Les données de santé au coeur des cyberattaques en ce moment

Les données de santé sont des données sensibles au regard du RGPD. Elles sont donc particulièrement précieuses, aussi bien pour les personnes concernées que pour les cyber voleurs ! Il faut absolument les protéger mais pour cela, il faut mettre en place des barrières de sécurité à plusieurs niveaux et le numérique en fait partie, au même titre qu’un système d’alarme ou que la vidéosurveillance. La cybersécurité ne doit pas être négligée, surtout pour des données sensibles comme les données de santé.

Cyberattaques : une question de motivation et d’argent !

Voici quelques points importants à considérer concernant le vol de données de santé dans les établissements de santé :

• Motivations des attaquants : Les données de santé sont de grande valeur sur le marché noir, car elles peuvent être utilisées à des fins lucratives, notamment pour commettre des fraudes à l’assurance, des vols d’identité médicale ou des extorsions. Les attaquants peuvent également être motivés par la curiosité, l’espionnage industriel ou le sabotage.
• Méthodes d’attaque : Les attaquants utilisent diverses méthodes pour voler des données de santé dans les établissements de santé. Cela peut inclure des attaques par phishing ciblant le personnel médical, des ransomwares qui chiffreront les données et exigeront une rançon pour les débloquer, des exploitations de vulnérabilités logicielles, des attaques par force brute visant à deviner les mots de passe, ou encore des vols physiques de dispositifs contenant des données sensibles.

La cybersécurité a un certain coût, mais l’inaction peut faire couler une entreprise. Il n’est plus envisageable en 2023 de se passer de protection ou de cybersécurité. N’importe quelle entreprise peut devenir la cible d’une attaque et perdre des données de toutes natures. Les conséquences peuvent être désastreuses.

À lire aussi

La cybersécurité ou l’importance de former les employés

Les conséquences d’un vol de données de santé

Les conséquences d’une attaque numérique sont multiples et peuvent concerner plusieurs catégories de personnes (physiques ou morale).

Conséquences pour les patients – le vol de données de santé peut avoir des conséquences graves pour les patients. Cela peut compromettre leur vie privée, entraîner une utilisation abusive de leurs informations médicales, affecter leur assurance ou leur emploi, et même mettre leur santé en danger si les dossiers médicaux sont manipulés ou utilisés de manière incorrecte.

Conséquences pour les établissements de santé – les établissements de santé qui subissent des vols de données de santé peuvent faire face à des répercussions juridiques, financières et en termes de réputation. Ils peuvent être tenus responsables de la protection des données personnelles des patients et faire l’objet de poursuites légales, de sanctions réglementaires et de pertes de confiance de la part des patients et du public.

La sécurité des données de santé doit être une priorité absolue pour les établissements de santé. Cela implique de mettre en place des mesures de sécurité robustes, telles que le cryptage des données, l’authentification forte, la surveillance des systèmes, la sensibilisation du personnel aux bonnes pratiques en matière de sécurité, ainsi que des politiques et des procédures de sécurité claires.

La réglementation autour des données de santé et de la cybersécurité

Dans de nombreuses régions, il existe des réglementations strictes sur la protection des données de santé, telles que la Health Insurance Portability and Accountability Act (HIPAA) aux États-Unis ou le Règlement général sur la protection des données (RGPD) en Europe. Les établissements de santé doivent se conformer à ces réglementations et mettre en œuvre des mesures de sécurité appropriées pour protéger les données des patients.

La protection des données de santé dans les établissements de santé nécessite une approche proactive et complète de la cybersécurité, impliquant une combinaison de mesures techniques, organisationnelles et humaines pour minimiser les risques et prévenir les vols de données.

Le CHU de Rennes, dernière victime d’une cyberattaque

Le 21 juin 2023, le CHU de Rennes a subi une cyberattaque. A ce jour, il n’est pas certain que des données de santé des patients aient pu fuiter toutefois, l’attaque et son impact a largement pu être limité par des mesures pro actives mises en place en amont.

Les informaticiens et techniciens de cybersécurité ont détecté une intrusion dans le système informatique qui a donné lieu à une exfiltration de certaines données, sans pouvoir déterminer exactement lesquelles (patients, personnels, fonctionnement, autre…). L’ampleur de la fuite n’est encore déterminée selon la directrice de l’établissement, Véronique Anatole-Touzet.

Le CHU a pu réagir très vite après le déclenchement de la cyberattaque. Mais l’origine du piratage semble venir de l’extérieur. Bien qu’il soit difficile (pour ne pas dire impossible) de déterminer la source dans l’immédiat, la piste s’oriente vers un prestataire. Des connexions multiples ont été détectées à partir de différentes adresses IP non françaises.

La direction du CHU assure que la patients peuvent toujours être reçus dans l’établissement et pris en charge dans des conditions optimales. L’accès aux dossiers médicaux peut être maintenue sans crainte et la messagerie interne des praticiens fonctionne pleinement, y compris la réception des emails. Toutefois, le site web de l’hôpital est encore inaccessible à ce jour. La prise de rendez-vous en ligne et les téléconsultations sont indisponibles, ainsi que le paiement par carte bancaire. Le retour à la normale sera long et demandera beaucoup de travail…