin de vie, y compris des imprimantes et des caméras de surveillance.»

Trois piliers fondamentaux
Dans ce livre blanc, Bart Asnot (Microsoft) partage trois leviers stratégiques pour renforcer la cybersécurité dans les hôpitaux.

Il faut d’abord cartographier l’infrastructure existante. «Cette étape ne nécessite pas de compétences techniques avancées, mais plutôt une collaboration étroite avec les architectes IT et les parties prenantes de l’organisation. L’objectif est de créer un plan d’action clair en cas d’incident, en identifiant les actifs critiques et les points vulnérables. Sans cette base, toute tentative de renforcement de la cybersécurité peut être vaine.»

Ensuite, il est indispensable de mettre en place une surveillance continue des systèmes informatiques et des systèmes opérationnels, dédiés aux équipements médicaux. «Si une attaque réussit à migrer du réseau IT vers le réseau OT, les conséquences peuvent être graves», prévient Bart Asnot.

Pour finir, l’authentification multifacteur (MFA) est indispensable. «De nombreuses institutions ont adopté des solutions basées sur le cloud pour améliorer leur efficacité et leur collaboration», souligne l’expert. «Cependant, l’utilisation du cloud rend les données d’identification accessibles via internet, ce qui les expose potentiellement aux cyberattaques. C’est là que l’authentification multifacteur (MFA) entre en jeu. La MFA exige une double vérification de l’identité de l’utilisateur, ce qui ajoute une couche de sécurité essentielle. Sans cette protection, les hackers peuvent exploiter des techniques d’automatisation avancées, notamment l’utilisation de kits de fishing pour cibler des individus spécifiques.»

Vous trouverez d’autres précieux conseils et de nombreuses informations dans les 10 chapitres de ce livre blanc qui n’est pas un guide de survie après une cyberattaque, mais une bonne initiation pour mieux comprendre cette problématique complexe.

> Consultez le livre blanc