À l’hôpital, le risque des virus… informatiques

Hervé Debar, Télécom SudParis – Institut Mines-Télécom, Université Paris-Saclay

Nous avons eu avec la crise de Wannacry le premier exemple d’une attaque informatique qui a produit des effets significatifs sur les hôpitaux. Étant donné la numérisation croissante des hôpitaux (comme le reste de la société), cela offre des opportunités très importantes pour réduire le coût de la santé tout en améliorant l’efficacité des soins. Avec la numérisation vient le challenge de la cybersécurité, et il est nécessaire de prendre en compte cette menace dans le déploiement de solutions pour l’e-santé.

L’hôpital, un environnement fortement numérisé

Le monde médical, et particulièrement l’hôpital, est un environnement fortement numérisé. Cela a commencé par les fonctions de gestion (ressources humaines, gestion des salles, planification, etc.). Depuis plusieurs années, elle touche également les équipements de soin (radiologie, imagerie). Nous pouvons observer deux évolutions marquantes :

• De plus en plus d’objets sont utilisés dans les hôpitaux pour de la collecte de données, ou l’administration de médicaments. On parle alors de l’Internet des Objets de Santé (Internet of Medical Things – IoMT). Les caractéristiques de ces objets, souvent de faible coût, tranchent avec la gestion professionnelle des plates-formes médicales traditionnelles.
• Un nombre croissant de ces objets sont en dehors du périmètre de l’hôpital, dans les mains d’utilisateurs mal formés pour les manipuler. Certains de ces objets non maîtrisés, par exemple nos smartphones, peuvent entrer dans l’hôpital et interagir avec d’autres processus médicaux.

Sur le plan technique, il est donc certain que nous serons de plus en plus dépendants d’une infrastructure numérique de qualité pour une médecine de qualité. Cela touche autant directement les soins que tous les processus périphériques qui y sont attachés (planification, assurance, remboursements, logistique, etc.). Cela est d’autant plus difficile à traiter en termes de sécurité que les technologies classiques de développement et de gestion des systèmes d’information sont elles-mêmes vulnérables. De plus, les progrès technologiques sont également fondés sur une capacité accrue à partager de l’information, à l’analyser et à la diffuser. Le nombre de vulnérabilités risque donc de demeurer significatif.

Sur le plan économique, l’augmentation des coûts de santé est inéluctable. Un accroissement de l’efficacité opérationnelle, rendu possible par l’informatisation, est l’un des moyens de s’assurer que ces coûts n’augmentent pas trop. L’impact des cyberattaques sur les environnements hospitaliers doit donc absolument rester sous contrôle.

Sur le plan juridique, le déploiement des règlements européens sur la protection des données personnelles (GDPR) et la cybersécurité des opérateurs d’infrastructures critiques (NIS) impose de nouvelles obligations à tous.

Les hôpitaux sont de parfaits exemples d’utilisation de données extrêmement sensibles, dont la confidentialité, l’intégrité (l’exactitude) et la disponibilité (d’accès) sont critiques pour une bonne administration des soins, ainsi qu’une bonne gestion des dossiers médicaux. Le dossier médical est un condensé d’informations sensibles, corrélées, avec des sous-ensembles distincts de niveau d’intérêt différents.

Un environnement encore mal protégé

Nous avons eu ces quelques dernières années des exemples de cyberattaques qui ont impacté le fonctionnement des hôpitaux. Notons que dans de nombreux cas, les hôpitaux ne sont qu’un exemple de victimes et que de nombreuses autres organisations ont été impactées par ces attaques.

Wannacry est un ver informatique exploitant une faille dans le protocole Windows permettant le partage d’imprimantes et de fichiers. Ce protocole est utilisé par des équipements d’imagerie médicale pour transférer un fichier image, résultat d’un scan, vers les ordinateurs des médecins qui vont recevoir le patient et formuler un diagnostic. L’infection des équipements d’imagerie par Wannacry au travers de ce protocole réseau les a rendus inopérants, ce qui a empêché des opérations et donc pu mettre des vies en danger.

Plus généralement, de très nombreux équipements médicaux reposent tant sur des systèmes d’exploitation vieillissants que sur de vieux protocoles. Une prise de conscience des fabricants de ces équipements est donc indispensable.

L’efficacité de l’acte médical repose, de plus en plus, sur la capacité à connecter les différents outils utilisés par le corps médical pour transférer des données (images, prescriptions, etc.) et échanger. Par conséquent, il est inenvisageable d’isoler ces équipements. Il faut donc envisager à la fois des contrôles d’accès plus exigeants (ce qui est généralement un challenge pour toute organisation, comme le montre l’étude de Deloitte « Future of Cyber](https://www2.deloitte.com/fr/fr/pages/risque-compliance-et-controle-interne/articles/enjeux-cyber.html)) et des maintenances informatiques par les vendeurs.

L’attaque des pace-makers

Au-delà de l’incident wannacry, il y a donc nécessité de réfléchir aux communications entre objets médicaux et systèmes d’information. Plusieurs exemples ont récemment montré la vulnérabilité des objets médicaux.

Les implants, comme les pompes à insuline ou les pace-makers, sont vulnérables aux attaques informatiques. Les communications entre ces objets ne sont ni chiffrées ni authentiques. Cela permet au minimum d’écouter les communications et d’en extraire des données sensibles. Cela permet également de leur envoyer des commandes pour en prendre le contrôle, avec toutes les conséquences imaginables liées à l’altération de leur fonctionnement.

D’autres équipements médicaux utilisés de manière routinière, comme les pompes à perfusion, sont également vulnérables à des attaques.

Vers de nouvelles attaques

À ce jour, les attaques que nous avons pu mettre en évidence ont principalement deux résultats. Le premier est le déni de service, l’impossibilité d’utiliser des équipements médicaux au moment où l’on en a besoin, avec toutes les conséquences que cela peut avoir. Bannir les dénis de service semble difficile, il faudra donc s’attacher à limiter leurs effets.

Le second est la fuite d’informations potentiellement sensibles. Le risque de cette fuite d’information est l’inclusion de ces données dans d’autres bases, comme des sources de validation de solvabilité utilisées par les banques pour décider de prêts bancaires. Cela peut représenter un recul significatif dans la protection de nos données personnelles.

Nous n’avons pas d’exemple clair de falsification des données, qui peut être la prochaine étape des attaquants. Cette falsification de données peut donner lieu notamment à des prescriptions erronées, et donc à du détournement de substances médicales. Ce détournement permet à son auteur d’obtenir un profit immédiat, ce qui correspond aux tendances actuelles.

Quelles solutions ?

Les premières solutions auxquelles nous pouvons penser sont technologiques. Il y a effectivement de nouvelles solutions qui permettent d’améliorer la sécurité informatique dans des environnements médicaux.

• blockchain. Cette technologie peut améliorer significativement la protection des données, en séparant les données suivant les traitements (médical, clérical, assuranciel, etc.) et en protégeant individuellement chacune de ces données. Elle permet également de tracer les accès, pour gérer les situations d’urgence. Les technologies actuelles sont cependant trop gourmandes en énergie et doivent évoluer pour devenir acceptables.
• Virtualisation et cloudification. L’externalisation des services informatiques permet une professionnalisation de la gestion des activités numériques d’une organisation. La rareté des ressources humaines formées à la cybersécurité fait qu’il est aujourd’hui nécessaire de se reposer sur des moyens externes. L’évolution des services cloud et notamment la notion de clous souverain doit permettre la mise en place de ces services dans le respect de la réglementation actuelle, dont le fameux RGPD.
• By Design. Les fabricants d’objets médicaux, de logiciels, de plates-formes, doivent prendre en compte la cybersécurité dès la conception de leurs équipements, et l’intégrer à leur cycle de vie. Cela représente une révolution majeure, qui ne se fera pas en un jour, et il faudra donc continuer à protéger des équipements historiques dont le coût justifie une durée de vie qui se compte en dizaines d’années. C’est également une révolution pour le monde IT, qui compte plutôt en mois la durée de vie de ses logiciels et services. La prise de conscience a commencé dans le monde industriel, elle doit se confirmer dans le monde médical.

Toutes ces nouvelles technologies, et d’autres non citées ici, ne seront jamais efficaces sans une prise en compte des humains dans l’hôpital, soignants tout d’abord, mais aussi patients et visiteurs. Cela reste le point clé du succès de la transformation numérique de l’hôpital.

Les objets médicaux doivent s’adapter à leurs utilisateurs, les patients le plus souvent. Au-delà des gadgets comme les montres connectées, il est indispensable de faire mieux, plus facile, plus simple, pour tous les objets. La confiance dans ces objets est fondamentale et il est impératif d’éviter des incidents de cybersécurité qui pourraient en limiter leur usage.

Finalement, le rôle du corps médical est fondamental, essentiel, indispensable. Il doit accepter que l’informatique est présente, qu’elle peut lui faciliter la tâche et ne pas être un obstacle dans son quotidien. Les personnels médicaux doivent donc absolument s’intéresser aux problématiques de cybersécurité, se former, et forcer leurs fournisseurs à développer les outils adaptés à leurs besoins.

Hervé Debar, Responsable du département Réseaux et Services de Télécommunications à Télécom SudParis, Télécom SudParis – Institut Mines-Télécom, Université Paris-Saclay

Cet article est republié à partir de The Conversation sous licence Creative Commons. Lire l’article original.