Pourquoi les soins de santé continuent de gérer les systèmes hérités
Plusieurs facteurs expliquent pourquoi les systèmes de santé se retrouvent dans cette situation difficile. Dans le rapport de Kaspersky, les organisations citent les coûts élevés, les problèmes de compatibilité et le manque de connaissances internes comme principales raisons de l’échec de la mise à niveau d’un système d’exploitation hérité.
Pendant ce temps, HIMSS a noté que les systèmes hérités ont tendance à se trouver sur des appareils vitaux, tels que ceux utilisés pour surveiller les patients dans l’unité de soins intensifs. Compte tenu de l’importance des soins aux patients, les organisations peuvent ne pas être en mesure ou ne pas vouloir planifier l’obsolescence de ces appareils.
Pour ces organisations, la réponse la plus courante consiste à limiter leur exposition à Internet, explique Sondhi. Ils peuvent utiliser un réseau local et s’appuyer sur le courrier électronique, mais il est peu probable qu’ils hébergent leurs propres applications Web ou permettent aux patients de télécharger leurs dossiers de santé directement à partir du site Web de l’hôpital. L’utilisation des applications de santé numérique est réduite au minimum – l’admission des patients, par exemple – et idéalement, la sécurité et l’administration sont laissées au fournisseur.
« C’est la meilleure chose qu’ils puissent faire. Ils n’essaient pas de sécuriser eux-mêmes leurs sites Web et ne se rendent pas compte qu’ils font des erreurs », dit-il. Il s’agit d’un conseil particulièrement précieux pour les petites pratiques – une violation ou une attaque de ransomware qui interrompt les opérations pendant quelques semaines pourrait entraîner une perte de revenus suffisante pour fermer définitivement le bureau.
DÉCOUVRIR: Ce que les organisations de santé doivent savoir sur Windows 11.
Les grands systèmes de santé pourraient être tentés d’essayer d’en faire plus, note Sondhi. Après tout, ils investissent probablement dans une technologie de pointe pour une gamme de cas d’utilisation, allant de la prévision des flux de patients et de l’amélioration des flux de travail cliniques à l’offre de visites virtuelles.
Malheureusement, ajouter la sécurité à ces efforts peut poser plus de problèmes qu’il n’en vaut la peine, dit-il. L’une des raisons est la gamme de menaces de cybersécurité auxquelles les soins de santé sont confrontés, à savoir les ransomwares et le phishing en plus des attaques sur le matériel exécutant un système d’exploitation hérité.
Une autre raison est que ce n’est pas essentiel à la prestation des soins. En ce sens, les organisations devraient considérer la cybersécurité comme le stationnement, la restauration ou la blanchisserie et laisser cela aux experts, dit Sondhi. Ici, les offres de sécurité tierces telles que les services de détection et de réponse gérés peuvent aider les établissements de santé à détecter et à répondre aux menaces, libérant ainsi des ressources internes pour des tâches telles que l’élaboration de politiques de sécurité et l’inventaire des systèmes hérités.
« De plus en plus de grandes institutions du secteur bancaire et d’autres secteurs se retirent du secteur de la sécurité », dit-il. «Quand c’est votre expertise, vous doublez la mise. Lorsque cela ne fait pas partie de votre cœur de métier, il est difficile de maintenir les talents et les ressources, et il est difficile de mesurer les performances car vous ne le faites pas pour gagner votre vie.
3 recommandations pour l’amélioration de la sécurité des soins de santé à court terme
Dans cinq ans, Sondhi voit deux changements dans les soins de santé qui minimiseront l’impact sur la sécurité des systèmes hérités. L’un est la transition continue des PC vers les tablettes, qui exécutent des systèmes d’exploitation mobiles qui ont une empreinte logicielle beaucoup plus petite que Windows ou macOS et nécessitent donc moins de protections de sécurité codées en dur. L’autre est l’adoption accrue de la technologie d’automatisation pour la détection et la réponse aux incidents, ce qui permettra d’effectuer des correctifs logiciels et de système d’exploitation à grande échelle sans l’intervention du centre des opérations de sécurité (SOC).
En attendant, Sondhi recommande trois étapes pour aider les organisations à maintenir une sécurité de base lorsqu’elles passent à une infrastructure plus moderne :
- Facilitez la gestion du processus de mise à jour et de correction des logiciels en réduisant le nombre de versions de logiciels et de fournisseurs.
- Segmenter les réseaux. « Les systèmes vitaux critiques ne devraient jamais être connectés à Internet. Il n’est pas nécessaire de s’exposer à ce risque », dit-il. La segmentation offre l’avantage supplémentaire d’isoler une attaque de ransomware ou un autre incident.
- Documentez les responsabilités de chaque rôle SOC – quels outils sont utilisés, comment le travail est effectué et ce qui se passe si un membre du personnel informatique doit être remplacé à court ou à long terme. La création de ces diagrammes de flux de travail aidera l’organisation à rédiger des règles pour l’automatisation des processus.
« Si vous investissez du temps pour faire les bases, vous pourrez faire les choses de manière plus systématique à l’avenir », déclare Sondhi.
SUIVANT: Découvrez comment accélérer les stratégies autour des dispositifs de l’Internet des objets médicaux.
