Face à l'augmentation des menaces, les responsables informatiques du secteur de la santé se tournent de plus en plus vers le zero trust. En tant que cadre de cybersécurité, le zero trust exige que tous les utilisateurs, à l'intérieur comme à l'extérieur du réseau d'une organisation, soient authentifiés, autorisés et validés en permanence avant d'avoir accès aux applications et aux données. Le zero trust est une stratégie, pas un produit.
Étant donné le caractère inévitable des violations, le principe de confiance zéro repose sur l'hypothèse selon laquelle les cybercriminels ont probablement déjà compromis l'environnement et les empêche d'attaquer de l'intérieur. En bref : ne faites jamais confiance, vérifiez toujours.
En 2023, 61 % des organisations avaient mis en place une initiative Zero Trust, contre seulement 24 % deux ans plus tôt, selon une enquête mondiale d’Okta auprès des décideurs en matière de sécurité de l’information. En 2024, plus de 41 % des professionnels de la technologie et de la sécurité déclarent être à un stade avancé de mise en œuvre du Zero Trust, tandis que 12 % déclarent avoir atteint une maturité optimale, selon une récente enquête CDW menée auprès de plus de 950 répondants.
Si toute grande organisation dispose d’un ensemble complexe de systèmes, d’appareils et d’outils de sécurité, cette complexité est exacerbée dans les établissements de santé comptant de nombreux sites, utilisateurs et appareils critiques. Les environnements de santé ont tendance à présenter « un manque de sécurité physique, des groupes d’utilisateurs divers et un ensemble extrêmement large d’appareils connectés sous forme d’IoT médical », explique Qiang Huang, vice-président de la gestion des produits pour les services de sécurité fournis dans le cloud chez Palo Alto Networks.
Ces complications rendent la confiance zéro encore plus nécessaire pour les systèmes de santé.
Préparation à la mise en œuvre du Zero Trust dans le secteur de la santé
Quelle est la première étape que les systèmes de santé devraient suivre pour adopter une approche Zero Trust ? « Obtenir une visibilité sur tous les systèmes de santé et les dispositifs médicaux », explique Huang. Une plus grande visibilité entraîne également des avantages en termes de flux de travail opérationnels et cliniques, tels que des inventaires d’actifs plus précis, une meilleure conformité et une meilleure connaissance de l’utilisation des actifs, ajoute-t-il.
Étape suivante : procéder à une évaluation des risques. « Évaluez la criticité et le risque global de ces systèmes, appareils et flux de communication », explique Huang.
Une fois que l’organisation a inventorié de manière exhaustive tous ses systèmes et appareils ainsi que les risques correspondants, elle peut alors travailler à les sécuriser grâce au Zero Trust.
Réussir en mode Zero Trust sans surcharger les cliniciens
Selon Huang, le Zero Trust repose sur trois principes fondamentaux : les politiques d’accès les moins privilégiées, la segmentation du réseau et la surveillance continue des comportements. « Même si le Zero Trust est souvent envisagé dans le contexte des utilisateurs, les mêmes principes peuvent être appliqués avec succès aux systèmes de santé et à l’IoT médical », explique-t-il.
L'accès avec le moins de privilèges autorise l'accès uniquement lorsque l'identité et le contexte d'un utilisateur sont vérifiés, et uniquement le minimum d'accès aux données, ressources et applications dont les utilisateurs ont besoin pour faire leur travail. En revanche, donner aux utilisateurs des privilèges sur des données et des applications dont ils n'ont pas besoin augmente le risque de violation. L'accès avec le moins de privilèges établit un équilibre délicat entre sécurité et facilité d'utilisation, en minimisant la surface d'attaque tout en améliorant les performances opérationnelles et en réduisant l'impact des erreurs humaines.
La segmentation du réseau divise le réseau en plusieurs segments qui agissent chacun comme un petit réseau, localisant les problèmes et améliorant la sécurité en formant une deuxième ligne de défense. Alors que la segmentation du réseau empêche les utilisateurs non autorisés d'accéder à des ressources précieuses telles que des informations médicales protégées, la surveillance continue du comportement établit des modèles normaux afin de pouvoir détecter les comportements anormaux.
Les responsables informatiques du secteur de la santé savent que leurs stratégies de cybersécurité ne doivent pas surcharger les cliniciens, déjà à court de temps, par exemple en les obligeant à se connecter à plusieurs applications chaque jour. L’un des avantages du zero trust est qu’il protège les données des patients et d’autres données sans imposer une lourde charge aux cliniciens. Le zero trust doit être ressenti, mais pas vu. « Lorsqu’elles sont bien mises en œuvre, les politiques et les contrôles zero trust devraient fonctionner avec succès en coulisses sans impact notable sur les cliniciens », explique Huang.
Par exemple, l’accès le moins privilégié appliqué à un dispositif médical réduit le risque d’une faille de sécurité dans le cas où le dispositif est compromis, tout en lui permettant de fonctionner normalement dans un environnement clinique.
Les cliniciens jouent également un rôle dans l’efficacité d’une stratégie zero trust. « Chaque utilisateur d’une organisation, y compris les cliniciens dans un environnement de soins de santé, a la responsabilité de contribuer à protéger l’organisation contre une faille de sécurité », explique Huang. Dans un environnement clinique, cette responsabilité implique de mettre en œuvre de bons protocoles de sécurité physique, de protéger les identifiants et de signaler les comportements suspects qui pourraient indiquer une attaque malveillante.
« Cela dit, lorsqu’elle est bien réalisée, une approche de confiance zéro devrait exiger très peu de la part du personnel clinique et offrir une expérience transparente », dit-il.