Un sénateur exige que le HHS renforce la réglementation sur la cybersécurité dans le secteur de la santé
Un législateur affirme que de nouvelles réglementations sont nécessaires pour corriger les postures cybernétiques « laxistes » des principales entités
Le secteur de la santé a besoin de nouvelles réglementations fédérales strictes pour renforcer la cybersécurité, a déclaré le sénateur Ron Wyden, démocrate de l'Oregon, dans une lettre adressée cette semaine au HHS. (Image : Getty Images)
Marianne Kolbasuk McGee ( HealthInfoSec ) 6 juin 2024
Le président de la commission des finances du Sénat exhorte le ministère américain de la Santé et des Services sociaux à durcir les exigences en matière de cybersécurité dans le secteur de la santé. Selon lui, « l'incapacité du HHS à réglementer les pratiques de cybersécurité des principaux prestataires de soins de santé » a contribué à la « grande épidémie » d'attaques telles que le piratage par ransomware très perturbateur de Change Healthcare.
Dans une lettre adressée mercredi au secrétaire à la Santé et aux Services sociaux, Xavier Becerra, le sénateur Ron Wyden (démocrate de l'Oregon) a demandé de prendre des « mesures immédiates et contraignantes » pour obliger les grandes entreprises du secteur de la santé à améliorer leurs pratiques en matière de cybersécurité.
Contributions de Santé-ISAC à l'article :
Qu'est-ce qui est faisable ?
Certains experts du secteur conviennent que le secteur de la santé doit renforcer sa cybersécurité, mais ils affirment que les nouvelles réglementations ne sont pas nécessairement la solution.
« En général, imposer des normes minimales de cybersécurité par voie réglementaire ne fonctionnera pas », a déclaré Errol Weiss , responsable de la sécurité au Health Information Sharing and Analysis Center ( Health-ISAC ).
« La technologie évolue trop rapidement pour que la réglementation puisse suivre ce qui serait considéré comme des normes minimales de sécurité appropriées. Pire encore, le paysage des menaces évolue plus vite que la technologie et il serait impossible de suivre le rythme de la réglementation. »
Même les gouvernements ne sont pas à l'abri de ce type d'attaques, comme l'ont montré les récents incidents au Département d'État et à la CISA, a déclaré Denise Anderson , présidente de Health-ISAC . « La cybersécurité est un sujet très complexe et il est facile d'affirmer que la mise en place de certains protocoles suffira à stopper une attaque. Si certaines pratiques de base sont certainement utiles, elles ne constituent pas une solution miracle », a-t-elle précisé.
La réalité est que les menaces continueront d’évoluer et que les défenses informatiques ne seront plus efficaces à un moment donné, a-t-elle déclaré. « Les acteurs malveillants ont trouvé des moyens de contourner l’authentification multifactorielle. Là où il y a de l’argent à gagner, les acteurs malveillants trouveront un moyen. »
Selon Weiss, il est impossible de reconstruire une infrastructure informatique à partir de zéro dans les 48 à 72 heures suivant une attaque. « Les hôpitaux et les systèmes de santé modernes d'aujourd'hui sont vastes, complexes et dépendent de nombreux partenaires et fournisseurs », a-t-il déclaré.
« Il a fallu des semaines, voire plus, à Change Healthcare pour reconstruire les systèmes et restaurer les services après l’incident de février. Une reconstruction en 48 à 72 heures serait extrêmement coûteuse, si elle était même possible. Et qui va payer pour cela ? Les hôpitaux et les prestataires de soins ont déjà du mal à survivre financièrement. »
L’idée de Wyden selon laquelle une assistance accrue en matière de cybersécurité aiderait le secteur est plus proche de la réalité pour de nombreuses entités. « Nous avons besoin de davantage d’investissements dans la cybersécurité – pas seulement dans la technologie pour protéger correctement les hôpitaux, mais aussi dans les personnes expérimentées pour la gérer », a déclaré Weiss.
« Pour les grandes organisations qui disposent de davantage de ressources à consacrer à la cybersécurité, le problème consiste davantage à garantir la conformité et à effectuer des tests continus pour sécuriser les systèmes contre une attaque », a-t-il déclaré.
Mettre davantage l’accent sur le respect des nouvelles réglementations n’est pas la solution, car cela nuirait aux efforts réels en matière de cybersécurité, a déclaré Anderson. « Les organisations devraient plutôt être incitées à mettre en place des mesures d’incitation, notamment des allègements fiscaux, pour les aider à assumer le coût de la mise en place de ces mesures. »
Lisez l'article complet dans Healthcare Infosecurity ici :
- Ressources et actualités connexes
- Directeur des opérations européennes de Health-ISAC® élu président du Conseil européen des ISAC
- CTEM 101 : Passer des tableurs à la réduction continue des risques
- Newsletter mensuelle – Octobre 2026
- OpenAI s'engage à verser 1 milliard de dollars pour fournir des ressources et une formation aux cyberdéfenseurs de première ligne.
- Santé-Piratage du système de santé par l'ISAC 9/29/2026
- La cybersécurité dans le secteur de la santé entre dans l'ère de la défense collective
- Le problème des cyberattaques dans le secteur de la santé s'aggrave.
- La cybersécurité à l'ère de l'IA
- Résultats de l'enquête annuelle de satisfaction des membres de Health-ISAC® 2026
- Perturber EvilTokens : le chatbot IA conçu pour la cybercriminalité