Comment assurer la sécurité des appareils médicaux et IoT dans les soins de santé
Pendant la pandémie, de nombreuses charges de travail dans le secteur de la santé sont devenues distantes et les organisations ont été contraintes d'étendre leurs réseaux, augmentant ainsi la surface d'attaque des systèmes de santé. Certaines charges de travail sont restées à distance, et avec l’arrivée de nouveaux outils tels que l’IA générative, le maintien d’un environnement sécurisé devient de plus en plus délicat.
« Grâce à l'IA générative, vous pouvez demander une recette de guacamole aussi facilement que télécharger les données des patients », a déclaré Ravi Monga, RSSI pour les soins de santé chez Zscaler. « Le paysage des menaces change et évolue. »
Ismelda Garza, CIO de l'hôpital régional de Cuero, au Texas, a expliqué qu'elle a appris très tôt dans sa carrière que les gens constituent la partie la plus difficile du travail. Être capable d’éduquer les gens sur les meilleures pratiques en matière de sécurité – du conseil d’administration et de la direction aux infirmières, cliniciens et médecins – est essentiel pour prévenir les attaques réussies.
Cependant, a déclaré Monga, un problème qu'il constate souvent est que l'éducation ne circule que dans un seul sens. Le service informatique rend compte des risques au CIO, qui le signale au conseil d'administration, mais ces informations ne parviennent pas au personnel clinique.
« Ce pont doit être construit et les cliniciens doivent participer à la conversation », a-t-il déclaré.
Les dispositifs médicaux et les appareils Internet des objets jouent un rôle important dans l’équation des risques. Les ordinateurs portables, les serveurs, les ordinateurs de bureau et presque tous les appareils informatiques sont protégés par un logiciel de sécurité robuste, mais les appareils médicaux sont plus difficiles à protéger. Certaines peuvent avoir été créées par des entreprises qui ont fait faillite il y a plus de dix ans. Si des correctifs sont disponibles, les équipes biomédicales pourraient ne pas être prêtes à déployer un correctif et à faire face à des temps d'arrêt, selon Monga.
Monga a dit de considérer un hôpital comme une maison : les attaquants se présenteront à la porte d'entrée, verront qu'il y a une protection adéquate et trouveront une entrée moins protégée à utiliser. Les appareils tels que les pompes à perfusion et les téléviseurs intelligents ne sont souvent ni protégés ni corrigés, ce qui constitue une porte d'entrée facile pour les attaquants. Mettre ces appareils hors ligne n'est généralement pas une option puisque les cliniciens ont besoin de leurs informations. En conséquence, ces appareils vulnérables donnent accès à des acteurs malveillants, qui peuvent rester présents dans le réseau d'une organisation sans être détectés jusqu'à ce qu'une bonne opportunité se présente.