L'article que vous vous apprêtez à lire a été publié avant le 5 octobre 2023, alors que LGI Solutions Santé se nommait encore « Logibec ». Il se pourrait donc que le texte ou que certaines images fassent référence à l'ancienne marque de l'entreprise ainsi qu'à l'ancienne nomenclature de nos solutions. Merci pour votre compréhension.
La sécurité de l’infrastructure a pour but de limiter la vulnérabilité des infrastructures et des systèmes d’information face aux menaces grandissantes. Il s’agit donc d’adopter une combinaison appropriée de mesures de sécurité, de pratiques en matière de continuité des activités et de mesures de planification de la gestion des urgences, le tout afin de veiller à ce que des procédures d’intervention adéquates soient en place pour faire face aux perturbations et aux catastrophes naturelles.
Selon plus de 31 articles de recherche, le réseau de la santé est lent à adopter les mesures nécessaires pour assurer la sécurité des données des parties prenantes, soient celles de ses employés et de ses patients. Effectivement, dans un article publié le 3 juin 2020 sur le site Web de Radio-Canada, on apprend que « le nombre de cyberattaques contre le système de santé canadien a bondi de 15% entre 2018 et 2019 ». Pour faire face à cette menace, les établissements doivent consentir un investissement financier et horaire afin de protéger leurs infrastructures technologiques et soutenir la continuité de leurs services. Malgré les recommandations tant fédérales que provinciales, ceci demeure un défi d’envergure, puisque les établissements de santé sont des organisations complexes et saturées en technologies interdépendantes.
Le réseau de la santé, une infrastructure stratégique
La sûreté des infrastructures stratégiques, dont celle du réseau de la santé, est un enjeu inévitable en matière de sécurité de l’État.Selon le ministère de la Sécurité publique du Québec, une infrastructure stratégique est une infrastructure qui fournit un service d’une grande importance pour la société. Un bris engendrerait des conséquences majeures sur la santé, la sécurité ou le bien-être des citoyens ou encore sur le fonctionnement efficace du gouvernement.
La cybervulnérabilité de l’infrastructure technologique du système de santé provincial résulte de l’accumulation des vulnérabilités individuelles des hôpitaux. Les applications informatiques sont maintenant reliées entre elles en temps réel, ce qui signifie que toute perte de données peut affecter l’ensemble de l’écosystème et des activités d’une organisation. Il est conseillé de se référer au Tableau synoptique des mesures clés regroupées par axes et par objectifs pour toutes les recommandations développées par le gouvernement du Québec.
La stratégie nationale sur les infrastructures essentielles souligne qu’une panne, un bris, un virus ou une erreur humaine dans un de ces établissements pourrait mettre en péril l’infrastructure complète du réseau de la santé, selon les interdépendances du système informatique affecté. En 2019, par exemple, une panne majeure a touché cinq hôpitaux à Montréal. C’est pourquoi les CISSS et CIUSSS doivent aller de l’avant ensemble pour assurer le renforcement de la résilience des infrastructures essentielles et rendre l’industrie moins attrayante pour les cybercriminels, et donc moins fragile en cas de désastre naturel.
Cas vécus et responsabilités
Des événements vécus par certains établissements démontrent l’importance de protéger ces infrastructures et d’avoir un plan d’action rapide face aux menaces informatiques.
Parmi les nombreuses responsabilités de la direction informatique des hôpitaux se trouve celle d’assurer la sécurité de l’infrastructure informatique pour garantir, entre autres, la continuité des services, dont ceux prodigués aux patients. La sécurité des infrastructures et l’importance de la continuité des affaires reposent d’abord sur la culture de l’organisation. Selon un des chefs de la direction informatique questionnés dans l’article scientifique Cybersecurity in Hospitals: A Systematic, Organizational Perspective : « Notre culture n’était pas comme ça il y a sept ans. Il a fallu que des mauvaises choses arrivent à certains moments. Rien n’affecte le changement comme quelqu’un qui fait une erreur. » Au Québec, voici ce qu’avait à dire Steve Waterhouse en entrevue avec La Presse : « En informatique, tant qu’il n’y a pas d’accident, on se dit qu’on verra si ça arrive. C’est là que ça fait le plus mal et encore une fois, c’est la population qui écope ».
Il serait dommage d’attendre qu’un désastre catalyse le changement nécessaire alors qu’il pourrait déjà être mis en place. La perte de données dans un établissement de santé serait particulièrement catastrophique, car il pourrait y avoir des erreurs médicales ayant des conséquences cliniques graves et des décès directement liés à une panne des systèmes informatiques.
Garantir la continuité des services en cas de désastre
Le plan de continuité des activités vise à garantir la continuité des services informatiques essentiels lors d’un sinistre. Ce plan doit permettre à l’établissement de redémarrer ses activités le plus rapidement possible (RTO) avec le minimum de perte de données (RPO) en suivant des procédures établies à l’avance.
Selon Stéphane Dumont, directeur des solutions techniques chez Logibec, les bonnes pratiques dictent trois phases pour maximiser la disponibilité de l’infrastructure technologique en cas de désastre. D’abord, il faut sécuriser les données avec la copie de sauvegarde, une des composantes primordiales d’un plan de continuité. Ensuite, il est nécessaire de garder à jour la version des solutions utilisées et d’effectuer la migration ou la mise à niveau, le temps venu. Finalement, l’équipe responsable doit monter et implanter un plan et un processus de relève des systèmes informatiques.
Les facteurs critiques de succès sont la planification, la documentation sur l’impact de chaque processus et l’activation rapide du plan. L’équipe de direction informatique doit définir et établir son objectif de temps de reprise (RTO) et de recouvrement (RPO). Ce plan doit être régulièrement testé afin de valider les procédures, de s’assurer que plan est complet et réalisable et de garantir sa réussite. Ainsi, l’équipe est en mesure de détecter les incidents le plus tôt possible afin de minimiser les impacts, réduire les efforts de recouvrement et maintenir les niveaux de service.
La coopération des différents secteurs, des détenteurs de l’actif et des utilisateurs est primordiale pour le succès du plan de relève. L’analyse d’impact doit être faite par une équipe multidisciplinaire qui offrira ses analyses et son engagement. Tous les acteurs seront requis en cas de désastre.
Dans le contexte de la COVID-19
Le Centre pour la cybersécurité alerte les établissements que « la pandémie de la COVID-19 constitue un risque important pour la cybersécurité des organismes de santé canadiens qui prennent part aux mesures nationales d’intervention visant à contrer la pandémie. »
Logibec conseille d’ailleurs de mettre en place une relève sur des systèmes qui, auparavant, apparaissaient moins critiques, notamment Med-Écho et Clinibase SICHELD. Le contexte de la pandémie a mis en lumière les besoins constants d’information sur ces bases de données pour alimenter les statistiques et le suivi des épisodes de soins des patients.
Nos spécialistes de la sécurité de l’information chez Logibec affirment qu’en temps de pandémie, « il est essentiel de ne pas oublier les bons réflexes, de tester nos plans de relève, nos sauvegardes et nos recouvrements de données. Je recommande aussi la mise en place d’exercices sur table (Security Table-Top Exercise). Il permet de mieux comprendre les rôles et les responsabilités lors d’un incident, de renforcer les synergies interéquipes, de valider les stratégies et d’assurer que le plan de continuité est bien à jour. N’hésitez pas non plus à simuler des pannes de systèmes critiques afin de valider votre capacité à vous relever et à déceler tout enjeu, tel que des copies de sauvegarde non fonctionnelles. »
Pour en savoir plus, téléchargez notre webinaire
Vous souhaitez en apprendre davantage sur les meilleurs pratiques préventives concernant les dangers informatiques à risques d'engendrer une panne majeure de vos infrastructures technologiques? N’hésitez pas à télécharger notre webinaire enregistré, Infrastructures : la continuité de vos services est-elle en danger?.
