Hôpital UZA : Phished au centre de la stratégie de sécurité

Lorsque les hôpitaux sont victimes de pirates informatiques, des vies sont en jeu. La technologie facilite la médecine moderne, mais en même temps, elle oblige ces institutions à recourir de plus en plus à de nouvelles techniques pour sécuriser leurs réseaux. "Chaque hôpital fait tout son possible pour sensibiliser ses employés aux dangers numériques d'aujourd'hui, explique Filip Goyens, DPO à UZA, et nous le faisons en sollicitant les services de Phished."

Les organisations touchées par un ransomware ou un autre logiciel malveillant ont souvent deux options : payer une rançon et reprendre le contrôle de leur réseau, ou être patient et attendre que le service informatique libère le réseau grâce à des sauvegardes. Ces options ne sont pas rassurantes pour les organisations de soins de santé : il s'agit d'organisations où l'argent est généralement dépensé pour les personnes dans le besoin et une attente trop longue peut avoir de graves conséquences. Le terme "infrastructure critique" prend une dimension supplémentaire dans de tels environnements.

"Nous avons, en tout cas au cours des deux dernières années, travaillé d'arrache-pied pour faire de la cyber-sensibilisation une priorité", déclare M. Goyens. "Nous consultons régulièrement divers DPO d'hôpitaux et partageons les meilleures pratiques - la santé en ligne ne nous est certainement pas inconnue. Les récents piratages de grands hôpitaux (par exemple Tournai et Mol) montrent que c'est vraiment nécessaire. Bien sûr, chaque hôpital met l'accent sur ses propres priorités et de notre côté, nous le faisons en misant sur la plateforme de Phished."

Au cours de ces deux années, l'UZA a connu un changement majeur dans sa politique de cyber-sensibilisation. Alors qu'elle utilisait auparavant des outils d'information traditionnels tels que les brochures et le magazine trimestriel du personnel, elle s'est désormais résolument tournée vers le numérique. Goyens : "Depuis quelques temps, nous utilisons les écrans de veille des ordinateurs de notre réseau pour diffuser rapidement des informations utiles, ainsi que pour prévenir le phishing et les ransomwares, mais nous avons remarqué que beaucoup de personnes étaient encore sensibles à ces pratiques."

"Non pas que nous ayons déjà connu des incidents majeurs", explique M. Goyens, "mais nous avons eu, par le passé, de petits incidents que nous avons heureusement pu régler rapidement. En tant qu'institution de soins de santé, cependant, nous ne voulions pas attendre qu'un piratage majeur nous tombe dessus. C'est pourquoi nous avons déjà réalisé un audit externe il y a deux ans : le résultat nous a incités à rechercher une fois de plus une solution structurelle."

Au moment de la mesure de référence effectuée par Phished, environ 30 % de tous les destinataires sont tombés dans le piège du phishing - un résultat moyen. En quelques mois seulement, ce chiffre était déjà réduit à 8 %. Goyens : "Nous remarquons donc clairement le retour sur investissement. Grâce aux rapports détaillés, nous avons vu les chiffres baisser semaines après semaines, ce qui nous donne bien sûr une grande satisfaction et une grande tranquillité d'esprit. Le récent incident de Facebook a confirmé une fois de plus qu'il faut être très prudent avec les systèmes, mais aussi avec les données personnelles. Un bon résultat sur les simulations de phishing renforce le sentiment que nous prenons nos responsabilités".

"En outre, nous pouvons désormais réagir encore plus rapidement si nous constatons qu'un employé, voire un département entier, a besoin d'un soutien supplémentaire. En outre, nous nous appuyons sur l'algorithme pour former nos collègues ; les chiffres prouvent que cela fonctionne."

L'UZA travaille actuellement à la mise en place d'un centre d'opérations de sécurité centralisé afin de faciliter la collaboration entre les différents services informatiques qui travaillent à la prévention des cyber-attaques. Cela leur permettra de prendre des mesures plus efficaces et plus concrètes en cas de problèmes potentiels, ainsi que de rationaliser les efforts de prévention.

Phished joue un rôle important dans la réalisation de ces plans grâce à la facilité des simulations de phishing automatisées, aux rapports approfondis et à la mise à jour automatique du personnel - après tout, l'évolutivité n'est pas un facteur négligeable dans des organisations aussi importantes.