Selon divers rapports, les organismes de santé sont parmi les plus ciblés par les cybercriminels.

En 2023, l’Internet Crime Complaint Center (IC3) du FBI a reçu 1 193 plaintes d’organisations appartenant à un secteur d’infrastructures critiques qui ont été touchées par une attaque par ransomware. Le secteur de la santé a été le plus touché, avec 249 attaques. Malgré le traitement des données sensibles des patients, les dernières données montrent que les organisations de santé ont besoin de mesures de cybersécurité appropriées. Une analyse de l’HIPAA Journal montre qu’en 2023, les enregistrements piratés ont augmenté de 156 % par rapport à 2022 pour atteindre 133 millions dans le secteur de la santé. En 2023, en moyenne, 373 788 dossiers de santé ont été piratés chaque jour.

Parallèlement, l’ indice Cybernews Business Digital révèle que 45 % des entreprises de santé analysées* dans le monde ont obtenu un « F » pour leurs efforts en matière de cybersécurité.

Les organismes de santé sont à la traîne

La nature sensible des données des patients attire l’attention des cybercriminels. Bien que l’on puisse supposer que les organismes de santé traiteraient les informations de leurs clients avec un soin particulier, la plupart d’entre eux manquent de budget en matière de cybersécurité et n’appliquent pas de bonnes pratiques de protection des données.

Selon le Business Digital Index, qui évalue les entreprises en fonction de leurs mesures de sécurité en ligne, 45 % des entreprises de santé analysées dans le monde ont obtenu un score de F et 23 % ont obtenu une note de passage de D. Seuls 3 % des établissements de santé méritaient une note A pour leurs mesures de sécurité. La situation ne s’améliore pas beaucoup non plus avec d’autres notations, puisque 4 % des entreprises de soins de santé ont obtenu une note B et 24 % ont obtenu une note de C. Seules deux entreprises ont reçu la meilleure note de 97 points sur 100. Cependant, la moyenne de toutes les entreprises analysées n’était que de 71.

Problèmes de sécurité les plus courants

L’indice numérique d’entreprise montre que le problème de sécurité le plus courant est lié à la configuration SSL (Secure Sockets Layer), avec plus de 6 000 problèmes détectés dans 201 entreprises du secteur de la santé. En outre, ces organisations ont perdu plus de 21 000 références d’entreprise. La protection des informations de l’entreprise et des clients est plus difficile lorsqu’environ un tiers (30 %) des employés réutilisent des mots de passe piratés. En outre, l’indice a détecté plus de 700 vulnérabilités critiques et à haut risque sur les sites Web des entreprises de soins de santé. Rien que cette année, la plateforme Change Healthcare de UnitedHealth a subi une violation de données affectant plus de 100 millions d’Américains. Les pirates ont déployé des ransomwares pour perturber les opérations et exfiltrer des informations sensibles. Il s’agit de la plus grande violation de données de santé jamais réalisée aux États-Unis et met à nu la nature cruciale de la cybersécurité dans ce secteur.

Sur une note plus positive, seul un cinquième (18 %) des entreprises du secteur de la santé ont des domaines potentiellement usurpables. Cependant, 55 % des organisations devraient travailler à l’amélioration de leurs systèmes d’hébergement cloud, car ils sont actuellement de bas niveau.

*Résultats de l’analyse de 1 182 sociétés financières et de santé dans le monde.