Que se passe-t-il lorsque les attaquants évoluent plus rapidement que le secteur de la santé ne peut appliquer les correctifs ?

Le secteur de la santé fait depuis longtemps face à un véritable obstacle à la correction des problèmes de sécurité: l’équipe de sécurité d’un hôpital peut identifier une vulnérabilité dans un système clinique en une après‑midi, mais l’installation sécurisée d’un correctif est généralement freinée par les réalités pratiques du rythme effréné du quotidien hospitalier. Le fabricant de l’appareil peut devoir valider une mise à jour, l’hôpital peut devoir la tester et programmer une période d’indisponibilité, et certaines modifications peuvent même nécessiter un examen réglementaire.

Les attaquants ne sont soumis à aucune de ces contraintes. Avec les outils d’IA qui accélèrent la reconnaissance et la recherche de vulnérabilités ainsi que le développement d’exploits, les processus de remédiation déjà sous tension dans le secteur de la santé subissent une pression encore plus forte.

Ce qui rend ce problème particulièrement douloureux, c’est que les retards de mise à jour sont souvent prolongés par les dépendances aux fournisseurs. Par exemple, un correctif pour un système d’IRM peut devoir être validé par le fournisseur, mais il doit souvent encore être approuvé par le contrôle des changements de l’hôpital. Et tout cela doit être réalisé sans perturber les soins.

Le rapport de Health‑ISAC IA de pointe dans le secteur de la santé désigne les retards de correctifs comme l’une des expositions majeures du secteur. Cela laisse aux hôpitaux une voie viable: ils ne peuvent pas contrôler chaque étape du calendrier de correctifs, mais ils peuvent limiter ce qu’un attaquant peut faire pendant le déploiement d’une mise à jour.

Le calendrier de correctifs possède un plancher pour une raison

Bon nombre des étapes du calendrier de correctifs d’un hôpital peuvent agacer les professionnels de la sécurité de l’information, mais elles existent pour garantir la sécurité des patients. aucune mise à jour non testée d’un ventilateur ou d’une pompe à perfusion visant à corriger un risque de cybersécurité ne vaut le coût de perturber les soins aux patients. La solution consiste donc à accélérer les parties du processus qui peuvent l’être sans affaiblir les protocoles existants.

Les auditeurs et les conseils tendent à considérer les longues fenêtres de remédiation comme un problème de maturité du programme ou de budget, et parfois ils ont raison. En général, les longs calendriers de correctifs sont le symptôme d’une exécution faible, d’un manque de ressources ou de goulets d’étranglement hors du contrôle de l’équipe de sécurité. Plus d’analystes peuvent améliorer la détection des vulnérabilités, le tri et la priorisation, mais ils ne peuvent pas raccourcir les délais du fabricant ni déplacer les fenêtres d’indisponibilité.

Avec l’exploitation des vulnérabilités qui devient le moyen le plus fréquent pour les attaquants d’accéder aux réseaux cibles, le Rapport d’enquête sur les violations de données 2026 de Verizon (DBIR) montre à quel point les organisations disposent de peu de marge pour déployer des correctifs. Le temps médian nécessaire pour remédier complètement à une vulnérabilité connue exploitée est passé à 43 jours en 2026, contre 32 jours l’année précédente, tandis que la part des vulnérabilités entièrement résolues est tombée à 26 % contre 38 %.

Le fait que ces chiffres ne soient pas spécifiques au secteur de la santé montre à quel point la remédiation est déjà difficile, avant même de prendre en compte les contraintes cliniques et fournisseurs que les hôpitaux doivent également gérer.

Il est temps de regarder au‑delà des scores de gravité

Alors que les fenêtres de remédiation se sont allongées, les attaquants sont devenus plus rapides. Le DBIR a constaté que l’exploitation des vulnérabilités est désormais le principal vecteur d’intrusion des hackers, représentant 31 % des violations, dépassant les identifiants volés pour la première fois en 19 ans d’existence du rapport.

Verizon indique que l’IA a contribué à accélérer la découverte et l’exploitation des vulnérabilités, à tel point que ce qui prenait autrefois des mois peut maintenant prendre quelques heures ou quelques jours. Et c’était avant la sortie de la génération actuelle de modèles de pointe, le jeu de données du DBIR s’étant terminé en octobre 2025.

Mais aujourd’hui, tout le monde s’attend à une telle rapidité. Le rapport de Health‑ISAC signale quelque chose de plus conséquent: les nouveaux modèles d’IA peuvent enchaîner des découvertes de faible gravité en chemins d’attaque critiques, identifiant des combinaisons de faiblesses qui peuvent sembler moins importantes prises isolément. Cela crée un nouveau problème pour les programmes de remédiation qui privilégient les scores de gravité, car les découvertes de faible gravité, souvent ignorées ou reléguées en arrière‑plan, peuvent soudainement devenir très importantes si elles affectent l’accès ou des systèmes critiques.

Les arriérés qui gonflent n’améliorent que la situation. Dans Nature, le directeur de l’Institut Max Planck, Thorsten Holz, décrit que Mozilla a utilisé un modèle de pointe pour identifier et corriger 271 vulnérabilités dans une seule version de Firefox, bien au‑delà de ce que ses outils et ses réviseurs avaient détecté au cours d’un mois type l’année précédente.

Cette pression de triage s’étend également du côté de l’offre: Linus Torvalds, le mainteneur du noyau Linux, a fait remarquer en mai que les rapports de bugs générés par l’IA submergent les mainteneurs.

Lorsque vous ne pouvez pas corriger plus rapidement, réduisez ce qui est atteignable

Heureusement, un arriéré qui ne peut être éliminé peut tout de même être géré. Si un correctif doit attendre, la priorité doit être de réduire les chances qu’une vulnérabilité soit exploitée. Cela déplace le travail de la vitesse de remédiation vers la « atteignabilité », un aspect que les hôpitaux peuvent contrôler.

La segmentation peut constituer un contre‑poids solide. Un dispositif d’imagerie avec un accès large peut atteindre un contrôleur de domaine, un partage de fichiers et l’internet ouvert. Mais s’il est limité à un segment isolé qui ne permet le trafic qu’à son serveur PACS et au point de mise à jour du fabricant, tout en refusant par défaut l’accès au reste, toute vulnérabilité qui le concerne peut rester confinée pendant la durée nécessaire au déploiement du correctif.

Là où les exigences du dispositif et du fournisseur le permettent, les hôpitaux peuvent recourir à la segmentation, à des contrôles de sortie et à des règles de refus par défaut pour restreindre, voire fermer, les chemins d’accès pendant qu’un correctif est en attente.

Les hôpitaux n’ont pas besoin d’un inventaire complet des actifs avant de commencer à réduire la surface exposée. Commencez par compter les systèmes connectés à internet, maintenez ce nombre à jour au fur et à mesure que l’inventaire global progresse, et priorisez la limitation de ce que ces systèmes peuvent atteindre au sein du réseau.

Les données d’enquête de Health‑ISAC indiquent que le secteur commence déjà à évoluer dans cette direction. Environ 80 % des membres de Health‑ISAC prévoient d’augmenter leurs budgets pour des outils de sécurité alimentés par l’IA ou pour l’évaluation de l’exploitabilité. Une piste potentiellement utile consiste à analyser quels chemins d’attaque fonctionnent dans votre propre environnement: identifiez les combinaisons de vulnérabilités de faible gravité qui mériteraient une attention avant qu’un score de priorité ne retienne votre attention.

Les conversations avec les fournisseurs doivent également dépasser le libellé du contrat de niveau de service. Les contrats contiennent ce à quoi vous et vos fournisseurs vous êtes engagés depuis des années, mais le modèle de menace a changé de façon spectaculaire. Il faut donc d’abord identifier le délai nécessaire à l’émission de correctifs validés après la divulgation publique, puis déterminer quelles mesures d’atténuation sont disponibles en attendant la mise à jour. Il vaut aussi la peine de demander s’ils testent leur produit contre les techniques d’attaque assistées par l’IA actuelles.

Gérez l’exposition que vous ne pouvez pas éliminer

La plupart des organisations ne savent pas combien de temps il faut pour mettre en production un correctif validé une fois qu’un exploit a été rendu public. Concentrez‑vous sur l’obtention de ce chiffre afin de cesser de débattre des fenêtres de correctifs et de vous focaliser sur la détermination des fournisseurs et des systèmes qui restent exposés le plus longtemps. Cela vous permettra de décider quelles priorités donner à vos efforts de remédiation.

Le partage d’informations peut réduire considérablement ce cycle de décision. Certaines des décisions de remédiation les plus rapides que j’ai observées surviennent lorsqu’un hôpital entend d’un pair qu’une plateforme fournisseur est exploitée avant que la vulnérabilité ne soit rendue publique.

La fenêtre de validation elle‑même ne va pas s’élargir. Les hôpitaux continueront à faire fonctionner des systèmes cliniques avec des vulnérabilités ouvertes, ce qui signifie que la stratégie de segmentation de ces systèmes doit être priorisée par rapport au calendrier de correctifs. Chaque hôpital devrait pouvoir spécifier, pour chacune de ses plateformes critiques, ce qui se passerait sur le réseau si cette plateforme était compromise demain.