Cryptographie post-quantique dans le secteur de la santé : une étude de Forescout révèle des lacunes critiques en matière de préparation, mettant en danger les données des patients.

Forescout Technologies, Inc., entreprise de cybersécurité spécialisée dans l’analyse des actifs, la gestion de l’exposition aux risques et la sécurité des réseaux, a annoncé aujourd’hui les résultats d’une nouvelle étude menée par Forescout Research – Vedere Labs. Cette étude examine les défis auxquels sont confrontés les organismes de santé dans le cadre de leur préparation à la transition vers la cryptographie post-quantique (PQC). Intitulé «Post-Quantum Cryptography (PQC) in Healthcare: From Data Risk to Migration Readiness » ou « Cryptographie post-quantique (PQC) dans le secteur de la santé : des risques liés aux données à la préparation à la migration », le rapport analyse plus de 2,5 millions d’appareils répartis dans plus de 50 établissements de santé aux Etats-Unis et met en évidence d’importantes lacunes en matière de préparation, susceptibles de rendre les données de santé sensibles vulnérables à de futures attaques quantiques.

La cryptographie post-quantique (PQC) désigne une nouvelle génération d’algorithmes cryptographiques conçus pour protéger les données contre les attaques des futurs ordinateurs quantiques. De nouvelles recherches révèlent que les dispositifs IoMT et OT utilisés dans les établissements de santé accusent un retard important par rapport aux systèmes informatiques traditionnels, ce qui met en péril les données des patients.

Principales conclusions :

• Seulement 6 % des appareils IoMT et 16 % des appareils OT utilisent actuellement des implémentations SSH prenant en charge PQC, contre 50 % des appareils IT.
• Plus de 5 500 systèmes de santé exposés à Internet ont été identifiés, y compris des dossiers médicaux électroniques (DME) et des plateformes de systèmes d’archivage et de communication d’images (PACS) contenant des données de santé sensibles.
• Parmi les systèmes de santé exposés, seuls 31 % prennent en charge TLS 1.3, la seule version de TLS capable de prendre en charge le PQC standardisé.
• En fonction de la présence sur le réseau, de l’exposition et de la sensibilité des données concernées, les cinq types de données de santé actuellement les plus à risque sont les dossiers médicaux électroniques, l’imagerie médicale, les résultats de laboratoire, les données sur les médicaments et les ordonnances, et les informations financières/de paiement.

« Les organismes de santé sont confrontés à un défi unique pour se préparer à l’ère de l’informatique quantique », a déclaré Daniel Trivellato, vice-président des solutions OT, santé et cybersécurité chez Forescout.

« Contrairement à de nombreux autres types de données, les informations des patients conservent leur valeur et leur sensibilité pendant des décennies, ce qui les rend particulièrement vulnérables aux attaques de type « collecte immédiate, déchiffrement ultérieur ». Dans ces attaques, les adversaires collectent aujourd’hui des données chiffrées dans le but de les déchiffrer une fois que des ordinateurs quantiques suffisamment puissants seront disponibles.

Les antécédents médicaux, les images diagnostiques, les résultats de laboratoire, les dossiers de prescription et autres données de santé ne peuvent pas simplement être réinitialisés ou remplacés s’ils sont exposés. Les organisations doivent comprendre où se trouvent ces données, comment elles circulent dans leurs environnements et quels systèmes seront les plus difficiles à faire migrer vers les normes PQC. »

Des dispositifs spécialisés créent un défi de migration quantique

Le rapport constate que les environnements de soins de santé restent fortement dépendants des technologies opérationnelles (TO), de l’Internet des objets médicaux (IoMT) et des dispositifs IoT, dont le cycle de vie est souvent long, les possibilités de mise à niveau limitées et l’adoption des normes cryptographiques modernes plus lente. Nombre de ces systèmes sont directement impliqués dans les soins aux patients, notamment les pompes à perfusion, les moniteurs de surveillance, les systèmes d’imagerie et les équipements de laboratoire.

Les ordinateurs quantiques capables de casser les systèmes de cryptographie actuels ne sont pas encore disponibles, mais leur arrivée est imminente et les organismes de santé subissent une pression croissante de la part des gouvernements, des organismes de normalisation et des autorités de réglementation pour entamer dès maintenant leur planification de migration. Le problème est que de nombreux dispositifs ne disposent pas encore d’alternatives résistantes à l’informatique quantique, et que d’autres sont souvent coûteux ou difficiles à remplacer. C’est pourquoi les mesures de contrôle compensatoires, telles que la segmentation du réseau, les restrictions d’accès et une surveillance renforcée, constituent un élément essentiel de la planification de la migration vers la protection contre les attaques quantiques.

« La migration vers un système de contrôle qualité des données (PQC) ne se résume pas à une simple mise à niveau du chiffrement », explique Daniel dos Santos, vice-président de la recherche chez Forescout. « Les établissements de santé doivent identifier les équipements qui stockent, traitent et transportent leurs données les plus sensibles, déterminer quels systèmes peuvent être mis à niveau de manière réaliste et où des mesures de contrôle compensatoires seront nécessaires. Nos recherches montrent que les appareils les moins préparés à la transition sont souvent ceux dont les établissements de santé dépendent le plus pour la prise en charge des patients. Une visibilité complète sur ces équipements et les données qu’ils traitent est essentielle à l’élaboration d’une stratégie de migration efficace. »

Recommandations à l’intention des organismes de soins de santé

Pour préparer la transition vers le PQC, Forescout recommande aux organismes de santé :

• Inventorier et classer tous les actifs informatiques, OT, IoT et IoMT connectés, y compris leur communication avec d’autres actifs.
• Prioriser les systèmes exposés à Internet, les connexions avec les partenaires, les portails patients et les API externes.
• Imposer le protocole TLS 1.3 chaque fois que cela est possible.
• Évaluer quels actifs prennent en charge le PQC aujourd’hui et identifier les systèmes qui nécessitent des mises à niveau, un remplacement ou des contrôles compensatoires.
• Intégrez la préparation au contrôle qualité préalable dans les processus de gouvernance, d’approvisionnement et de gestion des risques.
• Segmenter et isoler les systèmes hérités qui ne peuvent pas être mis à niveau.
• Sollicitez les fournisseurs pour comprendre leurs feuilles de route en matière de contrôle qualité des processus et leurs calendriers de migration.

Les résultats de l’étude de Vedere Labs soulignent la nécessité pour les organismes de santé de se préparer dès maintenant à une transition qui s’étalera probablement sur plusieurs années. À mesure que les capacités de l’informatique quantique progressent, les organisations qui comprennent leurs actifs, hiérarchisent leurs données les plus sensibles et élaborent des plans de migration par étapes seront mieux à même de protéger les informations des patients et de garantir leur conformité réglementaire.

https://www.forescout.com/press-releases/post-quantum-cryptography-in-healthcare/

https://www.forescout.com/research-labs/pqc-in-healthcare-from-data-risk-to-migration-readiness/