LifeLabs: la protection des données de laboratoire mise à l'épreuve de la responsabilité réglementaire

Résumé

• La cyberattaque de LifeLabs en 2019 est importante car l'entreprise a révélé que des attaquants avaient accédé à des systèmes contenant des informations personnelles de clients et certains résultats de tests de laboratoire, et l'incident impliquait un paiement de rançon et des conclusions du commissaire à la vie privée.
• La question de la responsabilité est de savoir qui avait le contrôle pratique sur la sécurité des dossiers de santé, l'accès au portail de laboratoire, la détection des violations, les décisions de réponse à la rançon, l'avis aux patients, les preuves réglementaires et la preuve que les améliorations de sécurité ordonnées ont été mises en œuvre.
• Cette affaire n'est pas seulement une violation de la vie privée. C'est une affaire de continuité des services de santé et de confiance du public car les données de laboratoire se situent à la frontière entre les patients, les médecins, les systèmes publics, les assureurs et les flux de travail diagnostiques.
• Les commissaires à la vie privée de la Colombie-Britannique et de l'Ontario ont enquêté, publié des conclusions et des ordonnances, et des procédures judiciaires ultérieures ont rendu publiques les questions de publication et de privilège.
• Cet article utilise les avis de LifeLabs, les rapports et ordonnances des régulateurs, les décisions de justice, les dossiers de règlement, les directives sur le droit de la vie privée, les documents de rétablissement de la cybersécurité et les reportages réputés. Il ne prétend pas avoir accès aux journaux médico-légaux privés de LifeLabs, aux négociations complètes de rançon, aux fichiers d'exposition patient par patient, ni aux preuves complètes de mise en œuvre pour chaque contrôle ordonné.

Pourquoi cette affaire appartient à un dossier de risque et de responsabilité

LifeLabs appartient à un dossier de risque et de responsabilité car les données de laboratoire ne sont pas des données de compte ordinaires. Un fournisseur de services de laboratoire peut détenir des noms, adresses, courriels, identifiants, mots de passe, dates de naissance, numéros de carte santé et résultats de tests diagnostiques. Ces dossiers sont liés à des corps, familles, médecins, assureurs, décisions d'emploi, santé publique et décisions personnelles que les patients ne souhaitent jamais divulguer.

Lorsqu'une plateforme de données de laboratoire est attaquée, le modèle de préjudice traverse la vie privée, la continuité des soins, le risque d'identité, la confiance du public et la surveillance réglementaire.

LifeLabs a divulgué publiquement la cyberattaque en décembre 2019. Sa lettre ouverte aux clients sur source: lifelabs.com indiquait que la société avait identifié une cyberattaque impliquant un accès non autorisé à des systèmes contenant des informations clients, avait récupéré les données en effectuant un paiement et avait engagé des entreprises de cybersécurité et informé les commissaires à la vie privée.

La divulgation indiquait que les informations affectées pouvaient inclure nom, adresse, courriel, identifiant, mot de passe, date de naissance, numéro de carte santé et résultats de tests de laboratoire, la plupart des clients affectés étant en Ontario et en Colombie-Britannique.

Cette divulgation a immédiatement soulevé une question de responsabilité. Qui avait le contrôle pratique sur la sécurité des dossiers de santé, l'accès au portail de laboratoire, la détection des violations, les décisions de réponse à la rançon, l'avis aux patients, les preuves réglementaires et la preuve que les améliorations de sécurité ordonnées étaient mises en œuvre? Les patients ne pouvaient pas inspecter les systèmes de LifeLabs avant de choisir une analyse de sang. Les médecins ne pouvaient pas auditer personnellement la sécurité du portail du fournisseur.

Les systèmes de santé publique et les assureurs dépendaient des services de laboratoire dans le cadre des soins ordinaires. Le fournisseur contrôlait l'infrastructure, la conception de l'accès, la surveillance, la conservation, la réponse aux violations et les preuves de réparation.

L'enquête du Commissaire à l'information et à la protection de la vie privée de l'Ontario et du Bureau du commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique est devenue le dossier de preuves publiques central. La page de ressources de la CIPV sur LifeLabs sur source: ipc.on.ca et le rapport conjoint rendu public dans les documents des commissaires à la vie privée documentaient les conclusions sur les garanties raisonnables, la détection des violations, les avis et les ordonnances correctives.

Le Bureau du commissaire à l'information et à la protection de la vie privée de la Colombie-Britannique a du matériel connexe sur source: oipc.bc.ca et des ressources de rapports d'enquête qui placent l'affaire dans le contexte du droit provincial de la vie privée en matière de santé.

L'affaire correspond aux sujets manifestes de continuité du secteur public, de souveraineté et de localisation des données, et d'automatisation de la sécurité. LifeLabs est une organisation privée, mais ses services sont adjacents à la santé publique. Les patients utilisent les services de laboratoire parce que les médecins, les systèmes de santé provinciaux, les assureurs, les employeurs ou les parcours de soins exigent des tests diagnostiques. Les données peuvent être stockées et traitées dans des juridictions régies par le droit provincial de la vie privée en matière de santé.

L'automatisation de la sécurité est importante car un fournisseur de laboratoire ne peut pas protéger manuellement des millions de dossiers par l'espoir, des textes politiques et une surveillance de crédit. Il a besoin de contrôles d'identité, de journalisation, de chiffrement, de gestion des vulnérabilités, de détection des anomalies, de sauvegarde et de processus de récupération, et de preuves que ces contrôles fonctionnent.

Une violation de laboratoire n'est pas seulement une violation d'identité

De nombreux avis de violation utilisent un langage de vol d'identité car les noms, dates de naissance, numéros de carte santé et mots de passe créent un risque évident de fraude. LifeLabs a offert aux clients affectés des services de protection contre le vol d'identité et la fraude, et cette réponse était logique pour une partie de l'exposition. Mais une violation de laboratoire n'est pas seulement une violation d'identité.

Les résultats de tests peuvent révéler une grossesse, des infections, des maladies chroniques, une surveillance médicamenteuse, un dépistage du cancer, des niveaux hormonaux, des signaux génétiques ou d'autres réalités de santé sensibles. Même lorsqu'un résultat exposé spécifique est banal, la catégorie est intime.

La déclaration publique et le dossier d'enquête des commissaires à la vie privée, y compris les documents liés à source: ipc.on.ca et source: oipc.bc.ca, ont souligné que la violation impliquait des informations personnelles sur la santé et que l'entreprise avait omis de prendre des mesures raisonnables pour les protéger. Ces conclusions sont plus fortes qu'une simple étiquette d'incident cybernétique. Elles placent l'affaire dans un devoir de diligence envers les patients dont les données ont été collectées à des fins de services de santé, et non pour un divertissement optionnel des consommateurs.

Le caractère des données de santé affecte également la notification. Un patient doit savoir si les informations affectées étaient démographiques, liées à la connexion, liées à la carte santé ou liées aux résultats de tests. Un patient dont le résultat de laboratoire a pu être exposé a des questions différentes d'un client dont l'adresse e-mail a été exposée. Les résultats exposés incluaient-ils des tests récents? Les membres de la famille ont-ils été affectés? Les médecins ont-ils été informés? La violation a-t-elle affecté le portail en ligne, les bases de données dorsales, les archives ou les systèmes de laboratoire opérationnels?

Quelles mesures protègent l'identité, et quelles mesures protègent la vie privée en matière de santé?

Les reportages de CBC sur source: cbc.ca et de Global News sur source: globalnews.ca ont capturé le choc public autour de la taille et de la sensibilité de la violation. Ces rapports ne remplacent pas le dossier réglementaire. Ils sont utiles car ils montrent comment les patients ont vécu l'incident: comme une violation d'une relation de service de santé, et non simplement un site web compromis.

Le caractère adjacent à la santé publique signifie également que le préjudice s'étend au-delà des victimes immédiates. Les médecins et les cliniques ont besoin que les patients fassent confiance aux systèmes de test. Les programmes publics ont besoin de participation. Les assureurs et les gestionnaires de soins dépendent de flux de travail diagnostiques fiables. Si les patients hésitent à utiliser un portail, évitent un test ou se méfient d'un résultat de laboratoire parce que l'environnement de données semble dangereux, la violation devient un problème de continuité. La vie privée et l'accès aux soins sont liés.

Les ordonnances réglementaires ont transformé l'affaire de la réponse à la violation à la preuve de réparation

L'affaire LifeLabs se distingue car les régulateurs ne se sont pas contentés de reconnaître la violation. Ils ont enquêté, publié des conclusions et ordonné des mesures correctives. La page de la CIPV sur source: ipc.on.ca et le communiqué de presse de l'Ontario sur source: ipc.on.ca décrivent les conclusions selon lesquelles LifeLabs avait omis de prendre des mesures raisonnables pour protéger les informations personnelles sur la santé. Le document du commissaire de la Colombie-Britannique sur source: oipc.bc.ca a également présenté l'affaire comme un échec à protéger des informations hautement sensibles.

Les ordonnances sont importantes car elles déplacent la question de responsabilité de « l'entreprise a-t-elle répondu? » à « l'entreprise peut-elle prouver la mise en œuvre? ». Une déclaration publique peut dire que la sécurité a été améliorée. Une ordonnance réglementaire demande des mesures correctives concrètes. Le dossier public autour de LifeLabs comprenait des exigences liées aux programmes de sécurité de l'information, à la gestion des vulnérabilités, à la journalisation et à la surveillance, aux contrôles d'accès, à la minimisation des données, à la conservation et à l'examen indépendant.

Le libellé juridique exact appartient au rapport et aux ordonnances, mais le principe de responsabilité est simple: les promesses post-violation doivent devenir des contrôles vérifiables.

LifeLabs a demandé un contrôle judiciaire et a soulevé des objections de privilège et de confidentialité concernant le rapport d'enquête. La décision de la Cour divisionnaire de l'Ontario sur source: canlii.org et les documents ultérieurs de la Cour d'appel de l'Ontario, y compris les reportages et les références au dossier concernant LifeLabs LP c. Commissaire à l'information et à la protection de la vie privée de l'Ontario, ont fait de la publication du rapport une partie de l'histoire de la responsabilité publique.

Le différend juridique sur ce qui pouvait être publié est important car les preuves réglementaires font partie de la confiance du public. Les patients ne peuvent pas évaluer une violation de données de santé si les conclusions restent définitivement cachées.

La voie des ordonnances réglementaires montre également pourquoi les violations de données de santé nécessitent une surveillance indépendante. Une entreprise a des incitations à rassurer, limiter la responsabilité, préserver le privilège et maintenir les relations avec les clients. Les régulateurs ont un rôle différent: inspecter les preuves, appliquer les obligations légales, ordonner des mesures correctives et dire au public ce qui peut être dit. Cela ne rend pas les régulateurs parfaits. Cela les rend nécessaires là où les patients ne peuvent pas auditer le laboratoire eux-mêmes.

Pour un fournisseur de laboratoire, la preuve de réparation doit être spécifique. Elle doit identifier quels systèmes détenaient les données affectées, comment les attaquants ont obtenu l'accès, comment les identifiants ont été changés, comment les systèmes vulnérables ont été corrigés, comment la journalisation a changé, comment la surveillance détectera une activité similaire, comment la conservation des données a été réduite, comment l'accès a été limité, comment des tests indépendants valideront les améliorations et comment l'entreprise rapportera la mise en œuvre aux régulateurs.

Des déclarations générales sur la prise au sérieux de la sécurité ne répondent pas à ces points.

Le paiement de rançon est un fait de réponse, pas un contrôle de réparation

LifeLabs a déclaré dans sa lettre ouverte qu'elle avait récupéré les données en effectuant un paiement. Ce fait a attiré l'attention car le paiement de rançon peut sembler une clôture: des données ont été prises, un paiement a été effectué, les données ont été restituées. Mais en termes de responsabilité, le paiement n'est pas un contrôle de réparation. Il peut faire partie de la gestion de crise, mais il ne prouve pas la suppression, ne prouve pas qu'aucune copie ne reste, ne corrige pas le chemin d'accès et ne dit pas aux patients si les enregistrements ont été consultés ou partagés.

Les conseils du Centre canadien pour la cybersécurité sur les rançongiciels sur source: cyber.gc.ca et les ressources StopRansomware de la CISA sur source: cisa.gov fournissent le cadre général de politique publique. La réponse aux rançongiciels et à l'extorsion devrait se concentrer sur la prévention, les sauvegardes, le confinement, la récupération, le signalement et la résilience. Les décisions de paiement peuvent être prises sous pression, mais elles ne peuvent pas remplacer l'architecture de sécurité.

L'affaire LifeLabs impliquait la sensibilité supplémentaire des informations de santé. Si une entreprise paie pour récupérer des données, les patients doivent encore savoir quelles preuves soutiennent cette affirmation, quelle incertitude subsiste et quelle vérification indépendante existe. Un paiement peut réduire un risque tout en en laissant un autre. Les attaquants peuvent mentir. Les attaquants peuvent conserver des copies. D'autres parties peuvent avoir eu accès aux systèmes avant le paiement. Les journaux peuvent être incomplets.

Les régulateurs doivent donc évaluer non seulement la décision commerciale de payer, mais aussi les preuves environnantes de détection, de confinement et de réparation.

La responsabilité de la réponse à la rançon comprend également la gouvernance. Qui a autorisé le paiement? Quelles alternatives ont été envisagées? Les forces de l'ordre ont-elles été informées? Des sanctions ou contraintes juridiques ont-elles été évaluées? Les sauvegardes étaient-elles indisponibles, ou le paiement a-t-il été choisi pour la rapidité? Les données ont-elles été chiffrées, exfiltrées ou les deux? Comment l'entreprise a-t-elle décidé que l'avis aux clients devait être formulé?

Le dossier public n'a pas besoin de révéler tous les détails tactiques, mais un processus de gouvernance mature devrait exister et pouvoir être examiné par les régulateurs.

Le danger est que le paiement puisse créer l'impression que le problème de données a été résolu avant que le problème de sécurité ne soit résolu. Les patients n'ont pas besoin de théâtre. Ils ont besoin de contrôles. Les données pourraient être récupérées et le système rester vulnérable. L'attaquant pourrait promettre la suppression et conserver l'accès. Le fournisseur pourrait offrir une surveillance de crédit et ne pas parvenir à minimiser la conservation des anciens résultats de tests. La responsabilité exige que l'entreprise traite la réponse à la rançon comme un événement dans un programme de réparation plus large.

Souveraineté et localisation des données: pratiques, non abstraites

LifeLabs opérait dans un environnement provincial de protection de la vie privée en matière de santé au Canada, la plupart des clients affectés se trouvant en Ontario et en Colombie-Britannique selon la divulgation de l'entreprise. La souveraineté et la localisation des données ne sont donc pas des slogans. Elles définissent quelles lois s'appliquent, quels commissaires enquêtent, quels patients reçoivent des avis, où les dossiers sont stockés ou consultés, et comment les fournisseurs transfrontaliers ou les intervenants en cas d'incident peuvent interagir avec des données de santé sensibles.

Le cadre de protection de la vie privée en matière de santé de l'Ontario en vertu de la Loi sur la protection des renseignements personnels sur la santé est expliqué par la CIPV sur source: ipc.on.ca et le cadre de la Loi sur la protection des renseignements personnels de la Colombie-Britannique est expliqué par le commissaire de la Colombie-Britannique sur source: oipc.bc.ca et les conseils connexes. Ces cadres juridiques sont importants car LifeLabs ne traitait pas simplement des données de consommation générales.

Elle traitait des données collectées dans un contexte de service de santé, souvent en vertu de règles et d'attentes provinciales.

La localisation affecte également la coordination des régulateurs. Une violation traversant les populations provinciales nécessite plus qu'un modèle d'avis. Elle nécessite un dossier d'enquête commun, des conclusions partagées le cas échéant et des ordonnances spécifiques à la juridiction. Le modèle d'enquête conjointe avait du sens car les patients n'ont pas vécu la violation comme une énigme juridictionnelle. Ils l'ont vécue comme un seul fournisseur de laboratoire détenant des dossiers sensibles.

La localisation des données façonne également le risque lié aux fournisseurs. Un fournisseur de laboratoire peut utiliser des services cloud, des fournisseurs d'identité, des cabinets d'expertise légale externes, des centres d'appels, des fournisseurs de courrier et des services de surveillance. Chaque fournisseur peut être nécessaire, mais chacun crée une obligation de preuve. Où les données sont-elles allées pendant l'enquête? Qui y a eu accès? Quels contrats les régissaient? Comment ont-elles été protégées? Des transferts transfrontaliers ont-ils été impliqués?

L'article public ne peut pas répondre à toutes ces questions, mais les régulateurs devraient exiger que l'entreprise soit en mesure d'y répondre.

Le patient a peu de contrôle pratique ici. Une personne ne négocie pas les conditions de traitement des données avant un test sanguin. Le patient donne un échantillon parce qu'un médecin a ordonné un test ou qu'un système public l'exige. Ce manque de choix élève la norme de responsabilité pour le fournisseur. Là où le consentement est fonctionnellement contraint par les soins, la preuve de sécurité doit avoir plus de poids.

L'automatisation de la sécurité décide si les contrôles sont réels

Les environnements de laboratoire peuvent avoir des milliers de points de terminaison, portails, bases de données, interfaces, instruments, connexions de fournisseurs, comptes d'utilisateurs et dossiers archivés. Les politiques sont nécessaires, mais elles ne protègent pas cet environnement par elles-mêmes. L'automatisation de la sécurité décide si les contrôles fonctionnent de manière suffisamment cohérente pour être importants.

Les catégories pertinentes sont l'inventaire des actifs, la gestion des correctifs, l'analyse des vulnérabilités, la détection des points de terminaison, la gouvernance des identités, la gestion des accès privilégiés, la journalisation centralisée, la détection des anomalies, la validation des sauvegardes, le chiffrement, la surveillance de la perte de données et l'application de la conservation.

Les conclusions des commissaires à la vie privée, telles que résumées par les documents publics des régulateurs, se concentraient sur les garanties raisonnables et les mesures correctives. Ce langage peut sembler juridique, mais en dessous se trouve une question technique: LifeLabs pouvait-elle voir et contrôler son propre environnement?

Si un fournisseur ne sait pas quels systèmes détiennent les résultats de tests, quels comptes peuvent y accéder, quelles vulnérabilités sont ouvertes, quels journaux montrent un comportement inhabituel et quelles sauvegardes peuvent être fiables, alors le fournisseur ne peut pas prouver une protection raisonnable.

Le cadre de cybersécurité du NIST sur source: nist.gov et le NIST SP 800-184 sur source: csrc.nist.gov fournissent un vocabulaire de rétablissement. Les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité pour les petites et moyennes organisations sur source: cyber.gc.ca et ses conseils sur les rançongiciels sur source: cyber.gc.ca fournissent un langage de contrôle du secteur public canadien. LifeLabs n'est pas une petite organisation, mais le concept de contrôle de base est utile: les contrôles doivent être concrets, reproductibles et testables.

L'automatisation de la sécurité affecte également la qualité des avis. Si les journaux sont centralisés et conservés, l'entreprise peut décrire ce qui s'est passé avec plus de confiance. Si l'accès est géré par identité, l'entreprise peut faire pivoter et révoquer les identifiants plus rapidement. Si l'inventaire des données est à jour, l'entreprise peut dire aux patients si les résultats de tests ont été impliqués. Si la gestion des vulnérabilités est mesurable, l'entreprise peut montrer aux régulateurs ce qui a changé. Une automatisation faible crée des avis vagues car l'entreprise elle-même manque de clarté.

C'est pourquoi les améliorations ordonnées sont importantes. Un régulateur peut exiger un programme de sécurité, mais la valeur dépend des preuves de mise en œuvre. Les tableaux de bord, les journaux, les évaluations indépendantes, les tests de pénétration, les dossiers de fermeture des vulnérabilités, les approbations de révision d'accès, les tests de restauration de sauvegarde et les exercices d'incident sont les artefacts qui prouvent qu'un programme existe au-delà du texte politique.

Le règlement et le litige ne remplacent pas la preuve réglementaire

La violation de LifeLabs a également produit une activité de règlement de recours collectif. Les documents de règlement sur source: lifelabssettlement.ca et les avis connexes documentaient un processus d'indemnisation pour les membres éligibles du groupe. Ce processus est important car il donne aux personnes affectées une voie pour obtenir une certaine réparation monétaire. Il ne remplace cependant pas la preuve réglementaire de réparation. L'indemnisation et la correction des contrôles répondent à des questions différentes.

Le règlement demande comment les personnes affectées peuvent recevoir des avantages ou résoudre des réclamations. La preuve réglementaire demande si les systèmes du fournisseur ont été corrigés et si le public peut faire confiance au traitement futur des données de santé sensibles. Une entreprise peut régler des réclamations tout en devant encore des preuves de mise en œuvre. Une entreprise peut mettre en œuvre des contrôles tout en faisant face à des questions d'indemnisation. Traiter l'un comme un substitut à l'autre affaiblit la responsabilité.

La même distinction s'applique à la surveillance de crédit. Les services de protection d'identité peuvent aider pour le risque de fraude, mais ils ne protègent pas les résultats de laboratoire exposés. Ils ne prouvent pas que les contrôles d'accès ont changé. Ils ne réduisent pas la conservation des anciennes données. Ils ne disent pas aux médecins que les flux de travail diagnostiques sont plus sûrs. Ils sont une atténuation après coup pour une partie du modèle de préjudice, pas la réparation centrale.

Les patients sont également confrontés à des obstacles pratiques. Beaucoup de gens peuvent ne pas comprendre s'ils sont membres du groupe, si les données exposées incluaient des résultats de laboratoire ou comment surveiller l'utilisation abusive des données de santé. Les personnes ayant un accès Internet limité, des barrières linguistiques, un handicap, un logement instable ou des circonstances de santé difficiles peuvent ne pas naviguer facilement dans les processus de règlement et de surveillance.

La responsabilité d'un fournisseur de données de santé comprend la conception d'une communication pour la population affectée réelle, pas seulement pour les lecteurs juridiquement avertis.

Quelles preuves clôtureraient l'affaire

Les preuves qui clôtureraient l'affaire commenceraient par la mise en œuvre des ordonnances réglementaires. Cela signifie l'achèvement documenté des améliorations requises du programme de sécurité de l'information, l'évaluation indépendante le cas échéant, les modifications des contrôles d'accès, les preuves de gestion des vulnérabilités, les améliorations de la surveillance et de la journalisation, les décisions de chiffrement et de conservation des données, la formation des employés, les exercices de réponse aux incidents et les rapports de gouvernance.

Cela comprendrait également une explication destinée aux patients qui sépare ce qui a été exposé, ce qui a été récupéré, ce qui reste incertain, ce qui a été corrigé et quel soutien reste disponible.

La preuve la plus solide serait spécifique au système sans exposer de nouveaux risques de sécurité. Par exemple, LifeLabs pourrait signaler des catégories de contrôles plutôt que des détails d'architecture sensibles: pourcentage de comptes privilégiés examinés, achèvement des réinitialisations d'identifiants, couverture de journalisation pour les systèmes contenant des informations personnelles sur la santé, délais de correction des vulnérabilités, tests de récupération de sauvegarde, modifications de la politique de conservation, étapes d'évaluation indépendante et confirmation par le régulateur de la clôture des éléments ordonnés.

Les patients n'ont pas besoin de diagrammes de pare-feu. Ils ont besoin de preuves que « sécurité améliorée » n'est pas un slogan.

Les preuves devraient également aborder la gouvernance. Qui est propriétaire de la sécurité des données de santé? À quelle fréquence la direction examine-t-elle les risques? Quelle autorité la fonction de sécurité a-t-elle pour retarder les déploiements, exiger des mesures correctives ou escalader les vulnérabilités non résolues? Comment les fournisseurs tiers sont-ils évalués? Comment les clients de la santé publique sont-ils informés des changements matériels de sécurité? Comment les patients sont-ils informés si un incident futur affecte les résultats de tests? Ce ne sont pas des points de conformité abstraits.

Ils décident si le prochain incident est détecté rapidement, limité avec précision et communiqué honnêtement.

Le dossier public après les procédures judiciaires fait également partie de la clôture. Si les conclusions réglementaires restent contestées ou retardées, les patients peuvent attendre des années pour avoir de la clarté. La décision de la Cour divisionnaire de l'Ontario et les développements d'appel connexes montrent comment le processus juridique peut ralentir la compréhension publique. Les droits juridiques sont importants, y compris le privilège et l'équité procédurale. Mais un système de responsabilité des données de santé ne devrait pas laisser les personnes affectées dépendre en permanence de fragments.

La publication des conclusions réglementaires, avec des protections légales pour les détails sensibles, est centrale pour la confiance.

L'accès au portail est un contrôle de parcours de soins

L'affaire LifeLabs montre également pourquoi les portails patients et les systèmes d'accès aux laboratoires devraient être traités comme des contrôles de parcours de soins, et non comme des sites web clients ordinaires. Un compte de portail peut ressembler à une fonctionnalité de commodité, mais les informations derrière peuvent influencer si une personne appelle un médecin, change de comportement, recherche des soins de suivi ou partage des résultats avec sa famille. Si les identifiants du portail, les mots de passe ou les contrôles d'accès dorsaux sont faibles, le risque ne se limite pas à la prise de contrôle du compte.

Il devient un risque pour la confidentialité et la fiabilité de la relation diagnostique d'un patient.

La gouvernance du portail comporte plusieurs couches. Premièrement, l'inscription doit prouver que la personne qui accède a droit au dossier. Deuxièmement, l'authentification doit résister à la réutilisation des identifiants, au phishing et aux attaques automatisées. Troisièmement, la gestion de session doit empêcher un détournement facile. Quatrièmement, l'accès du personnel doit être basé sur les rôles et journalisé. Cinquièmement, les schémas d'accès anormaux doivent déclencher un examen.

Sixièmement, les avis aux patients doivent expliquer si les identifiants du portail, les dossiers démographiques, les numéros de carte santé ou les résultats de tests ont été affectés. Une défaillance à n'importe quelle couche peut transformer un portail en voie d'exposition.

Le patient ne peut raisonnablement pas évaluer ces couches. Un patient peut savoir si un mot de passe semble fort, mais pas si LifeLabs l'a stocké correctement, si l'authentification multifacteur était disponible ou requise, si les comptes du personnel avaient des privilèges excessifs, si les journaux étaient examinés ou si les anciens dossiers du portail étaient conservés plus longtemps que nécessaire. Le fournisseur possède ces choix. Cette propriété est la raison pour laquelle les conclusions réglementaires sont importantes. Elles sont le mécanisme public pour tester si les couches invisibles d'un portail de santé étaient raisonnables.

L'accès au portail interagit également avec les flux de travail des médecins. Un patient peut recevoir des résultats en ligne avant qu'un médecin ait l'occasion d'en discuter, ou peut utiliser le portail comme archive personnelle. Si une violation affecte la confiance dans le portail, les patients peuvent éviter l'accès numérique et appeler les cliniques à la place. Les cliniques peuvent absorber la charge de soutien. Les médecins peuvent devoir rassurer les patients sur des dossiers qu'ils n'ont pas stockés. C'est un coût de continuité qui n'apparaît pas toujours dans les statistiques de violation.

Le système compromis appartient au laboratoire, mais la relation de service s'étend sur le réseau de soins.

C'est pourquoi la minimisation des données n'est pas un slogan de protection de la vie privée. Si d'anciens identifiants de portail, des résultats de tests hérités ou des dossiers inactifs restent disponibles pour des systèmes compromis, la population de la violation s'élargit. Un fournisseur devrait pouvoir expliquer pourquoi chaque classe de dossier reste en ligne, qui peut y accéder, combien de temps elle est conservée et si elle est encore nécessaire pour les soins, le droit, la facturation ou le service aux patients. La conservation sans but devient un stockage de risque.

Dans un cadre de santé, le stockage de risque peut devenir une exposition personnelle à l'échelle de la population.

La continuité du secteur public dépend des preuves du fournisseur privé

LifeLabs est une organisation privée, mais le service qu'elle fournit peut être intégré à la prestation de soins publics. Cela rend le modèle de continuité plus compliqué. Les agences publiques, les médecins, les patients et les fournisseurs privés peuvent tous dépendre du même réseau de laboratoire, mais seul le fournisseur a un contrôle direct sur de nombreuses garanties techniques. Lorsqu'une violation se produit, la confiance du public dans le système de santé plus large peut être affectée même si l'organisme public n'a pas exploité le système compromis.

Cette dépendance crée un problème de preuve pour l'approvisionnement et la surveillance. Les systèmes publics et les grands clients de la santé ne devraient pas compter uniquement sur la réputation du fournisseur. Ils ont besoin de représentations de sécurité qui peuvent être testées avant un incident et vérifiées après.

Le langage contractuel devrait exiger une notification de violation, une coopération avec les régulateurs, des évaluations indépendantes, des preuves de contrôle d'accès, des engagements de localisation des données, une divulgation des sous-traitants, des preuves de sauvegarde et de récupération, et des délais de correction mesurables. Un fournisseur de laboratoire qui traite des dossiers sensibles dans le cadre d'un flux de travail adjacent au public devrait s'attendre à ce niveau de contrôle.

La continuité comprend également la capacité de maintenir les services de test disponibles pendant que les travaux de sécurité progressent. Si un fournisseur de laboratoire doit isoler des systèmes, faire pivoter des identifiants, reconstruire des portails ou examiner des bases de données, les patients ont encore besoin de tests. Les médecins ont encore besoin de résultats. Les programmes de santé publique ont encore besoin de flux de données. Le plan de rétablissement du fournisseur doit donc séparer les opérations cliniques ou de laboratoire des environnements administratifs ou de portail compromis dans la mesure du possible.

Le dossier public n'établit pas toutes les dépendances opérationnelles dans l'événement LifeLabs, mais la catégorie est centrale pour la responsabilité: la sécurité des données de santé ne peut pas être réparée d'une manière qui interrompt aveuglément les soins.

Le rôle du régulateur est important car les patients affectés sont dispersés. Un seul patient peut ne pas avoir les ressources pour contester l'architecture de sécurité d'un fournisseur de laboratoire. Un médecin peut ne voir que l'effet en aval. Un acheteur public peut voir la conformité contractuelle mais pas la détresse du patient. Les commissaires à la vie privée peuvent agréger les preuves et exiger des mesures correctives systémiques. Cette agrégation est une fonction démocratique dans un domaine technique. Elle rend les contrôles cachés suffisamment visibles pour la responsabilité publique.

La norme de preuve du fournisseur privé devrait également survivre aux transactions d'entreprise, aux changements de direction et aux actualisations technologiques. Une réponse à une violation peut commencer sous une équipe de direction et se terminer sous une autre. Un portail peut être remplacé. Un fournisseur de sécurité peut changer. Un réseau de laboratoire peut s'étendre ou se contracter. Les mesures correctives ordonnées devraient donc être intégrées dans une gouvernance durable, et non seulement un plan de projet. La preuve de réparation devrait rester disponible pour les régulateurs même si les systèmes et les personnes changent.

L'avis aux patients doit gérer l'incertitude honnêtement

Les avis de données de santé sont confrontés à un équilibre difficile. Si un avis est trop technique, de nombreux patients ne peuvent pas l'utiliser. S'il est trop général, les patients ne peuvent pas prendre de décisions éclairées. S'il est trop rassurant, il peut cacher l'incertitude. S'il est trop alarmant, il peut décourager les soins. L'avis responsable doit être simple, spécifique et honnête sur ce qui est connu et ce qui ne l'est pas.

Pour LifeLabs, les catégories d'avis utiles incluent les données d'identité, les informations de carte santé, les identifiants de portail, les mots de passe et les résultats de laboratoire. Chaque catégorie a des actions différentes. L'exposition des données d'identité et de carte santé peut nécessiter une surveillance de la fraude et une sensibilisation. Les identifiants de portail nécessitent des réinitialisations de mot de passe et une authentification plus forte.

L'exposition des résultats de laboratoire peut nécessiter un soutien à la vie privée, une communication avec le médecin et une gestion prudente des circonstances personnelles sensibles. Une seule instruction générique ne peut pas servir toutes les catégories.

L'avis doit également reconnaître que les patients diffèrent. Certaines personnes sont numériquement confiantes et peuvent changer leurs mots de passe immédiatement. Certaines personnes sont âgées, malades, handicapées, vivent dans des conditions instables ou dépendent de membres de la famille. Certaines peuvent être des mineurs dont les parents ou tuteurs gèrent les dossiers. Certaines peuvent avoir des tests sensibles qui créent des problèmes de sécurité personnelle ou de stigmatisation. Un fournisseur de données de santé devrait concevoir un soutien en cas de violation pour cette diversité.

L'obligation n'est pas satisfaite en publiant un avis et en attendant que les patients inquiets le trouvent.

L'incertitude devrait être communiquée comme telle, non cachée dans un langage passif. Si les journaux ne peuvent pas montrer si des données particulières ont été consultées, dites-le. Si un paiement de rançon a récupéré des données mais ne peut pas prouver la suppression, dites-le. Si un sous-ensemble de résultats de tests a été impliqué mais que l'impact exact sur le patient diffère, expliquez les catégories. Si des améliorations de sécurité sont en cours mais pas terminées, fournissez un calendrier et une voie de surveillance réglementaire. Les patients peuvent mieux gérer des faits incomplets qu'une ambiguïté polie.

Une incertitude honnête protège également la crédibilité du fournisseur. Des déclarations trop confiantes peuvent échouer lorsque de nouveaux faits émergent. Un avis prudent, fondé sur des preuves, peut être mis à jour sans sembler évasif. Dans les données de santé, la crédibilité est un atout de sécurité. Les patients qui font confiance au fournisseur sont plus susceptibles de suivre les mesures de protection, d'utiliser les canaux de soutien officiels et de continuer les tests nécessaires.

Les mesures correctives ordonnées doivent devenir un programme de sécurité mesurable

Les ordonnances réglementaires sont aussi fortes que le système de mise en œuvre derrière elles. Un fournisseur de laboratoire devrait convertir les ordonnances en un registre de mesures correctives avec des propriétaires, des délais, des artefacts de preuve, des critères de test et une cadence de rapport. Chaque élément devrait avoir une norme de clôture. « Améliorer la surveillance » n'est pas clos lorsqu'un outil est acheté.

Il est clos lorsque les systèmes pertinents envoient des journaux, les règles d'alerte sont ajustées, le personnel répond aux alertes, la conservation répond au besoin d'enquête et un examen indépendant confirme la couverture. « Renforcer le contrôle d'accès » n'est pas clos lorsqu'une politique est rédigée. Il est clos lorsque les comptes privilégiés sont inventoriés, les droits inutiles sont supprimés, l'authentification est renforcée, les examens se répètent et les exceptions sont suivies.

La même approche mesurable s'applique à la conservation des données. Un fournisseur devrait identifier les classes de dossiers, les exigences légales de conservation, les besoins de soins, les besoins de facturation, les besoins de service aux patients et les règles de suppression ou d'archivage. Il devrait savoir quels magasins contiennent des résultats historiques, quels systèmes les exposent, quels employés peuvent y accéder et quels fournisseurs les traitent. Si d'anciennes données doivent rester, le niveau de protection doit refléter la sensibilité.

Si d'anciennes données ne servent plus à rien, elles ne devraient pas rester dans un environnement chaud simplement parce que la suppression est gênante.

L'évaluation indépendante n'est utile que si elle a une portée et des conséquences. Un évaluateur devrait pouvoir examiner les contrôles qui importent pour les informations personnelles sur la santé, pas seulement la posture périmétrique générique. Les conclusions devraient être suivies jusqu'à la clôture. La direction devrait recevoir les éléments à haut risque non résolus. Les régulateurs devraient recevoir suffisamment de preuves pour juger de la conformité. Les patients devraient recevoir un résumé public qui ne révèle pas l'architecture sensible mais indique si les travaux ordonnés ont été achevés.

Cette vision du programme mesurable est la signification pratique de la responsabilité. Elle n'exige pas la divulgation publique de chaque règle de pare-feu ou table de base de données. Elle exige que le fournisseur connaisse son propre état de contrôle et soumette cet état à la surveillance. Dans un environnement de données de laboratoire, « faites-nous confiance » est trop faible après une violation. Le remplacement doit être une preuve qui peut être vérifiée.

Le programme mesurable doit également survivre aux opérations courantes. De nombreuses violations sont suivies de projets de correction intensifs, mais le risque revient lorsque les délais passent, les dirigeants passent à autre chose, les budgets se resserrent ou de nouveaux systèmes sont ajoutés. Un fournisseur de laboratoire devrait donc intégrer les contrôles ordonnés dans les achats, le déploiement de logiciels, l'examen des fournisseurs, l'intégration du personnel, la conception du portail, l'examen de la conservation des données et les exercices d'incident.

Un contrôle qui n'existe que dans un dossier de projet post-violation s'affaiblira. Un contrôle intégré dans la gouvernance ordinaire peut continuer à fonctionner après que l'attention publique s'estompe.

La preuve finale est la reproductibilité. Si une alerte similaire apparaît deux ans plus tard, le fournisseur devrait savoir quelle équipe la reçoit, quels journaux sont disponibles, quels systèmes contiennent des informations personnelles sur la santé, quels régulateurs doivent être informés, quelles populations de patients sont affectées, quelles communications sont prêtes et quels dirigeants peuvent autoriser le confinement. Cette reproductibilité est ce dont les patients et les systèmes publics ont besoin d'un fournisseur de laboratoire. Ils n'ont pas besoin d'une promesse que les incidents ne se produiront jamais.

Ils ont besoin de la preuve que le fournisseur peut détecter, limiter, expliquer et réparer un incident sans redécouvrir son propre environnement sous pression.

La reproductibilité est également une question d'équité. Les patients ne devraient pas avoir à attendre un litige, des pressions médiatiques ou une escalade réglementaire avant que les faits de base sur la protection des données de santé sensibles deviennent compréhensibles et vérifiables. Des preuves opportunes sont importantes.

La reproductibilité devrait également inclure des preuves tierces. Les fournisseurs de laboratoire s'appuient souvent sur des fournisseurs de portail, des infrastructures gérées, une surveillance de sécurité, des administrateurs de réclamations, des systèmes de courrier, des interfaces de facturation et des échanges de données du secteur public. Un programme d'ordonnances réglementaires qui ne regarde que la politique interne peut manquer les voies externes par lesquelles des dossiers sensibles sont consultés, déplacés ou soutenus.

Le fournisseur responsable devrait savoir quels fournisseurs peuvent toucher aux informations personnelles sur la santé, quels contrôles contractuels s'appliquent, quels journaux sont conservés et quelle partie doit agir pendant le confinement. Les preuves des fournisseurs ne sont pas un calendrier secondaire des mesures correctives. Elles font partie de la surface de confiance du patient.

Le verdict de responsabilité

La cyberattaque de LifeLabs en 2019 est un cas de responsabilité car l'entreprise détenait des données de laboratoire sensibles dans une relation où les patients avaient peu de capacité pratique à choisir, inspecter ou négocier l'environnement de sécurité. Le fournisseur avait le contrôle pratique sur la conception du système, l'accès au portail, la surveillance, la conservation des données, les décisions de réponse à la rançon, l'avis aux patients, les preuves réglementaires et la mise en œuvre des améliorations ordonnées. Les patients, les médecins et les systèmes publics devaient compter sur ce contrôle.

La réponse à la violation ne pouvait pas se terminer par un paiement, une notification et une surveillance de crédit. Ces mesures peuvent avoir été nécessaires, mais elles ne prouvent pas que les flux de travail des données de santé sont devenus plus sûrs. La preuve décisive est de savoir si LifeLabs a mis en œuvre les contrôles ordonnés, renforcé l'automatisation de la sécurité, réduit l'exposition inutile des données, amélioré la détection et donné aux régulateurs suffisamment de preuves pour vérifier la réparation.

La leçon plus large est que les fournisseurs de services de laboratoire font partie de l'infrastructure de santé même lorsqu'ils sont des entreprises privées. Ils traitent des dossiers intimes à des fins adjacentes à la santé publique. Leurs échecs en matière de cybersécurité peuvent devenir des échecs de confiance des patients. Leur travail de réparation doit donc être mesuré en preuves: mesures correctives ordonnées achevées, contrôles testés, avis rendus spécifiques et exposition future réduite. C'est le test de responsabilité par ordre réglementaire que LifeLabs a rendu visible.