Spire Healthcare sécurise l’évolution de ses services numériques avec F5

Prestataire majeur de soins de santé privés au Royaume-Uni, avec 38 hôpitaux et plus de 3 700 consultants, Spire Healthcare devait renforcer la sécurité de ses applications à mesure qu’un nombre croissant de ses services étaient mis en ligne. Spire, qui détient des données de patients hautement sensibles et travaille avec des partenaires tels que le National Health Service (NHS) et de grands assureurs, devait également démontrer à ses parties prenantes que sa sécurité était à la pointe du secteur et digne de confiance. En 2016, l’entreprise s’est tournée vers F5 et Silverline (la plateforme cloud de services applicatifs gérés de F5).

Enjeux commerciaux

À mesure que Spire développait davantage de services numériques destinés à ses clients, tels que son portail MySpire permettant de prendre rendez-vous, de consulter des informations personnelles et d’effectuer des paiements, l’entreprise mettait également en ligne un volume croissant de données sensibles sur les patients.

Face à l’augmentation du niveau de risque, l’équipe technique s’est retrouvée privée d’informations essentielles sur le comportement des utilisateurs. Le système existant ne permettait pas de savoir quels appareils les clients utilisaient pour se connecter aux services de Spire, ni à quels moments ils pouvaient le faire de manière non sécurisée. Ce manque de visibilité empêchait l’équipe d’apporter d’importantes améliorations en matière de sécurité.

« Par exemple, nous ne pouvions pas décider de restreindre l’accès via SSLv3, car nous ignorions si certains utilisateurs se connectaient depuis des appareils ne prenant pas en charge TLSv1.0 », se souvient Rob Sissons, responsable des opérations techniques.

Outre le manque d’informations nécessaires pour apporter des changements techniques cruciaux, l’équipe informatique se trouvait souvent dans l’incapacité de répondre aux questions internes concernant la sécurité des données. Elle devait également se préparer aux audits menés par les grands assureurs et le NHS, qui orientent tous deux régulièrement des patients vers Spire, afin de s’assurer que leurs données étaient stockées de manière sécurisée.

Souhaitant renforcer la sécurité de ses services numériques sans entraver l’accès de ses clients, Spire a décidé de faire appel à un prestataire de services managés spécialisé dans la sécurité des applications.

Solution

Pour répondre à l’évolution de ses besoins en matière de sécurité, Spire a choisi de déployer F5® Silverline® Web Application Firewall (WAF) et F5® Silverline® DDoS Protection sous forme de services managés, avec l’assistance 24 h/24 et 7 j/7 du Security Operations Center (SOC), le centre de F5 regroupant les spécialistes de la sécurité en contact avec les clients.

« C’est le SOC qui nous apporte une véritable valeur ajoutée, explique Sissons. Il nous donne l’assurance que, lorsque nous mettons en œuvre un changement, une autre personne compétente l’examine attentivement. Très souvent, l’équipe nous fait ensuite des recommandations sur la manière d’optimiser ce que nous cherchons à accomplir. »

L’équipe du SOC fait désormais partie intégrante du processus de développement et de déploiement de nouvelles applications de Spire, y compris celles provenant de développeurs tiers. Pour définir ses politiques WAF, Spire part d’un modèle vierge, puis ajoute à la liste d’autorisation les faux positifs détectés au fil de tests répétés.

« Lorsque nous demandons l’ouverture d’un accès, le SOC vérifie soigneusement ce que nous proposons », explique Sissons. « Les applications cliniques spécialisées ne sont pas toujours aussi sécurisées qu’elles devraient l’être. À plusieurs reprises, les observations de F5 nous ont amenés à recontacter des éditeurs de logiciels tiers pour leur signaler des problèmes dans leurs applications. »

Depuis que Spire travaille avec F5, son écosystème applicatif n’a cessé de se diversifier et de gagner en complexité. Cela inclut l’intégration d’API permettant aux assureurs d’orienter plus facilement les patients et de transmettre leurs informations. Silverline assure la sécurité nécessaire pour permettre à Spire de développer et d’améliorer en permanence les services numériques proposés à ses clients, consultants et partenaires clés.

Avec le soutien du SOC, les services Silverline ont également aidé Spire à mettre en œuvre un niveau de sécurité des applications adapté aux données sensibles qu’elle stocke, tout en lui permettant de réagir rapidement à d’importants incidents ponctuels.

En outre, Silverline accompagne l’évolution des politiques globales de sécurité de Spire en fournissant des données et une visibilité sur le comportement des utilisateurs, ce qui aide l’équipe informatique à affiner ces politiques. Silverline offre également une vue détaillée de la manière dont les clients de Spire accèdent aux services, une visibilité dont l’entreprise ne disposait pas auparavant.

« Par exemple, pour le renforcement de la sécurité TLS, l’équipe chargée de la sécurité de l’information s’est largement appuyée sur les données fournies par Silverline concernant les connexions entrantes et l’origine des connexions non sécurisées », a déclaré Sissons.

Une assistance sur mesure, disponible en permanence

Un autre avantage majeur de Silverline réside dans sa capacité à faire face aux menaces actives visant le réseau de Spire. Lors d’une récente attaque DDoS de grande ampleur, le SOC a activement participé à la réponse, en fournissant des informations sur l’origine de l’attaque et en prenant part aux échanges avec le fournisseur d’accès à Internet de Spire. « Lors d’une attaque de cette ampleur, tout évolue très vite et l’enquête se déroule en temps réel », se souvient Sissons. « Nous avons maintenu un canal de communication ouvert avec le SOC tout au long de l’incident. Ses équipes ont participé à nos appels et nous ont apporté un soutien inestimable. »

Au quotidien, Spire reste convaincue que les experts du SOC sont toujours disponibles. « Dans le cadre du service managé, nous pouvons joindre des personnes très compétentes dans des délais extrêmement courts », ajoute Sissons. « Le SOC a toujours été en mesure de répondre à toutes nos demandes. »

Assurance pour les parties prenantes

Silverline a également un impact positif sur l’écosystème élargi de Spire. Les orientations de patients par des tiers constituent une part importante de son modèle économique, et la présence de F5 en tant que fournisseur de services managés a contribué à rassurer ces partenaires quant à la capacité des politiques et mesures de protection des données à répondre à des normes strictes. Silverline a même été intégré aux réponses apportées lors d’audits menés par des partenaires assureurs, ainsi qu’au dispositif de sécurité dont la mise en place est une condition préalable à l’adhésion au Health and Social Care Network (HSCN) du NHS. « C’est un atout pour nous de pouvoir indiquer, lors d’un audit externe, qu’une équipe spécialisée en sécurité protège ces services », a ajouté Sissons.