Les contrôles d’accès pour les professionnels de santé et le personnel hospitalier constituent un outil essentiel pour sécuriser les données sensibles des patients. Memorial Hermann Health Systems (MHHS), un système de santé communautaire à but non lucratif situé à Houston, au Texas, sait que les données de santé protégées font des dossiers médicaux une cible privilégiée pour les cybercriminels. Avec plus de 63 000 utilisateurs, parmi lesquels le personnel administratif, les professionnels de santé, les bénévoles, les étudiants et bien d’autres dispersés dans 11 hôpitaux, MHHS a besoin de solutions technologiques qui facilitent les soins sans compromettre la sécurité des données des patients.
Cette approche de la technologie a conduit MHHS à considérer l’identité comme un élément central de sa stratégie de sécurité. « Tous les attributs de l’identité peuvent causer des préjudices importants s’ils ne sont pas correctement gérés », déclare Zach Phillippe, Deputy CISO. « Comprendre ce que les utilisateurs peuvent faire, ce qu’ils peuvent voir et la manière dont ils interagissent avec nos systèmes est aussi précieux que toute autre forme de cybersécurité. »
Des contrôles de sécurité stricts pour protéger les données des patients
La pile technologique de l’entreprise a évolué parallèlement à sa croissance ; avec plus de 200 applications SaaS déployées dans tout l’environnement, l’équipe avait besoin d’un moyen de conserver une visibilité sur ces applications cloud. MHHS se reposait sur des feuilles de calcul dispersées et des évaluations d’accès manuelles, ce qui était à la fois chronophage et laborieux. « Il est de notre responsabilité de veiller à ce que les contrôles des accès soient à jour », ajoute Padma Sree Ventrapragada, Director of Cyber Risk and IAM. « Or, lorsque les évaluations étaient effectuées manuellement, à peine la tâche était-elle terminée qu’il était temps de recommencer. »
De même, avec l’augmentation du nombre d’applications déployées, les demandes de réinitialisation de mot de passe des utilisateurs finaux se faisaient de plus en plus fréquentes. Ces demandes étaient devenues la tâche principale de l’équipe de support technique, au détriment de la résolution de problèmes plus complexes. L’équipe MHHS savait qu’elle avait besoin d’un partenaire en gestion des identités de premier plan, qui pourrait prendre en charge la gestion des identités on-premise et dans le cloud, les accompagner dans l’administration d’un environnement complexe et proposer un MFA simple d’utilisation. « Le MFA constitue un contrôle de sécurité majeur, et nous savions qu’Okta nous aiderait à le mettre en place et à combler ces lacunes », explique Zach Phillippe.
Renforcer la résilience et la protection quotidienne des utilisateurs
Okta est désormais un pilier de la stratégie de résilience cloud de Memorial Hermann. La plateforme permet aux professionnels de santé d’accéder aux dossiers médicaux électroniques et de prendre en charge les patients même dans le cas où leur réseau local est indisponible, par exemple à la suite d’un ouragan ou d’une cyberattaque. « Grâce à l’intégration entre Okta et nos systèmes, nous bénéficions d’une identification et d’une autorisation continues, ce qui renforce notre résilience, explique Zach Phillippe. Cette stratégie a un impact direct sur la prise en charge des patients. Si un professionnel de santé doit recourir à des formulaires papier, les soins sont retardés. La préparation est donc un facteur essentiel, tant en situation de crise que dans le travail quotidien. »
En associant des contrôles d’identité fondamentaux à des processus continus de surveillance et de détection auprès d’un seul partenaire pour la gestion des identités, MHHS peut assurer une sécurité de bout en bout de manière plus cohérente avant, pendant et après l’authentification. Pour les collaborateurs de MHHS, les solutions Single Sign-On, Adaptive MFA et FastPass simplifient et sécurisent l’accès dès la connexion à un appareil, y compris pour les utilisateurs du réseau étendu. Avec plus de 95 % des comptes MHHS actifs sécurisés par MFA, l’entreprise peut avoir confiance dans le fait que ses systèmes les plus importants sont protégés contre les attaques de phishing.
L’équipe a également implémenté des processus de réinitialisation des mots de passe entièrement en libre-service, quel que soit le lieu ou le lien avec MHHS. La suppression de ce goulet d’étranglement, associée à d’autres ajustements au niveau des règles de mots de passe, a permis de réduire de plus de moitié les tickets de support, permettant ainsi aux professionnels de santé de se concentrer sur leurs patients plutôt que sur les problèmes d’accès.
En plus de leurs collaborateurs principaux, Okta protège aussi les professionnels de santé et le personnel administratif de petits établissements de santé ruraux qui emploient la solution MHHS de dossier médical électronique. Avec FastPass, ces cabinets habituellement indépendants peuvent accéder de façon sécurisée et homogène aux informations des patients ainsi qu’à d’autres données précieuses depuis différents appareils dans leurs locaux, tout en veillant à ce que les patients bénéficient d’une prise en charge continue.
Une fois les connexions sécurisées, l’équipe pouvait se concentrer sur la mise en place d’une solution qui permettrait de détecter et de résoudre en continu les risques liés aux utilisateurs. Elle a ainsi déterminé qu’Identity Threat Protection (ITP) et Identity Security Posture Management (ISPM) permettraient d’éliminer les workflows manuels d’évaluation au profit d’une surveillance continue et en temps réel. « Au-delà de la MFA, la solution qui a véritablement changé la donne pour nous a été Identity Security Posture Management, explique Zach Phillippe. Sans elle, vous prenez des risques. »
Passer d’une surveillance continue à une « intégrité continue »
Tandis que les professionnels de santé du MHHS peuvent se consacrer pleinement à leurs patients, l’équipe sécurité du MHHS réoriente également ses efforts vers des projets à plus fort impact. En remplaçant l’audit manuel sur tableur par ITP et ISPM, l’équipe a mis en place un système automatisé et continu de détection et de réponse aux menaces d’identité. Cette nouvelle approche exploite les atouts d’un écosystème de sécurité des identités unifié afin d’offrir à l’équipe une visibilité continue sur la posture de l’ensemble de l’entreprise.
Alors qu’ITP propose une détection des menaces et une réponse en temps réel qui enrichissent la télémétrie d’Okta et permettent de neutraliser les menaces actives, ISPM recherche et contribue à résoudre les principales lacunes dans leur hygiène de sécurité des identités. « Avec ITP et ISPM, nous passons d’une évaluation ponctuelle à une détection et une réponse continues, en temps réel, dans l’ensemble de notre entreprise, explique Padma Sree Ventrapragada. Ces solutions présentent dès le départ toutes les informations dont nous avons besoin, ce qui nous permet de traiter les problèmes immédiatement. »
Cette combinaison est essentielle pour éviter toute perturbation opérationnelle. « Si nous devons réorienter les soins de nos centres de traumatologie parce que notre infrastructure a été touchée par une cyberattaque, cela aurait un impact majeur sur des vies humaines, explique Zach Phillippe. La valeur d’un outil comme ITP est inestimable pour nous, car la sécurité de nos patients dépend de la sécurité de nos systèmes. »
En concentrant toute l’attention de l’équipe sur la correction plutôt que sur la détection, MHHS peut combler immédiatement les failles de sécurité dès qu’elles apparaissent, sans attendre le prochain cycle d’audits. Mme Ventrapragada poursuit : « ISPM établit lui-même ses priorités, ce qui nous permet de résoudre des problèmes complexes impliquant en réalité plusieurs problèmes de moindre priorité. Sans cela, nous les aurions peut-être traités un par un. » Ce changement de priorités aide l’équipe à identifier et à corriger les problèmes plus rapidement que jamais. Ainsi, les tâches liées à la santé des identités qui nécessitaient auparavant au moins une semaine d’investigation dans différents outils ne demandent désormais que quelques heures hebdomadaires.
Développer l’automatisation pour sécuriser les agents d’IA dans la sphère de la santé
À mesure que les secteurs intègrent des agents d’IA dans leurs workflows, MHHS identifie l’opportunité d’évaluer et de sécuriser son infrastructure afin d’intégrer ces agents dans les expériences de soins. « Il est important pour nous de considérer les agents d’IA comme une nouvelle catégorie d’identité, explique Padma Sree Ventrapragada. En tant que partenaire en matière d’identité, Okta nous aide déjà à découvrir et à sécuriser nos identités humaines et non humaines, et nous avons hâte de poursuivre cette collaboration pour sécuriser l’IA. »
En plus de surveiller et de sécuriser les comptes de service et les agents d’IA, l’équipe explore de nouvelles façons d’associer ISPM à Okta Workflows afin d’automatiser la gestion du cycle de vie de ces comptes. « ISPM détecte les lacunes d’identité et Workflows peut les corriger automatiquement. Ensemble, ils nous aideront à passer d’une surveillance continue à l’étape de correction en matière de gestion des identités, explique Zach Phillippe. De plus, l’équipe d’Okta nous a montré qu’elle accorde de l’importance à notre partenariat. Ce n’est pas toujours le cas, et nous sommes prêts à explorer ensemble de nouvelles possibilités. »
À propos du client
Memorial Hermann Health System (MHHS) est un acteur majeur du secteur de la santé intégrée, situé dans le sud-est du Texas. Gérer l’accès pour plus de 63 000 utilisateurs implique de sécuriser différents profils de professionnels de santé et de personnel administratif, des employés au personnel médical en passant par les intervenants externes tels que les médecins en formation ou les bénévoles.
