Gérer les risques liés à la cybersécurité dans le secteur de la santé

1. Élaborer une stratégie de cybersécurité fondée sur une bonne connaissance des risques

Pour élaborer une stratégie de gestion des risques touchant la cybersécurité, il faut avoir une bonne connaissance des menaces auxquelles un organisme fait face. En premier lieu, il faut évaluer les menaces visant les actifs numériques de l’installation et déterminer les failles possibles dans la cybersécurité. Il est important que les organismes de santé établissent clairement leurs priorités en matière de cybersécurité et qu’ils déterminent les ressources dont ils auront besoin pour appuyer une transformation significative. Durant ce processus, il peut être judicieux de faire appel aux services d’experts, au besoin.

Les pratiques exemplaires en matière d’évaluation des risques établissent également la nécessité de bien comprendre l’objet et l’étendue de l’examen. Lorsqu’ils sont dotés d’une évaluation et d'une stratégie adéquates, les organismes disposent d’une méthode claire et réalisable pour concrétiser leurs objectifs face au changement tout en préservant leurs priorités.
 

2. Faire une surveillance active des systèmes

Lorsque des pirates informatiques s’introduisent dans le système d'un organisme, il est important d’être en mesure de détecter leurs mouvements et d’y réagir rapidement. Or, un grand nombre d’organismes de santé canadiens ne possèdent pas de système de surveillance interne adéquat. Lors de notre examen approfondi, nous avons pu accéder aux renseignements sensibles de certaines installations sans que notre présence soit détectée. Cette expérience montre bien qu'il est nécessaire d’avoir un mécanisme de surveillance continue pouvant détecter les activités anormales.

Les organismes devraient élaborer divers scénarios et revoir leurs procédures internes pour déterminer les alertes qui seront générées et les procédures qui seront suivies à la suite de telles alertes. Ces procédures pourront ensuite servir de guide durant une éventuelle atteinte à la sécurité. Ceux qui travailleront avec un tiers fournisseur voudront établir clairement quelles seront les données échangées avec ce dernier et gérer les risques à cet égard au moyen d’obligations contractuelles. Une bonne surveillance peut s’avérer être un moyen efficace de prévenir les dommages causés par une intrusion.
 

3. Sensibiliser le personnel à la cybersécurité

Les organismes de santé sont vulnérables aux attaques par hameçonnage ciblées. Lors de notre examen, plusieurs employés nous ont fourni leurs données d'identification par courriel, ce qui nous a permis d'accéder à leur réseau interne. Les organismes sont également exposés aux risques d’intrusion physique, c’est-à-dire lorsque des pirates informatiques s’introduisent sur les lieux de travail et branchent des appareils non autorisés pour obtenir un accès à distance aux systèmes internes.

La sensibilisation à la sécurité est essentielle pour éviter que les employés ne succombent à des attaques sophistiquées ou ne laissent entrer des personnes non autorisées dans des endroits vulnérables. Il faut consacrer du temps et des ressources à la sensibilisation et à la formation des employés ainsi qu’à la surveillance de leurs activités. Les organismes devraient procéder régulièrement à de fausses attaques par hameçonnage et offrir ensuite la formation appropriée.
 

4. Déceler les vulnérabilités et améliorer la sécurité

Il faut déceler les vulnérabilités et les problèmes de configuration avant que les pirates ne puissent les exploiter. Tout d’abord, les organismes de santé devraient procéder régulièrement à des évaluations de la vulnérabilité, en plus de s’assurer que leurs systèmes sont aussi efficaces que possible. Par la suite, des tests d’intrusion aideront les installations à détecter une grande partie des failles dans leur environnement pouvant faire en sorte que les informations sensibles soient vulnérables. Un test d’intrusion aide à déterminer si un organisme a une réaction adéquate à l’égard des vulnérabilités et des problèmes de configuration. Il est donc important de réaliser une évaluation de la vulnérabilité avant d’entreprendre un test d’intrusion.
 

5. Obtenir l’appui de la direction

Les cadres supérieurs doivent assumer la responsabilité de mettre en place des mesures de cyberrésilience et être le moteur d’une culture de gestion des risques de cybersécurité à tous les échelons. Dans tous les secteurs, 44 % des répondants à notre enquête « 2018 Global State of Information Security Survey » (en anglais seulement) ont indiqué que leur conseil d’administration s’affairait à établir les stratégies de leur entreprise en matière de sécurité.

Il est important d’établir une stratégie en cascade pour gérer les risques touchant la cybersécurité et la protection des renseignements personnels au sein de tous les organismes de santé. Plusieurs parties sont touchées, et il est important que le conseil d’administration établisse le mandat, que la direction habilite ses équipes et que les équipes fassent un travail efficace. Les organismes les mieux sécurisés sont bien placés pour réussir lorsqu’ils peuvent compter sur une bonne gestion et sur un mandat adéquat établi par le conseil d’administration à l’égard de la cybersécurité.