Les établissements de santé ont réalisé d'importants investissements dans des mesures de sécurité couvrant les réseaux, les terminaux, les environnements cloud et les systèmes cliniques. Mais avec le développement des systèmes connectés et de l’IA dans le secteur de la santé, et l’élargissement du champ des menaces qui en découle, les organismes sont confrontés à des questions plus épineuses : qui et quoi a accès aux systèmes critiques, et cet accès peut-il être contrôlé tout au long de son cycle de vie ?
Pour la plupart, la réponse est complexe. Aujourd’hui, l’environnement numérique d’un système de santé peut inclure des employés et des cliniciens, des comptes de service, des API, des plateformes tierces, des dispositifs médicaux connectés et, de plus en plus, des systèmes d’IA et des agents autonomes. Chacun d’entre eux peut interagir avec des données sensibles et des systèmes critiques, et créer des relations d’accès qui doivent être comprises, contrôlées et examinées.
Le défi consiste donc à intégrer ces relations dans un modèle de gouvernance capable de s’adapter à l’évolution de l’environnement.
L'environnement numérique du secteur de la santé ne cesse de s'étendre.
Le secteur de la santé a toujours fonctionné avec un ensemble hétérogène de systèmes qu'il était difficile de sécuriser à l'aide d'une approche unique. Les applications cloud, les dispositifs médicaux connectés, l'accès à distance, les plateformes tierces et l'intelligence artificielle ajoutent de nouvelles connexions à un environnement qui comprend déjà des technologies héritées et des systèmes fragmentés.
Les relations avec les tiers constituent un élément important de ce tableau. L’American Hospital Association recommande aux systèmes de santé de tenir à jour des inventaires exhaustifs des tiers, de comprendre les dépendances au-delà de leurs fournisseurs directs et d’évaluer comment une perturbation chez un partenaire technologique pourrait affecter les opérations cliniques.¹ Ses recommandations préconisent également une responsabilité clairement définie et une collaboration entre les services des achats, juridique, de la conformité, informatique et de la cybersécurité.
les lacunes des programmes de gestion des identités.
Les programmes de gestion des identités traditionnels étaient axés sur les personnes : intégration des employés, attribution de rôles, octroi d’accès et suppression de celui-ci lorsqu’une personne quitte l’entreprise. Les comptes de service et autres identités non humaines existent également dans ces programmes, mais sont rarement gérés avec la même rigueur.
Cependant, les identités non humaines occupent une place de plus en plus importante dans la sécurité des entreprises. Les comptes de service, les identifiants d’API, les comptes machine et les appareils connectés peuvent disposer d’un accès permanent aux systèmes sans se comporter comme des utilisateurs traditionnels. Les appareils médicaux connectés peuvent communiquer avec les systèmes cliniques tout en fonctionnant selon des cycles de vie prolongés et des contraintes propres à chaque fournisseur. Des tiers peuvent avoir besoin d’un accès au-delà des frontières organisationnelles.
L’IA introduit une nouvelle dimension. À mesure que les établissements de santé déploient des applications et des agents d’IA, les équipes de sécurité doivent comprendre à quoi ces systèmes peuvent accéder, quelles actions ils peuvent effectuer et comment ces autorisations sont surveillées. La gouvernance de l’IA s’inscrit ainsi dans le débat plus large sur l’identité et les accès.
Cela étend la gouvernance des identités à quatre grandes catégories :
- Identités humaines : Professionnels de santé, employés, sous-traitants et administrateurs
- Identités non humaines : Comptes de service, API, comptes machine et identifiants d’application
- Appareils connectés : IoMT et autres systèmes fonctionnant dans des environnements cliniques
- Systèmes d’IA : Applications et agents susceptibles d’accéder à des informations ou d’effectuer des actions
L’objectif n’est pas de regrouper ces différentes technologies sous un seul et même contrôle technique. Il s’agit d’établir une gouvernance cohérente en matière d’accès, de propriété, de cycle de vie et de risques.
La visibilité passe avant le contrôle.
Les établissements de santé ne peuvent pas gérer efficacement les accès s’ils ne disposent pas d’une vue fiable de ce qui est connecté à leur environnement. Mais ce défi est particulièrement aigu avec les équipements médicaux connectés. Certains fonctionnent sous des systèmes d’exploitation obsolètes. D’autres dépendent des fabricants pour les mises à jour logicielles ou les contrôles de sécurité. Pourtant, ces appareils peuvent tout de même communiquer avec des systèmes contenant des informations sensibles ou prendre en charge des flux de travail cliniques critiques. La solution va au-delà de la simple découverte des appareils.
Les équipes de sécurité doivent savoir ce qui existe, mais elles doivent également comprendre à qui appartient chaque ressource, comment elle se connecte à l’environnement, de quel accès elle a besoin et ce qui doit se passer lorsque cet accès n’est plus nécessaire. La visibilité ne prend tout son sens que lorsqu’elle débouche sur une responsabilisation et des contrôles applicables. Un simple inventaire ne permet pas à une équipe de sécurité de déterminer si un accès est approprié. Il fournit le contexte nécessaire pour prendre cette décision.
À quoi ressemble, concrètement, une gouvernance des identités renforcée ?
Le défi ne se limite pas à la gestion des comptes individuels. Quatre domaines permettent d’intégrer la visibilité, les accès, les opérations de sécurité et la modernisation au sein d’un même modèle opérationnel.
1. Établir la visibilité et la responsabilité
Une gouvernance efficace commence par une vue à jour des identités humaines et non humaines, des appareils connectés, des applications et des relations avec les tiers. Cette vue doit inclure la responsabilité et suffisamment de contexte pour comprendre comment chaque identité ou actif est relié aux systèmes critiques.
Les recommandations de l’AHA concernant les risques liés aux tiers mettent l’accent sur des inventaires exhaustifs, une responsabilité clairement définie, une évaluation continue et la prise en compte des dépendances au-delà du fournisseur immédiat.
Ce même principe s’applique à l’ensemble de l’environnement technologique. Les équipes de sécurité doivent savoir qui ou quoi dispose d’un accès, pourquoi cet accès existe et à qui incombe la responsabilité en cas de changement.
2. Gérer les identités tout au long de leur cycle de vie
L’accès doit refléter l’intégralité du cycle de vie d’une identité, depuis son attribution jusqu’à sa désactivation, en passant par les changements de rôle ou de responsabilité. Cela inclut les identités des collaborateurs ainsi que les comptes de service, les API, les identités machine, l’IoMT et d’autres identités non humaines.
L’accès basé sur les rôles, la gestion des accès privilégiés, la séparation des tâches, l’attribution « juste à temps » et la certification continue des accès peuvent contribuer à réduire les accès inutiles ou persistants.
Pour les systèmes d’IA émergents, cette même discipline de gestion du cycle de vie devient de plus en plus pertinente. À mesure que les applications et les agents d’IA accèdent aux données et aux systèmes d’entreprise, les organisations doivent comprendre à quoi ces systèmes ont accès, quelles actions ils sont autorisés à effectuer et comment cet accès est surveillé au fil du temps.
3. Relier la gouvernance des identités à la détection des menaces
La gouvernance des identités gagne en valeur lorsque les signaux liés aux identités alimentent l’ensemble des opérations de sécurité. Les changements dans les accès privilégiés, les activités d’identité anormales ou les connexions inattendues peuvent fournir un contexte utile pour la détection des menaces, les enquêtes et les interventions.
Relier la gouvernance des identités aux opérations de sécurité peut également faciliter la détection des menaces liées aux identités et la réponse à celles-ci, en fournissant aux analystes davantage d’informations sur les identités à l’origine des activités dans des environnements complexes.
Ce lien fonctionne également dans l’autre sens. Les événements de sécurité peuvent fournir un contexte pour les décisions d’accès et les évaluations des risques. La gouvernance des identités s’inscrit ainsi dans un modèle opérationnel de sécurité plus large, plutôt que de constituer une simple fonction de provisionnement distincte.
4. Intégrer la gouvernance dans la modernisation
Les établissements de santé doivent souvent mener leur modernisation en tenant compte des plateformes héritées, des systèmes cliniques et des dispositifs médicaux qui ne peuvent être remplacés ou mis à jour selon les délais informatiques habituels.
La gouvernance des identités doit donc faire partie intégrante de la stratégie de modernisation dès le départ. Une migration par étapes, des environnements cogérés et une architecture adaptée aux plateformes peuvent aider les établissements à mettre en place des contrôles modernes d’identité et de sécurité dans le cloud sans perturber les opérations cliniques ni nécessiter de programmes de remplacement immédiat.
Le même principe s’applique lorsque les établissements de santé adoptent de nouveaux services cloud, des appareils connectés et des technologies d’IA. Une gouvernance intégrée à l’architecture facilite la compréhension des accès et des risques à mesure que l’environnement évolue.
La réglementation renforce les principes fondamentaux.
L'orientation réglementaire met également davantage l'accent sur la transparence, la responsabilité et les contrôles de sécurité.
Le ministère américain de la Santé et des Services sociaux a proposé des modifications à la règle de sécurité HIPAA qui renforceraient les exigences dans des domaines tels que l’inventaire des actifs technologiques, la cartographie du réseau, l’analyse des risques, l’authentification, la gestion des vulnérabilités et la réponse aux incidents.
Cette proposition ne constituant pas encore la règle de sécurité définitive, les établissements de santé doivent faire la distinction entre les exigences actuelles et les modifications proposées. L’orientation générale renforce toutefois l’importance de savoir ce qui est connecté à l’environnement, de comprendre les accès et de maintenir des contrôles de sécurité documentés.
Les établissements de santé doivent également gérer les attentes de leurs partenaires commerciaux, fournisseurs et assureurs spécialisés dans la cybercriminalité, ce qui peut imposer des exigences supplémentaires en matière de pratiques de sécurité.
Pour les responsables de la sécurité, la question pratique est de savoir comment mettre en place des contrôles qui restent efficaces à mesure que l’environnement évolue et que les attentes augmentent.
Assurer l'alignement de la gouvernance des identités sur le changement.
L'environnement technologique du secteur de la santé continuera d'évoluer. De plus en plus de systèmes seront interconnectés. Une part croissante du travail s'effectuera via des plateformes cloud et des API. Les applications et agents d'IA endosseront de nouveaux rôles.
Le modèle de sécurité doit tenir compte de ces changements au fur et à mesure qu’ils se produisent. La gouvernance des identités offre aux établissements de santé un moyen de relier les personnes, les machines, les appareils, les applications et les technologies émergentes aux contrôles qui régissent leur accès. Bien mise en œuvre, elle apporte aux équipes de sécurité une meilleure visibilité sur les accès et la propriété, un contrôle renforcé sur le cycle de vie des identités et davantage de contexte pour la gestion des risques dans l’ensemble de l’environnement clinique.
Des programmes de conformité à la règle de sécurité HIPAA et de la sécurité de l’environnement clinique aux évaluations OT/IoMT, en passant par la réponse aux incidents et la résilience face aux ransomwares, Randstad Digital aide les établissements de santé à renforcer leur cybersécurité dans des environnements cliniques et technologiques complexes.