Pourquoi vos dossiers médicaux valent-ils 50 fois plus que votre carte de crédit sur le Dark Web ?

Commentaire du blog :

Selon le ministère de la Santé et des Services sociaux, les violations de données médicales ont affecté plus de 112 millions de dossiers patients rien qu'en 2023, soit une augmentation de 35 % par rapport à l'année précédente. Les dossiers médicaux électroniques (DME), les plateformes de télémédecine, les dispositifs médicaux connectés et les applications de santé ont révolutionné la prise en charge des patients, mais ils ont également engendré des défis de sécurité sans précédent. Les conséquences vont bien au-delà des sanctions réglementaires : elles impactent la confiance des patients, les opérations cliniques et même leur sécurité. Ce blog explore les facteurs de risque critiques associés à la sécurité des données médicales et examine les stratégies pour atténuer ces menaces en constante évolution.

Pourquoi les dossiers médicaux sont-ils si précieux sur le Dark Web ?

Le dark web est une partie d'Internet qui n'est pas indexée par les moteurs de recherche comme Google. Son accès nécessite un logiciel spécifique, comme Tor (The Onion Router). Il n'est pas intrinsèquement illégal, mais il est souvent utilisé pour des communications et des transactions anonymes, ce qui en fait un lieu privilégié pour les activités illicites.

Les données de santé constituent une véritable mine d'informations précieuses. Contrairement aux informations de carte de crédit, dont la durée de vie est limitée une fois volées, les dossiers médicaux contiennent des identifiants permanents et des informations personnelles complètes, exploitables pendant des années. Les établissements de santé constituent des cibles de choix, comme illustré ci-dessous.

• Riche en informations personnelles : Les dossiers médicaux contiennent les noms complets, les dates de naissance, les numéros de sécurité sociale, les adresses, les détails d’assurance et parfois les données de paiement : une mine d’or pour les voleurs d’identité.
• Durée de conservation plus longue : Contrairement aux cartes de crédit (qui peuvent être annulées), les antécédents médicaux et les données personnelles sont permanents, ce qui rend les données plus utiles pour la fraude à long terme.
• Systèmes hérités : De nombreuses installations utilisent une technologie vieille de plusieurs décennies, souvent avec des systèmes d’exploitation obsolètes et non pris en charge.
• Plus lent à détecter : Le temps moyen de détection d'une faille de sécurité dans le secteur de la santé est nettement plus long que dans d'autres secteurs. Cela donne aux attaquants plus de temps pour réaliser des profits sans être détectés.
• Contraintes budgétaires: Les établissements de santé ont souvent du mal à équilibrer les besoins en équipements cliniques avec l’infrastructure de sécurité requise.
• Environnements complexes : Le réseau hospitalier typique connecte des milliers d’appareils provenant de centaines de fournisseurs, créant ainsi une surface d’attaque énorme.
• Opérations 24h/7 et XNUMXj/XNUMX : Contrairement à d’autres secteurs, les établissements de santé ne peuvent pas simplement fermer pour des mises à jour de sécurité.

Médical Les données personnelles valent jusqu'à 50 fois plus que les informations de carte de crédit sur le marché noir. Elles contiennent tout ce dont un criminel a besoin pour se livrer à des vols d'identité, des fraudes à l'assurance et des campagnes d'hameçonnage ciblées, selon les auteurs. ReutersLe secteur de la santé est une cible privilégiée des cyberattaques en raison de la nature sensible des données des patients et du risque de perturbation des services critiques. Les organisations doivent prioriser les investissements en cybersécurité et mettre en œuvre des mesures de sécurité robustes pour protéger les informations des patients et maintenir la résilience opérationnelle.

Facteurs de risque associés à la sécurité des données de santé

Si la valeur des données de santé en fait une cible de choix, ce sont les faiblesses systémiques du secteur qui accroissent les risques. Le véritable danger réside dans la combinaison de données de grande valeur et de faiblesses systémiques au niveau des technologies, des personnes et des processus. Voici les principaux éléments qui continuent d'exposer le secteur à des incidents de sécurité fréquents et coûteux.

• Ransomware et attaques ciblées : Les établissements de santé sont confrontés à des cybermenaces incessantes, notamment des rançongiciels, du phishing et des attaques par logiciels malveillants. Le rapport 2023 de Verizon sur les violations de données (DBIR) révèle que 45 % des violations dans le secteur de la santé sont dues au piratage informatique, les rançongiciels en étant la principale cause. Ces attaques sont de plus en plus sophistiquées, et les acteurs malveillants effectuent des reconnaissances approfondies avant de lancer des campagnes soigneusement ciblées. Les conséquences sont désastreuses. Une étude du Université de Californie, San Diego Il a été révélé que les attaques par rançongiciel contre les hôpitaux créent un effet d'entraînement, entraînant une augmentation du nombre de patients dans les établissements voisins. Cette augmentation de la pression a été liée à une hausse de 81 % des cas d'arrêt cardiaque, ainsi qu'à une baisse notable des taux de survie.
• Menaces internes et erreur humaine : Si les pirates externes font la une des journaux, les menaces internes demeurent l'un des risques les plus importants pour la sécurité des données de santé. Ces menaces prennent diverses formes : des utilisateurs internes malveillants qui abusent délibérément des accès, des employés négligents victimes d'escroqueries par hameçonnage, et des employés manquant de formation adéquate en cybersécurité. Rapport d'enquête Verizon Data Breach 2023 ont constaté que 39 % des incidents de sécurité dans le secteur de la santé impliquaient des acteurs internes, un chiffre nettement supérieur à la moyenne intersectorielle de 25 %, soulignant la nécessité de contrôles d'accès et de formation des employés plus stricts.
• Vulnérabilités des tiers et de la chaîne d'approvisionnement : La prestation de soins de santé moderne fait appel à de nombreux fournisseurs tiers, chacun représentant un risque potentiel pour la sécurité. Des sociétés de facturation aux fournisseurs de services cloud, en passant par les fabricants de dispositifs médicaux, ces partenaires ont souvent accès à des données sensibles ou à des systèmes critiques. Selon le Journal HIPAAEnviron 55 % des établissements de santé ont subi des violations de données par des tiers en 2022. Les attaquants exploitent des serveurs externes non sécurisés, des mots de passe faibles et des contrôles d'accès inadéquats pour infiltrer les réseaux. Ils exploitent également la faiblesse des exigences de sécurité des contrats fournisseurs, une mauvaise gestion des risques fournisseurs, une visibilité limitée sur les fournisseurs en aval et des protections inadéquates des dispositifs médicaux connectés.
• Manque de cryptage et de masquage des données : Bien que le chiffrement et le masquage soient des contrôles de sécurité fondamentaux et des exigences HIPAA, de nombreux établissements de santé les mettent en œuvre de manière incohérente ou inadéquate. Le masquage n'est pas une option : c'est la dernière ligne de défense lorsque les autres contrôles de sécurité échouent. Malheureusement, de nombreuses organisations le mettent en œuvre comme une simple mesure de conformité plutôt que comme une stratégie globale de protection des données. Les principaux problèmes concernent les données non chiffrées au repos, telles que les dossiers patients et les sauvegardes, ainsi que des normes de chiffrement faibles ou obsolètes, incapables de résister aux menaces modernes. Une mauvaise gestion des clés de chiffrement, une utilisation limitée du masquage des données dans les environnements hors production et des failles où les données sont exposées lors du traitement ou de la transmission aggravent encore le risque.
• Infrastructure informatique obsolète et systèmes hérités : Les établissements de santé fonctionnent souvent avec une infrastructure technologique en retard de plusieurs années, voire de plusieurs décennies, par rapport à d'autres secteurs. Ces plateformes obsolètes sont souvent incompatibles avec les outils de sécurité modernes, ce qui complique l'application des protections actuelles. De plus, les équipements médicaux spécialisés utilisent souvent des logiciels propriétaires difficiles à corriger ou à mettre à niveau. Les difficultés d'intégration compliquent encore la situation, car la connexion d'applications existantes à des solutions de sécurité modernes entraîne souvent des problèmes de compatibilité et des risques opérationnels.
• Défis de sécurité du cloud et thésaurisation des données : Alors que le secteur de la santé adopte rapidement l'infrastructure cloud, de nombreuses organisations peinent à gérer les risques de sécurité associés. Des erreurs de configuration, une confusion quant au partage des responsabilités et des configurations multicloud fragmentées ont entraîné l'exposition de plus de 30 millions de dossiers rien qu'en 2023. De plus, l'accumulation de données reste une préoccupation majeure. Des études ont révélé que 78 % des données des patients sont stockées au-delà de leur durée de vie requise, et que 42 % sont conservées pendant plus de 30 ans, ce qui élargit la surface d'attaque, accroît les risques de conformité et fait grimper les coûts de stockage.

Conclusion

Les organisations qui privilégient la sécurité comme élément fondamental de leur transformation numérique, plutôt que comme une considération secondaire, seront mieux placées pour protéger les données des patients tout en tirant parti de la technologie pour améliorer les soins. Alors que le secteur de la santé poursuit son évolution numérique, la sécurité doit évoluer parallèlement, non seulement pour répondre aux exigences de conformité, mais aussi comme composante essentielle de la mission de soins aux patients.

En savoir plus:

Blog: Le problème des 10.93 millions de dollars : comment protéger les données de santé

Derrière la loi HIPAA se cache un risque de 10.93 millions de dollars. Équipez votre établissement de santé des connaissances essentielles pour protéger proactivement les données sensibles, comprendre les défis de la sécurité des données de santé et être toujours prêt en cas d'audit. Ne risquez pas de pénalité ! Lisez le blog dès maintenant !