Principaux renseignements
- L’Union européenne met en œuvre un plan d’action pour renforcer la cybersécurité dans le secteur des soins de santé face à la multiplication des cyberattaques.
- L’amélioration des mécanismes de partage de l’information, l’augmentation du financement et les conseils sur l’application des directives existantes en matière de cybersécurité sont des éléments clés de la stratégie.
- Les experts préconisent la diffusion immédiate des indicateurs d’attaque et des indicateurs de compromission aux hôpitaux de toute l’Europe.
Mise en œuvre et financement
L’Union européenne met en œuvre un « plan d’action » pour renforcer la cybersécurité dans le secteur des soins de santé, dans un contexte de recrudescence des cyberattaques visant les hôpitaux et les prestataires de soins de santé. Ceci est rapporté par Politico.
Ce plan, qui devrait être dévoilé mercredi par la Commission européenne, prévoit une augmentation des fonds consacrés à l’amélioration de la sécurité des infrastructures techniques des hôpitaux, ainsi que des conseils sur l’application des directives existantes en matière de cybersécurité, telles que la directive NIS2 de l’UE. L’amélioration des mécanismes de partage de l’information devrait également constituer un élément clé de la stratégie.
Défis et risques
Les organismes de santé de toute l’Europe sont aux prises avec une vague incessante de cyberattaques, en particulier depuis le début de la pandémie de COVID-19 en 2020. Ces attaques, notamment en Irlande, en France, au Royaume-Uni et en Finlande, ont déclenché une alarme et des perturbations généralisées.
Un cas très médiatisé survenu en Allemagne en 2020, où une femme est décédée lors d’un transfert à l’hôpital au milieu d’une attaque, a même déclenché une enquête pour meurtre, bien que les charges aient été abandonnées par la suite.
Inquiétudes internationales
Ce plan s’aligne sur les priorités de la présidente de la Commission européenne, Ursula von der Leyen, promises dans les 100 premiers jours de son mandat. Alors qu’il devait initialement être publié la semaine prochaine, sa parution a été accélérée en raison des retards causés par la maladie de von der Leyen, qui a affecté le lancement du nouveau Compas de compétitivité de l’UE.
La gravité des attaques de ransomware contre les établissements de santé est soulignée par les organismes internationaux. Lors d’une séance d’information du Conseil de sécurité de l’ONU en novembre, Stavros Lambrinidis, l’ambassadeur de l’UE auprès des Nations unies, a qualifié ces attaques de « menace qui s’intensifie rapidement et dont les conséquences sont considérables. » Il a souligné des statistiques alarmantes : une attaque par ransomware se produit toutes les 11 secondes, une fréquence qui devrait passer à une attaque toutes les 2 secondes d’ici 2031.
Causes des vulnérabilités
Ces attaques font peser de graves risques sur la sécurité des patients, déstabilisent les systèmes de santé et érodent la confiance du public dans les services essentiels. Elles font également peser une charge financière considérable sur les hôpitaux. Selon l’ENISA, l’agence de cybersécurité de l’Union européenne, le coût médian d’un incident de sécurité majeur dans le secteur de la santé s’élève à 300 000 €.
Le problème principal réside dans le sous-financement des hôpitaux. Alors que les ressources disponibles sont principalement consacrées aux soins des patients, l’infrastructure technique ne reçoit souvent qu’une attention insuffisante. Cela crée des vulnérabilités exploitées par les cybercriminels. Par exemple, un projet financé par l’Union européenne a révélé que les infirmières se connectaient fréquemment aux systèmes informatiques plus de 80 fois par jour, ce qui conduit à des pratiques peu sûres comme le partage des mots de passe ou le fait de les noter près des ordinateurs.
Opinions d’experts et recommandations
Le défi découle principalement des contraintes budgétaires et de la complexité inhérente aux paysages informatiques des soins de santé. Wim Hafkamp, responsable de l’équipe d’intervention en cas d’urgence informatique du secteur des soins de santé néerlandais et président du Centre européen de partage et d’analyse des informations sur la santé, insiste sur ces facteurs. Richard Browne, directeur de la cyber-agence irlandaise, fait écho à ce sentiment, en soulignant que le bien-être des patients passe souvent avant les préoccupations en matière de technologie et de sécurité.
Cependant, comme le souligne judicieusement Browne, « c’est très bien, jusqu’au jour où ça ne l’est plus ». L’Irlande a connu une cyberattaque dévastatrice en mai 2021, ce qui a posé des défis importants au pays. Browne suggère que les soins de santé peuvent s’inspirer des projets européens existants axés sur le partage d’informations financières et la simulation de cybermenaces pour améliorer la préparation.
Partage coordonné des informations
Compte tenu de l’escalade des attaques à travers l’Europe, le partage coordonné des informations est primordial. Hafkamp souligne qu’un incident survenu dans une organisation de soins de santé sert d’avertissement pour les autres. Il plaide pour une diffusion immédiate des indicateurs d’attaque et de compromission aux hôpitaux de toute l’Europe en cas d’attaque par ransomware contre un établissement spécifique, favorisant ainsi une stratégie de défense collective.
Si vous souhaitez accéder à tous les articles, abonnez-vous ici!