Par Gaëlle TILLOY, Avocate à la Cour, exerçant principalement dans le domaine des nouvelles technologies et des données personnelles, et Jérôme BEAUFILS, Président de la société SASETY, expert des infrastructures numériques

Le secteur de la santé et du médico-social constitue une cible privilégiée des cyberattaquants. En 2020, l’Agence du Numérique en Santé indiquait que 250 établissements de santé avaient déclaré 369 incidents dont 60 % associés à des actes malveillants et 34 avec mise en danger de patients. Cette tendance s’est confirmée en 2021 avec, en moyenne, une cyberattaque par semaine sur un établissement de santé. La nécessité de protéger et de sécuriser les données à caractère personnel et plus particulièrement celles relevant de la santé devient donc une réelle préoccupation pour le législateur. Pour exemple, on peut citer l’article L.1111‐8 du code de la santé publique issu de l’ordonnance n° 2017‐27 du 12 janvier 2017 relative à l’hébergement de données de santé à caractère personnel qui exige la détention par les hébergeurs de données de santé d’une certification spécifique ou encore le Règlement de protection des données à caractère personnel qui considère qui définit les données de santé comme étant des données sensibles répondant à un régime spécifique.Pour autant, et malgré les obligations existantes, une multiplication des actes malveillants portant atteinte à la confidentialité, à l’intégrité et/ou à la disponibilité des données à caractère personnel a été observée et les données de santé, loin d’être épargnées par ce phénomène, font face à une recrudescence des cyberattaques contre des hôpitaux ou des laboratoires.

Qu’est-ce qui motive les cybercriminels à s’attaquer autant aux données ?

C’est très simple. Les données de santé ont une valeur marchande. D’abord pour les laboratoires de recherches pharmaceutiques qui en étudiant des lots de données acquis auprès de data-brokers réduisent le Time-to-Market de leurs produits. Ensuite, pour les GAFAM qui nourrissent leurs algorithmes de ces données afin de les rendre plus prédictifs et ainsi les commercialiser à des centres de recherche. Enfin, les données usurpées peuvent faire l’objet d’une rançon, de la part de l’organisme de santé affecté, mais également directement des patients concernés. Lorsque l’on sait qu’un dossier patient contenant le séquençage ADN peut valoir plus de 5 000 €, on comprend mieux l’engouement que représentent nos établissements de santé pour les cybercriminels.

Est-ce si simple de s’attaquer à nos établissements de santé ?

L’explosion des services numériques de santé associée à la vétusté ou à l’obsolescence des systèmes existants a contribué à accroître considérablement la surface d’attaque des établissements de santé ces dernières années. Ce phénomène s’est encore accéléré avec l’augmentation massive des capacités d’accès à distance en réponse aux confinements. Une fois pénétrés au cœur du système d’information de l’établissement, les cyberattaquants peuvent progresser latéralement et introduire leurs codes malveillants sur les organes névralgiques. Dans un secteur sous tension où la priorité réside dans les soins apportés aux patients, la disponibilité du système d’information – donc sa sécurité – doit être considérée d’importance vitale pour le fonctionnement des unités de soins. 

Quel modèle type de protection mettre en place ?

Chaque entreprise ou établissement ne réalise pas les mêmes traitements. Les données concernées, l’architecture technique et les moyens de sécurisation ne sont jamais identiques. Les traitements confiés à des tiers varient et les risques qui en découlent sont différents et susceptibles d’évoluer dans le temps. Au regard des différentes parties prenantes et des spécificités propres à chaque projet de traitement de données à caractère personnel, la conclusion d’un contrat est essentielle,  lequel constituera le référentiel de conformité auquel les parties se référeront en cas de litige ou d’attaque. Il décrira par exemple le périmètre sous-traité au prestataire, la description des prestations et des responsabilités, la nature et la finalité des traitements de données à caractère personnel confiées aux prestataires. Le contrat devra également contenir un certain nombre de documents évolutifs prenant en compte la réalité opérationnelle, la gouvernance, les engagements de niveaux de services… C’est le cas par exemple du Plan d’Assurance Sécurité (PAS) qui précisera les protocoles suivis en cas d’incident informatique, les délais que l’entreprise s’accorde pour y remédier ainsi que les mesures de détection, de prévention et d’analyse qu’elle institue afin d’en limiter autant que possible les effets et éviter qu’ils ne se (re)produisent.Pour garantir le respect de ce PAS, des audits de sécurité et les modalités y afférents sont préconisés.  

À l’issue de l’établissement de la cartographie, il convient également de s’attacher à la meilleure manière de sécuriser le réseau. Une étape essentielle dans une démarche de cybersécurité consiste à réduire la surface d’attaque du système d’information en limitant ses points d’entrée depuis l’extérieur. Plus le nombre de points de connexion est important, plus la surface d’attaque du système d’information est élevée.

Comment réduire la surface d’attaque ?

Avec l’explosion des services Cloud et de la mobilité, l’Internet est devenu le premier réseau de production pour les organisations. De fait, les applications, les données et les utilisateurs se retrouvent exposés au risque cyber. Compte tenu des enjeux de transformation digitale du secteur de la santé, il serait contre-productif de chercher à internaliser les services numériques qui pour nombre d’entre eux consistent à partager des informations avec le patient tout au long de son parcours de soins. Les efforts doivent donc se porter sur la performance et la sécurité d’actifs numériques. Une réponse possible à cet enjeu est apportée par un nouveau modèle conceptualisé par le cabinet Gartner en 2019 : le Secure Access Service Edge ou SASE.

Qu’est-ce que c’est le SASE ?

Ce modèle considère que pour assurer performance et sécurité aux usages numériques, il est pertinent de faire converger les fonctions de transport avec celles de sécurité au sein d’une solution flexible, délivrée en mode Cloud et qui unifie toutes les actions de management et d’analyse. Par définition, les instances de traitement SASE sont déployées géographiquement au plus proche des utilisateurs et interconnectées au travers d’un réseau mondial à très haut débit et à très forte disponibilité.Dans ce modèle, quelle que soit la localisation des utilisateurs et des applications, les échanges sont sécurisés et garantis en termes de performance. Pour ce faire, le modèle SASE embarque toutes les fonctionnalités de transport qui permettent de profiter du haut débit et du coût attractif des technologies d’accès Internet (fibre optique dédiée ou mutualisée, technologies cuivre ou radio type 4G/5G) sur les sites comme au domicile des personnels de santé. Associé aux fonctionnalités SD-WAN qui permettent aux sites d’accéder directement à Internet et aux applications Cloud, le modèle SASE garantit la redondance des accès, la priorisation et l’optimisation des flux jusqu’à l’application souhaitée.

À la différence des technologies SD-WAN, les sites connectés par une solution SASE ne sont pas visibles depuis Internet. Il n’existe donc aucune porte d’entrée directe entre Internet et les sites, ce qui réduit sensiblement la surface d’attaque de l’établissement concerné. Le modèle SASE intègre toutes les fonctions de sécurité, à commencer par un pare-feu applicatif, à la fois pour sécuriser les flux entrants et sortants vers Internet que les flux entre les sites de l’établissement de santé, permettant de circonscrire l’impact d’un incident de sécurité à un site et d’éviter les phénomènes de propagation par rebonds successifs.

Les fonctions de passerelle Web et d’accès au Cloud (CASB) permettent de définir précisément les politiques d’accès à Internet et aux applications Cloud pour les utilisateurs. Concernant la gestion des identités, le modèle SASE repose sur le principe de la confiance zéro (Zero Trust). Ainsi, l’accès aux applications depuis l’interne ou en situation de mobilité ou de télétravail repose non pas sur l’adresse IP obtenue par l’utilisateur lors de sa connexion, mais sur son identifiant couplé à une authentification forte. Enfin, les capacités d’analyse des flux chiffrés permettent de se prémunir des intrusions et des logiciels malveillants, notamment des nouvelles attaques, communément appelées « 0-day ».

Quels sont les bénéfices du SASE pour les établissements de santé ?

En synthèse, la mise en œuvre du modèle SASE au sein des établissements de santé apporte les bénéfices suivants : réduction de la surface d’attaque, performance et sécurité des accès externes et sécurité des applications Cloud à travers des politiques d’accès, de surveillance et du chiffrement des échanges

Le déploiement complet du modèle SASE au sein des établissements vient se substituer à toutes les briques technologiques existantes. À ce titre, la transformation est rarement réalisée en mode « big bang ». Pour bien engager la trajectoire de transformation SASE, il est nécessaire de compléter la cartographie réseau et sécurité établie lors de la phase d’analyse par une vision financière et contractuelle complète. Une fois ces informations rassemblées et la cible d’architecture finale définie, la trajectoire de transformation pourra être jalonnée avec, à l’issue de chaque étape, les objectifs de performance et le niveau de sécurité à atteindre ainsi que les objectifs financiers associés.

D’une façon générale, la mise en œuvre technique consiste à identifier un site « pivot » entre l’infrastructure existante et la solution SASE. Bien souvent, ce site correspond au centre névralgique du système d’information, tel qu’un centre d’hébergement. Une fois l’interconnexion du site pivot mise en place, les sites et les utilisateurs peuvent être migrés au rythme des échéances opérationnelles, financières et contractuelles.

Souvent, les organisations démarrent par la migration des utilisateurs mobiles dans l’optique de supprimer les passerelles d’accès distants particulièrement exposées et de mettre en place une gestion des identités reposant sur une authentification multi-facteurs. Vient ensuite la migration progressive des sites physiques synchronisée avec la fin des contrats opérateurs ou anticipée afin, par exemple, d’orienter tous les flux Internet et Cloud vers la solution SASE et limiter l’usage du réseau existant aux flux à destination du site central. À l’issue de ces étapes de transformation, tous les sites et tous les utilisateurs mobiles utilisent exclusivement la solution SASE pour accéder à leurs applications de façon garantie et sécurisée.

Conclusion

Protéger l’informatique du système de soins est une priorité nationale pour laquelle les moyens techniques et financiers existent. L’enjeu consiste à en accélérer l’adoption par les établissements de santé en partant d’une bonne connaissance de l’existant et en définissant des objectifs court terme à la fois ambitieux et atteignables. Associées à une organisation resserrée, les actions techniques doivent viser à réduire la surface d’attaque du système d’information en rationalisant les points d’accès à Internet et en adoptant une politique de confiance zéro sur les connexions.

D’un point de vue opérationnel, la cyber-sécurisation de notre système de soins ne pourra passer que par une connaissance et une application stricte de la part des acteurs concernés des règles applicables et par une vigilance devant s’exercer à chaque étape, à savoir :

·        Dès la conception d’un projet impliquant un traitement de données à caractère personnel (privacy by design),

·        Pendant la durée du traitement en mettant à jour et en adaptant les mesures techniques et organisationnelles prises en fonction de l’évolution des risques,

·        À l’issue du traitement en respectant les règles relatives à la durée de conservation des données,

·        Et enfin en ayant des procédures en place permettant d’avoir les bons réflexes en cas d’attaque pour en minimiser les impacts.

À propos des auteurs

Gaëlle TILLOY : Avocate au Barreau de Paris, elle accompagne principalement ses clients dans la rédaction et la négociation de leurs contrats informatiques et dans la mise en conformité RGPD. Elle assure également des formations sur la sécurisation des contrats informatiques en marchés privés et publics. Elle a par ailleurs exercé pendant dix ans en tant que juriste puis responsable juridique au sein d’une entreprise de services numériques dans laquelle elle a notamment travaillé sur des projets de télémédecine. 

Jérôme BEAUFILS : Ingénieur en Télécommunications de formation, il contribue depuis 25 ans au développement des infrastructures numériques et télécoms au sein d’opérateurs et d’entreprises de services numériques. Il est le président de la société SASETY, spécialisée dans la transformation des infrastructures réseau et sécurité des entreprises afin de répondre aux nouveaux modes de consommation de l’informatique et aux enjeux de cybersécurité associés.

Sources

ANS : Cybersécurité dans le secteur de la santé et du médico-social : une priorité nationale pour réussir la transformation numérique

France Info – Coralie Lemke : Pourquoi nos données de santé sont-elles si convoitées ?

ANSSI : Guide d’hygiène informatique

Les Echos : Cancer du sein : l’intelligence artificielle de Google meilleure que les médecins ?

CNIL : Violations de données de santé : la CNIL sanctionne deux médecins

https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000044239566 : Délibération n° 2021-118 du 7 octobre 2021 portant adoption d’un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de création d’entrepôts de données dans le domaine de la santé

Article L. 1111-8 du Code de la santé publique

   Règlement 2016/679 de protection des données à caractère personnel du 27 avril 2016

L’IoT est désormais un sujet incontournable dans de nombreuses industries et a modifié en profondeur la manière de travailler et de mener différentes opérations de gestion. Chaque année, ce marché est en forte croissance (à deux chiffres selon les principaux analystes) et devrait continuer de se développer à long terme.  Ainsi, grâce à l’IoT, de nouveaux usages vont alors être possibles comme fluidifier le traitement des opérations des industriels, simplifier des tâches courantes, etc.  Autant d’éléments incontournables au bon fonctionnement d’une industrie moderne, fiable et 4.0.

La connectivité comme prérequis au fonctionnement de l’industrie du XXIe siècle

Une couverture constante et uniforme est cruciale pour les dispositifs IoT. Les appareils sont situés dans des endroits éloignés, sur des sites de travail temporaires, et sur des sites en mouvement quasi-constant, comme les trains, les avions, les voitures, les vélos et les trottinettes.  L’industrie 4.0 est souvent représentée au travers de projets mettant en avant de nombreux capteurs qui vont récolter des données diverses qui seront ensuite analysées.  L’on pense donc souvent à des objets connectés et nous nous concentrons sur ces derniers. 

Mais nous oublions que ces capteurs sont fortement consommateurs de ressources, notamment de réseaux pour fonctionner et c’est sur ce point que de nombreux projets ne peuvent être déployés faute d’accès à une connexion très haut débit (capteurs sur lieux contraints, capteurs dans des environnements ne bénéficiant pas de connexions traditionnelles, capteurs sur des sites temporaires ou équipements nomades, capteurs de température installés sur une ligne de production, capteurs intelligents pour les vélos et les trottinettes, etc… Les cas d’usage pour ce type de sujets sont nombreux et appellent des réponses opérationnelles concrètes. Une solution de connectivité IoT doit être capable d’évoluer. Elle doit être simple à configurer, à mettre en place, à déployer et à gérer afin de superviser des capteurs dans le monde entier depuis une plateforme de gestion unique.

Prévoir une connexion en toute circonstance 

S’appuyer sur une connexion disponible 24 heures sur 24 et très haut débit est donc un prérequis. Mais comment faire pour les cas d’usages évoqués ? On comprend donc bien que des dispositifs de connexion performants sont alors indispensables. C’est sur ce point que la 4G et maintenant la 5G peuvent apporter une réponse pertinente. En effet, lorsque ces technologies sont embarquées, elles permettent aux différents capteurs de se connecter pour qu’ils puissent transmettre les différentes données qu’ils auront récoltées.  Les envois de données étant effectués soit en temps réel, soit par paquets sur des périodes définies.   Si cette approche offre de réels bénéfices, il faut également prendre en considération l’échelle de grandeur des projets IoT.

Les déploiements IoT couvrant des milliers voire des millions d’appareils nécessitent une solution de connectivité bénéficiant d’une couverture mondiale, disposant d’une logistique et de processus efficaces et rentables et assurant une défense contre l’imprévisibilité de l’écosystème. C’est dans ce contexte que le recours à un MVNO (Mobile Virtual Network Operators) prend tout son sens.Cette technologie permet à un capteur de se connecter au meilleur réseau cellulaire disponible et de basculer automatiquement vers un opérateur de secours.

L’industrie 4.0 va continuer à se développer ces prochaines années. Disposant à ce jour de tous les fondamentaux nécessaires, elle va pouvoir mener à bien sa transformation en intégrant les notions de robotisation, de prédictif ou encore d’Internet des objets. 

Jérôme Chachuat – CEO-Founder Move & Connect

Les règles de conformité dans le secteur de la finance (banque-assurance) ne cessent de se renforcer d’année en année. Dans ce contexte, force est de constater que le monde de l’assurance doit intégrer de nouvelles dispositions au regard de l’enregistrement des conversations téléphoniques réalisées entre les conseillers commerciaux et leurs clients. En effet, les abus de certains courtiers en assurance ont conduit à la mise en place d’un meilleur encadrement de ces pratiques. Ainsi, une nouvelle loi qui est parue au Journal officiel établit notamment des nouvelles règles en termes de démarchage téléphonique.

Cette loi, qui va entrer en vigueur dès le 1^er avril 2022, concerne aussi bien les assureurs, courtiers et mutuelles et prend en considération les appels passés aux particuliers comme aux professionnels. 

Les obligations que devront respecter les assureurs

1. Un premier volet concerne les informations préalables. 

Il faut tout d’abord préciser que  la conversation téléphonique fait l’objet d’un enregistrement puis d’une conservation durant une période de 2 ans à compter de la signature du contrat. Au-delà de ces éléments, il faudra dire au prospect qu’il pourra obtenir une copie de l’enregistrement de la conversation et que s’il ne souhaite pas être enregistré la communication téléphonique doit être interrompue. Enfin, il faut recueillir un accord du prospect qui doit préciser qu’il souhaite poursuivre la communication.

2. Avant de souscrire un contrat au téléphone et à distance.  

A ce stade , la nouvelle loi oblige à respecter un délai minimal de 24 heures après la réception des documents pour recontacter le client. De plus, les assureurs sont tenus d’enregistrer l’ensemble des communications téléphoniques réalisées avant la conclusion du contrat. Tous ces enregistrements devront aussi être conservés pendant 2 ans. 

Un nouveau pas vers la digitalisation du métier de l’assurance 

L’ensemble de ces dispositions va fortement faire évoluer les processus de gestion des assureurs en matière de démarchage. Dans ce contexte, pour répondre à ces nouvelles contraintes, le digital va devenir un véritable allié à plusieurs titres.  En effet, il permettra d’une part de s’appuyer sur des infrastructures adaptées pour gérer les enregistrements et piloter leur cycle de vie et d’autre part d’élever la qualité de service délivrée au client. De fait, l’ensemble du secteur va gagner en professionnalisme. La question de passer au numérique n’est donc plus un concept mais une urgence. On notera d’ailleurs qu’avec le recours massif aux plateformes de communication de nouvelle génération, comme Teams par exemple, ce virage est aujourd’hui largement pris. Reste à y intégrer en toute transparence la notion d’enregistrement pour se conformer à la loi.

Par Éric BUHAGIAR, Directeur Général d’ASC Technologies France 

L’intégration des multiples messageries instantanées dans la relation client omnicanale passe par la mise en œuvre de bonnes pratiques et par des développements qui permettent d’assurer la fluidité des parcours, aussi bien pour le client que pour l’agent. 

La relation client devient omnicanale, ce n’est pas nouveau. Les messageries instantanées ne datent pas non plus d’hier. Ce qui est inédit, c’est leur multiplication et l’explosion de leurs usages. Il est désormais nécessaire de les intégrer dans des parcours client qui devront alors conserver leur fluidité. À la fois organisationnelle et technologique, la problématique doit être traitée en amont, au travers de bonnes pratiques et bien souvent, de développements spécifiques. 

1 – Choisir le bon canal selon le contexte 

Le choix du bon canal au bon moment est un prérequis d’une relation client omnicanale réussie. Ce choix doit être étendu aux messageries instantanées, dont la multiplication augmente considérablement la difficulté. Il s’agit tout d’abord d’analyser la population ciblée, en termes d’âge, de genre ou de catégories socio-professionnelles. Cette analyse sera renforcée par des enquêtes auprès des clients et prospects, de préférence menées à l’occasion de contacts. En production, le choix du canal sera déterminé par le résultat de ces analyses et enquêtes, par une segmentation a priori ou via les préférences de contact (par exemple WhatsApp, Facebook, Messenger ou SMS). D’autre part, ce choix n’est ni statique ni unique. On déterminera ainsi les contextes dans lesquels le basculement d’un canal à l’autre ou l’ajout d’un canal est pertinent. Par exemple, lors d’une conversation téléphonique, l’agent pourra demander au client d’envoyer un document par Messenger ou WhatsApp. 

2 – Présenter aux agents les conversations selon les sujets 

Difficile pour l’agent de consulter de multiples conversations en vrac. L’idée est de présenter, pour chaque opportunité ou demande, un fil des conversations multicanales. Celui-ci rassemblera donc tous les emails, comptes-rendus d’échanges téléphoniques ou conversations WhatsApp ou Twitter qui concernent un même sujet. Là encore, la problématique n’est pas complètement nouvelle mais change de dimension avec la multiplication des messageries instantanées. 

3 – Prendre en compte les spécificités de chaque messagerie instantanée 

Chaque messagerie instantanée à ses spécificités qui peuvent faciliter ou complexifier son usage par l’entreprise. C’est particulièrement vrai pour WhatsApp dont les identifiants sont liés aux numéros de téléphone, ce qui simplifie le basculement à partir d’un appel vocal. Mais dans le même temps, lors de la prise de contact avec un client, cette messagerie impose à l’entreprise la création préalable d’un modèle conversationnel (un template) qui doit être validé en amont par la plateforme. Cette contrainte nécessite une réflexion sur la ligne éditoriale. 

4 – Mixer et intégrer des outils hétérogènes 

Lorsque l’entreprise a fait le choix unique et global d’une plateforme comme Salesforce, tous les canaux numériques voire vocaux peuvent être gérées de façon uniforme, aussi bien du point de vue du client que de l’agent. En pratique, les différentes organisations ont souvent fait leurs propres choix avec des SI différents en fonction des canaux, parfois orientés par des contraintes de coûts ou de délais. Il est donc souvent nécessaire de réaliser des développements spécifiques, parfois lourds, pour intégrer différentes plateformes de CRM ou de centres de contacts, notamment afin d’agréger des conversations hétérogènes et enrichir l’expérience client. 

Céleste Buffin, Consultant chez Almavia CX