Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Rapport de Verizon : Données médicales protégées, 90% des secteurs d’activité connaissent des compromissions des données médicales

décembre 2015 par Verizon

Les cas de vol de données médicales sont bien plus fréquents qu’on pourrait le penser, puisque 18 secteurs d’industrie sont concernés sur les 20 examinés par le rapport sur les compromissions des données médicales protégées de Verizon, le « Protected Health Information Data Breach Report ». Or la plupart des entreprises en-dehors du secteur de la santé ne réalisent même pas qu’elles détiennent ce type de données. Les sources courantes de données médicales protégées sont les dossiers des salariés (y compris les demandes d’indemnisation) ou les renseignements communiqués dans le cadre de programmes de bien-être, et ne sont généralement pas très bien protégées.

Ces conclusions sont celles d’un premier rapport de l’équipe Data Breach Investigations Report (DBIR) de Verizon proposant une analyse détaillée de cas confirmés de compromission de données médicales protégées (PHI*), représentant 392 millions de dossiers et 1 931 incidents dans 25 pays.

« De nombreuses entreprises n’en font pas suffisamment pour protéger ces données confidentielles ultra sensibles », explique Suzanne Widup, analyste sécurité senior et principal auteur du rapport de Verizon Enterprise Solutions. « Les conséquences potentielles pour l’individu et sa famille peuvent être désastreuses, et conduire à faire supporter des surcoûts de santé aux Etats, aux organisations et aux sujets. Les cybercriminels convoitent tout particulièrement ces données médicales protégées. »

Selon des études récentes citées dans le rapport, il est fréquent que des personnes refusent de divulguer des informations, parfois critiques, aux professionnels de santé par crainte d’une possible mise en danger de ces données. « Les organismes de santé doivent comprendre que si la confiance que leur accordent les patients est rompue, les implications sont potentiellement énormes », ajoute Suzanne Widup.

Le rapport souligne, par exemple, que le fait de cacher des informations peut retarder le diagnostic d’une maladie transmissible, surtout si la maladie souffre d’une possible stigmatisation sociale.

Différences entre les compromissions de données médicales protégées et les autres types de compromissions

Les compromissions de données médicales protégées se distinguent des autres type de rapports d’enquête DBIR à de nombreux égards. L’origine des attaques notamment : dans le cas de compromissions de données médicales protégées, on compte quasiment autant d’acteurs externes qu’internes (à 5% près), ce qui dénote de probables malveillances d’utilisateurs internes.

Le rapport souligne que les données des dossiers médicaux sont souvent dérobées à des fins malveillantes ; mais ce sont souvent les informations d’identification personnelle, de type données de cartes bancaires et numéros de sécurité sociale, que les criminels recherchent avant tout, dans le but de commettre des malversations financières et des fraudes fiscales.

Le mode opératoire des compromissions comporte des différences également. Le principal vecteur d’attaque est le vol de dispositifs portables (PC portables, tablettes, clés USB), suivi par l’erreur humaine, comme l’envoi d’un compte-rendu médical au mauvais destinataire ou la perte d’un ordinateur portable. En troisième position arrive l’abus ou la malveillance de la part d’un salarié qui profite de ses droits d’accès à l’information. Ces trois types d’actions se retrouvent dans 86% de tous les cas de compromissions de donnés médicales protégées. De plus, le plus souvent il s’écoule des mois voire des années avant que l’incident soit révélé. Pour les incidents découverts au bout de plusieurs années, il y a trois fois plus de chances qu’il s’agisse d’un salarié ayant abusé de ses droits d’accès au réseau LAN et deux fois plus de chances que ce soit un serveur et particulièrement une base de données qui soit ciblé.

Que faire pour lutter contre les compromissions de données médicales protégées Alors que les dossiers médicaux détaillés facilitent les vols d’identités et les fraudes aux remboursements de frais de santé par les criminels, les médias et les instituts de recherche de l’industrie continuent de mettre l’accent sur la perte de données personnelles ultra confidentielles pour attirer l’attention du public.

Le rapport souligne que près de la moitié de la population des Etats-Unis a été victime de compromissions de données médicales protégées depuis 2009. De surcroît, le FBI a alerté les professionnels de santé début 2015 sur le fait que l’industrie de « la santé » n’est pas aussi résiliente aux cyber intrusions que les secteurs de la finance et de la vente au détail et que le risque d’augmentation des cyber intrusions est « probable ».

Face à ce constat, Verizon émet des recommandations dans son rapport pour mieux protéger les données et sensibilise au fait que les données médicales protégées sont réparties dans bien plus de sources et d’endroits qu’on le pense.


*pour ce rapport les données médicales protégées PHI désignent les données médicales personnelles d’un individu relevant de l’une ou l’autre des lois régionales, nationales ou internationales de signalement de cas de compromission de données.




Voir les articles précédents

    

Voir les articles suivants