[Infographie] Risques informatiques pour l'industrie de la santé : Attentes vs Réalité

Netwrix a mené son 2018 IT Risks Survey pour en savoir plus sur la manière dont les organisations gèrent six risques informatiques courants : dommages physiques, vol de propriété intellectuelle, perte de données, violations de données, perturbations du système et sanctions de conformité. Nous avons extrait certaines données intéressantes partagées par 140 organisations de santé pour en apprendre davantage sur la manière dont l'industrie perçoit ses menaces. Principalement, nous étions désireux de découvrir si les attentes concernant ces risques correspondent à la réalité — c'est-à-dire si les incidents qui préoccupent le plus les organisations sont les mêmes que ceux qu'elles ont réellement vécus au cours de l'année, et si les acteurs de la menace dont elles craignent sont réellement responsables des incidents réels.

Pour illustrer à quel point ces risques informatiques peuvent être dangereux pour les entreprises du monde entier, nous avons décidé de soutenir les résultats de l'enquête avec des exemples concrets de leur impact sur les organisations de santé.

Dommages physiques

Les dommages physiques sont tout dommage aux actifs matériels d'une organisation, tels que ses serveurs, ordinateurs portables et network devices. Les menaces menant à des dommages physiques incluent les catastrophes naturelles, un environnement de stockage inapproprié, un entretien matériel inadéquat ou une manipulation négligente, les erreurs des employés et les attaques volontaires par des pirates informatiques. Pour les organisations de santé, les dommages physiques peuvent entraîner la perte d'informations personnelles de santé protégées (PHI), des interruptions de système et l'incapacité de fournir des services médicaux. Dans certains cas, les dommages physiques sont une menace directe pour la vie et le bien-être des patients : si un équipement critique est hors service, les patients pourraient ne pas recevoir le niveau de soins dont ils ont urgemment besoin.

L'enquête révèle que de manière générale, les attentes correspondent à la réalité en ce qui concerne les dommages physiques. Les organisations de santé considèrent que les défaillances matérielles sont la menace de sécurité la plus dangereuse, et en fait, elles sont le type d'incident que les organisations ont le plus fréquemment rencontré au cours de l'année passée. Cependant, il existe un écart entre les acteurs de la menace que les organisations considèrent comme dangereux et les acteurs de la menace qui sont responsables d'incidents réels. La majorité (61 %) des organisations voient les employés partants comme la plus grande menace, alors qu'en réalité, ce sont les utilisateurs réguliers qui sont responsables du plus grand nombre d'incidents (58 %) ; les ex-employés mécontents sont bien en retrait, à la troisième place (23 %).

Étude de cas : L'hôpital de Port Shepstone en feu

En mai 2017, un incendie a eu lieu à Port Shepstone Provincial Hospital en Afrique du Sud. Le feu a commencé dans la salle des serveurs informatiques, détruisant des ordinateurs et d'autres équipements. 200 patients ont dû être transférés vers d'autres hôpitaux de la région, et plusieurs services de l'hôpital (par exemple, les opérations des yeux non urgentes) ont été temporairement indisponibles. Un porte-parole de la municipalité, Simon April, a déclaré que l'hôpital pourrait également avoir perdu des données stockées sur ses serveurs : « Étant donné que la salle des serveurs est le point central où les informations sont conservées, il est possible que des informations aient été perdues, à moins qu'ils n'aient un système de sauvegarde. »

Vol de propriété intellectuelle

La propriété intellectuelle (PI) comprend des informations extrêmement sensibles qui sont protégées par des lois sur le droit d'auteur, les marques déposées ou les secrets commerciaux ; les cas où une personne vole ou utilise mal ces actifs intentionnellement sont appelés vol de propriété intellectuelle. Le risque de vol de PI est une préoccupation particulière pour les entreprises pharmaceutiques impliquées dans la recherche et le développement de nouveaux médicaments. Étant donné que cette recherche est extrêmement précieuse et que la rivalité entre les entreprises pharmaceutiques est intense, il n'est pas surprenant que nous voyions souvent des nouvelles concernant des pirates informatiques ou des initiés qui ont volé ou tenté de voler la PI pour un gain financier ou par vengeance.

Le vol de propriété intellectuelle peut être motivé par la concurrence entre les entreprises, et il peut également être perpétré par des pirates informatiques et des initiés malveillants. Dans tous les cas, les conséquences potentielles pour les organisations de santé incluent la perte d'un avantage concurrentiel, le ralentissement de la croissance des affaires et la perte de plans extrêmement précieux concernant le développement de médicaments.

L'enquête révèle que les organisations de santé ne comprennent pas toujours quelles activités représentent une menace pour leur propriété intellectuelle. Globalement, 70 % des entreprises ont déclaré craindre le cyber chantage, mais les erreurs humaines étaient en réalité responsables de la majorité des incidents l'année dernière affectant la propriété intellectuelle des organisations de santé ; le cyber chantage se classait en quatrième position. Bien que le vol de propriété intellectuelle soit le plus souvent associé à une intention malveillante, les erreurs humaines sont plus susceptibles d'entraîner la perte de secrets commerciaux précieux, de brevets et d'autres données sensibles. Par exemple, des membres négligents de l'équipe informatique pourraient accorder des droits d'accès excessifs à des employés mécontents qui sont secrètement prêts à démissionner, et les utilisateurs réguliers peuvent faire des erreurs comme cliquer sur un lien de phishing qui télécharge des logiciels malveillants, mettant ainsi en danger la propriété intellectuelle.

En ce qui concerne les acteurs de la menace, les attentes correspondent à la réalité. Les résultats montrent que les organisations de santé comprennent parfaitement qui est le plus dangereux pour elles — ce sont les employés partants qui causent le plus de problèmes dans la réalité et dont les organisations ont peur.

Étude de cas : D'anciens employés de GlaxoSmithKline dérobent des secrets commerciaux

En 2016, cinq personnes, dont deux anciens chercheurs du géant pharmaceutique GlaxoSmithKline (GSK), ont été accusées aux États-Unis de comploter pour voler des secrets commerciaux et les vendre en Chine. Selon les procureurs, les deux scientifiques ont envoyé par courriel des données confidentielles concernant une douzaine de produits GSK ou plus à leurs associés, qui prévoyaient de commercialiser les secrets commerciaux via une entreprise qu'ils avaient créée en Chine et d'entrer en concurrence directe avec GSK. Les données volées comprenaient des informations relatives au développement de plusieurs produits biopharmaceutiques, ainsi que des informations sur la recherche, le développement et la fabrication de produits biopharmaceutiques par GSK. En 2018, les deux scientifiques ont plaidé coupables de vol de propriété intellectuelle, mais le montant exact des dommages financiers reste à être calculé.

Perte de données

La perte de données se produit généralement lorsque des informations sont détruites en raison de défaillances lors du stockage, du traitement ou de la transmission. La perte de données peut être délibérée (par exemple, effacement, détournement de session, infiltrations de logiciels malveillants et exploitations IoT), ou le résultat d'erreurs humaines. Un autre scénario est la perte ou le vol d'un appareil portable ayant accès à des données sensibles. Les conséquences de tels incidents pour les organisations de soins de santé peuvent être graves. Si les données extrêmement sensibles de leurs clients et employés, qui comprennent des informations personnelles, des données financières et des résultats d'examens cliniques, tombent entre de mauvaises mains, elles pourraient être utilisées pour des attaques de phishing, du chantage ou de la fraude. Même si les données des patients sont perdues plutôt que volées, des procédures de soins de santé vitales pourraient être retardées et des décisions importantes pourraient être moins bien informées. Dans les deux cas, l'entreprise pourrait subir une perte de fidélité de la clientèle, une diminution de la vitesse des affaires ou même la faillite.

La perte d'autres types de données est également une préoccupation majeure pour les organisations de santé. Par exemple, si une entreprise pharmaceutique perd des informations concernant des essais cliniques, elle pourrait devoir recommencer tout le processus de recherche et développement depuis le début et donc échouer à lancer un nouveau produit avant un concurrent. En fin de compte, l'entreprise peut perdre son avantage concurrentiel et sa part de marché, en plus du temps et de l'argent dépensés pour reproduire les données.

Les résultats de l'enquête indiquent que la plupart des organisations de santé craignent les suppressions intentionnelles, alors qu'en réalité elles devraient accorder plus d'attention aux erreurs humaines, qui sont la véritable première cause d'incidents impliquant une perte de données. Les suppressions intentionnelles ne figurent même pas dans le top cinq ; elles n'ont été mentionnées que par 11 % des répondants, ce qui est bien moins que d'autres causes de perte de données (par exemple, les défaillances matérielles et les appareils perdus/volés).

En ce qui concerne les acteurs de la menace, nous constatons à nouveau que les organisations ne comprennent pas pleinement de qui elles doivent avoir peur. Elles craignent davantage les employés partants que quiconque (63 %), alors qu'en réalité, ce sont les utilisateurs professionnels réguliers qui causent la plupart des pertes de données. Encore une fois, les employés partants peuvent sembler dangereux, mais ils ne sont même pas proches d'être les leaders parmi d'autres acteurs de la menace — seulement 21 % des répondants ont déclaré que les employés partants ont participé à de véritables incidents.

Étude de cas : Un centre de cancérologie au Texas perd de grandes quantités de données sensibles

En 2018, le département de la Santé et des Services sociaux des États-Unis, Office for Civil Rights, a annoncé sa quatrième plus grande amende pour violation de l'HIPAA, infligée au University of Texas MD Anderson Cancer Center. Le cas découle de trois incidents en 2012 et 2013 : l'ordinateur portable d'un employé a été volé et deux clés USB ont disparu ; tous les appareils contenaient des informations de santé protégées électroniques (ePHI) des patients de MD Anderson.

Au total, les informations de santé protégées (PHI) de 34 883 patients ont été perdues et auraient pu être exposées à des individus non autorisés. L'analyse a révélé que les appareils portables contenant des ePHI n'étaient pas chiffrés, ce qui constituait une violation directe de l'HIPAA. En raison de leur échec à mettre en œuvre les contrôles de sécurité exigés par l'HIPAA, MD Anderson a été condamné à payer 4 348 000 dollars d'amendes.

Violation de données

Malheureusement, le secteur de la santé n'est pas étranger aux violations de données. Les incidents qui ont fait les gros titres récemment incluent les cas de Premera Blue Cross et Anthem, tous deux en 2015. Une violation de données est un incident de sécurité confirmé dans lequel des données sensibles, protégées ou confidentielles sont copiées, transmises, consultées, volées ou utilisées par une personne non autorisée. Dans le cas du secteur de la santé, les violations de données impliquent souvent la compromission de PHI, mais certains cas incluent d'autres types de données, telles que les informations de paiement ou les informations personnellement identifiables (PII).

Selon le Verizon 2018 DBIR, le modèle de menace le plus fréquent pour les violations dans le secteur de la santé est les erreurs diverses, principalement sous la forme de livraisons erronées et de divulgations non intentionnelles. Les conséquences d'une violation de données incluent des fuites massives de données extrêmement sensibles, qui peuvent être facilement vendues sur le marché noir ou utilisées pour l'extorsion et la fraude, ainsi que des poursuites judiciaires de clients furieux, des amendes de conformité substantielles et des dommages à la réputation.

La majorité des personnes interrogées dans l'enquête (68 %) ont nommé les violations de données comme leur principale priorité parmi les risques informatiques. La plupart des organisations de santé (79 %) ont désigné le partage de mots de passe comme le modèle de menace le plus dangereux. Mais en réalité, la plupart des violations étaient causées par des erreurs humaines (24 %), telles que la divulgation non intentionnelle ou le clic sur des liens de phishing. Les attentes correspondaient toutefois à la réalité concernant les acteurs de la menace : les utilisateurs réguliers sont perçus comme l'acteur principal de la menace et sont en effet l'acteur principal dans la réalité.

Étude de cas : Premera Blue Cross est au cœur du scandale de violation de données

En 2015, le géant de l'assurance maladie Premera Blue Cross a révélé qu'une base de données contenant des informations sur plus de 11 millions de clients avait été compromise lors d'une violation en mai 2014. Un employé de la société a été victime d'une attaque de phishing qui a permis aux pirates d'installer un logiciel malveillant sur le réseau de l'assureur. Dans une déclaration publique, Premera a indiqué que les attaquants auraient pu avoir accès aux informations cliniques des clients, aux numéros de comptes bancaires, aux numéros de sécurité sociale, aux dates de naissance et plus encore.

En avril 2014, le Bureau de gestion du personnel des États-Unis (OPM) a averti Premera qu'il « a trouvé de nombreuses failles de sécurité lors d'un audit de routine des systèmes de Premera » juste un mois avant que l'incident ne soit révélé. En conséquence, Premera Blue Cross a fait face à un important recours collectif, qui soutenait que Premera n'avait pas suffisamment protégé les informations personnelles de ses clients et ne les avait pas informés de la violation des données en temps opportun. De plus, selon des documents judiciaires révélés en 2018, Premera est maintenant accusée d'avoir intentionnellement détruit un ordinateur et des journaux de logiciels qui auraient pu fournir des preuves que des pirates informatiques ont volé des données de ses systèmes après que le recours collectif ait été déposé.

Perturbation du système

Une perturbation du système (ou interruption de service) est la défaillance de certains systèmes à fournir ou à exécuter leur fonction principale pendant une période de temps. Les raisons courantes incluent les défaillances du système (y compris les coupures de courant), les catastrophes naturelles, les techniques malveillantes utilisées par des personnes externes et internes (par exemple, les attaques DDoS, le sabotage et les logiciels de rançon), et les erreurs humaines. Pour les organisations de santé, un temps d'arrêt imprévu signifie qu'elles ne peuvent pas fonctionner efficacement, car la perturbation peut affecter tous les aspects de leurs opérations, des soins aux patients aux admissions en passant par la chaîne d'approvisionnement et plus encore. Par exemple, une perturbation du système pourrait empêcher une organisation qui dépend des systèmes de dossiers de santé électroniques (EHR) d'enregistrer les patients, de planifier des rendez-vous et d'accéder aux résultats des tests. Les perturbations du système créent également des problèmes pour les organisations qui fournissent des soins de santé cliniques à distance aux patients par le biais des TI (télémédecine), et pour les entreprises pharmaceutiques, qui pourraient ne pas être en mesure de poursuivre leurs recherches et donc perdre un temps et de l'argent précieux.

Une fois de plus, les attentes ne correspondent pas à la réalité ici. Bien que les erreurs humaines (72 %) soient considérées comme la principale cause de perturbation des systèmes, la plupart des incidents sont en réalité le résultat de coupures de courant (48 %) ; les erreurs humaines arrivent en deuxième position (45 %). Et tandis que les organisations de santé accusent les pirates informatiques d'être responsables de la majorité des perturbations des systèmes, elles rapportent que ce sont les membres de l'équipe informatique qui sont responsables de la plupart des incidents réels (36 %) ; les pirates informatiques sont à la traîne en sixième position, cités par 29 % des répondants.

Étude de cas : Le NHS subit la plus grande attaque de rançongiciel jamais enregistrée

Bien que les ransomwares n'aient pas été la principale cause de perturbations réelles des systèmes, un cas bien connu qui illustre les conséquences d'une perturbation du système dans l'industrie de la santé est lié aux ransomwares. Puisqu'il a affecté plusieurs hôpitaux à la fois, il y a eu un tollé public massif. Vous l'avez deviné — il s'agit de l'affaire WannaCry NHS au Royaume-Uni.

Lorsque la cyberattaque WannaCry s'est répandue dans le monde entier en 2017, le British NHS a été le plus touché. Les hôpitaux et les cabinets de médecins généralistes en Angleterre et en Écosse figuraient parmi au moins 16 organisations de services de santé affectées par l'attaque de rançongiciel, qui utilisait un malware appelé Wanna Decryptor pour chiffrer les données. La demande de paiements de 300 à 600 dollars pour restaurer l'accès était le moindre des problèmes — l'attaque a provoqué d'importantes perturbations des plannings d'opérations chirurgicales au Royaume-Uni. Puisque l'attaque a affecté des systèmes clés, y compris les téléphones, le personnel a été contraint de revenir au stylo et au papier et d'utiliser leurs propres mobiles pour les opérations quotidiennes. Ils ont également dû refuser des patients et annuler des rendez-vous ; il a été conseillé aux patients de ne chercher des soins médicaux qu'en cas d'urgence.

Pénalités de conformité

Les pénalités de conformité ne sont pas exactement un risque informatique, mais elles constituent une préoccupation majeure pour les organisations de santé. Les normes de conformité deviennent plus strictes et de nouvelles apparaissent régulièrement, donc se conformer à toutes les exigences est de plus en plus difficile. Les organisations de santé doivent se conformer non seulement aux normes spécifiques à leur secteur (par exemple, HIPAA et le HITECH Act), mais aussi à des normes comme PCI DSS si elles acceptent les paiements par carte de crédit. La conséquence la plus évidente de la non-conformité est d'énormes amendes : par exemple, les amendes pour violations de HIPAA peuvent atteindre 50 000 $, ou jusqu'à 1,5 million de dollars pour des violations répétées.

Les normes de conformité exigent que les organisations prouvent que les informations de santé protégées (PHI) et autres données personnelles des patients et des employés sont constamment bien protégées. Notre enquête a révélé que les organisations de santé se considèrent à 74 % prêtes pour un contrôle de conformité inattendu. Environ un tiers (31 %) des organisations déclarent qu'elles prévoient d'augmenter le nombre d'employés responsables de la conformité à un moment donné; cependant, d'autres (24 %) disent qu'elles ne prévoient pas d'embaucher de personnel supplémentaire pour les tâches de conformité à l'avenir.

Étude de cas : Anthem accepte de payer le plus grand règlement de violation de l'HIPAA de l'histoire

En décembre 2014, des pirates informatiques ont compromis une base de données appartenant à Anthem, le deuxième plus grand assureur santé aux États-Unis. La compromission n'a pas été découverte avant le 27 janvier 2015, après qu'un administrateur de base de données ait découvert que ses identifiants étaient utilisés pour exécuter une requête suspecte. Entre-temps, les pirates ont volé les données de 78 millions de membres du régime, y compris leurs noms, adresses, dates de naissance, numéros d'identification médicale, informations d'emploi, adresses e-mail et numéros de sécurité sociale.

En 2018, Anthem a accepté de payer une amende de 16 millions de dollars pour la violation de données de 2015 et de mettre en œuvre un plan d'action correctif robuste pour répondre aux problèmes de conformité découverts par l'Office of Civil Rights (OCR) lors de l'enquête. Cette amende est plus de trois fois le montant record précédent du règlement de violation HIPAA de 5,55 millions de dollars, infligé à Advocate Health Care en 2016.

Résumé et plans futurs

Les résultats de l'enquête montrent que les attentes des organisations de santé ne correspondent pas nécessairement à la réalité. En fait, les erreurs humaines ou les actions malveillantes des utilisateurs professionnels causent généralement plus de dommages que les infiltrations de logiciels malveillants et autres activités de hackers.

Les violations de données occupent la première place dans la liste des risques informatiques qui influencent le plus l'industrie, ce qui n'est pas surprenant, compte tenu des conséquences graves auxquelles les organisations doivent faire face si elles subissent une violation de données. Cela peut impliquer des litiges, des dommages à la réputation, la perte de fidélité des clients, la suspension ou la perte de licence et, bien sûr, des dommages financiers — l'étude de 2018 Ponemon Cost of Data Breach Study indique que le secteur de la santé a le coût par victime de violation de données le plus élevé de toutes les industries (environ 408 $ pour chaque enregistrement perdu ou volé).

Les organisations de santé prennent ces risques au sérieux. Elles prévoient d'augmenter leurs investissements en sécurité de 141 % à l'avenir, et elles considèrent la détection des incidents de sécurité comme le principal moyen d'améliorer la cybersécurité.

Consultez l'infographie complète avec les résultats de l'enquête sur les risques informatiques de 2018 pour le secteur de la santé ici :

FAQ

Comment prévenir les violations de données dans le secteur de la santé ?

Prévenir les violations de données de santé nécessite une approche de défense en profondeur qui commence par la sécurité des identités. La stratégie la plus efficace combine le contrôle des accès, la surveillance continue et la planification de la réponse aux incidents. Mettez en œuvre les principes d'accès à least privilege access – les travailleurs de la santé ne devraient accéder qu'aux données des patients nécessaires à leur rôle spécifique. Déployez des systèmes de surveillance en temps réel capables de détecter des modèles d'accès inhabituels, comme une infirmière accédant soudainement à des centaines de dossiers de patients en dehors de son département. Une formation régulière à la sensibilisation à la sécurité est cruciale, car l'erreur humaine contribue à la majorité des violations dans le domaine de la santé. N'oubliez pas les bases : la gestion des correctifs, le chiffrement des données au repos et en transit, et les procédures de sauvegarde sécurisées. L'aperçu clé que la plupart des organisations de santé manquent : prévenir les violations n'est pas une question de sécurité parfaite – il s'agit de rendre votre organisation une cible plus difficile que les concurrents.

Qu'est-ce que la conformité HIPAA et pourquoi est-elle importante ?

La conformité HIPAA est le cadre de l'industrie de la santé pour protéger la vie privée des patients et sécuriser les informations de santé protégées (PHI). Elle est importante car la conformité va au-delà de l'évitement des amendes (qui peuvent atteindre des millions de dollars). La conformité HIPAA construit la confiance des patients, réduit la responsabilité légale et crée une culture consciente de la sécurité à travers votre organisation. La réglementation couvre trois domaines principaux : la Règle de Confidentialité (qui peut accéder aux PHI), la Règle de Sécurité (comment protéger les PHI électroniques) et la Règle de Notification de Violation (que faire lorsque les choses tournent mal). Les organisations de santé avant-gardistes voient HIPAA comme un avantage concurrentiel plutôt qu'un fardeau – les patients choisissent de plus en plus des prestataires en qui ils ont confiance avec leurs informations les plus sensibles.

Pourquoi la cybersécurité est-elle importante dans le secteur de la santé ?

La cybersécurité dans le domaine de la santé est cruciale car la sécurité des patients et la data privacy sont indissociables dans la médecine moderne. Lorsque des cyberattaques perturbent les systèmes hospitaliers, elles ne se contentent pas de compromettre les données – elles peuvent retarder des traitements vitaux, annuler des chirurgies et forcer les services d'urgence à détourner des patients. Les organisations de santé stockent certaines des données les plus précieuses sur le dark web : des historiques médicaux complets, des numéros de sécurité sociale, des informations d'assurance et des données financières, le tout en un seul endroit. Contrairement aux numéros de carte de crédit qui peuvent être rapidement annulés, le vol d'identité médicale peut prendre des années à résoudre et peut être mortel si des dossiers médicaux falsifiés conduisent à des traitements incorrects. L'essor des dispositifs médicaux connectés et de la télémédecine a exponentiellement élargi la surface d'attaque, rendant la cybersécurité robuste non seulement importante – elle est essentielle pour les soins aux patients et la survie organisationnelle.

Quels sont les plus grands risques informatiques dans le secteur de la santé ?

Les plus grands risques informatiques dans le domaine de la santé combinent les menaces cyber traditionnelles avec des vulnérabilités spécifiques au secteur. Les menaces internes sont en tête de liste – les travailleurs de la santé ayant un accès légitime qui utilisent intentionnellement ou accidentellement les données des patients représentent la majorité des incidents. Les attaques par rançongiciel ciblant spécifiquement les systèmes de santé ont augmenté de façon exponentielle, les attaquants sachant que les hôpitaux ne peuvent se permettre une interruption prolongée. Les vulnérabilités des dispositifs médicaux représentent une menace émergente à mesure que de plus en plus d'appareils se connectent aux réseaux hospitaliers sans contrôles de sécurité adéquats. Les attaques sur la chaîne d'approvisionnement via des fournisseurs tiers offrent aux attaquants des portes dérobées dans les réseaux de santé. Ne négligez pas le facteur humain : les attaques de phishing qui trompent le personnel en leur faisant fournir des identifiants ou télécharger des logiciels malveillants restent d'une efficacité dévastatrice. Le risque le plus dangereux est la complaisance organisationnelle – supposer que de bonnes intentions et la conformité réglementaire seules suffisent à prévenir des attaquants sophistiqués et motivés.

Comment mettre en œuvre les meilleures pratiques de cybersécurité dans le secteur de la santé ?

La mise en œuvre des meilleures pratiques de cybersécurité dans le domaine de la santé nécessite de trouver un équilibre entre la sécurité et les réalités opérationnelles des soins aux patients. Commencez par la gestion des identités et des accès – assurez-vous que chaque utilisateur dispose de justificatifs uniques et mettez en place une authentification multi-facteurs sur tous les systèmes. Déployez une segmentation du réseau pour isoler les dispositifs médicaux critiques et les systèmes de données des patients de l'infrastructure informatique générale. Établissez une surveillance continue capable de détecter les anomalies sans générer de fatigue d'alerte pour les équipes informatiques déjà surchargées. Créez des plans de réponse aux incidents spécifiquement adaptés aux scénarios de santé où le temps d'arrêt du système a un impact direct sur la sécurité des patients. Des évaluations régulières de la vulnérabilité et des tests d'intrusion devraient se concentrer à la fois sur les systèmes informatiques et les dispositifs médicaux. Plus important encore, cultivez une culture de la sécurité grâce à une formation continue qui aide le personnel à comprendre comment la cybersécurité est directement liée à la qualité et à la sécurité des soins aux patients.