Quelles actions sont susceptibles d’infecter un ordinateur utilisé pour la santé

Imaginez un instant : un hôpital paralysé par un virus informatique, des rendez-vous annulés, des opérations reportées, et l'accès aux dossiers médicaux des patients compromis. Ce scénario, bien que terrifiant, est une réalité de plus en plus fréquente. Les ordinateurs utilisés dans le domaine de la santé sont une cible privilégiée. La sécurité de ces appareils est donc une priorité absolue.

Avec l'omniprésence croissante de l'informatique dans le domaine de la santé, de la gestion des dossiers patients informatisés (DPI) à l'imagerie médicale, en passant par la télémédecine, la vulnérabilité de ces systèmes aux menaces informatiques est un enjeu majeur. Une infection peut avoir des conséquences désastreuses, allant de la violation de la confidentialité des données des patients à la perturbation des soins et des opérations, voire même à des risques pour la vie des patients. Il est donc crucial de comprendre les risques et d'adopter des mesures préventives efficaces.

Les actions à risque : panorama des vecteurs d'infection

Cette section détaille les principales actions qui peuvent rendre un ordinateur utilisé dans le domaine de la santé vulnérable aux infections. Connaître ces vecteurs d'attaque est la première étape pour mettre en place une défense efficace en matière de sécurité informatique hôpital.

Utilisation de périphériques externes non sécurisés

L'utilisation de périphériques externes, tels que les clés USB, les disques durs externes, les smartphones et les tablettes, représente un risque majeur si ces dispositifs ne sont pas correctement sécurisés. Ils peuvent servir de vecteurs d'infection et propager des logiciels malveillants sur les ordinateurs du réseau de l'établissement de santé. Près de 30% des infections sont dues à l'utilisation de périphériques externes.

Clés USB et disques durs externes : L'utilisation de clés USB personnelles, de clés USB d'origine inconnue ou l'absence de scan antivirus avant utilisation sont des pratiques dangereuses. Imaginez un médecin utilisant sa clé USB personnelle infectée pour transférer des images médicales, contaminant ainsi le système d'imagerie de l'hôpital.
Smartphones et tablettes : La connexion d'appareils personnels non sécurisés aux ordinateurs de l'établissement, ou le téléchargement d'applications non vérifiées sur les appareils personnels utilisés pour la santé, peuvent également compromettre la sécurité des systèmes. Il est important de se méfier des chargeurs USB publics ("juice jacking") dans les hôpitaux, car ils peuvent être utilisés pour voler des données ou installer des logiciels malveillants.

Navigation internet imprudente

Une navigation Internet imprudente, sans respecter les règles de sécurité de base, peut également ouvrir la porte aux infections. Il est essentiel de faire preuve de vigilance et d'éviter les comportements à risque pour prévenir l'infection des ordinateurs médicaux.

Sites web compromis ou malveillants : Visiter des sites web peu fiables ou non sécurisés (HTTPS manquant), cliquer sur des liens suspects ou télécharger des logiciels à partir de sources non officielles sont des actions à proscrire. Évitez les sites de streaming illégal, les sites de téléchargement de logiciels craqués, ou tout site proposant du contenu douteux.
Publicités malveillantes (Malvertising) : Méfiez-vous des publicités pop-up ou des bannières suspectes. Ne cliquez pas sur les fausses alertes de virus ou les offres trop belles pour être vraies.
Absence de mise à jour du navigateur web : L'utilisation de versions obsolètes de navigateurs web rend les ordinateurs vulnérables aux attaques. Assurez-vous que votre navigateur est toujours à jour.

Messagerie électronique et phishing

Les emails de phishing sont l'une des principales sources d'infection informatique. Ils sont conçus pour vous inciter à révéler des informations personnelles ou à télécharger des logiciels malveillants. La vigilance est de mise pour la protection des données patients.

Ouverture de pièces jointes suspectes : Ne jamais ouvrir de pièces jointes provenant d'expéditeurs inconnus ou suspects. Soyez particulièrement vigilant avec les types de fichiers à risque, tels que .exe, .zip ou .docm.
Cliquer sur des liens malveillants : Les liens dans les emails ou SMS (Smishing) peuvent rediriger vers des sites de phishing. Avant de cliquer sur un lien, vérifiez toujours l'adresse du site web.
Compromission des boîtes email professionnelles : L'utilisation de mots de passe faibles ou réutilisés, ou l'absence d'authentification à deux facteurs (2FA), peuvent permettre aux attaquants de compromettre les boîtes email professionnelles.

Voici une checklist simple pour identifier un email de phishing :

Présence d'erreurs d'orthographe ou de grammaire.
Demande d'informations personnelles urgentes.
Ton menaçant ou alarmiste.
Adresse email de l'expéditeur suspecte ou inconnue.
Lien hypertexte ne correspondant pas à l'adresse affichée.

Logiciels et systèmes non mis à jour

Les logiciels et les systèmes d'exploitation non mis à jour sont une cible facile pour les attaquants. Les mises à jour de sécurité corrigent les vulnérabilités connues et protègent les ordinateurs contre les menaces, participant activement à la mise à jour de la sécurité des systèmes médicaux.

Systèmes d'exploitation obsolètes : L'utilisation de systèmes d'exploitation obsolètes, tels que Windows XP ou Windows 7, qui ne reçoivent plus de mises à jour de sécurité, est extrêmement risquée. Même si l'équipement médical semble parfaitement fonctionner, ces systèmes sont vulnérables aux attaques.
Logiciels et applications non mis à jour : Les vulnérabilités connues des logiciels et des applications peuvent être exploitées par les attaquants. Assurez-vous de mettre à jour régulièrement tous vos logiciels.
Dispositifs médicaux connectés (IoT) non sécurisés : Les défibrillateurs, les pompes à perfusion ou les moniteurs de signes vitaux connectés peuvent être vulnérables si ils ne sont pas correctement sécurisés. La sécurisation de ces dispositifs est complexe et nécessite une collaboration entre les fabricants, les professionnels de santé et les spécialistes de la cybersécurité.

Mauvaises pratiques de sécurité informatique

De mauvaises pratiques de sécurité informatique, même en l'absence de logiciels malveillants, peuvent compromettre la sécurité des ordinateurs et des données de santé.

Mots de passe faibles ou réutilisés : L'utilisation de mots de passe faciles à deviner ou la réutilisation du même mot de passe sur plusieurs comptes sont des erreurs courantes. Utilisez des mots de passe forts et uniques pour chaque compte. Un gestionnaire de mots de passe peut vous aider à gérer vos mots de passe en toute sécurité.
Partage de comptes utilisateurs : Donner à plusieurs personnes l'accès à un seul compte est une pratique dangereuse qui rend difficile le suivi des actions et la responsabilisation des utilisateurs.
Laisser un ordinateur déverrouillé et sans surveillance : Laisser un ordinateur déverrouillé et sans surveillance permet à des personnes non autorisées d'accéder aux données. Verrouillez toujours votre écran lorsque vous vous absentez.

Voici quelques règles simples d'hygiène informatique à afficher près des ordinateurs :

Verrouiller l'écran avant de s'absenter.
Ne pas partager son mot de passe.
Signaler tout comportement suspect.

Conséquences d'une infection informatique dans le domaine de la santé

Cette section met en lumière les conséquences potentiellement graves d'une infection informatique sur les opérations et la sécurité d'un établissement de santé. Ces conséquences peuvent affecter la confidentialité des patients, la continuité des soins et la réputation de l'établissement.

Atteinte à la confidentialité des données des patients : Le vol et la divulgation d'informations personnelles et médicales sensibles peuvent avoir des conséquences juridiques graves (RGPD, HIPAA) et nuire à la confiance des patients.
Perturbation des soins et des opérations : Le blocage des systèmes informatiques peut entraîner l'annulation de rendez-vous et d'interventions chirurgicales, ainsi que des retards dans les diagnostics et les traitements.
Atteinte à la réputation de l'établissement de santé : Une infection informatique peut entraîner une perte de confiance des patients et des conséquences financières pour l'établissement.
Impact financier direct : Le coût de la remédiation de l'infection, les pertes de revenus dues à l'interruption d'activité et les amendes pour non-conformité aux réglementations peuvent être considérables.
Danger pour la vie des patients : Dans les cas les plus graves, une infection informatique peut entraîner une altération des traitements, des mauvais diagnostics ou des erreurs médicamenteuses, mettant ainsi en danger la vie des patients.

En 2017, l'attaque du ransomware WannaCry a touché plus de 200 000 ordinateurs dans 150 pays. En 2021, une attaque de ransomware contre un hôpital allemand a entraîné la mort d'une patiente. Ces exemples soulignent la nécessité d'une vigilance accrue.

Mesures préventives : protéger les ordinateurs et les données de santé

Cette section présente un ensemble de mesures préventives techniques et organisationnelles que les établissements de santé peuvent mettre en place pour protéger leurs ordinateurs et les données des patients contre les infections informatiques. Ces mesures contribuent à renforcer la sécurité et la résilience des systèmes informatiques.

Mesures techniques

Mesure technique	Description
Antivirus et pare-feu	Installer et mettre à jour régulièrement un antivirus fiable et configurer correctement le pare-feu.
Logiciels anti-malware et anti-ransomware	Utiliser des solutions de protection spécifiques contre les menaces les plus récentes. Envisager l'implémentation d'une solution EDR (Endpoint Detection and Response) pour une détection avancée des menaces et une réponse rapide aux incidents. Ces outils permettent de surveiller en continu les endpoints et d'identifier les comportements suspects.
Mises à jour régulières des logiciels et des systèmes d'exploitation	Automatiser les mises à jour pour garantir que tous les systèmes sont protégés contre les vulnérabilités connues.
Segmentation du réseau	Isoler les systèmes critiques (e.g., imagerie médicale, DPI) des autres parties du réseau pour limiter l'impact d'une infection.
Sauvegardes régulières des données	Effectuer des sauvegardes hors ligne (off-site) pour se protéger contre les ransomwares. Tester régulièrement les sauvegardes pour s'assurer de leur intégrité et de leur capacité à être restaurées rapidement.
Authentification à deux facteurs (2FA)	Activer 2FA pour tous les comptes sensibles pour ajouter une couche de sécurité supplémentaire.
Chiffrement des données sensibles	Protéger les données stockées et les données en transit en utilisant le chiffrement.
Analyse des vulnérabilités et tests d'intrusion	Identifier et corriger les faiblesses de sécurité en effectuant régulièrement des analyses de vulnérabilités et des tests d'intrusion.

Mesures organisationnelles

Mesure organisationnelle	Description
Formation et sensibilisation du personnel	Organiser des sessions de formation régulières sur la cybersécurité et simuler des attaques de phishing pour tester la vigilance du personnel. Renforcer la formation cybersécurité personnel hospitalier par des exercices pratiques et des mises en situation réalistes.
Politiques de sécurité informatique claires et appliquées	Établir des règles concernant l'utilisation des périphériques externes, la navigation Internet, la messagerie électronique, les mots de passe, etc. et s'assurer qu'elles sont respectées.
Gestion des accès	Restreindre l'accès aux données et aux systèmes aux seules personnes autorisées. Mettre en place une politique de gestion des accès basée sur le principe du moindre privilège.
Plan de réponse aux incidents	Définir les procédures à suivre en cas d'infection informatique. Tester régulièrement le plan de réponse aux incidents pour s'assurer de son efficacité.
Collaboration avec des experts en cybersécurité	Bénéficier de l'expertise de spécialistes pour protéger les systèmes informatiques. Envisager de faire appel à un prestataire externe spécialisé dans la cybersécurité pour réaliser des audits de sécurité réguliers.

Mesures spécifiques aux dispositifs médicaux connectés (IoT)

La sécurité des dispositifs médicaux connectés nécessite une attention particulière en raison de leur impact direct sur la santé des patients. Il est crucial de prendre des mesures spécifiques pour protéger ces dispositifs contre les menaces et éviter des vulnérabilités des dispositifs médicaux connectés.

Évaluation de la sécurité des dispositifs avant leur acquisition : Exiger des fabricants des garanties de sécurité et évaluer les vulnérabilités potentielles des dispositifs avant de les acheter. Demander aux fabricants des informations sur les certifications de sécurité et les tests d'intrusion réalisés sur les dispositifs.
Mise à jour des dispositifs avec les correctifs de sécurité : Suivre les recommandations des fabricants et mettre à jour régulièrement les dispositifs avec les correctifs de sécurité. Mettre en place une procédure de gestion des correctifs de sécurité pour s'assurer que tous les dispositifs sont à jour.
Segmentation du réseau pour isoler les dispositifs médicaux : Limiter l'accès aux dispositifs aux seuls utilisateurs autorisés et les isoler des autres parties du réseau. Utiliser des VLANs (Virtual LANs) pour segmenter le réseau et isoler les dispositifs médicaux connectés.

Voici une checklist pour évaluer la sécurité des dispositifs médicaux connectés avant leur achat et leur déploiement:

Le fabricant fournit-il des mises à jour de sécurité régulières?
Le dispositif utilise-t-il un chiffrement robuste?
Les accès au dispositif sont-ils correctement authentifiés et autorisés?
Le dispositif a-t-il été testé pour les vulnérabilités de sécurité?

La cybersécurité : une responsabilité partagée

La sécurité informatique dans le secteur de la santé n'est pas seulement une question de technologie, mais aussi une question de responsabilité collective. Chaque membre du personnel soignant, chaque administrateur, chaque utilisateur d'un ordinateur dans un contexte de santé a un rôle à jouer dans la protection des données des patients et le bon fonctionnement des systèmes. En comprenant les risques et en adoptant les mesures préventives appropriées, il est possible de réduire considérablement la vulnérabilité des établissements de santé aux infections informatiques.

Des ressources supplémentaires, telles que les sites web de l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) et du CERT Santé (Centre d'Expertise de la Réaction et de la Traitement des Attaques Informatiques), peuvent fournir des informations et des conseils précieux. Agissez dès aujourd'hui pour protéger les données de vos patients et assurer la continuité des soins. La prévention est la meilleure défense contre les cybermenaces dans le secteur de la santé.