Cyberattaques : le cloud est-il une solution ou un risque ?
La cybersécurité est importante pour les données de santé car ces données sont particulièrement sensibles et peuvent être utilisées à des fins malveillantes comme pour des escroqueries financières, de la discrimination dans le cadre d'une assurance ou d'un emploi, et même pour des actes de terrorisme. Les attaques informatiques peuvent également entraîner des perturbations importantes pour les soins médicaux, en perturbant l'accès aux données médicales et en causant des retards dans la prise en charge des patients (cf. article précédent sur les cyberattaques en milieu hospitalier).
Les organisations hospitalières peuvent être exposées à de nombreuses failles de cybersécurité, qu’il y ait ou non des outils cloud utilisés. Citons les plus courantes :
- Les systèmes d'exploitation et les logiciels non mis à jour : Les systèmes d'exploitation et les logiciels obsolètes ne bénéficient plus des dernières mises à jour de sécurité, ce qui les rend vulnérables aux attaques.
- Les mots de passe faibles ou partagés : Les mots de passe faibles ou partagés facilitent la tâche des cybercriminels pour accéder aux systèmes.
- Le manque de contrôle d’accès : Les systèmes de contrôle d'accès mal configurés ou inadéquats permettent à des personnes non autorisées d'accéder aux données sensibles.
- La perte ou le vol d’équipements : Les ordinateurs portables, les téléphones mobiles et les autres appareils contenant des données sensibles peuvent être volés ou perdus, exposant ainsi les données à des risques de fuites.
- Les réseaux mal configurés : Les réseaux mal configurés peuvent permettre aux cybercriminels d'accéder aux systèmes et aux données sensibles.
- Les attaques de phishing et de rançongiciels : Les employés d'une organisation hospitalière peuvent être victimes d'attaques de phishing ou de rançongiciels, qui peuvent entraîner des fuites de données ou des perturbations des systèmes.
De plus en plus d’outils en Imagerie médicale, que ce soit des PACS, des plateformes de données de santé ou des outils de post traitements en Imagerie utilisent des solutions cloud et nous sont proposés sous cette forme.
Le cloud computing peut être utilisé comme une solution pour se protéger contre les cyber-attaques, mais il peut également être considéré comme un risque si les mesures de sécurité appropriées ne sont pas mises en place.
Les avantages de l'utilisation de la technologie cloud pour les hôpitaux et les utilisateurs sont nombreux, notamment la flexibilité, la scalabilité et l'accès aux données depuis n'importe où. Cependant, il est important de veiller à ce que les données soient correctement protégées lorsqu'elles sont stockées sur des serveurs cloud externes.
Il est essentiel de choisir un fournisseur de cloud sécurisé adaptée à la législation du pays d’où proviennent les données (question de gouvernance sur les données en santé) et de s'assurer que les données sont chiffrées lors de la transmission et du stockage. Il est également important de mettre en place des politiques et des procédures de sécurité appropriées pour protéger les données contre les cyberattaques.
En outre, les hôpitaux doivent s'assurer que les fournisseurs de cloud respectent les normes de conformité, telles que le RGPD pour les données médicales en Europe, et de l'HIPAA aux États-Unis.
Il est donc possible d'utiliser des outils cloud pour les hôpitaux tout en garantissant un bon niveau de sécurité. Il est important de mettre en place une stratégie de cybersécurité efficace pour minimiser les risques pour les données sensibles des patients.
Nous avons rencontré Thomas SALNOT directeur Système Informatique Olea, et Mathieu Jeandron (Amazon Web Service AWS) qui travaillent ensemble pour proposer aux utilisateurs radiologues français notamment, un accès cloud des solutions Olea, la suite de cet article se rapporte à notre entretien ainsi qu’à un travail de synthèse sur la question du cloud et de cybersécurité.
Les fournisseurs de cloud, tels qu'AWS, mettent en place de nombreuses protections pour protéger les données de santé stockées sur leurs plateformes. Ces points peuvent être une aide pour la cybersécurité :
- Chiffrement : les fournisseurs cloud offrent des options de chiffrement pour protéger les données stockées sur ses serveurs, ainsi que pour les données en transit. Les données sont chiffrées à l'aide de clés de chiffrement gérées par le client ou gérées par AWS.
- Contrôle d'accès : ils utilisent un système de contrôle d'accès pour garantir que seules les personnes autorisées puissent accéder aux données de santé. Il permet de gérer les utilisateurs, les groupes et les autorisations.
- Audit et conformité : Ils fournissent des outils pour aider les clients à se conformer aux normes de conformité, telles que HIPAA aux États-Unis, et RGPD en Europe. Ils permettent de surveiller les activités sur les comptes, pouvant noter des activités inhabituelles à risque et lancer une procédure de sécurisation en cas d’attaque suspectée.
- Protection contre les attaques : les fournisseurs cloud utilisent une série de mesures pour protéger les données de santé contre les attaques, notamment les pare-feu, les systèmes de détection et de prévention des intrusions (IDS/IPS), et la protection contre les DDoS.
- Sauvegarde et récupération : Ils proposent des options de sauvegarde et de récupération pour les données de santé, y compris la sauvegarde automatique des données, ainsi que des options de récupération après sinistre pour les données critiques.
Inconvénients :
- Les mécanismes de protection des données dans le cloud sont d’une nature différente de celle sur site, et il est important que le fournisseur de systèmes de santé dans le cloud mette en œuvre les pratiques à l’état de l’art en termes de protection contre les attaques extérieures.
- Si les données sont stockées dans le cloud par des prestataires étrangers, il est important de vérifier si ces derniers respectent les réglementations et les normes de confidentialité et de sécurité applicable à votre pays.
- Si les utilisateurs ne prennent pas les mesures de sécurité appropriées pour protéger leurs comptes et leurs informations d'identification, ils peuvent devenir des cibles de cyber attaque. Il faut donc un travail en lien avec le département des services informatiques pour mettre en place un environnement sécurisé, également lors de l’utilisation de solutions cloud.
En résumé, le cloud computing peut être une solution pour se protéger contre les cyber-attaques si les mesures de sécurité appropriées sont mises en place. Il est donc important de bien sélectionner son fournisseur de cloud, de s'assurer que les données sont protégées conformément aux normes de sécurité et de confidentialité et de mettre en place une stratégie de cybersécurité efficace pour minimiser les risques pour les données sensibles, impliquant une somme de mesures à mettre en place en lien avec le département des services informatiques.
Myriam Edjlali-Goujon, pour la SFR