Cybersécurité

Plus de 10 % des cyberattaques dans le monde au cours de l'année 2024 ont été dirigés vers les structures du monde de la santé d'après le rapport de "Check point research (CPR)", ce qui représente 2 018 attaques par semaine depuis le début de l'année. CPR explique que le caractère sensible des données et la nécessité de la continuité des services fait du secteur de la santé une cible privilégiée.

Visant à aider les établissements du secteur médico-social à identifier le niveau de maturité de leurs systèmes d'information (SI), l'Agence du numérique en santé (ANS) a publié la version 2024 de son référentiel de maturité numérique, « Maturin SMS ». Plusieurs paramètres y sont inclus : de la qualité des SI à leur performance, en passant par leurs dimensions éthique et de développement durable.

Mettre en place un centre opérationnel de sécurité, être réactif et avoir une bonne connaissance des systèmes informatiques (SI) : 3 réponses préconisées par l'Agence nationale de la performance sanitaire et médico-sociale (Anap) en cas de cyberattaque subie par un établissement de santé. Elles ont été publiées dans des fiches pratiques intitulées "Plan d'attaque contre les attaques".

La protection des informations sensibles dans le secteur de la santé et les mesures à prendre pour renforcer la cybersécurité des établissements de soins, deux questions cruciales soulevées par le cas de l'hôpital Simone Veil à Cannes, cible d'une cyberattaque le 16 avril 2024 qui a mis compromis la sécurité des données de ses patients.

81 % des consommateurs pensent que les industries de la santé seront impactées par le metaverse, révèle l'agence Wunderman Thompson dans une étude menée en mars 2022 auprès de plus de 3 000 personnes âgées de 16 à 65 ans aux États-Unis, au Royaume-Uni et en Chine. Selon InsightAce Analytic, le marché mondial du metaverse dans le domaine des soins -  évalué à 5,06 milliards de dollars en 2021 - devrait atteindre les 71,97 Mds $ d'ici 2030 ("Global Metaverse in Healthcare Market", étude publiée en mai 2022).

Web 3 : de la RV au metaverse, en passant par la blockchain

• Depuis les années 2000, l'apparition de la réalité virtuelle (RV) préfigure un avenir numérique parfois associé à la science-fiction.
• Puis, avec l'essor du gaming, qui compte aujourd'hui plus de 3,2 milliards de joueurs, cet univers fictif a envahi nos écrans et transformé notre rapport au numérique.
• L'essor de la blockchain et des capacités des serveurs a favorisé la création d'écosystèmes innovants, tels que les NFT (Non Fungible Roken) et le metaverse.

L’accélération vers ces univers, en raison de la pandémie de Covid-19 et des confinements subséquents, a rebattu les cartes et accéléré la mise en place d'espaces immersifs à fort contenu. La santé a bénéficié aussi de cette transition, avec le recours à la télémédecine, qui lui aussi s’est considérablement démocratisé.

Du Web 2 au Web 3 : comprendre les enjeux d'un marché émergent

Dans cet article, Frédéric Lefret, CEO d'Immersive Talents Agency, revient en exclusivité pour H&TI sur cette transition vers le Web 3 et les enjeux de ce secteur émergent :

• du Web 2 vers le Web 3 : quand les utilisateurs contrôlent leurs données :
> décentralisation des données : une activation de communautés avec le metaverse et le NFT ;
> une nouvelle stratégie : celle du marketing de la rencontre ;

• déjà des usages : formation, serious games, avatars contre le Covid-19... :
> un hôpital virtuel lancé par la société française Simango en janvier 2022 ;
> une intervention médicale virtuelle pour mieux comprendre le parcours de soins ;
> retour sur des premiers usages du metaverse identifiés sur le marché de la santé ;

• quelles opportunités ? - L’acculturation des équipes est primordiale :
> une stratégie pour toucher une audience et diffuser un message avec une éventuelle conversion d'achat ;
> avoir en ligne de mire l'usage apprécié des patients et des consommateurs ;
> santé : la télémédecine, une première étape ;

• comment débuter ? - Des premiers retours limités en termes de ROI :
> toutes les marques présentes dans les NFT et dans le metaverse ne communiquent pas leurs données ;
> le récit client et les expériences de parcours immersifs tendent à personnaliser davantage l'offre.

---

Cette analyse est signée Frédéric Lefret, CEO d'Immersive Talents Agency, une agence de conseil en stratégie marketing dédiée aux espaces immersifs (metaverse, réalité virtuelle, réalité augmentée, NFT, avatars, gaming...). Elle accompagne les marques pour concevoir et réaliser des stratégies afin d’accroître leur visibilité, de cultiver et d'amplifier leurs communautés (prospects et clients). Elle offre la possibilité de pré-tester et de réaliser des études auprès d’un panel représentatif d’utilisateurs NFT et metaverse en Asie, en Europe et en Amérique du Nord.

Une collaboration exclusive avec H&TI.

Du Web 2 vers le Web 3 : quand les utilisateurs contrôlent leurs données

Contrairement au Web 2, où les utilisateurs créent et les plateformes contrôlent tout, le Web 3 permet aux utilisateurs, via la blockchain, de contrôler leurs données et leur identité et de décider qui y a accès.

Décentralisation des données : une activation de communautés avec le metaverse et le NFT

Cette décentralisation des données, qui va devenir la norme, permet aussi de faciliter l’immersion, déjà présente à travers la réalité virtuelle/augmentée (VR/AR) et le gaming, et l’activation de communautés avec le metaverse et le NFT. 

• Le metaverse est un univers virtuel où l’utilisateur va vivre un parcours expérientiel, où il pourra vivre une interaction importante avec l’entreprise et ses marques à travers son avatar.
• Le NFT, quant à lui, est un fichier numérique sur la blockchain qui offre à l’utilisateur la preuve de la propriété de ce fichier, la capacité de le céder à un tiers et d’en tracer son parcours à venir.
  • C’est aussi une clé d’entrée sur les espaces du metaverse, où il est possible d’y emmener le jumeau numérique d’un produit physique.
  • C’est encore un fichier qui vous donne des droits à des expériences physiques sous forme de rewarding (récompenses) et d’accentuer une relation personnalisée avec le consommateur. 

Une nouvelle stratégie : celle du marketing de la rencontre

Ces innovations apportent une nouvelle stratégie marketing, celle du marketing de la rencontre. 

En effet, il est possible de faciliter la rencontre patient et acteur de santé, réduisant ainsi les problématiques de distance, de temps et d’offrir une relation gamifiée à forte plus-value et très individualisée. 

Déjà des usages : formation, serious games, avatars contre le Covid-19...

Un hôpital virtuel lancé par la société française Simango

Depuis plusieurs années, la formation a recours à la réalité virtuelle en permettant de gamifier l’apprentissage des compétences comme le propose Simango avec son hôpital virtuel. C’est le premier hôpital reconstitué de façon virtuelle où les médecins, les infirmières, les aides-soignants peuvent se former aux gestes techniques ou d’hygiène. 

Une intervention médicale virtuelle pour mieux comprendre le parcours de soins

Le metaverse, quant à lui, permettra une "immersivité" et une interactivité encore plus grande. 

L’offre de soins souvent anxiogène va gagner en acceptabilité par les patients pour «vivre» avant le soin l’intervention virtuellement pour mieux en comprendre le parcours de soins. 

C’est aussi la capacité d’échanger avec d’autres patients. 

Tous les acteurs sont concernés ; chercheurs, médecins, infirmières, laboratoires, pharmacies… 

D’ailleurs, les premiers usages sont déjà apparus :

• aux États-Unis, la Food and Drug Administration (FDA) a approuvé en 2020 le tout premier jeu vidéo sur ordonnance, EndeavorRX, pour traiter le TDAH chez les enfants ;
• la principale chaîne de pharmacies CVS prévoit d'intégrer sa pharmacie et ses cliniques de santé dans le metaverse pour y vendre des biens virtuels incluant de la prescription ;
• Pfizer a vacciné les avatars contre le Covid-19 dans Grand Theft Auto, pour éduquer et promouvoir la vaccination auprès des jeunes au Brésil ;
• l'association britannique DeHealth a lancé en 2021 le premier univers en metaverse où les médecins travaillent, se concertent et consultent les patients en réalité virtuelle ;
• fin 2021, à Séoul, la Metaverse Doctors Association (MDA) a été lancée : il s'agit de la première association dédiée au metaverse dans le secteur de la santé. 

Quelles opportunités ? - L’acculturation des équipes est primordiale

Une stratégie pour toucher une audience et diffuser un message avec une éventuelle conversion d'achat

En premier lieu, les principes du marketing stratégique ne changent pas. Ce n'est pas le support numérique qui doit être la finalité mais l'objectif recherché. Il ne faut pas se lancer sur le metaverse ou sur les NFT dans le seul but d'agir comme les concurrents : cette décision doit être l'aboutissement d'une stratégie pour toucher une audience et diffuser un message avec une éventuelle conversion d'achat.

Avoir en ligne de mire l'usage apprécié des patients et des consommateurs

Ce nouveau monde repose sur des codes culturels très spécifiques :

• l'effet de mode peut nuire à l'image de la marque si la stratégie est basée uniquement sur l'effet "waouh !" ;
• il faut travailler à court et à moyen terme avec en ligne de mire, l'usage apprécié des patients et des consommateurs afin d'accentuer leur fidélité et d'amplifier la relation avec les communautés ;
• l’acculturation des équipes est primordiale : il est nécessaire de former ses effectifs à ces nouveaux univers avant de lancer toute stratégie.

Santé : la télémédecine, une première étape

La télémédecine a été une première étape en ce sens dans le secteur de la santé dans la relation patient/médecin. Le conseil et la délivrance de soins seront augmentés dans un univers immersif à forte interactivité, préfigurant la deuxième étape. 

Comment débuter ? - Des premiers retours limités en termes de ROI

Toutes les marques présentes dans les NFT et dans le metaverse ne communiquent pas leurs données

Les premiers retours en termes de ROI sont très limités. Toutes les marques présentes dans les NFT et dans le metaverse ne communiquent pas leurs données. À l'exception de quelques-unes :

• Nike a par exemple lancé "Nikeland" en 2021 et compte désormais plus de 7 millions de visiteurs dans l'histoire du metaverse ;
• Gucci affirme de son côté que plus de 18 millions de personnes se sont engagées avec lui au sein du jeu en réseau Roblox, dans lequel la marque a créé une ville virtuelle.

Cependant, les actions entreprises initialement avaient pour principal objectif de simplement habituer les clients ou les patients à interagir avec la marque dans les nouveaux environnements Web 3.

Le récit client et les expériences de parcours immersifs tendent à personnaliser davantage l'offre

Le récit client et les expériences de parcours immersifs tendent à personnaliser davantage l'offre et à faciliter son expression vis-à-vis de la marque :

• dans un premier temps, il faut s’acculturer avec ces nouveaux univers afin d’en saisir les dynamiques pour mieux comprendre le bénéfice client/patient ;
• puis d'être accompagné pour définir une stratégie qui va générer des scenarios utiles aux clients/patients.

Seuls l’utilité et le sens permettront une appropriation facile et un usage récurrent.

Après un premier épisode en mars, lors duquel l'Assurance maladie a signalé le vol de données d’au moins 510 000 Français à la suite de plusieurs piratages informatiques, voici qu’en juin les identifiants d’1 million de nos concitoyens sont mises en vente par un individu pour seulement 6 000 dollars. Le faible montant de la somme étonne. Autre fait qui dérange : le contenu supposé volé n'est pas vérifiable à moins de l'acheter. Et la Cnam assure n'avoir repéré aucune anomalie sur son système informatique Ameli.fr... Pourtant, une telle attaque ne devrait pas passer inaperçue et devrait laisser des traces.

Les données d'1M de personnes ont-elles vraiment été soutirées ?

Compte tenu des données disponibles sur le site de l’Assurance maladie (nom, adresse, numéros de Sécurité sociale, composition de la famille, informations sur les consultations médicales effectuées, coordonnées bancaires (partielles)...), il n'est pas étonnant qu'elles suscitent de la convoitise. Le prix modique demandé par le pirate pour un million d’identifiants est d'ailleurs étonnant.

Peu d’informations sont connues à ce stade sur l’origine de ce million d’identifiants en vente. Une campagne de phishing à grande échelle a été observée, avec l’utilisation malicieuse d’un faux site (Amelicartes-vitale.com) et en utilisant un nom, "Amii", dont le premier "i" génère une confusion avec Ameli.

Mais se dire que cela a permis de soutirer les informations à autant de personnes est tout de même curieux, et devra être confirmé. Quoi faire en attendant ? Probablement changer de mot de passe en cas de doute. Et continuer à faire preuve de vigilance…

---

Qu'il s'agisse d'un réel hacking ou d'une simple ruse, cette multiplication inquiétante des cyberattaques à l'encontre des données de santé mérite quelques commentaires, non seulement quant à la gravité de la situation mais aussi sur la responsabilité que nous pouvons tous avoir dans ce domaine.

Contexte

Le 17 mars 2022, la Cnam rapportait dans un communiqué avoir constaté plusieurs piratages ayant conduit à la fuite de diverses informations confidentielles, comme les noms, prénoms et numéros de Sécurité sociale des patients. Le droit européen, et en premier lieu le RGPD, contraint depuis plusieurs années toutes les organisations à mettre en place les mesures les plus sérieuses quant à la protection des données.

Mais une protection contre une cyberattaque – qu’elle soit pirate du fait d’organisation criminelle ou corsaire du fait d’organisation étatique – ne tient qu’un temps : il est vivement recommandé de mettre en place des défenses dans la profondeur de manière à dissuader des agresseurs plutôt que d'espérer s’en prémunir éternellement.

Faut-il pour autant refuser tout service qui contiendrait des données ? C’est irréaliste. Des bonnes pratiques sont cependant réalisables à tous niveaux pour que chacun puisse évoluer dans un monde cyber un peu plus sûr.

L'importance de la responsabilité individuelle

Que la motivation des hackers soit vénale, ludique, ou liée à une cause supérieure, la manière de procéder est souvent semblable :

• Il s’agit d’une part de multiples essais, la plupart du temps infructueux, testant des astuces pour contourner les protections classiques et s’appuyant sur des défauts connus de systèmes qui ne sont pas mis à jour.
• D’autre part de piéger des personnes ayant un accès légitime – souvent via un email – en leur soutirant leurs identifiants de connexion afin d’usurper leur rôle.

Il est de la responsabilité de tout professionnel en cybersécurité de se tenir à jour sur les types d’attaques réalisées et les modes de défenses les plus efficaces afin de conseiller efficacement les utilisateurs et de proposer les plans de protection adéquats.

Il est aussi de la responsabilité de toutes les organisations de dégager les moyens – financiers et humains – pour que les protections soient mises en œuvre et que la sensibilisation des personnes soit suffisante.

On évoque cependant peut-être insuffisamment notre responsabilité individuelle :

• protéger ses mots de passe ;
• ne pas cliquer sur un email ou un SMS invitant à se connecter (et préférer se connecter depuis son navigateur) ;
• ne pas partager ses identifiants à la suite d'un appel téléphonique (surtout si l’interlocuteur affirme que c’est urgent) ;
• ...

Des petites choses du quotidien, aussi évidentes que le fait de ne pas laisser son porte-monnaie sur un banc publique ou de ne pas écrire son code de carte bancaire sur sa carte bancaire…

Dans cette partie, Health & tech Research propose un benchmark des solutions EDR identifiées par les 30 DSI/RSSI interrogés. 

Pour rappel, la solution EDR a pour but de protéger les terminaux (ordinateurs portables, ordinateurs de bureau, téléphones, etc.).

Elle représente la principale solution technologique qui permet de faire face aux menaces avancées et persistantes sur les terminaux, pour lesquelles l’efficacité des antivirus n’est pas suffisante.

Utilisant des fonctionnalités d’intelligence artificielle, elle permet une protection en temps réel et peut faire face à un large panel de menaces malveillantes.

Ses capacités d’apprentissage automatique basées sur l’analyse des comportements des terminaux permettent à la fois :
⏺ d'empêcher les activités malveillantes ;
⏺ de répondre plus rapidement et plus efficacement grâce à des actions automatisées ;
⏺ de détecter et anticiper les menaces potentielles.
Elle est adaptée à différents types d’organisations, ayant des niveaux de maturité différents.

Benchmark des solutions EDR utilisées par les sondés :

[board=151315]

Dans cette partie, Health & tech Research propose un benchmark des solutions SIEM identifiées par les 30 DSI/RSSI interrogés. 

Pour rappel, le principe des Security Event Information Management (SIEM) est de gérer les événements de sécurité du système d'information.

Les solutions SIEM constituent un outil puissant d’alerte en cas de tentatives d’intrusion ou de faille de sécurité avérée, en permettant de comprendre l’origine des intrusions et en déterminant la stratégie de lutte à mettre en place.

Elles sont adaptées à différents types d’organisations, ayant des niveaux de maturité différents.

Benchmark des solutions SIEM identifiées par les sondés :

[board=151440]

Dans cette partie, Health & Tech Research s'est intéressé aux enjeux auxquels les établissements feront face dans l'avenir face à l'intensification des cyberattaques.  
Les DSI/RSSI sondés seraient plutôt confiants à l’égard de la direction générale (73 %) dans la prise en compte des futurs enjeux liés à la cybersécurité.

Il ressort aussi que 3 enjeux reviennent souvent (à hauteur de 73% des sondés) pour les DSI/RSSI pour l'avenir de la cybersécurité des établissements de santé. La formation, la sensibilisation des usages, le soutien financier et humain sont les 3 défis majeurs de demain relevés par les sondés.

Enjeux de la cybersécurité des établissements de santé

Health & Tech Research a identifié les enjeux majeurs relevés par les DSI/RSSI des établissements de santé interrogés. Le défi majeur qui revient en premier pour 33% des sondés est la formation et la sensibilisation des usagers aux questions de cybersécurité dans les GHT. Juste après (23% des sondés l'évoquent en premier) est le budget alloué à la cybersécurité qui reste aujourd'hui encore insuffisant pour les DSI/RSSI pour faire face à la recrudescence des cyberattaques. 

[photo=150229]

Indice de confiance à l'égard de la DG à hauteur de 83%

Interrogés sur le niveau de confiance qu'ils accordent à la direction générale dans la prise en compte des enjeux et défis de la cybersécurité des établissements de santé, les DSI/RSSI des 27 GHT interrogés se disent plutôt confiants à hauteur de 73%. Seuls 10% d'entre eux sont tout à fait confiant à l'égard de la direction générale.

Dans cette première partie de l'étude, l'intérêt s'est porté sur :
• l'architecture des systèmes d'information ;
• l'impact de la recrudescence des cybermenaces sur le budget consacré à la cybersécurité ;
• ainsi que le recours au cloud par les directions des systèmes d'information.

Une architecture SI commune encore insuffisamment effective qui impacte fortement la stratégie de sécurisation des données des SI

Dans le cadre de la politique de convergence SI des GHT ayant pour but d’améliorer la prise en charge des patients par un partage de l’information médicale entre tous les établissements du GHT, les GHT devaient finaliser leur architecture SI commune dès le 1er janvier 2018.

Il ressort de l’enquête que pour près de 4 GHT sur 10, l’architecture SI commune est effective, une part comparable à celle communiquée par la Direction générale de l’offre de soins (DGOS) dans son dernier « Atlas SIH des GHT 2021 » publié en 2022.

[photo=150157]

L’absence d’architecture SI commune effective pour 6 GHT sur 10 sondés impacte fortement, selon les DSI/RSSI, la mise en œuvre de la sécurisation des données.

Cette lenteur de mise en œuvre est d’autant plus à considérer que les exigences en matière de sécurité informatique pour l’ensemble des établissements supports des 135 GHT sont renforcées. D’ici mai 2022, les 135 GHT seront en effet intégrés à la liste des « opérateurs de service essentiels ». Ce classement implique des règles de sécurité informatique plus strictes et la contrainte d’appliquer aux systèmes d’information les meilleures pratiques de cybersécurité. L’Anssi sera chargée de contrôler le bon respect de ces règles. Les Agences régionales de santé accompagneront les établissements pour les aider à se conformer à ces nouvelles obligations.

Montée en puissance des établissements de santé publics en matière de cybersécurité

Face à l’augmentation exponentielle des cyber-menaces, il n’est plus possible de faire de la cybersécurité une variable d’ajustement des projets informatiques des établissements de santé et les budgets alloués ont été trop peu élevés pour lutter efficacement. En effet, ces cyberattaques peuvent entrainer la suspension de certaines activités de soins, la paralysie des systèmes d’information et des coûts financiers engendrés très élevés pour les établissements victimes.

Dès février 2021, le gouvernement a acté des mesures phares : aucun projet ne pourra désormais faire l’objet d’un soutien de la part de l’État si une part de 5 à 10 % de son budget informatique n’est pas dédiée à la cybersécurité.

D’après les DSI/RSSI interrogés sur le sujet, la part actuelle moyenne des investissements Cyber représente près de 13 % des dépenses globales IT, avec une augmentation prévisionnelle de plus de 10 % pour 7 établissements sur 10 qui envisagent une augmentation dans les années à venir. [photo=150158]

Si anticiper et gérer les risques cyber contribuent à la fois à une démarche globale de sécurisation des données sensibles (patients, financières, juridiques), à l’image et la réputation des établissements de santé, il n’en demeure pas moins qu’un quart des établissements encore consacrent actuellement moins de 5% des dépenses cyber à leur budget IT. 

Investissements et recours au cloud public

Les investissements consacrés au Cloud sont en moyenne limités à hauteur de 9% du budget IT total. Le recours au Cloud Public pour certaines applications concerne peu d’établissements, moins d’un cinquième des établissements interrogés. (Voir Image)[photo=150163]