L’hôpital minimum viable : protéger les soins aux patients et renforcer la cyber-résilience

Pourquoi les hôpitaux doivent se concentrer sur la cyber-résilience

L’utilité de réfléchir dans le sens d’un hôpital minimum viable est évidente si l’on considère l’environnement des soins de santé d’aujourd’hui :

• La dépendance à la technologie est absolue. Malgré l’accent continu mis sur la formation des médecins à l’aide de formulaires papier, les flux de travail manuels ne peuvent pas soutenir les opérations de soins de santé modernes. L’idée du MVH reconnaît que les hôpitaux doivent donner la priorité à la récupération rapide d’un sous-ensemble d’applications plutôt que de s’appuyer sur des imprévus papier.
• La vitesse de récupération est déterminée par la coordination. La récupération après des cyberattaques nécessite une collaboration interfonctionnelle. Une priorisation claire garantit que les équipes interfonctionnelles travaillent à un plan de reprise unifié, réduisant ainsi les frictions et accélérant la reprise.
• Remettre en question les revendications d’immuabilité. Étant donné que les attaquants ciblent presque toujours les systèmes de sauvegarde (et réussissent trop souvent), il est important de vérifier qu’un établissement de santé dispose de processus de récupération sécurisés et vérifiables. Aujourd’hui, de nombreux établissements de santé ne le font pas.
• La priorisation fait la différence entre la perturbation et la destruction. La hiérarchisation structurée du modèle MVH garantit que les applications les plus critiques (celles qui fournissent des soins aux patients et des opérations de base) sont restaurées en premier, de préférence sur une période de temps, lorsqu’elles fonctionnent avec des ressources limitées.

EN SAVOIR PLUS: Les établissements de santé ont besoin d’une stratégie de cyber-résilience qui favorise leur réussite.

Comment construire un hôpital minimalement viable

Grâce au processus de définition et de priorisation du sous-ensemble d’applications le plus caché nécessaire aux opérations sur une période de trois à cinq semaines, les responsables du secteur de la santé aident l’organisation à comprendre à quoi s’attendre et à se concentrer sur la préparation des décisions clés qui minimisent l’impact lors d’une attaque. Les actions de base devraient inclure :

• Identifier les applications, systèmes et appareils connectés spécifiques qui sont essentiels aux soins aux patients. Cartographiez leurs dépendances et créez une séquence de récupération logique et hiérarchisée qui donne la priorité aux opérations vitales.
• Adoptez des politiques de sécurité des données Zero Trust qui supposent qu’une violation se produira et limitent l’accès aux données et aux systèmes. Déployez des sauvegardes véritablement immuables et assurez-vous qu’elles sont disponibles pour la récupération dans un environnement de récupération isolé (IRE) et que les organisations disposent des outils nécessaires pour le faire sans propager de logiciels malveillants sur leur IRE.
• Établir des canaux de communication de crise low-tech hors bande, capables de fonctionner sans connexion réseau. Ces canaux doivent connecter les équipes cliniques, de sécurité, informatiques et de direction pour une prise de décision rapide et coordonnée.
• Réaliser régulièrement des exercices de simulation et des cyberattaques simulées impliquant toutes les parties prenantes opérationnelles, y compris des partenaires externes tels que des compagnies d’assurance et des fournisseurs. Utilisez ces sessions pour valider les hypothèses, identifier les lacunes, mettre les fournisseurs clés sur liste blanche et affiner les processus.

DÉCOUVRIR: Pourquoi une bonne stratégie de cyber-résilience est-elle essentielle au succès d’une entreprise ?

Interrompre le cycle d’attaque pour protéger les patients

Dans le domaine des soins de santé, chaque seconde compte, et chaque système, ensemble de données et processus qui soutiennent les décisions cliniques, les plans de traitement et le flux opérationnel peuvent avoir un impact direct sur les résultats pour les patients. Payer la rançon provoque des attaques répétées. En préparant un ensemble minimal et bien défini d’applications prioritaires et un environnement de récupération isolé dans lequel fonctionner, les organisations de soins de santé peuvent passer de mesures réactives et de paiement de rançons à la construction d’une véritable résilience. Les organisations qui savent qu’elles peuvent revenir n’auront pas à payer de rançon, et lorsque la rançon n’est plus payée, les attaques s’arrêtent.

Les opinions exprimées dans cet article sont celles de l’auteur et ne reflètent pas nécessairement la politique ou la position officielle de l’entreprise. Section. Cet article est à titre informatif uniquement et ne constitue pas un conseil commercial ou juridique. Les organisations doivent consulter des professionnels du droit et de la conformité pour s’assurer que leurs stratégies de cybersécurité répondent à toutes les exigences fédérales, étatiques et internationales applicables.