Nous sommes tous conscients des récents gros titres concernant les violations majeures de données personnelles et des incidents similaires de cybersécurité, du vol de 145 millions de dossiers d'une grande agence de crédit aux rapports sur des ransomwares mettant hors service des entreprises. Mais de toutes les données qui sont à risque, une violation de nos informations de santé est probablement la plus préoccupante.

• Les données de santé sont très personnelles et peuvent contenir des informations que nous souhaitons garder confidentielles (par exemple, les dossiers de santé mentale) ou potentiellement impacter les perspectives d'emploi ou la couverture d'assurance (par exemple, maladie chronique ou antécédents familiaux de santé).

• Elles ont une longue durée de vie – une carte de crédit exposée peut être annulée, mais votre historique médical vous accompagne toute votre vie.

• Elles sont très complètes et exhaustives – les informations que les organisations de soins de santé ont sur leurs patients incluent non seulement des données médicales, mais aussi des informations de comptes financiers et d'assurance. Cela pourrait être des informations personnelles comme les numéros de sécurité sociale, les adresses ou même les noms des proches. Une telle richesse de données peut être monétisée par des cyber-adversaires de nombreuses façons.

• Dans notre monde de soins de santé numériques, la disponibilité fiable de données de santé précises pour les cliniciens est cruciale pour la prestation des soins et toute interruption dans l'accès à ces données peut retarder les soins ou compromettre le diagnostic.

La confidentialité et la sécurité des informations de santé sont strictement réglementées aux États-Unis par des lois fédérales, comme la loi sur la portabilité et la responsabilité en matière d'assurance maladie de 1996 (HIPAA), mais aussi par diverses lois étatiques et des lois protégeant les individus contre la discrimination basée sur les données génétiques.

Malheureusement, les violations de données de santé sont trop courantes. Pour 2016, le département américain de la santé et des services sociaux a rapporté un total de 450 violations de données de santé affectant plus de 27 millions de patients, les 10 plus grands incidents représentant à eux seuls la moitié des dossiers violés (13 millions). Et, ce qui est plus préoccupant, plus de la moitié de toutes les violations étaient dues à des cyberattaques externes, contrairement à l'exposition accidentelle due à une erreur humaine ou à la perte de dispositifs.

Examiner des exemples récents d'incidents de sécurité dans les soins de santé montrera un large éventail d'événements et de motivations sous-jacentes des cybercriminels. Nous avons vu des rapports d'employés dans des hôpitaux parcourant des dossiers médicaux par curiosité ou publiant des informations sur des patients sur les réseaux sociaux. Il y a également eu des cas où l'identité, les informations financières ou d'assurance d'un individu sont volées pour un gain personnel ‒ par exemple pour contracter un prêt hypothécaire ou pour recevoir des services médicaux au nom de quelqu'un d'autre (et à sa place pour l'assurance de quelqu'un d'autre).

Les incidents qui ont un impact plus large et affectent plus de patients sont le vol de dossiers médicaux et les tentatives d'extorsion auprès des organisations de soins de santé en menaçant de divulguer les données volées. De plus, les institutions de soins de santé ont été touchées par des ransomwares, certaines décidant de payer et d'autres non, choisissant plutôt d'accepter l'impact sur les services aux patients et la perte de revenus.

Pour les prestataires de soins de santé et les assureurs, il n'y a généralement aucune limitation pour les patients de divulguer des informations sur leur santé. Tout comme n'importe quel patient peut (et devrait généralement) partager ses préoccupations concernant sa santé avec sa famille et ses amis, n'importe quel patient peut maintenant facilement partager ce qu'il veut avec le monde via les médias sociaux ou rejoindre un groupe de soutien en ligne. Bien que ce soient généralement des étapes positives qui aident un individu ayant des préoccupations de santé à trouver du soutien et à recevoir des conseils, nous devons maintenant être beaucoup plus conscients de ce que nous partageons et où cela finit.

Quelle est la taille de votre réseau social, et qui peut voir ce que vous partagez ? Qui héberge le groupe de soutien auquel vous venez de vous joindre et quel est leur engagement envers la confidentialité des données ? De nombreux sites, notamment s'ils sont hébergés par des organisations réputées, sont sûrs. Mais comment savez-vous si, et le cas échéant, vos informations peuvent être partagées et analysées à des fins de marketing ou autres ?

En aucun cas ces conseils ne doivent être interprétés contre le partage ou la recherche de soutien en ligne. Plus nous en savons, mieux nous sommes préparés, et de meilleures décisions en matière de santé serons-nous en mesure de prendre. La richesse des informations que nous pouvons obtenir d'Internet a conduit à une population de patients mieux informée, beaucoup plus apte à être impliquée et à faire partie du processus de guérison.

Toutefois, des préoccupations concernant la capacité de votre prestataire de soins de santé à protéger vos données ne devraient pas amener les patients à retenir des informations. Même à cette ère numérique, la relation de confiance entre le patient et le médecin reste l'aspect le plus important de notre système de soins de santé – et cette confiance va dans les deux sens : les patients doivent faire confiance à leurs prestataires avec des informations souvent intimes et personnelles, et les prestataires doivent savoir que leurs patients ne retiennent rien pour des raisons de confidentialité.

Nous sommes entrés dans la nouvelle ère de la médecine numérique et de la disponibilité presque universelle de l'information, conduisant à de meilleurs diagnostics et à des traitements plus réussis, réduisant finalement la souffrance et prolongeant les vies. Cependant, cette grande opportunité vient aussi avec de nouveaux risques et nous tous – prestataires de soins de santé et patients – devons être conscients de comment nous utilisons cette nouvelle technologie et partageons les informations.

Les prochains blogs de cette série discuteront de ces questions plus en détail, se concentrant spécifiquement sur les réseaux sociaux, les applications de santé et les dispositifs personnels de santé et de forme physique, et examineront comment nous, en tant que patients et consommateurs, pouvons faire un meilleur travail pour protéger nous-mêmes et nos informations.

À propos des auteurs

Les auteurs sont membres de la HIMSS (Healthcare Information and Management Systems Society) Privacy and Security Committee :

Bayardo Alvarez, CPHIMS, est le directeur des technologies de l'information pour le Boston PainCare Center, une pratique interdisciplinaire axée sur le traitement et la recherche de la douleur chronique. Ses responsabilités incluent la supervision du programme de cybersécurité et de conformité de Boston PainCare. Bayardo a œuvré dans l'industrie des soins de santé pendant plus d'une décennie et a plus de 30 ans d'expérience dans les technologies de l'information. Il est l'actuel président du comité de confidentialité et de sécurité de la HIMSS.

Carrie McGlaughlin, CISM, travaille depuis deux décennies dans les technologies de l'information pour les soins de santé et est la directrice des technologies de l'information et officier de sécurité HIPAA au Buckeye Ranch, une organisation de santé comportementale et mentale pour les jeunes et les familles.

Axel Wirth, CPHIMS, CISSP, HCISPP, est un architecte de solutions distingué pour l'industrie des soins de santé américaines chez Symantec Corporation. Il fournit une vision stratégique et un leadership technique au sein du vertical des soins de santé de Symantec, servant de manière consultative auprès des prestataires de soins de santé, des partenaires industriels et des professionnels de la technologie de la santé. Fort de plus de 30 ans d'expérience internationale dans l'industrie, M. Wirth soutient les clients de Symantec dans le domaine des soins de santé pour résoudre leurs défis critiques en matière de sécurité, de confidentialité, de conformité et de gestion IT.