Pourquoi la cybersécurité des soins de santé est-elle si sous-financée ?

Jun 28, 2023

Tony Fyler

@more__hybride

[email protected]

L’argent est crucial pour rendre les soins de santé à nouveau sûrs.

• L'importance de la cybersécurité des soins de santé est souvent minimisée ou mal comprise. • Pour obtenir un financement adéquat, il est important d'encadrer les conversations sur la cybersécurité des soins de santé en termes de risque clinique. • Les organismes de santé disposent de surfaces de cybersécurité incroyablement plates.

Les services de santé sont de plus en plus vulnérables aux cyberattaques. De nouveaux acteurs, de nouveaux vecteurs d’attaque – ou du moins récemment modifiés – et une nouvelle focalisation sur les vulnérabilités toujours présentes brisent toute résistance éthique de la part des mauvais acteurs à cibler des endroits censés être des refuges et des centres de guérison pour les personnes qui ne sont pas à la hauteur. leur meilleur physique.

S’il y a un enfer, naturellement, les mauvais acteurs qui ciblent les établissements de santé présentant des vulnérabilités en matière de cybersécurité y resteront sans aucun doute pour l’éternité. Mais pour les organisations qui ne sont pas rassurées par l’idée d’une punition différée et métaphysique, il est important de mettre fin aux machinations de ces déchets de peau ici et maintenant.

Nous avons repris contact avec Deryck Mitchelson, RSSI de terrain chez Check Point Research, une organisation spécialisée en cybersécurité qui dispose de nombreux fers au feu lorsqu'il s'agit de mettre fin à de telles cyberattaques contre des infrastructures nationales critiques.

Nous avons parlé à Deryck spécifiquement parce qu'en plus d'être un expert en cybersécurité, il a travaillé pour le NHS Scotland au Royaume-Uni et possède donc une spécialisation à la fois large et particulière dans le domaine de la cybersécurité des soins de santé.

Nous lui avons demandé pourquoi les gens ciblaient encore, en 2023, les organismes de santé.

THQ :

Nous avons déjà expliqué pourquoi le NHS du Royaume-Uni est particulièrement vulnérable aux cyberattaques, mais cela devient également un phénomène plus important aux États-Unis. Selon nous, où se situe la cybersécurité des soins de santé sur les échelles d’urgence et de vulnérabilité en termes, par exemple, d’investissement gouvernemental ou organisationnel ? Par ordre de priorités de dépenses des autorités, où vient la protection de ces infrastructures critiques contre les cyberattaques ?

DM :

Si vous posez la question à quelqu'un, il vous dira que c'est l'une des trois principales priorités. Absolument. Quiconque est haut placé au sein du gouvernement ou dans le secteur de la santé vous dira que c'est l'une des trois principales priorités.

Mais c'est une priorité à cocher, pas une véritable priorité. La raison pour laquelle ils disent que c'est une priorité, c'est parce que cela figure alors sur le registre des risques. Cela signifie qu’ils peuvent parler à leurs conseils d’administration et dire : « Oui, quelqu’un en est propriétaire en priorité. » Cependant, si quelqu'un continue en disant que nous avons besoin d'une augmentation substantielle des investissements dans un programme pluriannuel de cybersécurité des soins de santé afin de faire telle ou telle chose, il ne trouve pas l'argent.

Cela signifie que ce n’est pas du tout une priorité. Évidemment, on trouve toujours de l’argent pour des choses qui sont vraiment prioritaires.

THQ :

C’est plus ou moins comme ça qu’on définit les vraies priorités, n’est-ce pas ? Des choses pour lesquelles nous devons dépenser et dépensons de l’argent réel ?

DM :

Exactement. La cybersécurité des soins de santé est l’une des rares priorités qui figure en tête du registre des risques et qui n’est pas correctement financée.

Alors oui, si le projet n'est pas correctement financé, s'il n'obtient pas le niveau d'investissement dont il a besoin, comment peut-il réellement bénéficier d'un tel niveau de priorité ? Parce que d'autres choses qui s'y rapportent, comme le remplacement d'équipements en fin de vie, permettent d'investir de l'argent.

Lorsqu'ils cherchent à combler une pénurie de personnel, à modifier les rotations ou à mettre en œuvre des programmes d'investissement en capital, ces choses suscitent des investissements.

C'est difficile de se plaindre – je sais que ces choses fournissent des soins de santé de première ligne. Mais lorsque j’occupais mon rôle de DSI, le numérique et la cybersécurité jouaient un rôle important dans la fourniture de soins de première ligne. Il serait impossible de prodiguer des soins de première ligne sans les services numériques et les cyberservices qui permettent aux gens de le faire. On n'obtient pas l'un sans l'autre.