Le Threat Labs de Netskope annonce la publication de son nouveau rapport sur les menaces dans le secteur de la santé. Selon les conclusions de cette enquête, les professionnels de santé tentent régulièrement de téléverser des données sensibles vers des emplacements non approuvés sur le Web ou dans le cloud.
Tribune – Ainsi, ChatGPT et Google Gemini, les deux applications d’IA générative les plus couramment utilisées par ce secteur d’activité, sont souvent impliquées dans ce type de compromissions des politiques de gestion des données dans un contexte marqué par la généralisation de leur utilisation au travail.
Les principales conclusions de cette étude :
- 81 % de l’ensemble des compromissions de politiques de gestion des données ayant touché des organisations de santé au cours des douze derniers mois concernaient des données réglementées, c’est-à-dire des données protégées par des règlementations locales, nationales ou internationales, y compris des informations médicales et cliniques sensibles. Les mots de passe et les clés de sécurité, les codes source et la propriété intellectuelle sont également concernés (19 % au total). Par ailleurs, ces brèches sont dans une large mesure le fait d’individus ayant téléchargé des données confidentielles sur des comptes personnels de type Microsoft OneDrive ou Google Drive.
- L’utilisation de l’IA générative prolifère dans ce secteur : les applications d’IA générative sont utilisées dans 88 % des organisations de santé. Une grande partie des compromissions des politiques de gestion des données se produit à présent dans le cadre de son utilisation par le personnel de santé, 44 % d’entre elles impliquant des données réglementées, 29 % du code source, 25 % de la propriété intellectuelle et 2 % des mots de passe et des clés de sécurité. Des risques supplémentaires de fuite de données sont potentiellement liés à l’utilisation d’applications qui exploitent les données des utilisateurs à des fins de formation ou qui intègrent des fonctionnalités d’IA générative (respectivement 96 % et 98 %).
- Plus de deux tiers des utilisateurs d’applications d’IA générative du secteur de la santé utilisent et envoient des données sensibles à leurs comptes personnels au travail. Ce comportement empêche les équipes chargées de la sécurité de visualiser l’activité de leurs équipes liée à l’IA générative et, en l’absence de garde-fous appropriés en matière de protection des données, entrave leur aptitude à détecter et à prévenir les fuites de données.
« Les applications d’IA générative représentent des solutions innovantes, mais elles introduisent également de nouveaux vecteurs de compromission potentielle des données, notamment dans des environnements sujets à de fortes pressions et où les enjeux sont élevés tels que la santé, où les professionnels et les praticiens sont souvent dans l’obligation d’intervenir avec rapidité et agilité, déclare Gianpietro Cutolo, Cloud Threat Researcher au Netskope Threat Labs. Pour minimiser ces risques, les organisations de santé doivent trouver un équilibre entre les avantages de l’IA générative et le déploiement de garde-fous de sécurité et de protection des données ».
Dans cette optique, les services en charge de la sécurité du secteur de la santé doivent envisager de :
- Fournir à leurs collaborateurs des applications d’IA générative approuvées par leur organisation, dans le but de centraliser l’utilisation de l’IA générative dans des applications approuvées, surveillées et sécurisées, ainsi que réduire l’utilisation des comptes personnels et du « Shadow AI ». Bien qu’encore élevée, l’utilisation de comptes d’IA générative personnels par les professionnels de santé a déjà diminué de 87 % à 71 % au cours de l’année écoulée, les organisations s’orientant de plus en plus vers l’utilisation de solutions agréées.
- Mettre en place des règles strictes de prévention des pertes de données (DLP) pour surveiller et contrôler l’accès aux applications d’IA générative et définir le type de données qui peuvent être partagées avec elles. Cette mesure ajoute une couche de sécurité au cas où les professionnels tenteraient des actions risquées. La proportion d’organisations de santé qui déploient des politiques DLP pour l’IA générative est passée de 31 % à 54 % au cours de l’année écoulée.
- Déployer des mesures de coaching des utilisateurs en temps réel. Cet outil alerte les employés qui entreprennent des actions à risque. Par exemple, si un professionnel de santé tente de téléverser dans ChatGPT un fichier qui comprend les noms de patients, une alerte lui demandera s’il souhaite continuer. Selon un rapport publié séparément, une grande majorité des utilisateurs professionnels (73 %), tous secteurs confondus, interrompent l’action en cours lorsqu’une alerte de ce type est affichée.
« Dans le secteur de la santé, l’adoption rapide des applis d’IA générative et l’utilisation croissante des plateformes cloud ont accru la nécessité de protéger les données de santé réglementées, ajoute Gianpietro Cutolo. Alors que l’IA générative est de plus en plus intégrée aux flux de travail cliniques et opérationnels, les organisations du secteur accélèrent le déploiement de contrôles tels que la prévention des pertes de données DLP et les politiques de blocage d’applications dans l’optique de juguler les risques. Et si elles accomplissent des progrès, les organisations de santé doivent se concentrer sur des solutions sécurisées et agréées pour que les données soient parfaitement protégées dans un paysage en constante évolution. »
