Sécurité informatique : les systèmes défaillants nuisent aux patients

Dans le domaine des infrastructures critiques, la sécurité informatique est parfois encore traitée de manière très négligée. Ce sujet est particulièrement sensible dans le secteur de la santé. En effet, une technologie informatique défectueuse, vulnérable ou tout simplement non disponible peut rapidement entraîner des dommages corporels.

La sécurité informatique dans le secteur de la santé touche principalement deux domaines concrets : D'une part, elle concerne les données purement administratives, c'est-à-dire les informations relatives au patient et à l'évolution de sa maladie. En raison du secret médical, les données des patients bénéficient d'une protection légale encore plus élevée que les données personnelles selon le RGPD. D'autre part, il y a l'infrastructure technologique qui est utilisée directement sur le patient - qu'il s'agisse de stimulateurs cardiaques, d'appareils respiratoires ou d'appareils tels que les ultrasons, les ECG, les tomographes et les radiographies. Dans le cadre du diagnostic, elle assiste le médecin traitant ; sur le patient, elle a des fonctions de maintien en vie.

Trois objectifs concrets de protection informatique dans le secteur de la santé

Pour pouvoir atteindre la sécurité informatique, il faut tenir compte de trois domaines : La disponibilité du composant doit être garantie, la protection des données et la confidentialité ainsi que l'intégrité des données doivent être assurées.

1. Disponibilité du composant : Dans le pire des cas, un composant technique ou un appareil tombe en panne. Si l'appareil de radiographie tombe en panne pendant une opération et que le chirurgien ne trouve plus la sonde introduite dans le corps du patient, c'est un problème. C'est pourquoi il est important de définir des mesures à l'avance et d'avoir un plan B dans sa poche : Si le respirateur tombe en panne pendant l'opération, le patient doit être ventilé manuellement (ventilation par sac et masque).
2. protéger les données et garantir la confidentialité : Seules les personnes autorisées doivent avoir accès aux données sensibles dans le domaine de la santé. Pour y parvenir, une mesure peut consister à placer le système informatique au cœur de l'administration, de sorte que les visiteurs ne puissent pas voir les écrans. En outre, il est important de protéger les données par des mots de passe afin de n'autoriser l'accès qu'aux personnes autorisées et de transmettre et, idéalement, de stocker les données sous forme cryptée.
3. l'intégrité des données : Dans ce cas, il faut s'assurer que les données obtenues à l'aide de l'informatique sont correctes et qu'elles sont également affichées correctement. Dans les laboratoires, par exemple, les lignes de test pour l'analyse des échantillons de sang sont commandées automatiquement. Les diagnostics et les thérapies reposent sur les résultats des analyses de sang, qui doivent absolument être corrects. Pour s'en assurer, l'une des possibilités consiste à tester les échantillons en parallèle dans deux systèmes en même temps, afin de comparer les résultats. Le double échantillonnage peut ainsi garantir l'intégrité des données. Un autre exemple de leur importance : les fiches de données et les informations doivent être attribuées au bon patient, afin d'éviter l'amputation d'un mauvais membre ou l'administration d'un mauvais médicament. Ou dans le cas d'appareils portables qui mesurent par exemple la glycémie d'un diabétique via des capteurs sur la peau et dont les valeurs permettent au patient de s'injecter son insuline : Dans ce cas, les données correctes doivent être représentées correctement.

Les problèmes dans ces trois domaines, et donc la cause des erreurs, se situent souvent dans les procédures. Ceux-ci doivent être concrétisés afin de minimiser la probabilité d'un dommage ou d'en réduire l'impact.

En règle générale, pour que la sécurité informatique fonctionne, elle doit être prise en compte à la fois dans la fabrication et dans l'exploitation ultérieure d'un produit. Un produit sûr doit donc d'abord être conçu et fabriqué, puis exploité de manière sûre. Pour cela, les fonctions et spécifications de base sont aussi importantes que le personnel compétent qui travaille avec les appareils.

Le manque de savoir-faire de l'informatique constitue souvent un problème majeur. Dans de nombreuses entreprises et organisations, celle-ci est considérée en premier lieu comme un facteur de coûts et les ressources dont elle est dotée sont donc limitées. De plus, le critère d'évaluation est généralement de savoir si l'informatique fonctionne. On ne se soucie pas de savoir si les technologies utilisées ouvrent éventuellement la porte à des abus : Car ce qui est possible ne doit pas toujours l'être. Par exemple, lorsque l'enfant de 12 ans qui s'ennuie et qui a une jambe cassée peut pirater le réseau sans fil et consulter les documents du médecin-chef. Pour éviter cela, l'informatique doit être exploitée de manière sûre et connaître et respecter les consignes du fabricant.

Système de gestion des risques avec un niveau de sécurité conscient

En raison du danger pour la vie et l'intégrité corporelle, le risque est plus élevé dans l'informatique médicale que dans d'autres secteurs. Mais la sécurité à 100 % n'existe pas. C'est pourquoi il est important de protéger l'informatique contre les dangers courants. Les scénarios de dommages envisageables sont par exemple une panne de courant, un tremblement de terre, un incendie, une inondation ou une attaque de pirates informatiques.

Pour mettre en place un système de gestion des risques, il faut définir ces menaces, les évaluer et déterminer leur probabilité d'occurrence. Les conséquences sont ensuite analysées et évaluées, de sorte qu'il est possible de décider quels risques peuvent être acceptés et quelles mesures peuvent être prises pour les minimiser. De cette manière, un niveau de sécurité conscient peut être défini et les mesures permettent d'atteindre le niveau de sécurité informatique visé.

Conclusion

La question centrale pour obtenir une sécurité informatique dans le secteur de la santé est de savoir contre quelles menaces on veut se protéger. Si la situation est claire, les dangers doivent être définis dans une analyse des risques, évalués et contrés par des contre-mesures appropriées. En outre, le service informatique doit disposer du savoir-faire et connaître les exigences techniques pour pouvoir exploiter l'infrastructure en toute sécurité.

Auteur : Randolf-Heiko Skerka, responsable du secteur Gestion des SI, SRC GmbH

Conférence "Information Security in Healthcare" (Sécurité de l'information dans le secteur de la santé) à Rotkreuz LU

Le jeudi 12 août 2020 aura lieu la sixième édition de la conférence Information Security in Healthcare. L'édition de cette année sera consacrée au thème "Prévenir les maladies liées aux données de santé". L'événement sera l'occasion d'échanger des connaissances avec d'autres professionnels sur le thème de la sécurité des données dans le domaine de la santé.

Pour la première fois, la conférence aura lieu sur le nouveau campus de la Haute école de Lucerne à Rotkreuz.

Infos : www.infosec-health.ch