{"id":8296,"date":"2021-06-14T17:29:49","date_gmt":"2021-06-14T17:29:49","guid":{"rendered":"https:\/\/www.msdconnect.be\/fr\/?p=8296"},"modified":"2025-01-08T11:33:49","modified_gmt":"2025-01-08T11:33:49","slug":"comment-mener-la-prevention-et-leducation-contre-la-cybercriminalite-dans-les-hopitaux","status":"publish","type":"post","link":"https:\/\/www.msdconnect.be\/fr\/2021\/06\/14\/comment-mener-la-prevention-et-leducation-contre-la-cybercriminalite-dans-les-hopitaux\/","title":{"rendered":"Comment mener la pr\u00e9vention et l\u2019\u00e9ducation contre la cybercriminalit\u00e9 dans les h\u00f4pitaux?"},"content":{"rendered":"\n
\"Person<\/figure>\n\n\n\n

La formation du personnel est une priorit\u00e9 pour les diff\u00e9rents acteurs afin de r\u00e9duire le piratage.<\/strong><\/p>\n\n\n\n

Pour le Dr Beno\u00eet Debande, Directeur G\u00e9n\u00e9ral Administratif et Financier du CHIREC (Centre Hospitalier Interr\u00e9gional Edith Cavell), \u00able plus gros risque est ce qui se passe entre le clavier et la chaise<\/em>\u00bb. L\u2019une des principales portes d\u2019entr\u00e9e reste l\u2019email malveillant qui installe des logiciels espions. \u00c9duquer le personnel, c\u2019est compliqu\u00e9. \u00abOn a des cat\u00e9gories de personnes tr\u00e8s diff\u00e9rentes (personnel administratif, m\u00e9dical,…). Il faut vraiment des tr\u00e9sors d\u2019ing\u00e9niosit\u00e9 pour les conscientiser. On va lancer des plans d\u2019\u00e9ducation <\/em>encore <\/em>plus cibl\u00e9s, m\u00eame si on le fait d\u00e9j\u00e0 aujourd\u2019hui \u00e0 partir de l\u2019intranet… on va aussi faire des faux phishing<\/em>.\u00bb<\/p>\n\n\n\n

Jeux de r\u00f4le<\/strong><\/p>\n\n\n\n

\u00c0 Vivalia, Yves Henri Serckx rappelle qu\u2019en interne, des campagnes r\u00e9guli\u00e8res d\u2019information et de sensibilisation sont men\u00e9es. \u00abAvant le d\u00e9but de la seconde vague, on a refait une campagne \u00e0 l\u2019attention du personnel :il faut que le personnel informatique ait une bonne relation avec l\u2019utilisateur (personnel soignant, administratif…). Je sais qu\u2019il existe aussi des techniques d\u2019autoformation, comme des jeux de r\u00f4le… Ils posent des questions du type <\/em>\u201c<\/em>Comment<\/em> estimez-vous votre comportement par rapport \u00e0 la s\u00e9curit\u00e9?<\/em>\u201d<\/em> et provoquent des interactions qui am\u00e8nent des \u00e9changes fructueux. Ce n\u2019est pas le choix que nous avons fait, mais cela existe dans certains h\u00f4pitaux. La s\u00e9curit\u00e9 est l\u2019affaire de tous, et tout le personnel doit le comprendre.<\/em>\u00bb<\/p>\n\n\n\n

Des fausses attaques<\/strong><\/p>\n\n\n\n

\u00c0 la Citadelle, la r\u00e9flexion va dans le m\u00eame sens, selon Jean-Michel Bertho, Directeur du p\u00f4le \u00abSyst\u00e8me d\u2019Information\u00bb du CHR (Centre Hospitalier R\u00e9gional): \u00abOn organise r\u00e9guli\u00e8rement des sc\u00e9narios catastrophes avec des soci\u00e9t\u00e9s externes qui tentent de nous hacker. On fait aussi des tests r\u00e9guliers de simulation de phishing avec de faux emails frauduleux pour voir le niveau de maturit\u00e9 de nos utilisateurs.<\/em>\u00bb Il voit que le personnel est sensible \u00e0 la question: \u00abLes m\u00e9decins sont souvent demandeurs de communications s\u00e9curis\u00e9es pour la transmission de donn\u00e9es. Ils nous demandent des conseils et des outils.<\/em>\u00bb<\/p>\n\n\n\n

Changer de mot de passe<\/strong><\/p>\n\n\n\n

Il n\u2019y a pas que les donn\u00e9es m\u00e9dicales qui ont de la valeur pour les hackers. Chaque membre du personnel peut \u00eatre lui aussi une victime int\u00e9ressante pour eux. Comment savoir si l\u2019on s\u2019est fait avoir? C’est \u00e0 cette question que, par exemple, le site \u00abHave I Been Pwned ?<\/a>\u00bb, r\u00e9pond si vous introduisez une adresse email et un mot de passe dans son moteur de recherche.<\/p>\n\n\n\n

Jean-Michel Bertho fait le point sur ces types de sites: le site haveibeenpwned existe toujours, tout comme https:\/\/ghostproject.fr<\/a>, qui se concentre sur les mots de passe. Il s\u2019agit toutefois g\u00e9n\u00e9ralement de sites qui se contentent de comparer les informations fournies par le visiteur avec des listes de mot de passe qui ont \u00ableak\u00e9\u00bb sur Internet (data leak<\/em>, g\u00e9n\u00e9ralement de gros sites ou forums s\u2019\u00e9tant fait hacker). M\u00eame si cela arrive toujours tr\u00e8s r\u00e9guli\u00e8rement (vol de bases de donn\u00e9es utilisateurs, cartes de cr\u00e9dit, etc.), le risque n\u2019est r\u00e9ellement haut que pour les personnes utilisant toujours le m\u00eame mot de passe pour tous leurs comptes (ce qui va \u00e0 l\u2019encontre des bonnes pratiques de cybers\u00e9curit\u00e9!).<\/p>\n\n\n\n

Il se veut toutefois prudent: \u00abMaintenant que les utilisateurs sont de plus en plus conscients des bonnes pratiques en termes de cybers\u00e9curit\u00e9 (ce n\u2019est toutefois pas pour cela qu\u2019ils les appliquent \u00e0 100%), il ne suffit pas de ne pas figurer sur un tel site pour \u00eatre \u00e0 l\u2019abri. Les autres risques me semblent davantage \u00eatre les attaques de type <\/em>social engineering ou phishing, qui ne consistent pas \u00e0 exfiltrer une grosse base de donn\u00e9es d\u2019utilisateurs\/mots de passes, mais plut\u00f4t \u00e0 viser sp\u00e9cifiquement une personne afin de l\u2019utiliser pour entrer dans un syst\u00e8me d\u2019information. En tant qu\u2019h\u00f4pital, c\u2019est l\u2019une des menaces tr\u00e8s r\u00e9elles, raison pour laquelle nous devons sensibiliser nos utilisateurs \u00e0 ces pratiques.<\/em>\u00bb<\/p>\n\n\n\n

Il ajoute une pr\u00e9cision: \u00ab\u00c0 noter \u00e9galement que des navigateurs tels que Google Chrome offrent aussi une fonctionnalit\u00e9 native de v\u00e9rification des mots de passe similaire \u00e0 haveibeenpwned. D\u2019une fa\u00e7on g\u00e9n\u00e9rale, l\u2019utilisation d\u2019un outil de type <\/em>password manager (Dashlane, LastPass,\u2026) est plus que conseill\u00e9e pour garder ses informations de connexion en s\u00e9curit\u00e9.<\/em>\u00bb<\/p>\n\n\n\n

Ceci est une communication des laboratoires MSD. Ce num\u00e9ro a \u00e9t\u00e9 r\u00e9alis\u00e9 gr\u00e2ce au support de MSD. Son contenu refl\u00e8te l\u2019opinion des auteurs mais pas n\u00e9cessairement celle de MSD.<\/strong><\/mark><\/p>\n\n\n\n

\n\t
\n\t\t\n\n