Cybersécurité : décryptage du marché de la cybercriminalité en santé (contexte, enjeux, stratégies)

Il aurait été lucide d’imposer à l’occasion du Ségur de la santé, ne serait-ce qu’auprès des éditeurs de solutions de traitement de la donnée du patient, une obligation de mise en conformité, a minima aligné avec le RGPDRGPDRèglement Général relatif à la Protection des Données et son article 32, qui interdit toute dette technique sur un système d’information traitant une donnée nominative.

L’année 2022 tire donc le trait d’un avant et d’un après de la sécurité de la donnée du patient puisque le législateur s’empare désormais du sujet technique en définissant des nouveaux critères de sûreté issue de l’expertise bienveillante de l’AnssiAgence nationale de la sécurité des systèmes d’information.

Avec un peu de recul, il apparaît que la prise de conscience politique est arrivée au moment où le choix de MicrosoftMicrosoft pour porter les données du Health Data HubHealth Data Hub a été rendu public (voir article H&TI ici). Ce n’était pas un scandale sanitaire mais sous l’égide du ministère des Solidarités et de la Santé, cela en avait tout l’air. Le Ségur arrivant, l’ANS en profite pour défendre son rôle et sa mission, avec le soutien actif de la Cnil qui se trouve un allié. Cet alignement des événements et la pandémie conjuguée à la crise hospitalière obligent l’acteur politique à formater une norme de sûreté sur l’information de santé, réalisant subitement que ce rôle régalien représente avant tout une manne financière sidérante et donc un risque proportionnel.

Constat fait que la donnée d’un patient a de la valeur, pouvant aller jusqu’à 2 dollars pour une donnée complète et 1 dollar pour une donnée anonymisée, le secteur se devait d’agir. L’action première est de réglementer pour imposer les fournisseurs de solution à améliorer la résilience des systèmes mais dans une certaine limite, la sécurité by design n’ayant pas été rendue obligatoire. C’est regrettable car une sécurité by design est beaucoup plus rentable en exploitation et génère énormément d’effet de bord comme la valorisation d’une marque, le crédit de confiance du patient et surtout une diminution conséquente du risque cyber.

La donnée santé vaut donc cher, et l’éditeur DedalusDedalus l’a bien compris avec l’amende record (1,5 M€) infligée par la Cnil pour son défaut de sécurité sur l’une de ses applications (voir article H&TI ici). Il y a une forme de proportionnalité dans le montant de cette amende. Ce prix expose donc tous les acteurs à la cybermenace, et elle n’est pas que courtoise. Les « datavors » de la santé sont prêts à payer le prix fort pour obtenir des bases à jours, bien remplies et facilement exploitables.

Cet engouement peut s’expliquer par la « guerre » en cours sur le marché de la donnée de santé, qui intéresse la pharmacopée, les assureurs, les analystes, les prévisionnistes, les politiques et surtout les sociétés d’édition de solutions d’intelligence artificielle qui ont un eldorado à offrir aux praticiens et services cliniques :

On trouvera dans le secteur de la biologie un autre avantage, celui de pouvoir effectuer une veille des pathologies et une meilleure statistique des prescriptions et leurs efficacités.

Pour se préserver de cette menace cyber qui se traduit avant tout par un risque de data leaks (aspiration de la donnée), les établissements, praticiens et sous-traitants vont devoir repenser leurs systèmes de défense.

En effet, si les nouvelles solutions vont répondre nativement à des exigences de sûreté suffisantes, il reste néanmoins des milliers de systèmes ayant plus de 10 ans d’âge et qui sont donc très exposés au risque cyber. Car un système en dette technique, c’est-à-dire qui n’est plus maintenu par l’éditeur et qui s’appuie sur un système d’exploitation lui aussi obsolète, est très fortement exposé, pour ne pas dire totalement.

La bonne nouvelle c’est qu’il existe désormais des technologies bienveillantes, accessibles et efficaces pour protéger ces vieux systèmes tout en permettant de maintenir l’interface de données avec les nouveaux systèmes pour que la transition soit applicable. En France, il existe quelques acteurs capables de traiter la menace aussi bien sur un système de donnée qu’un automate de traitement. Les solutions américaines et israéliennes (comme Check Point) restent cependant incontournables à grande échelle.

L’autre bonne nouvelle est qu’un budget de 350 millions d’euros, issu des 2 milliards du Ségur de la santé consacrés au numérique, a été alloué au renforcement de la sécurité des systèmes d’information de santé (SIS) impliqués dans les échanges de données du parcours de soins. Le plan permet aux établissements de se faire accompagner dès aujourd’hui pour évaluer leurs risques et la mise en conformité de leurs systèmes.

Quoi qu’il en soit, l’initiateur du traitement de la donnée doit désormais prendre une part de responsabilité dans cette résilience et être capable de vérifier par lui-même que la promesse technique offerte par le constructeur ou l’éditeur est bien tenue.

Cela implique :

Il va devoir surtout :

En amont, son investissement sur les solutions de détections de la compromission devra :

Cet investissement est le plus court chemin pour traiter la donnée à moindre risque et contribuer à l’amélioration générale de la résilience d’un établissement, quel qu’il soit. Quand on sait se protéger d’un vol de donnée, on se protège aussi naturellement d’un ransomware (rançongiciel) qui coûte au bas mot 7,5 millions d’euros selon le retour d’expérience de l’hôpital de Dax (touché en février 2021 par une importante attaque informatique de type rançongiciel).

On peut ainsi ramener un coût de l’impact cyber à environ 8000 euros par lit. Le coût humain restant le plus fort, ce qui corrobore avec la nécessité d’avoir les bonnes compétences et en nombre suffisant au niveau des directions techniques et informatiques.

Actuellement, la cybercriminalité mafieuse, très organisée et dotée de moyen humain et technique de niveau étatique, sait parfaitement industrialiser son activité en identifiant via une veille d’intelligence économique ses victimes. Elle sait que la santé, c’est de la donnée et c’est plus valorisant et moins risqué de la voler que d’attaquer un établissement avec un ransomware. Au détriment d’un fournisseur d’énergie, qui lui n’a pas de données ou peu mais une obligation de service sans alternative. Il paiera donc systématiquement la rançon.

Le constat est in fine amer et la période peu favorable. La dette technique du secteur de la santé est énorme et si les solutions technologiques arrivent enfin à des prix raisonnables et avec une réelle efficacité, il faudra un cycle complet de renouvellement des systèmes pour imaginer un cycle de vie de la donnée patient traité en sécurité de bout en bout d’ici 10 ans au moins. Mais en même temps, la menace n’a jamais été aussi pesante et elle ne va pas cesser de croître compte tenu de l’offre technologique qui dématérialise de plus en plus le parcours de soin, à commencer par le DMP, un dispositif cette fois correctement conçu en termes de sécurité informatique.

Le dernier dilemme c’est l’investissement dans l’innovation qui s’accélère sans accompagner les systèmes empiriques qui eux restent vulnérables et toujours en place. Il est important alors de savoir qu’une technologie fiable et résiliente dans un système d’information s’octroie naturellement la faiblesse du plus fragile interconnectée au même réseau. L’homogénéité de la résilience numérique se construit selon les mêmes principes qu’une protection de bâtiment. On met des alarmes à toutes les fenêtres ou on n’en met pas mais il suffit d’en oublier une pour vider toute la maison tout en croyant, jusqu’à maintenant, que tout va bien.