3 étapes pour démarrer le parcours Zero Trust de votre établissement de santé

Chaque année, je participe à la conférence HIMSS, les sessions de cybersécurité les plus chargées concernent toujours Confiance zéro — et je pense CHIMÈRES 2024 pour ne pas être différent. Le secteur de la santé a adopté le concept Zero Trust plus rapidement et plus profondément que presque tous les autres secteurs. Alors que Décret exécutif 14028 a poussé les agences gouvernementales dans la direction de Zero Trust, et c'est le secteur de la santé qui a pris les devants.

Dans cet article de blog, je vais détailler comment les prestataires de soins de santé peuvent mettre en œuvre une stratégie Zero Trust alignée sur Le modèle de maturité Zero Trust de la CISA et le rôle fondamental Segmentation Zero Trust d'Illumio fonctionne dans toutes les architectures Zero Trust.

Renforcez la cyberrésilience avec Zero Trust

Zero Trust fournit un cadre simple pour améliorer la cyberrésilience. En fait, Recherche ESG a montré qu'elle réduisait également les dépenses de sécurité et le coût global d'une violation.

Le problème est que la définition du Zero Trust a évolué au fil du temps, ce qui rend difficile de savoir exactement de quoi il s'agit. Zero Trust a été initialement introduit en 2010 par John Kindervag dans son rapport Forrester Research. Fini les centres Chewy : le modèle Zero Trust en matière de sécurité de l'information. Cependant, depuis de nombreuses années, la signification de Zero Trust a été détournée par les services marketing des fournisseurs de sécurité. Il était donc difficile pour les gens de déterminer ce qu'ils devaient faire, car ils étaient bombardés de trop de messages contradictoires. La bonne nouvelle, c'est que la plupart de ces départements marketing sont désormais obsédés par l'IA et que les choses sont beaucoup plus simples.

À l'appui du décret 14028, l'Institut national pour la science et la technologie (NIST) a publié un Architecture Zero Trust (NIST SP 800-207) qui a défini certains aspects du Zero Trust et ce qu'il est comme « un ensemble évolutif de paradigmes de cybersécurité qui déplacent les défenses des périmètres statiques basés sur le réseau pour se concentrer sur les utilisateurs, les actifs et les ressources ».

Comment démarrer le parcours Zero Trust de votre établissement de santé

Avec une vision plus claire de ce qu'est le Zero Trust, l'étape suivante consiste à comprendre comment y parvenir. La bonne nouvelle est que l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a créé un Modèle de maturité Zero Trust (ZTMM) qui fournit :

1. Un guide pour cartographier la situation actuelle de votre organisation par rapport aux cinq piliers Zero Trust

2. Une feuille de route sur la manière d'optimiser de plus en plus votre architecture Zero Trust

Trop d'organisations déploient des outils Zero Trust Network Access (ZTNA) pour remplacer un VPN, puis déclarent Zero Trust terminé. En réalité, atteindre le niveau optimal dans les cinq piliers de la ZTMM de la CISA peut être un long chemin, et cela va bien au-delà de la ZTNA.

En utilisant le ZTMM, vous pouvez tracer le parcours de votre organisation dans son parcours Zero Trust et vous assurer qu'elle est protégée en cours de route.

1. Identifiez ce que vous devez protéger

La CISA conseille de prendre des décisions concernant les implémentations de Zero Trust en fonction de facteurs tels que le risque, la mission, les exigences fédérales et réglementaires et les contraintes opérationnelles. L'identification des risques vous permettra de déterminer si votre organisation doit adopter une approche globale et renforcer chaque niveau dans l'ensemble des 5 piliers ou approfondir un ou plusieurs piliers.

Par exemple, si vous disposez d'un système EHR tel qu'Epic, vous pouvez décider que la priorité absolue est de délimiter cet environnement.

2. Comprenez le statut de votre organisation sur chaque pilier de la ZTMM

Le modèle de maturité repose sur les cinq piliers du Zero Trust et définit quatre niveaux de maturité, de Traditionnel, qui correspond au statu quo actuel, à Optimal, qui correspond au niveau de réussite le plus élevé. Après avoir compris ce que vous souhaitez sécuriser, l'étape suivante consiste à comprendre l'état actuel de chaque pilier de la ZTMM.

3. Commencer à travailler sur les piliers prioritaires

Chaque fournisseur aura des priorités différentes pour atteindre le niveau optimal de chaque pilier. Cela dépendra des failles de sécurité, du budget, de la disponibilité du personnel ou des exigences de conformité. Il est également important de prendre en compte le fait que certains piliers sont plus difficiles et plus coûteux à réaliser alors que d'autres sont plus simples.

Malgré des priorités différentes, les réseaux constituent un pilier clé que chaque organisation devrait examiner de plus près. Ce pilier ne concerne pas les commutateurs et les routeurs, mais le concept global du réseau et du trafic qui le traverse. Postuler segmentation du réseau impliquerait généralement des VLAN statiques ou des règles de pare-feu complexes, mais le CISA ZTMM encourage une approche plus dynamique et flexible offrant une granularité plus fine.

La CISA a fourni des informations supplémentaires sur chaque niveau de mise en œuvre du pilier Réseau, notamment la segmentation, la gestion du trafic et la résilience :

Plus de ressources Zero Trust pour les professionnels de santé

Le National Health Service (NHS) du Royaume-Uni a publié des directives sur segmentation du réseau où ils donnent des conseils sur la façon de segmenter cinq piliers diagnostiques clés :

• Génomique
• Imagerie
• Pathologie
• Endoscopie
• Mesure physiologique

Bien que la plupart des recommandations du NHS en matière de segmentation se situent au niveau traditionnel le plus bas du ZTMM de la CISA, le NHS souligne que la segmentation du réseau est un élément fondamental de la stratégie Zero Trust. Leur guide indique que la sécurité Zero Trust « abolit le concept de réseau fiable au sein du périmètre de l'entreprise et préconise la création de micro-périmètres de contrôle autour des actifs critiques et l'application de contrôles d'accès stricts, de segmentation du réseau et de gestion des identités ». Cette définition de la segmentation correspond parfaitement au niveau optimal du ZTMM de la CISA.

Renforcez votre tolérance aux attaques grâce à Illumio Zero Trust Segmentation

Organisations de santé se tournent vers Illumio Zero Trust Segmentation (ZTS) pour une approche simple et rentable permettant d'atteindre le niveau optimal de segmentation du réseau sans ingénierie réseau complexe ni règles de pare-feu statiques.

Avec Illumio ZTS, votre organisation peut :

• Devenez tolérant aux attaques : Gain visibilité de bout en bout de toutes les communications entre les charges de travail et les appareils sur l'ensemble de la surface d'attaque hybride. Identifiez les failles de sécurité et fermez les connexions inutiles.

• Planifiez une attaque : Définissez automatiquement des contrôles de politique précis mais flexibles pour stopper la propagation des cybermenaces, améliorer la cyberrésilience des systèmes critiques et préparer de manière proactive votre organisation à la prochaine attaque inévitable.
• Adaptez-vous en temps réel : De manière réactive isoler les systèmes compromis lors d'une attaque active pour arrêter le mouvement latéral et maintenir les opérations. À mesure que votre environnement informatique évolue, adaptez la visibilité et la politique de sécurité de manière dynamique pour garantir l'agilité et la résilience de l'entreprise.
• Répondez aux exigences de conformité : Tirez parti de la visibilité et de la microsegmentation pour évaluer les risques, prouver la conformité et sécuriser les données sensibles et les ressources critiques.

Lisez notre guide sur Illumio ZTS pour les professionnels de santé, et apprenez-en plus sur les 3 manières dont ZTS résout les problèmes de sécurité des soins de santé :

Contactez-nous dès aujourd'hui pour savoir comment Illumio peut aider votre organisation à stopper la propagation des violations et des attaques de rançongiciels.