Cybersécurité

Identifier à la fois les modifications à apporter aux référentiels santé de la Cnil et les sujets sur lesquels il pourrait être opportun d’adopter un nouveau cadre de référence ou des recommandations : telle est l'ambition de la consultation publique ouverte aux professionnels concernés par la protection des données de santé (chercheurs, médecins, juristes), jusqu'au 12 juillet 2024.

Les données de santé à caractère personnel doivent être stockées exclusivement au sein de l'Espace économique européen (EEE), si un hébergeur ne remplit pas cette condition, il devrait déclarer l'existence d'un risque au niveau de la protection de ces données : il s'agit là de l'une des 31 exigences du nouveau référentiel de certification "hébergeur de données de santé (HDS)".

Intégrer la sécurité dans toutes les phases du cycle de vie d'un système d'IA, protéger en intégrité les données d’entraînement du modèle d'IA ou encore maîtriser et sécuriser les interactions du système d'IA avec d'autres applications métier : 3 parmi les 35 recommandations émises par l'Anssi pour sécuriser au mieux les systèmes d'IA générative contre de potentiels attaques.

"Annuaires techniques et exposition sur internet" (65 M€), ouvert jusqu'au 19 avril, et "HospiConnect" (1,4 M€), ouvert jusqu'au 5 avril : les 2 premiers guichets du programme CaRE, visant à renforcer la cybersécurité dans les établissements de santé, ont été officiellement lancés, le 18 mars 2024.

Les systèmes nationaux de certification de cybersécurité seront remplacés par ceux certifiés au niveau européen. La European Common Criteria Cybersecurity Certification (EUCC) sera d'une durée maximale de 5 ans. En France, la vérification de sa bonne application au niveau national se fera par l'Agence nationale de la sécurité des systèmes d'information (Anssi).

Prévention, traitement, formation, recherche… Si son potentiel est exploité pleinement et de manière éthique, le métavers pourrait être un outil prometteur au service de la santé de tous. Afin de mieux évaluer ses opportunités, des chercheurs italiens de l’université de Catane (Sicile) ont réalisé une revue de la littérature* sur le sujet.

Si les résultats de leurs travaux, publiés le 30 août dans le Journal of Functional Morphology and Kinesiology, mettent en évidence la pauvreté de la littérature disponible sur le métavers appliqué au domaine de la santé, les chercheurs relèvent la puissance de cette technologie émergente pour surveiller la santé des personnes éloignées de toute structure de soins (déserts médicaux).

 ‎📌 Principaux résultats :
• la littérature sur le métavers et la santé est limitée à quelques revues de la littérature et éditoriaux ;
• le métavers peut être adopté pour les procédures diagnostiques et chirurgicales et la rééducation concernant la douleur, les accidents vasculaires cérébraux, l'anxiété, la dépression,  la peur, le cancer et les troubles neurodégénératifs, avec des résultats satisfaisants ;
• la possibilité de créer des avatars permet des consultations (téléconsultations) et des soins personnalisés ;
• différents dispositifs peuvent être adoptés pour surveiller l'état de santé directement à domicile (télésurveillance), en reliant la vie réelle au monde virtuel.

Cybersécurité : l'enjeu de la protection des données personnelles

Le métavers apparaît notamment comme un outil facilitant la collecte d’une vaste quantité d'informations personnelles sur la santé, permettant la création de systèmes de big data et d'apprentissage automatique (machine learning) qui pourraient aider le système de soins de santé et la recherche.

En conséquence, les dangers possibles liés à la gestion des données et au respect de la vie privée émergent. Les auteurs de la publication estiment que "le métavers pourrait être un endroit dangereux où de nouveaux crimes vicieux et sophistiqués pourraient être commis, notamment en ce qui concerne le vol de données personnelles" (cybersécurité).

Les études futures devront donc examiner en profondeur la faisabilité d'un métavers de la santé dans lequel les utilisateurs peuvent apprendre et être guidés vers des comportements sains. L'enjeu est de trouver le chemin pour passer de la théorie à la pratique.

Les 1ers pas de la santé dans le métavers

Le métavers est un monde virtuel tridimensionnel (3D) basé sur internet, où les individus mènent leurs activités quotidiennes à l'aide d'avatars représentant leur personnalité "réelle" ou imaginaire. Si cette définition fait davantage penser à l’univers du jeu, la santé représente pourtant un terrain intéressant pour cette technologie émergente.

« Ce n'est pas seulement un endroit où l'on peut s'éloigner de la vie trépidante et profiter d'une vie de loisirs, mais selon nous, c'est un endroit où les individus vont vivre une partie de leur vie en utilisant des services et des installations », estiment des chercheurs italiens de l’université de Catane, à l'origine d'une revue de la littérature sur le métavers dans le secteur de la santé.

976 études détectées, seules 21 jugées recevables

Des applications de la technologie dans le champ sanitaire commencent à émerger : le potentiel de ce monde virtuel pour la prévention et le traitement des maladies, l'éducation, la formation et la recherche pourrait même être sans limite. Preuve de cet intérêt : un premier diplôme universitaire sur le « Métavers en santé » figure depuis cette année au programme des formations délivrées par l’Université Paris-Cité.

Afin de mesurer scientifiquement la maturité du sujet, ces chercheurs italiens ont décidé de passer en revue la littérature. Quelque 976 études portant sur le métavers et la santé ont été détectées après le filtrage des 3 bases de données (Pubmed : 67 ; Web of Science : 380 ; Scopus : 529). Au final, seules 21 études ont été jugées recevables.

Résultats : une littérature encore pauvre

• La littérature sur ce sujet est limitée à quelques revues de la littérature et éditoriaux.
• Le métavers peut être adopté pour les procédures diagnostiques et chirurgicales et la rééducation concernant la douleur, les accidents vasculaires cérébraux, l'anxiété, la dépression, la peur, le cancer et les troubles neurodégénératifs, avec des résultats satisfaisants.
• La possibilité de créer des avatars permet des consultations et des soins personnalisés
• Différents dispositifs peuvent être adoptés pour surveiller l'état de santé directement à domicile, en reliant la vie réelle au monde virtuel.

Cette revue de la littérature montre que le sujet est nouveau et innovant, et qu'il nécessite des investigations futures. Cependant, des pistes se dessinent. Dans le domaine des soins, les auteurs de cette revue de la littérature suggèrent que "dans le métavers, les médecins pourraient rendre visite à leurs patients dans une clinique virtuelle en 3D en utilisant des services de télémédecine et des dispositifs à domicile tels que des capteurs portables et des applications pour smartphone afin de surveiller leur état de santé".

Les avatars, de vraies infirmières virtuelles

En outre, les avatars devraient pouvoir jouer un rôle non négligeable dans le système de santé. Basé sur l'intelligence artificielle, ils pourraient fournir un retour d'informations et des motivations personnalisés, et, de cette façon, rendre l'intervention médicale plus efficace. « Les avatars, grâce à la nouvelle technologie, réagissent de manière réaliste dans leur discours, leurs expressions faciales et leur langage corporel », comme une "infirmière virtuelle", relèvent les auteurs de la publication.

Le métavers devrait par ailleurs progressivement investir le domaine de la formation, et notamment via la réalité virtuelle. Cette dernière présente l’avantage d’être accessible de n'importe où, indépendamment de la distance ou de l'espace. Pour les chercheurs italiens, ces atouts liés à la réalité virtuelle et à la réalité augmentée pourraient permettre de "standardiser l'éducation des gens" : "cela pourrait réduire les disparités dans l'éducation des futurs étudiants en médecine", soulignent-ils.

Cybersécurité : "un endroit dangereux"

Enfin, dans cette revue de la littérature, les chercheurs se sont penchés sur les opportunités en termes de recherche.

Le métavers apparaît comme un outil facilitant la collecte d’une vaste quantité d'informations personnelles sur la santé, permettant la création de systèmes de big data et d'apprentissage automatique (machine learning) qui pourraient aider le système de soins de santé et la recherche.

En conséquence, les dangers possibles liés à la gestion des données et au respect de la vie privée émergent. Les chercheurs estiment que "le métavers pourrait être un endroit dangereux où de nouveaux crimes vicieux et sophistiqués pourraient être commis, notamment en ce qui concerne le vol de données personnelles".  

Les études futures devront donc examiner en profondeur la faisabilité d'un métavers de la santé dans lequel les utilisateurs peuvent apprendre et être guidés vers des comportements sains. L'enjeu est de trouver le chemin pour passer de la théorie à la pratique.

81 % des consommateurs pensent que les industries de la santé seront impactées par le metaverse, révèle l'agence Wunderman Thompson dans une étude menée en mars 2022 auprès de plus de 3 000 personnes âgées de 16 à 65 ans aux États-Unis, au Royaume-Uni et en Chine. Selon InsightAce Analytic, le marché mondial du metaverse dans le domaine des soins -  évalué à 5,06 milliards de dollars en 2021 - devrait atteindre les 71,97 Mds $ d'ici 2030 ("Global Metaverse in Healthcare Market", étude publiée en mai 2022).

Web 3 : de la RV au metaverse, en passant par la blockchain

• Depuis les années 2000, l'apparition de la réalité virtuelle (RV) préfigure un avenir numérique parfois associé à la science-fiction.
• Puis, avec l'essor du gaming, qui compte aujourd'hui plus de 3,2 milliards de joueurs, cet univers fictif a envahi nos écrans et transformé notre rapport au numérique.
• L'essor de la blockchain et des capacités des serveurs a favorisé la création d'écosystèmes innovants, tels que les NFT (Non Fungible Roken) et le metaverse.

L’accélération vers ces univers, en raison de la pandémie de Covid-19 et des confinements subséquents, a rebattu les cartes et accéléré la mise en place d'espaces immersifs à fort contenu. La santé a bénéficié aussi de cette transition, avec le recours à la télémédecine, qui lui aussi s’est considérablement démocratisé.

Du Web 2 au Web 3 : comprendre les enjeux d'un marché émergent

Dans cet article, Frédéric Lefret, CEO d'Immersive Talents Agency, revient en exclusivité pour H&TI sur cette transition vers le Web 3 et les enjeux de ce secteur émergent :

• du Web 2 vers le Web 3 : quand les utilisateurs contrôlent leurs données :
> décentralisation des données : une activation de communautés avec le metaverse et le NFT ;
> une nouvelle stratégie : celle du marketing de la rencontre ;

• déjà des usages : formation, serious games, avatars contre le Covid-19... :
> un hôpital virtuel lancé par la société française Simango en janvier 2022 ;
> une intervention médicale virtuelle pour mieux comprendre le parcours de soins ;
> retour sur des premiers usages du metaverse identifiés sur le marché de la santé ;

• quelles opportunités ? - L’acculturation des équipes est primordiale :
> une stratégie pour toucher une audience et diffuser un message avec une éventuelle conversion d'achat ;
> avoir en ligne de mire l'usage apprécié des patients et des consommateurs ;
> santé : la télémédecine, une première étape ;

• comment débuter ? - Des premiers retours limités en termes de ROI :
> toutes les marques présentes dans les NFT et dans le metaverse ne communiquent pas leurs données ;
> le récit client et les expériences de parcours immersifs tendent à personnaliser davantage l'offre.

---

Cette analyse est signée Frédéric Lefret, CEO d'Immersive Talents Agency, une agence de conseil en stratégie marketing dédiée aux espaces immersifs (metaverse, réalité virtuelle, réalité augmentée, NFT, avatars, gaming...). Elle accompagne les marques pour concevoir et réaliser des stratégies afin d’accroître leur visibilité, de cultiver et d'amplifier leurs communautés (prospects et clients). Elle offre la possibilité de pré-tester et de réaliser des études auprès d’un panel représentatif d’utilisateurs NFT et metaverse en Asie, en Europe et en Amérique du Nord.

Une collaboration exclusive avec H&TI.

Du Web 2 vers le Web 3 : quand les utilisateurs contrôlent leurs données

Contrairement au Web 2, où les utilisateurs créent et les plateformes contrôlent tout, le Web 3 permet aux utilisateurs, via la blockchain, de contrôler leurs données et leur identité et de décider qui y a accès.

Décentralisation des données : une activation de communautés avec le metaverse et le NFT

Cette décentralisation des données, qui va devenir la norme, permet aussi de faciliter l’immersion, déjà présente à travers la réalité virtuelle/augmentée (VR/AR) et le gaming, et l’activation de communautés avec le metaverse et le NFT. 

• Le metaverse est un univers virtuel où l’utilisateur va vivre un parcours expérientiel, où il pourra vivre une interaction importante avec l’entreprise et ses marques à travers son avatar.
• Le NFT, quant à lui, est un fichier numérique sur la blockchain qui offre à l’utilisateur la preuve de la propriété de ce fichier, la capacité de le céder à un tiers et d’en tracer son parcours à venir.
  • C’est aussi une clé d’entrée sur les espaces du metaverse, où il est possible d’y emmener le jumeau numérique d’un produit physique.
  • C’est encore un fichier qui vous donne des droits à des expériences physiques sous forme de rewarding (récompenses) et d’accentuer une relation personnalisée avec le consommateur. 

Une nouvelle stratégie : celle du marketing de la rencontre

Ces innovations apportent une nouvelle stratégie marketing, celle du marketing de la rencontre. 

En effet, il est possible de faciliter la rencontre patient et acteur de santé, réduisant ainsi les problématiques de distance, de temps et d’offrir une relation gamifiée à forte plus-value et très individualisée. 

Déjà des usages : formation, serious games, avatars contre le Covid-19...

Un hôpital virtuel lancé par la société française Simango

Depuis plusieurs années, la formation a recours à la réalité virtuelle en permettant de gamifier l’apprentissage des compétences comme le propose Simango avec son hôpital virtuel. C’est le premier hôpital reconstitué de façon virtuelle où les médecins, les infirmières, les aides-soignants peuvent se former aux gestes techniques ou d’hygiène. 

Une intervention médicale virtuelle pour mieux comprendre le parcours de soins

Le metaverse, quant à lui, permettra une "immersivité" et une interactivité encore plus grande. 

L’offre de soins souvent anxiogène va gagner en acceptabilité par les patients pour «vivre» avant le soin l’intervention virtuellement pour mieux en comprendre le parcours de soins. 

C’est aussi la capacité d’échanger avec d’autres patients. 

Tous les acteurs sont concernés ; chercheurs, médecins, infirmières, laboratoires, pharmacies… 

D’ailleurs, les premiers usages sont déjà apparus :

• aux États-Unis, la Food and Drug Administration (FDA) a approuvé en 2020 le tout premier jeu vidéo sur ordonnance, EndeavorRX, pour traiter le TDAH chez les enfants ;
• la principale chaîne de pharmacies CVS prévoit d'intégrer sa pharmacie et ses cliniques de santé dans le metaverse pour y vendre des biens virtuels incluant de la prescription ;
• Pfizer a vacciné les avatars contre le Covid-19 dans Grand Theft Auto, pour éduquer et promouvoir la vaccination auprès des jeunes au Brésil ;
• l'association britannique DeHealth a lancé en 2021 le premier univers en metaverse où les médecins travaillent, se concertent et consultent les patients en réalité virtuelle ;
• fin 2021, à Séoul, la Metaverse Doctors Association (MDA) a été lancée : il s'agit de la première association dédiée au metaverse dans le secteur de la santé. 

Quelles opportunités ? - L’acculturation des équipes est primordiale

Une stratégie pour toucher une audience et diffuser un message avec une éventuelle conversion d'achat

En premier lieu, les principes du marketing stratégique ne changent pas. Ce n'est pas le support numérique qui doit être la finalité mais l'objectif recherché. Il ne faut pas se lancer sur le metaverse ou sur les NFT dans le seul but d'agir comme les concurrents : cette décision doit être l'aboutissement d'une stratégie pour toucher une audience et diffuser un message avec une éventuelle conversion d'achat.

Avoir en ligne de mire l'usage apprécié des patients et des consommateurs

Ce nouveau monde repose sur des codes culturels très spécifiques :

• l'effet de mode peut nuire à l'image de la marque si la stratégie est basée uniquement sur l'effet "waouh !" ;
• il faut travailler à court et à moyen terme avec en ligne de mire, l'usage apprécié des patients et des consommateurs afin d'accentuer leur fidélité et d'amplifier la relation avec les communautés ;
• l’acculturation des équipes est primordiale : il est nécessaire de former ses effectifs à ces nouveaux univers avant de lancer toute stratégie.

Santé : la télémédecine, une première étape

La télémédecine a été une première étape en ce sens dans le secteur de la santé dans la relation patient/médecin. Le conseil et la délivrance de soins seront augmentés dans un univers immersif à forte interactivité, préfigurant la deuxième étape. 

Comment débuter ? - Des premiers retours limités en termes de ROI

Toutes les marques présentes dans les NFT et dans le metaverse ne communiquent pas leurs données

Les premiers retours en termes de ROI sont très limités. Toutes les marques présentes dans les NFT et dans le metaverse ne communiquent pas leurs données. À l'exception de quelques-unes :

• Nike a par exemple lancé "Nikeland" en 2021 et compte désormais plus de 7 millions de visiteurs dans l'histoire du metaverse ;
• Gucci affirme de son côté que plus de 18 millions de personnes se sont engagées avec lui au sein du jeu en réseau Roblox, dans lequel la marque a créé une ville virtuelle.

Cependant, les actions entreprises initialement avaient pour principal objectif de simplement habituer les clients ou les patients à interagir avec la marque dans les nouveaux environnements Web 3.

Le récit client et les expériences de parcours immersifs tendent à personnaliser davantage l'offre

Le récit client et les expériences de parcours immersifs tendent à personnaliser davantage l'offre et à faciliter son expression vis-à-vis de la marque :

• dans un premier temps, il faut s’acculturer avec ces nouveaux univers afin d’en saisir les dynamiques pour mieux comprendre le bénéfice client/patient ;
• puis d'être accompagné pour définir une stratégie qui va générer des scenarios utiles aux clients/patients.

Seuls l’utilité et le sens permettront une appropriation facile et un usage récurrent.

Après un premier épisode en mars, lors duquel l'Assurance maladie a signalé le vol de données d’au moins 510 000 Français à la suite de plusieurs piratages informatiques, voici qu’en juin les identifiants d’1 million de nos concitoyens sont mises en vente par un individu pour seulement 6 000 dollars. Le faible montant de la somme étonne. Autre fait qui dérange : le contenu supposé volé n'est pas vérifiable à moins de l'acheter. Et la Cnam assure n'avoir repéré aucune anomalie sur son système informatique Ameli.fr... Pourtant, une telle attaque ne devrait pas passer inaperçue et devrait laisser des traces.

Les données d'1M de personnes ont-elles vraiment été soutirées ?

Compte tenu des données disponibles sur le site de l’Assurance maladie (nom, adresse, numéros de Sécurité sociale, composition de la famille, informations sur les consultations médicales effectuées, coordonnées bancaires (partielles)...), il n'est pas étonnant qu'elles suscitent de la convoitise. Le prix modique demandé par le pirate pour un million d’identifiants est d'ailleurs étonnant.

Peu d’informations sont connues à ce stade sur l’origine de ce million d’identifiants en vente. Une campagne de phishing à grande échelle a été observée, avec l’utilisation malicieuse d’un faux site (Amelicartes-vitale.com) et en utilisant un nom, "Amii", dont le premier "i" génère une confusion avec Ameli.

Mais se dire que cela a permis de soutirer les informations à autant de personnes est tout de même curieux, et devra être confirmé. Quoi faire en attendant ? Probablement changer de mot de passe en cas de doute. Et continuer à faire preuve de vigilance…

---

Qu'il s'agisse d'un réel hacking ou d'une simple ruse, cette multiplication inquiétante des cyberattaques à l'encontre des données de santé mérite quelques commentaires, non seulement quant à la gravité de la situation mais aussi sur la responsabilité que nous pouvons tous avoir dans ce domaine.

Contexte

Le 17 mars 2022, la Cnam rapportait dans un communiqué avoir constaté plusieurs piratages ayant conduit à la fuite de diverses informations confidentielles, comme les noms, prénoms et numéros de Sécurité sociale des patients. Le droit européen, et en premier lieu le RGPD, contraint depuis plusieurs années toutes les organisations à mettre en place les mesures les plus sérieuses quant à la protection des données.

Mais une protection contre une cyberattaque – qu’elle soit pirate du fait d’organisation criminelle ou corsaire du fait d’organisation étatique – ne tient qu’un temps : il est vivement recommandé de mettre en place des défenses dans la profondeur de manière à dissuader des agresseurs plutôt que d'espérer s’en prémunir éternellement.

Faut-il pour autant refuser tout service qui contiendrait des données ? C’est irréaliste. Des bonnes pratiques sont cependant réalisables à tous niveaux pour que chacun puisse évoluer dans un monde cyber un peu plus sûr.

L'importance de la responsabilité individuelle

Que la motivation des hackers soit vénale, ludique, ou liée à une cause supérieure, la manière de procéder est souvent semblable :

• Il s’agit d’une part de multiples essais, la plupart du temps infructueux, testant des astuces pour contourner les protections classiques et s’appuyant sur des défauts connus de systèmes qui ne sont pas mis à jour.
• D’autre part de piéger des personnes ayant un accès légitime – souvent via un email – en leur soutirant leurs identifiants de connexion afin d’usurper leur rôle.

Il est de la responsabilité de tout professionnel en cybersécurité de se tenir à jour sur les types d’attaques réalisées et les modes de défenses les plus efficaces afin de conseiller efficacement les utilisateurs et de proposer les plans de protection adéquats.

Il est aussi de la responsabilité de toutes les organisations de dégager les moyens – financiers et humains – pour que les protections soient mises en œuvre et que la sensibilisation des personnes soit suffisante.

On évoque cependant peut-être insuffisamment notre responsabilité individuelle :

• protéger ses mots de passe ;
• ne pas cliquer sur un email ou un SMS invitant à se connecter (et préférer se connecter depuis son navigateur) ;
• ne pas partager ses identifiants à la suite d'un appel téléphonique (surtout si l’interlocuteur affirme que c’est urgent) ;
• ...

Des petites choses du quotidien, aussi évidentes que le fait de ne pas laisser son porte-monnaie sur un banc publique ou de ne pas écrire son code de carte bancaire sur sa carte bancaire…

Dans cette partie, Health & tech Research propose un benchmark des solutions EDR identifiées par les 30 DSI/RSSI interrogés. 

Pour rappel, la solution EDR a pour but de protéger les terminaux (ordinateurs portables, ordinateurs de bureau, téléphones, etc.).

Elle représente la principale solution technologique qui permet de faire face aux menaces avancées et persistantes sur les terminaux, pour lesquelles l’efficacité des antivirus n’est pas suffisante.

Utilisant des fonctionnalités d’intelligence artificielle, elle permet une protection en temps réel et peut faire face à un large panel de menaces malveillantes.

Ses capacités d’apprentissage automatique basées sur l’analyse des comportements des terminaux permettent à la fois :
⏺ d'empêcher les activités malveillantes ;
⏺ de répondre plus rapidement et plus efficacement grâce à des actions automatisées ;
⏺ de détecter et anticiper les menaces potentielles.
Elle est adaptée à différents types d’organisations, ayant des niveaux de maturité différents.

Benchmark des solutions EDR utilisées par les sondés :

[board=151315]

Dans cette partie, Health & tech Research propose un benchmark des solutions SIEM identifiées par les 30 DSI/RSSI interrogés. 

Pour rappel, le principe des Security Event Information Management (SIEM) est de gérer les événements de sécurité du système d'information.

Les solutions SIEM constituent un outil puissant d’alerte en cas de tentatives d’intrusion ou de faille de sécurité avérée, en permettant de comprendre l’origine des intrusions et en déterminant la stratégie de lutte à mettre en place.

Elles sont adaptées à différents types d’organisations, ayant des niveaux de maturité différents.

Benchmark des solutions SIEM identifiées par les sondés :

[board=151440]