Le secteur de la santé reste une cible privilégiée des cyberattaquants, alors qu’il fait face à une hausse des incidents de sécurité et à des délais de reprise importants. Les budgets serrés et les efforts complexes de modernisation des infrastructures entraînent inévitablement des failles de cybersécurité. Si les rançongiciels ciblent tous les secteurs d’activité, dans celui de la santé, les menaces sont de plus en plus liées à des attaques au niveau des applications, notamment par l’exploitation de vulnérabilités et l’utilisation d’identifiants compromis.
Le respect des exigences réglementaires telles que la loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA), la loi sur les technologies de l’information appliquées à la santé économique et clinique (HITECH) et la norme de sécurité des données de l’industrie des cartes de paiement (PCI-DSS) constitue un impératif commercial. Toutefois, la protection des informations de santé à caractère personnel (PHI) est primordiale pour préserver la compétitivité et la confiance des clients dans un secteur en pleine mutation.
Dans cet article de blog, nous examinons comment les organismes de santé s’efforcent de trouver un équilibre de plus en plus difficile entre la fourniture d’expériences personnalisées aux patients et aux prestataires de soins — désormais enrichies par l’IA — et la protection contre les menaces de sécurité croissantes liées aux rançongiciels, qui ciblent les applications et les API assurant leur connexion.
Les applications, les API et l’IA sont essentielles aux soins des patients
La possibilité d’accéder facilement en ligne aux portails patients via les systèmes de dossiers médicaux électroniques (DME) et d’effectuer des paiements en ligne est désormais un prérequis incontournable.
Cela n’a pas échappé aux acteurs malveillants. En exploitant les vulnérabilités des applications cloud pour accéder sans autorisation à des données sensibles, les cybercriminels perturbent les chaînes d’approvisionnement et font peser de lourdes menaces sur les infrastructures critiques.
Selon les prévisions de Forrester, la moitié des dix principaux assureurs santé américains utiliseront l’IA pour mieux défendre les intérêts de leurs adhérents. Epic, pionnier dans ce domaine, souligne qu’un patient sur quatre serait préoccupé si son système de santé n’utilisait pas l’IA. Étant donné que les écosystèmes d’IA sont connectés par des API et que leurs chaînes d’approvisionnement logicielles sous-jacentes comprennent des composants répartis dans des environnements hybrides et multicloud, l’IA accroîtra encore l’exposition aux risques et le nombre d’incidents de sécurité, tels que l’exploitation de vulnérabilités et le détournement de la logique métier au moyen de bots et d’automatisations malveillantes. Ces mêmes risques concernent les interfaces de traitement automatique du langage naturel (TALN) mises à la disposition des patients et des prestataires de soins afin d’améliorer l’expérience client et de rationaliser les soins grâce à l’IA générative.
Les obligations de conformité commencent à se durcir
Les établissements de santé américains se retrouvent rapidement dans une situation intenable en matière de risques. Malgré une hausse de 239 % des violations liées au piratage depuis 2018, seuls 42 % prévoient de maintenir leurs investissements dans les technologies qui renforcent la cybersécurité et protègent la vie privée, tandis que certains pourraient même les réduire. Cet écart persiste alors même que les services de renseignement et les associations professionnelles tirent la sonnette d’alarme face aux menaces imminentes qui pèsent sur les données relatives aux soins des patients. Si les exigences HITECH et PCI-DSS imposent d’assurer un niveau de sécurité adéquat, le secteur de la santé doit comprendre qu’il ne suffit plus de se conformer aux exigences réglementaires.
“La référence, ce n’est pas la conformité, mais les bonnes pratiques en matière de cybersécurité.”
Les attaques contre les applications alimentent les rançongiciels
En 2024, les vecteurs d’attaque les plus courants dans les attaques par rançongiciel visant le secteur de la santé étaient l’exploitation de vulnérabilités et l’utilisation d’identifiants compromis, et le rétablissement prend davantage de temps en raison de la complexité et de la gravité accrues des attaques. À titre d’exemple, une série d’attaques observées dans la nature, qui exploitent une vulnérabilité applicative et exécutent du code arbitraire sans authentification, se poursuit depuis janvier. Les acteurs malveillants ciblent ces failles afin de déployer des shells web, qui sont ensuite utilisés à des fins d’exploitation ultérieure.
Outre les vulnérabilités, la logique métier exposée par les applications et les API est intrinsèquement susceptible d’être détournée par des bots. Selon F5 Labs, les bots persistants avancés ciblant les processus de connexion sont particulièrement répandus dans le secteur de la santé. Par exemple, le déclin de l’entreprise de tests génétiques 23andMe a été attribué, en partie, à une campagne de bourrage d’identifiants qui a exposé les données de santé et d’ascendance de ses clients. Comme les bots utilisent des identifiants légitimes et ne cherchent pas à exploiter des vulnérabilités logicielles, ils peuvent ne pas déclencher d’alerte de sécurité. L’authentification multifacteur (MFA) peut contribuer à empêcher le bourrage d’identifiants, mais, en raison de l’essor des proxys d’hameçonnage en temps réel (RTPP), elle n’est pas infaillible.
Une nouvelle référence s’impose
La bonne nouvelle, c’est que le secteur de la cybersécurité a déjà une longueur d’avance. Depuis des années, les organisations optimisent leurs capacités d’inspection de sécurité grâce à un acheminement dynamique du trafic SSL/TLS fondé sur des politiques, afin de rentabiliser au mieux leurs investissements, de rationaliser leurs politiques et de détecter les rançongiciels au sein des infrastructures et des applications selon une approche de défense en profondeur.
Les plateformes de protection des applications web et des API renforcent davantage les défenses de sécurité des applications contre les rançongiciels. Des contrôles intégrés permettent de limiter l’exploitation des vulnérabilités et de protéger la logique métier contre les abus, pour les applications web, les API et les applications d’IA, dans de multiples environnements, notamment les navigateurs des utilisateurs, les appareils mobiles, les clouds, les nouvelles interfaces interactives et le cycle de vie du développement logiciel.
Les solutions F5 pour le secteur de la santé aident les organisations à infléchir la courbe en respectant les exigences de conformité et en réduisant les risques d’exposition des données des patients et des prestataires grâce à une protection contre les rançongiciels, quels que soient l’application, l’API ou l’environnement.
Pour en savoir plus, découvrez les solutions F5 pour le secteur de la santé.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.