Zero Trust est désormais un must en matière de santé : points à retenir du HIMSS 2022

Dans la foulée d'une année record pour violations de données médicales signalées aux États-Unis, le retour de la semaine dernière à HIMMS, la plus grande conférence mondiale sur les soins de santé, est intervenu à un moment charnière pour le secteur.

Le centre du salon était dominé par la combinaison habituelle de stands de haute technologie et de grande valeur présentant les dernières aides aux soins aux patients, de la gestion des images au PACS en passant par les systèmes automatisés de flux de travail pour les patients. La transition vers Industrie 4.0 les technologies du marché de la santé se généralisent à mesure que les systèmes sont de plus en plus interconnectés et que l'accès à ces systèmes est requis dans un plus grand nombre d'endroits.

À l'une des extrémités du hall caverneux se trouvait le centre de commande de la cybersécurité, un point central pour les professionnels de la sécurité du secteur de la santé, proposant des fournisseurs de pointe et des sessions de formation portant sur les derniers sujets et tendances en matière de sécurité.

Les conversations avec les participants à la conférence ont clairement mis en évidence une chose : le rythme des changements liés au déploiement de nouveaux systèmes n'était pas à la hauteur des investissements requis dans la cybersécurité.

Les défis courants que nous avons le plus souvent entendus étaient les suivants :

• Le rythme de mise en œuvre des nouvelles technologies
• Protection des équipements médicaux
• Maintien de la disponibilité du système
• L'étalement technologique
• Attaques de ransomware

Du côté positif, le choix judicieux que font de nombreuses équipes est de créer un Stratégie Zero Trust. Dans les salles d'enseignement, toutes les sessions sur Zero Trust ont attiré de nombreux participants.

L'avantage d'une approche Zero Trust en matière de sécurité est qu'elle peut être indépendante de toute infrastructure, ce qui permet de relever un défi majeur lié à la mise en œuvre de nouvelles technologies. Le processus qui consiste à identifier les principaux actifs puis à compartimenter les ressources qui composent ce système fonctionnera, qu'il s'agisse d'une demande de financement ou d'un chariot de chevet. De même, Zero Trust est indépendant de l'emplacement. Peu importe que ce que vous protégez se trouve dans la chambre d'un patient ou dans le cloud.

Voici quelques étapes simples que tout établissement de santé peut suivre pour commencer facilement à adopter Zero Trust :

1. Identifiez les systèmes et les actifs que vous devez protéger. Identifiez les systèmes qui ont besoin de communiquer et ceux qui n'en ont pas besoin. Même si la tendance actuelle est à l'hyperconnectivité, il est peu probable qu'un scanner IRM ait besoin d'une communication directe avec le système des ressources humaines. Cartographie des connexions entre les applications, les données et les actifs médicaux permettra de visualiser quels composants composent chaque système. La visualisation des communications vous aidera à identifier les scanners, les terminaux, les bases de données et les applications qui composent le système de gestion d'images. À partir de là, vous pouvez mettre en évidence les domaines dans lesquels des restrictions doivent être introduites pour contrôler le flux de données et, par défaut, le mouvement latéral de tout ransomware.
   
2. Identifiez les risques potentiels qui existent au sein de votre infrastructure. Tous les systèmes présentent des vulnérabilités qui peuvent être dues à des correctifs qui n'ont pas encore été appliqués ou à des failles de sécurité non découvertes. Il est essentiel de connaître les autres ressources auxquelles vos systèmes sont connectés pour comprendre le risque que représentent ces vulnérabilités. En utilisant une combinaison d'analyse des vulnérabilités, d'informations sur les menaces et de données de connectivité, une vue contextuelle peut être créé en surlignant les endroits où les restrictions doivent être appliquées.
   
3. Appliquez les politiques de sécurité optimales. Une fois que vous avez identifié les composants d'un système et déterminé le risque, il est temps de compartimenter les systèmes les uns des autres pour empêcher la propagation potentielle d'une attaque. L'un des obstacles à la compartimentation ou à la segmentation d'un environnement est la nécessité de remanier le réseau. Postuler segmentation au niveau du système lorsqu'il est découplé de toute infrastructure sous-jacente, il n'est plus nécessaire de modifier le réseau. En segmentant facilement les applications, les dispositifs médicaux et les autres systèmes, la disponibilité des actifs clés peut être maintenue même en cas d'attaque.

Bien que ces mesures rendent Zero Trust pratique et réalisable, la sécurisation de l'ensemble de l'infrastructure de santé devient de plus en plus difficile, car de nombreux nouveaux dispositifs médicaux n'agissent pas de la même manière qu'un appareil informatique. Si un actif, tel qu'un chariot de chevet, est alimenté par un système Windows, il est relativement facile de recueillir des informations sur son fonctionnement et ses moyens de communication. Cependant, si l'appareil est une pompe, il fonctionnera d'une manière légèrement différente. Il ne répondra pas aux mêmes commandes et ne répondra pas de la même manière.

Ce défi rend difficile la visualisation de l'interaction entre les systèmes informatiques traditionnels et l'IoT médical. Pour résoudre ce problème, Illumio a en partenariat avec Cylera pour réunir les deux environnements de manière simple. L'une des nombreuses activités de Cylera est de recueillir des informations et des métadonnées sur les appareils IoT médicaux. Ces données peuvent être importées dans Noyau Illumio et tous les actifs sont affichés sur une carte dans une seule vue.

Cela fournit une vue très simple de l'ensemble du système médical et montre l'interaction entre les différents systèmes médicaux. Grâce à ce processus, vous serez en mesure de déterminer quelle communication doit être autorisée et laquelle doit être arrêtée.

À partir de la carte, les politiques Zero Trust peuvent être facilement appliquées d'un simple clic de souris, ce qui simplifie considérablement le processus de déploiement d'une stratégie Zero Trust sur l'ensemble de l'infrastructure de santé, quel que soit le type d'actif ou l'emplacement.

Découvrez comment Illumio peut aider votre établissement de santé dans sa démarche Zero Trust :

• Lisez Illumio : la prescription pour la cybersécurité des soins de santé
• En savoir plus sur Intégration d'Illumio et de Cylera
• Découvrez pourquoi Forrester a désigné Illumio leader dans Les rapports Forrester Wave pour Zero Trust et la microsegmentation