PAM : Gestion des accès privilégiés dans le travail de santé à distance et hybride

PAM Zero Trust pour les équipes de soins de santé distribuées

Pour les organismes de santé, la gestion des accès aux données (PAM) est essentielle pour deux raisons principales : elle contribue à protéger leurs données précieuses et leurs systèmes critiques. Mais elle devient encore plus cruciale pour les organisations qui emploient des travailleurs à distance ou en mode hybride, ou qui collaborent avec un ensemble complexe de tiers tels que des sous-traitants, des fournisseurs de technologies et des prestataires de services.

De nombreux travailleurs à distance ou hybrides utilisent les appareils du système de santé avec toute la sécurité nécessaire, comme les logiciels anti-malware, de détection et de réponse étendues aux terminaux et de prévention des pertes de données. Mais la situation est différente lorsque les travailleurs à distance ou hybrides des prestataires de services utilisent des équipements qui ne sont pas la propriété de l'organisation.

« Il n'y a pas de véritable périmètre. Le modèle du château et des douves est révolu », déclare Burleson-Davis.

C'est pourquoi, au lieu d'une approche de sécurité basée sur le périmètre du réseau, les organisations dotées de PAM à confiance zéro étendent leurs limites de sécurité aux personnes accédant à leurs systèmes.

« Si nous autorisons un télétravailleur à accéder à des données sensibles, quel qu'en soit le type, nous voulons que ce système distant fasse partie intégrante de l'organisation. Il ne doit pas s'agir d'un appareil non géré ou personnel », explique Monks. « Le principe du Zero Trust est que l'identité est la nouvelle frontière , et cela fonctionne bien dans un environnement de travail à distance ou hybride. »

PAM permet aux établissements de santé de mieux visualiser et de surveiller les authentifications et autorisations à l'échelle mondiale, sur site comme à distance. Qu'il s'agisse de reconnaissance faciale, de mots de passe ou de vérification d'identité, les niveaux élevés d'authentification de PAM garantissent l'identité de l'utilisateur.

EN SAVOIR PLUS : IAM répond aux défis des environnements informatiques de plus en plus complexes.

Authentification basée sur les risques pour les utilisateurs de soins de santé

Cependant, l'identité de l'utilisateur ne suffit pas. Une solution PAM prend également en compte les comportements habituels de l'utilisateur et identifie tout écart par rapport à la norme.

PAM prend en compte une série de facteurs et de risques pour déterminer si l'accès doit être accordé ou refusé, tels que le type de données auxquelles un utilisateur souhaite accéder, si les données sont sensibles ou non et si une telle demande de cet utilisateur est normale ou non.

La personne travaille-t-elle depuis son bureau habituel à domicile et à ses horaires habituels ? Ou son lieu et ses horaires changent-ils soudainement ? Un utilisateur qui se connecte habituellement au système de DSE une fois par semaine seulement s'y connecte-t-il plusieurs fois par jour ?

Ces signaux de risque indiquent qu’une authentification supplémentaire , par exemple avec une clé d’accès ou une authentification renforcée pour les utilisateurs déjà connectés au système, peut être nécessaire.

« Elles sont très adaptatives par nature », explique Monks à propos des solutions PAM qui exploitent l'analyse comportementale intelligente. « Il s'agit de comprendre le contexte de la requête : d'où l'utilisateur se connecte, quel type d'accès aux données il souhaite et quel type d'appareil il utilise. »

Avec PAM, les utilisateurs n'ont pas d'accès permanent aux comptes à privilèges. Ils peuvent seulement obtenir un accès ponctuel et juste suffisant, c'est-à-dire le minimum de privilèges nécessaires. Par exemple, un médecin travaillant à domicile pour mettre à jour les dossiers de ses patients n'a besoin d'accéder qu'à un ou deux systèmes, et non à l'ensemble du réseau de santé.

Grâce à la rotation des identifiants, les utilisateurs n'accèdent aux systèmes privilégiés qu'après avoir prouvé leur identité, et ce, pour une durée déterminée. Passé ce délai, l'identifiant ne peut plus être utilisé.

Mais les systèmes de santé doivent exploiter le PAM sans entraver le flux de travail clinique ni l'accès aux urgences. « L'un des aspects les plus délicats du PAM réside dans le fait que les organisations doivent constamment peser le pour et le contre des avantages et de la facilité d'utilisation du point de vue de l'utilisateur, d'une part, et de la sécurité, d'autre part », explique Monks.

Les outils PAM dotés d’automatisation et d’intelligence intégrées peuvent détecter et répondre aux signaux de risque sans ralentir le flux de travail.

Ainsi, si les administrateurs informatiques accèdent aux systèmes habituels à leur emplacement et à leur heure habituels, les outils PAM intelligents peuvent analyser la dynamique comportementale et déterminer qu'une authentification à trois niveaux n'est pas nécessaire. Cependant, dès que les signaux de risque changent, les outils exigent automatiquement une authentification renforcée.

« Il s'agit de créer des obstacles de plus en plus importants sans jamais créer de blocage, sauf en cas de malveillance », explique Monks. « Il s'agit de créer la friction adéquate pour chaque situation. »

EXPLOREZ : Naviguez dans la gestion des identités et des accès à l'ère de l'IA.

Conformité et auditabilité HIPAA dans les scénarios d'accès à distance

L'accès privilégié des tiers distants représente un risque important pour la conformité HIPAA. En sécurisant l'accès privilégié aux systèmes critiques tels que les DMP, une solution PAM contribue à garantir la conformité HIPAA des systèmes de santé travaillant avec des tiers distants ou hybrides, réduisant ainsi les risques et améliorant la résilience.

« Si un organisme de santé gère correctement tous ses employés non salariés et son DSE dans un système PAM, il est dans une très bonne position », déclare Burleson-Davis.

Et l'auditabilité est essentielle. Les processus PAM doivent être auditables « afin de savoir exactement ce qui s'est passé » chaque fois qu'un utilisateur accède à un système à privilèges, explique-t-il. « Nous devons pouvoir revenir en arrière et rejouer l'opération pour savoir exactement ce qui s'est passé. »