Les hôpitaux font face à un fossé grandissant entre les preuves physiques et numériques
Les hôpitaux et réseaux de santé considérés comme infrastructures critiques doivent aujourd’hui répondre à la fois à des obligations de résilience physique et à des exigences en cybersécurité. Un opérateur suffisamment important pour être classé infrastructure critique est, dans de nombreux pays, également soumis aux exigences de cybersécurité applicables aux entités essentielles. La dimension physique bénéficie d’une attention proportionnée, car elle laisse des traces visibles et vérifiables. Le volet cyber, lui, accuse souvent un retard.
Demandez à un hôpital si ses systèmes sont sécurisés : la réponse sera presque toujours affirmative. Demandez-lui d’en apporter la preuve, avec des enregistrements plutôt qu’avec des assurances, et la confiance s’effrite rapidement. Cet article explique pourquoi l’écart de preuves côté cybersécurité est si fréquent dans les infrastructures de santé critiques, et ce qu’il faut réellement pour le combler.
Résumé
Les hôpitaux classés comme infrastructures critiques voient leur périmètre de conformité s’étendre : exigences de résilience physique et obligations de cybersécurité qui s’appliquent parce que l’opérateur est aussi une entité essentielle. Le volet cyber accuse souvent un retard, car il nécessite des preuves sous forme d’un historique continu et interrogeable des accès aux données, difficile à reconstituer a posteriori. Pour les responsables conformité et IT, la priorité consiste à combler ce déficit de preuves sur le versant le plus facile à négliger, précisément parce que ses défaillances restent invisibles jusqu’à ce qu’un incident ou un régulateur les mette en lumière.
Résumé des points clés
- Les hôpitaux classés comme infrastructures critiques cumulent désormais des obligations physiques et cyber.
- La résilience physique est facile à démontrer, car elle est visible. La résilience cyber n’a pas d’équivalent : on ne peut pas vérifier les contrôles d’accès en visitant simplement le site.
- Faire confiance à la résilience cyber sans preuves revient à faire une supposition, pas à apporter une preuve. Un hôpital incapable de fournir un relevé précis des accès repose sur l’absence d’incident.
- Les régulateurs attendent de plus en plus des preuves continues, et non une évaluation ponctuelle.
- Les preuves attendues des hôpitaux sont les mêmes que pour toute entité essentielle, mais sous une vigilance accrue en raison de la sensibilité des données patients.
Pourquoi les hôpitaux doivent désormais répondre à des obligations physiques et cyber
Les opérateurs qualifiés d’infrastructures critiques constatent de plus en plus que leur statut déclenche deux ensembles d’obligations distincts et parallèles, et non un seul.
Résilience physique et résilience cyber : deux obligations distinctes et réglementées
Les cadres de résilience physique portent sur la continuité des services essentiels face aux catastrophes, actes de sabotage ou perturbations physiques. Les obligations de cybersécurité visent d’autres risques : déclaration d’incidents, gestion des risques liés aux systèmes d’information, et preuves de mesures techniques de sécurité. Un hôpital peut être irréprochable sur l’un de ces volets tout en restant exposé sur l’autre.
La vigilance des autorités progresse plus vite que les pratiques de preuve des hôpitaux
À mesure que la coordination entre autorités de supervision physique et cyber s’intensifie, les attentes envers les hôpitaux augmentent : il ne suffit plus d’avoir des contrôles, il faut pouvoir fournir un relevé précis et horodaté de leur efficacité en cas d’incident.
Pourquoi la preuve physique est facile et la preuve cyber difficile
L’asymétrie entre ces deux obligations tient à la nature des preuves : l’une se produit naturellement, l’autre exige une conception délibérée.
On peut faire le tour du périmètre, pas celui des journaux d’accès
Une mesure de sécurité physique dans un hôpital est vérifiable directement par un inspecteur. En revanche, pour vérifier que l’accès aux systèmes patients a bien été contrôlé et journalisé comme annoncé, il faut examiner des enregistrements, qui n’existent que si les systèmes ont été conçus pour les générer en continu.
L’absence d’incident n’est pas une preuve de contrôle
Beaucoup d’hôpitaux considèrent discrètement que l’absence de problème vaut démonstration de contrôle. Cette illusion s’effondre dès qu’un incident ou une enquête réglementaire survient.
Ce qu’il faut vraiment pour combler le déficit de preuves cyber
Combler cet écart consiste à veiller à ce que les systèmes traitant les données patients génèrent effectivement les preuves prévues par la politique de sécurité.
Journalisation continue sur tous les systèmes manipulant des données patients
Une journalisation continue et exhaustive sur tous les canaux traitant les données patients permet, en cas d’incident, de retrouver les enregistrements au lieu de devoir reconstituer les faits à partir d’hypothèses.
Les preuves doivent être prêtes avant la demande du régulateur, pas après
Une autorité de supervision qui enquête sur un incident posera des questions précises : quelles données patients ont été consultées, par qui, sous quelle autorisation. Un hôpital capable de répondre immédiatement se trouve dans une position bien différente de celui qui doit expliquer pourquoi les preuves n’existent pas.
Constituer la base de preuves avant d’en avoir besoin
La priorité opérationnelle consiste à auditer le volet cyber de ces obligations avec la même rigueur que celle appliquée à la résilience physique : vérifier que la journalisation est continue, interrogeable rapidement, et qu’elle satisferait une autorité de supervision exigeant des détails précis.
Comment un Data Control Plane fournit les preuves dont les hôpitaux ont besoin
Le Data Control Plane de Kiteworks applique des contrôles zero-trust contextualisés à chaque action sur chaque canal et enregistre chacune d’elles dans un journal d’audit infalsifiable et non limité, directement exploitable par les outils SIEM. Les hôpitaux disposent ainsi d’un historique continu et interrogeable de toutes les actions sur les données patients, avec le détail du moment et de l’autorisation. Les options de déploiement à locataire unique garantissent que cette base de preuves reste sous le contrôle de l’hôpital.
Les hôpitaux souhaitant vérifier si leurs pratiques de preuve cyber résisteraient à ce niveau d’exigence peuvent réserver une démo personnalisée.
Foire aux questions
Les hôpitaux désignés comme infrastructures critiques doivent satisfaire à des exigences de résilience physique tout en respectant les obligations de cybersécurité qui s’appliquent, car le même opérateur est également considéré comme entité essentielle selon la réglementation en vigueur.
Les mesures de résilience physique sont vérifiables directement sur site par les inspecteurs, alors que les contrôles cyber comme la journalisation des accès nécessitent des enregistrements continus et interrogeables, qui doivent être intégrés dès la conception des systèmes et ne peuvent pas être vérifiés visuellement.
Il s’agit de mettre en place une journalisation continue et exhaustive sur tous les systèmes traitant des données patients, afin de garantir que les enregistrements sont interrogeables et disponibles avant toute demande d’un régulateur, au lieu de se reposer sur l’absence d’incident comme preuve de contrôle.
Un Data Control Plane applique des contrôles zero-trust contextualisés à chaque action et les enregistre dans un journal d’audit infalsifiable et non limité, exploitable par les outils SIEM, offrant ainsi un historique continu et interrogeable des accès aux données patients sous le contrôle de l’hôpital.