Gouvernance des données dans le secteur de la santé à l'ère des ransomwares

Face à un risque accru d'attaque, la capacité d'une organisation à gérer efficacement ses données détermine l'ampleur des dégâts et la rapidité de la prise en charge. Comment y parvenir ?

Les attaques de rançongiciels continuent de frapper le secteur de la santé, avec des conséquences potentiellement dévastatrices qui peuvent se prolonger pendant des mois après l'incident.

En février 2026, le centre médical de l'université du Mississippi a été contraint de fermer toutes ses cliniques après avoir subi une attaque ransomware.

En juin 2024, le NHS a été plongé dans le chaos après une attaque de ransomware contre un prestataire de services de pathologie. Synnovisce qui a entraîné l'un de ses incidents cybernétiques les plus perturbateurs sur le plan opérationnel de mémoire récente. Lors de l'attaque attribuée à Groupe de rançongiciel QilinDes données de patients ont été publiées sur le dark web, un cas d'école de double extorsion.

En février de la même année, Change Healthcare — une filiale d'UnitedHealth Group chargée du traitement d'une part importante des demandes de remboursement de soins de santé aux États-Unis — a subi une attaque attribué à ALPHV / BlackCatIl est rapidement apparu que les données d'environ 100 millions de personnes avaient été compromises, ce qui en fait la plus importante violation de données dans le secteur de la santé de l'histoire des États-Unis.

Le secteur de la santé figure constamment parmi les secteurs les plus ciblés au niveau mondial pour attaques de ransomware« Les raisons sont structurelles et elles s’aggravent », explique Tracey Hannan-Jones, directrice du conseil en sécurité de l’information chez UBDS Digital.

Face à un risque accru d'attaque, la capacité d'une organisation à gérer efficacement ses données détermine l'ampleur des dégâts et la rapidité avec laquelle les soins peuvent être prodigués. Comment y parvenir ?

Évolution des ransomwares

Les attaques par rançongiciel se sophistiquent et frappent un secteur de la santé déjà fragilisé par un manque de budget. Le risque est aggravé par le fait que ce secteur détient des données extrêmement sensibles et qu'aucune interruption de service n'est envisageable.

Les techniques d'attaque ont évolué au-delà du chiffrement traditionnel, les acteurs malveillants adoptant des tactiques d'« extorsion sans chiffrement » axées exclusivement sur l'exfiltration de données et la menace de divulgation ou de vente d'informations sensibles volées, explique Lorri Janssen-Anessi, vice-présidente des opérations de gestion des risques chez BlueVoyant, à IO. « Ces tactiques s'inscrivent souvent dans des stratégies d'extorsion doubles, voire triples. »

L'IA s'accélère encore. Ce changement permet aux attaquants d’« accroître la vitesse, l’ampleur et la sophistication de leurs attaques », prévient-elle.

Avec l'évolution des techniques au-delà du chiffrement, les sauvegardes ne suffisent plus à protéger le secteur. Jake Moore, conseiller mondial en cybersécurité chez ESET, décrit un « net changement » : le passage du chiffrement des données à une double extorsion.

Les choses ont radicalement changé depuis Attaque WannaCry en 2017Selon Moore, cette attaque a touché jusqu'à un tiers des établissements du NHS en Angleterre et des centaines de cabinets de médecins généralistes. « À aucun moment, les auteurs du ransomware n'ont menacé de divulguer les données. Mais aujourd'hui, des groupes de ransomware comme… » Cloper Qilin utilise la menace de fuite de données de santé compromises pour exercer une pression supplémentaire sur ses victimes.

Impact humain et opérationnel

Les attaques contre le secteur de la santé diffèrent de celles perpétrées dans d'autres secteurs car elles ont un impact humain direct. Pendant des années, le secteur de la santé a traité les rançongiciels comme un simple problème de protection des données : sauvegarder, restaurer et passer à autre chose.

Avec la double et la triple extorsion, ce n'est plus le cas, selon les experts.

« Lorsqu’un système tombe en panne, les cliniciens perdent l’accès aux dossiers, les traitements sont retardés et le personnel doit recourir à des procédures manuelles qui ralentissent les soins et augmentent les risques », explique le Dr Darren Williams, fondateur et PDG de BlackFog, à IO. « La cybersécurité est devenue indissociable de la sécurité des patients et de la continuité des soins. »

L'incident Synnovis, qui a empêché des patients de se faire analyser le sang pendant des mois, illustre parfaitement comment une situation peut rapidement dégénérer. Bien qu'il ne s'agisse pas d'un événement direct, décès d'un patient Le décès du patient au King's College Hospital NHS Foundation Trust a été lié aux difficultés rencontrées pour obtenir un test sanguin à l'époque. Un porte-parole de l'établissement a déclaré que plusieurs facteurs avaient contribué à son décès, notamment « une longue attente pour les résultats de l'analyse sanguine ».

Et dans certains cas, la sensibilité des données consultées est exceptionnellement élevée. Prenons l'exemple du système de santé publique de la ville de New York (New York City Health and Hospitals), le plus grand système de santé publique des États-Unis. divulgués En mai, des pirates informatiques ont dérobé des données personnelles, des dossiers médicaux et des informations biométriques, notamment des empreintes digitales, lors d'une violation de données affectant au moins 1.8 million de personnes.

« Malheureusement, nous constatons de nombreuses attaques très médiatisées qui ont un impact sur les soins aux patients, en paralysant les systèmes de réservation, les systèmes d'acheminement des ambulances, les communications internes et en retardant les résultats des tests », explique Moore.

Mauvaise gouvernance des données

L'impact d'une mauvaise gouvernance des données est aggravé par le fait que les dossiers médicaux ne peuvent pas simplement être réémis.

Parallèlement, la prolifération des systèmes d'information constitue un problème majeur, explique le Dr Williams. « Les données des patients sont dispersées entre les dossiers médicaux électroniques, les systèmes d'imagerie, les plateformes obsolètes, les objets connectés et une multitude de prestataires tiers. Lorsqu'une organisation ignore l'emplacement précis de ses données sensibles, elle ne peut les protéger et, tout aussi important, après une attaque, elle est incapable d'affirmer avec certitude quelles données ont été dérobées. Cette incertitude transforme un incident circonscrit en une notification de violation de données, en une exposition réglementaire et en une perte de confiance des patients. »

Compte tenu des risques, les experts estiment que la gouvernance des données doit désormais évoluer : d’une simple obligation de conformité, elle doit devenir le pilier de la résilience. Dray Agha, responsable des opérations de sécurité chez Huntress, suggère un changement de mentalité, passant d’une approche purement formelle à une véritable nécessité opérationnelle. « Cela implique de minimiser activement l’empreinte des données, d’appliquer des contrôles d’accès stricts et de comprendre les flux de données, afin de garantir que, même en cas de violation, les systèmes critiques restent protégés et restaurables. »

Des cadres tels que ISO 27001 aider les organisations à disposer d'une méthode structurée pour mettre en place et démontrer une gouvernance des données avant une attaque, plutôt qu'après, lorsqu'il est trop tard.

Définir ce que signifie concrètement une « bonne » gouvernance des données, ISO 27001 Cela exige une gestion rigoureuse des actifs, une évaluation continue des risques et une classification précise des informations. Selon Agha, cela garantit que les organisations appliquent des contrôles de sécurité « directement proportionnés à la valeur et à la sensibilité des données qu’elles détiennent ».

Par ailleurs, ISO 22301 Selon Hannan-Jones d'UBDS Digital, la gestion de la continuité des activités aborde directement la résilience opérationnelle.

Parallèlement à la gouvernance des données, la réglementation joue un rôle central dans la manière dont le secteur de la santé gère le risque lié aux rançongiciels. Loi américaine sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA) et la Projet de loi britannique sur la cybersécurité et la résilience et Royaume-Uni Règlement Général de Protection des Données (RGPD, ainsi que l'UE) Loi sur la résilience opérationnelle numérique (DORA) et la directive Network and Information Systems 2 (NIS2) imposent des exigences plus strictes, les responsables de la sécurité étant tenus d'améliorer la gestion des risques liés aux tiers, de maintenir la surveillance des fournisseurs et de respecter des règles strictes en matière de signalement des incidents.

Renforcer la gouvernance et la résilience des données

Il ne fait aucun doute que les rançongiciels continueront de frapper les organisations, et le secteur de la santé demeure une cible importante. Il est donc essentiel que ce secteur revoie en profondeur sa gouvernance des données, en connaissant précisément leur contenu, leur emplacement et la manière dont elles sont classées, minimisées, contrôlées en termes d'accès et récupérables.

Pour faire face aux risques modernes de ransomware dans le secteur de la santé, il est nécessaire de passer d'une « défense réactive » à une « résilience globale de l'organisation », selon Janssen-Anessi de BlueVoyant. « Cela implique d'intégrer la cybersécurité aux processus décisionnels fondamentaux du secteur et de veiller à ce que la cyber-résilience soit intégrée à tous les aspects des opérations de l'organisation, et pas seulement aux équipes informatiques ou de sécurité. »

Cela implique également de passer de modèles de sécurité cloisonnés classiques à « une approche fondamentalement différente, capable de contrer proactivement les attaques de ransomware interdomaines », explique Janssen-Anessi. « Les modèles de sécurité traditionnels sont insuffisants car ils ont été conçus pour gérer des incidents isolés et une stratégie de défense périmétrique, plutôt que des menaces persistantes et évolutives », souligne-t-elle.

Au moins une fois par an, les responsables de la sécurité et de la conformité dans le secteur de la santé devraient organiser des exercices de cybersécurité inter-agences et des simulations d'attaques (red teaming) réguliers, conseille Moore d'ESET. « Cela implique de collaborer avec d'autres services essentiels, comme les pompiers et la police, de mettre les systèmes à l'épreuve et d'identifier les failles de sécurité dans leurs processus de gouvernance des données avant que les auteurs de ransomwares ne puissent en faire autant. »

Élargissez vos connaissances

Blog: L'IA dans le secteur de la santé évolue rapidement, mais la gouvernance des données peine à suivre le rythme.

Blog: Comment les ransomwares sont devenus un problème de résilience des entreprises

Guide: Le rapport sur l’état de la sécurité de l’information 2025