Infrastructure technologique : la continuité de vos services est-elle en danger?

Des événements vécus par certains établissements démontrent l’importance de protéger ces infrastructures et d’avoir un plan d’action rapide face aux menaces informatiques. 

 

Parmi les nombreuses responsabilités de la direction informatique des hôpitaux se trouve celle d’assurer la sécurité de l’infrastructure informatique pour garantir, entre autres, la continuité des services, dont ceux prodigués aux patients. La sécurité des infrastructures et l’importance de la continuité des affaires reposent d’abord sur la culture de l’organisation. Selon un des chefs de la direction informatique questionnés dans l’article scientifique Cybersecurity in Hospitals: A Systematic, Organizational Perspective : « Notre culture n’était pas comme ça il y a sept ans… Il a fallu que des mauvaises choses arrivent à certains moments. Rien n’affecte le changement comme quelqu’un qui fait une erreur. » Au Québec, voici ce qu’avait à dire Steve Waterhouse en entrevue avec La Presse : « En informatique, tant qu’il n’y a pas d’accident, on se dit qu’on verra si ça arrive. C’est là que ça fait le plus mal et encore une fois, c’est la population qui écope ».

 

Il serait dommage d’attendre qu’un désastre catalyse le changement nécessaire alors qu’il pourrait déjà être mis en place. La perte de données dans un établissement de santé serait particulièrement catastrophique, car il pourrait y avoir des erreurs médicales ayant des conséquences cliniques graves et des décès directement liés à une panne des systèmes informatiques. 

Le plan de continuité des activités vise à garantir la continuité des services informatiques essentiels lors d’un sinistre. Ce plan doit permettre à l’établissement de redémarrer ses activités le plus rapidement possible (RTO) avec le minimum de perte de données (RPO) en suivant des procédures établies à l’avance.

Selon Stéphane Dumont, directeur des solutions techniques chez Logibec, les bonnes pratiques dictent trois phases pour maximiser la disponibilité de l’infrastructure technologique en cas de désastre. D’abord, il faut sécuriser les données avec la copie de sauvegarde, une des composantes primordiales d’un plan de continuité. Ensuite, il est nécessaire de garder à jour la version des solutions utilisées et d’effectuer la migration ou la mise à niveau, le temps venu. Finalement, l’équipe responsable doit monter et implanter un plan et un processus de relève des systèmes informatiques.

Les facteurs critiques de succès sont la planification, la documentation sur l’impact de chaque processus et l’activation rapide du plan. L’équipe de direction informatique doit définir et établir son objectif de temps de reprise (RTO) et de recouvrement (RPO). Ce plan doit être régulièrement testé afin de valider les procédures, de s’assurer que plan est complet et réalisable et de garantir sa réussite. Ainsi, l’équipe est en mesure de détecter les incidents le plus tôt possible afin de minimiser les impacts, réduire les efforts de recouvrement et maintenir les niveaux de service.

 

La coopération des différents secteurs, des détenteurs de l’actif et des utilisateurs est primordiale pour le succès du plan de relève. L’analyse d’impact doit être faite par une équipe multidisciplinaire qui offrira ses analyses et son engagement. Tous les acteurs seront requis en cas de désastre.

 

Dans le contexte de la COVID-19

Le Centre pour la cybersécurité alerte les établissements que « la pandémie de la COVID-19 constitue un risque important pour la cybersécurité des organismes de santé canadiens qui prennent part aux mesures nationales d’intervention visant à contrer la pandémie.»

 

Logibec conseille d’ailleurs de mettre en place une relève sur des systèmes qui, auparavant, apparaissaient moins critiques, notamment Med-Écho et Clinibase SICHELD. Le contexte de la pandémie a mis en lumière les besoins constants d’information sur ces bases de données pour alimenter les statistiques et le suivi des épisodes de soins des patients.

 

Nos spécialistes de la sécurité de l’information chez Logibec affirment qu’en temps de pandémie, « il est essentiel de ne pas oublier les bons réflexes, de tester nos plans de relève, nos sauvegardes et nos recouvrements de données. Je recommande aussi la mise en place d’exercices sur table (Security Table-Top Exercise). Il permet de mieux comprendre les rôles et les responsabilités lors d’un incident, de renforcer les synergies interéquipes, de valider les stratégies et d’assurer que le plan de continuité est bien à jour. N’hésitez pas non plus à simuler des pannes de systèmes critiques afin de valider votre capacité à vous relever et à déceler tout enjeu, tel que des copies de sauvegarde non fonctionnelles. »

 

Logibec peut vous aider à mettre en place une solution de sauvetage et à élaborer votre plan d'action