Ce que le secteur de la santé change face aux cybermenaces

La cyber-résilience devient un impératif stratégique pour les organismes de santé

La cybersécurité n’est plus seulement un point de contrôle informatique, c’est une ligne directe pour la continuité de vos activités. Les responsables du secteur de la santé ont commencé à réagir en conséquence. Vous pouvez le constater dans les chiffres. Une étude récente de LevelBlue montre que 61 % des organismes de santé alignent désormais leurs équipes de cybersécurité avec les lignes d’activité. Ce n’est pas un hasard. C’est le signe d’un changement fondamental. Les dirigeants intègrent la sécurité plus profondément dans les opérations quotidiennes parce que le paysage des menaces l’exige.

La cyber-résilience n’est plus seulement une question de défense. Il s’agit aussi d’adaptabilité, de maintien du bon fonctionnement de vos systèmes après un incident. Il s’agit d’une redondance opérationnelle bien conçue. Les organisations les plus intelligentes relient les résultats en matière de sécurité aux principaux indicateurs de l’entreprise. C’est pourquoi près de 60 % des dirigeants interrogés sont désormais évalués en fonction d’indicateurs clés de la cybersécurité. Ils ne délèguent pas la responsabilité, ils se l’approprient.

Ce changement ne se contente pas de réduire les risques, il protège les revenus, la réputation et la confiance des patients. Le message est clair. Si votre cybersécurité n’est pas intégrée à votre processus décisionnel stratégique, vous êtes déjà en retard. Et il vous sera de plus en plus difficile de le rattraper.

L’augmentation de la fréquence et de la gravité des cyberattaques

Arrêtons de prétendre que la menace ne s’intensifie pas. Le volume des attaques contre les systèmes de santé augmente. Et elles frappent plus fort. Au cours des 12 derniers mois, près d’un organisme de santé sur trois a été victime d’une intrusion. Près de la moitié d’entre eux ont déclaré que le nombre d’attaques augmentait de manière significative. Il ne s’agit pas d’une tendance, mais d’une nouvelle normalité.

Ce qui change aujourd’hui, c’est la vitesse de réaction. Les organisations ne peuvent plus se permettre d’adopter une attitude passive. Qu’il s’agisse d’un ransomware qui bloque les réseaux hospitaliers ou d’attaques qui exploitent un code tiers faible, les dommages sont directs. Les opérations s’arrêtent. Les soins aux patients en pâtissent. Les décideurs se rendent compte qu’attendre n’est pas seulement risqué, c’est irresponsable.

Les dirigeants s’appuient sur ces leçons difficiles pour mettre en place des environnements de sécurité plus réactifs. Il ne suffit plus de limiter les dégâts. L’accent est mis sur la détection précoce, l’endiguement rapide et la résilience au-delà de la brèche. Si vous êtes un cadre supérieur et que la cybersécurité n’est pas un point permanent à l’ordre du jour de votre conseil d’administration, vous exposez votre entreprise à un échec opérationnel.

La cybersécurité est une fonction à fort impact. Soit elle évolue avec l’entreprise, soit elle la freine. Si vous ne déployez pas les ressources nécessaires pour faire face aux menaces actuelles, vous mettez en péril les fonctions essentielles de l’entreprise.

Les organismes de santé restent mal préparés aux cybermenaces alimentées par l’IA

L’intelligence artificielle évolue rapidement, plus vite que la plupart des organisations ne peuvent s’adapter. Dans le secteur des soins de santé, nous en voyons déjà les avantages : des diagnostics rationalisés, un traitement efficace des données et une automatisation qui réduit le gaspillage. Mais ne négligeons pas les inconvénients. L’IA est également en train d’armer les mauvais acteurs avec des outils qui mettent à l’échelle leurs attaques, les rendant plus difficiles à détecter, plus rapides à déployer et plus efficaces contre les défenses traditionnelles.

Les faits sont clairs. L’étude de LevelBlue montre que seuls 29 % des cadres du secteur de la santé se sentent prêts à faire face aux menaces de l’IA. menaces alimentées par l’IA. Et il ne s’agit pas d’un scénario hypothétique, 41 % de ces mêmes dirigeants s’attendent à l’émergence de ce type d’attaques. Il s’agit d’un écart important entre ce qui se prépare et ce qui est prêt.

Les « deepfakes » sont un autre problème. Il ne s’agit pas seulement de médias manipulés. Les menaces de type « deepfake » peuvent désormais se faire passer pour des voix, des visages et des fonctionnaires afin de manipuler le personnel, de compromettre des systèmes sécurisés ou d’autoriser des actions frauduleuses. Seules 32 % des organisations se sentent prêtes à gérer ce risque, alors que 49 % d’entre elles s’attendent à y être confrontées. Ce retard ne doit pas être ignoré.

Si vous êtes à la tête d’une entreprise, vous ne pouvez pas déléguer cette tâche. Vous devez faire comprendre que les menaces liées à l’IA exigent une échelle et un état d’esprit différents. Les pare-feu statiques et les structures de gouvernance lentes sont dépassés. La vitesse est désormais l’avantage, être adaptatif et proactif n’est pas négociable. Attendre que vos systèmes soient testés par un exploit piloté par l’IA est une approche perdante.

L’adoption de l’IA dans le secteur de la santé se poursuit malgré d’importantes préoccupations en matière de cybersécurité.

Malgré les risques, les responsables des soins de santé continuent de mettre en œuvre l’IA. Et pour cause. Les avantages sont réels : moins de travail manuel, une prise de décision clinique plus rapide et de meilleurs résultats pour les patients. C’est pourquoi la plupart des dirigeants vont de l’avant avec l’adoption de l’IA. Pourtant, il y a des frictions. Selon LevelBlue, environ un tiers des dirigeants du secteur de la santé hésitent à déployer des outils d’IA en raison des implications en matière de cybersécurité.

Cette prudence est compréhensible. À mesure que les outils d’IA sont intégrés plus profondément dans les systèmes de gestion des dossiers, de diagnostic et de chaîne d’approvisionnement, la probabilité d’exposition augmente. Les dirigeants doivent trouver un équilibre entre l’innovation et le risque, et cet équilibre est de plus en plus difficile à maintenir.

Mais quel est le signal le plus important ? La plupart des entreprises ne reculent pas devant l’IA. Elles essaient de garder une longueur d’avance tout en réduisant les vulnérabilités de surface. Cela signifie que la pression monte pour intégrer la sécurité dans la stratégie de l’IA dès le premier jour, et qu’il n’est plus question de mettre en place des protections après le lancement.

Pour les décideurs, il ne s’agit pas seulement de sécuriser un algorithme, mais aussi de définir des politiques d’entreprise, d’assurer la conformité et de veiller à ce que vos systèmes d’IA ne soient pas le maillon faible de votre défense. L’IA augmentera vos capacités si vous la construisez correctement. Mais si vous faites l’impasse sur la sécurité, elle augmentera également vos risques.

Le manque de visibilité sur la chaîne d’approvisionnement en logiciels constitue une vulnérabilité majeure en matière de cybersécurité

La plupart des organismes de soins de santé n’ont pas encore une vision claire de la chaîne d’approvisionnement en logiciels. C’est un problème. Les logiciels que vous ne contrôlez pas, les plateformes tierces, les services cloud, les outils intégrés des fournisseurs, peuvent introduire des vulnérabilités qui passent inaperçues jusqu’à ce que quelque chose se brise. Et dans le secteur de la santé, ces pannes n’ont pas seulement un impact sur l’infrastructure, elles perturbent les soins et compromettent les données sensibles des patients.

Les résultats de LevelBlue montrent que plus de 50 % des personnes interrogées ont déclaré avoir une visibilité faible ou modérée de leur chaîne d’approvisionnement en logiciels. Plus inquiétant encore, seuls 19 % des répondants ont déclaré que le dialogue avec les fournisseurs de logiciels au sujet de leurs protocoles de sécurité était une priorité pour l’année à venir. C’est une erreur. Ces relations ne sont pas passives. Si les fournisseurs ont accès à vos systèmes ou à vos données, les risques qu’ils encourent sont les vôtres.

Pour les dirigeants, il s’agit d’un domaine où une action directe est nécessaire. L’exposition au risque ne se limite pas à ce qui se trouve à l’intérieur des murs de votre hôpital ou de vos systèmes internes. Elle s’étend à tous les points où vos systèmes touchent ceux de quelqu’un d’autre. Si cette partie de la chaîne est faible, cela affecte l’ensemble de votre position.

Engager les fournisseurs sur leurs exigences en matière de sécurité n’est pas seulement une bonne pratique, c’est une gouvernance essentielle. Il s’agit de fixer des normes minimales, de procéder à des audits fréquents et de définir des attentes claires. Si votre organisation ne gère pas activement la sécurité des tiers, vous laissez une porte ouverte dans votre propre environnement. Dans le paysage actuel des menaces, c’est une exposition trop importante pour qu’un chef d’entreprise puisse l’accepter.

Principaux enseignements pour les décideurs

• La cybersécurité comme stratégie d’entreprise : Les organismes de santé intègrent la cyber-résilience dans leurs activités de base, 61 % d’entre eux alignant les équipes de sécurité sur les unités opérationnelles et près de 60 % évaluant les performances de leurs dirigeants en matière de cybersécurité. Les dirigeants doivent considérer la cybersécurité comme une priorité stratégique et non comme une fonction informatique cloisonnée.
• Augmentation de l’activité des menaces : Près d’un tiers des organismes de santé ont subi des violations au cours de l’année écoulée et près de la moitié d’entre eux constatent une augmentation du nombre d’attaques. Les dirigeants doivent intensifier les investissements en matière de sécurité et la planification des réponses afin de gérer les risques opérationnels et de réputation croissants.
• Pas préparés aux menaces de l’IA : Malgré une prise de conscience croissante, seuls 29 % se sentent préparés aux cyberattaques basées sur l’IA, alors que 41 % s’y attendent. Les dirigeants devraient accélérer la préparation aux menaces basées sur l’IA, y compris les deepfakes, en développant les talents, la formation et les outils en matière de sécurité.
• Réticents mais en mouvement sur l’IA : Un tiers des dirigeants du secteur de la santé expriment des préoccupations de sécurité concernant l’IA, mais la plupart d’entre eux continuent à l’adopter. Les décideurs doivent s’assurer que le déploiement de l’IA est associé à des contrôles de cybersécurité proactifs afin de réduire l’exposition à mesure que les systèmes évoluent.
• Une surveillance insuffisante de la chaîne d’approvisionnement : Plus de 50 % des entreprises indiquent qu’elles n’ont qu’une faible visibilité sur les fournisseurs de logiciels, et seulement 19 % prévoient de donner la priorité aux discussions sur la sécurité des fournisseurs. Les dirigeants devraient immédiatement renforcer la gouvernance des risques de la chaîne d’approvisionnement par des audits, des normes contractuelles et la responsabilisation des fournisseurs.