Un incident de cybersécurité a contraint à détourner des ambulances devant le seul centre de traumatologie de niveau I du Nouveau-Mexique.
Le système de santé de l’Université du Nouveau-Mexique a limité l’admission de nouveaux patients et suspendu les interventions chirurgicales et les rendez-vous ambulatoires le 26 octobre. En fin de soirée, les responsables ont indiqué que les deux hôpitaux étaient ouverts et que les cliniques reprendraient les soins programmés le 27 octobre, tandis que les équipes de sécurité poursuivaient leur intervention.
Pour les responsables de la sécurité des systèmes de santé, cette perturbation montre à quelle vitesse le confinement d’un réseau peut devenir une décision concernant les soins aux patients.
Ce qu’UNM a confirmé
Dans sa mise à jour officielle, UNM a indiqué avoir limité l’admission de nouveaux patients de 12 h 30 à 14 h 30 lundi, avant de commencer à rétablir progressivement les opérations et les systèmes. D’autres systèmes de santé d’Albuquerque et de Santa Fe ont contribué à accueillir les patients.
UNM a informé les forces de l’ordre de l’État et fédérales, fait appel à des partenaires externes et activé un centre des opérations d’urgence. Les cours de Health Sciences sont restés annulés mardi, et il a été demandé aux employés non essentiels de rester chez eux.
La mise à jour n’a identifié aucun attaquant et n’a confirmé ni rançongiciel ni vol de données de patients.
La reprise des soins ne signifie pas un rétablissement complet
Steven Swift, directeur général de Suzu Labs, a déclaré que la restriction de deux heures concernant l’admission de nouveaux patients pouvait correspondre à une mesure de précaution pendant le confinement. UNM n’a pas confirmé cette explication.
« Souvent, surtout au début, lorsque le périmètre d’un incident reste flou, davantage de systèmes que strictement nécessaire peuvent être placés en confinement », a déclaré Swift dans des commentaires fournis.
Le confinement peut consister à déconnecter des systèmes afin d’empêcher tout nouvel accès non autorisé. Comme l’explique ce guide de réponse aux incidents, le confinement et le rétablissement sont deux étapes distinctes. Restaurer un service ne signifie pas que la menace sous-jacente a été supprimée.
Dans les hôpitaux, ces décisions nécessitent l’avis des équipes cliniques, car l’isolement de systèmes peut également interrompre les informations et les flux de travail nécessaires aux soins.
Tester l’impact avant un incident
Seemant Sehgal, fondateur et PDG de BreachLock, a déclaré que des tests proactifs devraient aider les hôpitaux à comprendre quels systèmes pourraient tomber en panne simultanément et comment ces défaillances influeraient sur les soins et les décisions de déroutement des ambulances.
« Disposer de ces informations en amont permet à un hôpital de protéger ses systèmes et ses patients en même temps, plutôt que de devoir arbitrer entre les deux en pleine attaque », a-t-il déclaré.
Soigneusement cadrés, les tests d’intrusion peuvent examiner les vecteurs d’attaque. Des exercices cliniques en conditions dégradées peuvent ensuite tester la manière dont le personnel travaille lorsque les systèmes deviennent indisponibles. Les éléments accessibles au public ne permettent pas d’établir si UNM ne disposait pas de l’une ou l’autre de ces formes de préparation.
Intégrer les soins aux patients au plan d’intervention
Les équipes chargées de la sécurité des systèmes de santé devraient cartographier les services essentiels et les systèmes dont ils dépendent, documenter des procédures de secours sûres et déterminer qui peut limiter les admissions ou demander le déroutement des ambulances. Les exercices devraient associer les responsables cliniques, les services médicaux d’urgence et les hôpitaux voisins afin que les capacités de remplacement soient prises en compte avant une crise.
Le rétablissement nécessite des critères tout aussi clairs. Les équipes devraient valider les accès, l’intégrité des données et les flux de travail cliniques avant de déclarer un service prêt. Ces étapes s’appuient sur les enseignements de cybersécurité dans le secteur de la santé tirés de perturbations antérieures: prévoir les défaillances et relier les décisions de sécurité aux besoins opérationnels.
De nouvelles informations pourraient préciser quels systèmes d’UNM ont été touchés et si des données ont été exposées. D’autres hôpitaux peuvent agir dès maintenant en répétant la manière dont le confinement modifie la prestation des soins — et en établissant l’autorité et les éléments probants nécessaires pour prendre ces décisions en toute sécurité.