Introduction

Dans l’environnement commercial actuel du secteur de la santé, les organisations se livrent une concurrence féroce pour conquérir les clients en offrant des expériences patients et clients exceptionnelles. Parallèlement, les soignants et les employés exigent des outils numériques capables de rendre leur travail plus simple et plus efficace. Mais avec l’expansion rapide des écosystèmes de santé numériques, la sécurité est devenue une préoccupation encore plus importante et ne peut être ignorée.

Selon le rapport 2023 de Ping Identity (anciennement ForgeRock) sur les violations d’identité, le secteur de la santé est resté la principale cible des cybercriminels pour la cinquième année consécutive. L’accès non autorisé demeure la première cause des violations, entraînant de lourdes conséquences pour les organisations de santé, le coût moyen d’une violation atteignant 10,10 millions de dollars.²

Les retombées des violations de données sont considérables et englobent des pertes financières, une atteinte à la réputation et des responsabilités juridiques. Plus alarmant encore est l’impact sur la santé des patients. Des statistiques frappantes du Ponemon Institute révèlent que plus de 20 % des organisations de prestataires de soins de santé ont signalé une augmentation des taux de mortalité des patients à la suite de cyberattaques.³ L’étude met également en évidence les effets néfastes des cyberattaques sur la prise en charge des patients, tels que des procédures retardées, des séjours hospitaliers prolongés et d’autres issues défavorables. Les attaques par ransomware, en particulier, ont été extrêmement dommageables, provoquant des retards de procédures ou d’examens dans 64 % des organisations touchées et entraînant des séjours prolongés des patients dans 59 % des cas.

Après l’accès non autorisé, la deuxième cause la plus fréquente de violations dans le secteur de la santé est liée aux utilisateurs internes, selon le Data Breach Investigations Report 2024 de Verizon.⁴ Ces violations sont souvent dues à des erreurs humaines, à une mauvaise utilisation des accès système ou à la divulgation involontaire d’informations personnelles identifiables (PII) ou d’identifiants d’un client. Cette divulgation survient fréquemment lorsque des fraudeurs interagissent avec les centres de contact — accueil, assistance ou centre d’appels.

Les attaquants se concentrent sur le maillon le plus faible au sein d’une organisation. De manière générale, selon Accenture, le centre d’appels est devenu la voie de moindre résistance pour la fraude en raison de processus et de technologies d’authentification hérités et cloisonnés.⁴ Les expériences clients avec les centres de contact traditionnels du secteur de la santé ne sont pas non plus satisfaisantes. Elles obligent souvent les clients à répéter leurs identifiants à plusieurs étapes du processus d’authentification, une expérience frustrante qui ne favorise ni la satisfaction ni la fidélité.

¹ https://www.aha.org/news/aha-cyber-intel/2024-08-05-third-party-cyber-risk-impacts-health-care-sector-most-heres-how-prepare

² https://www.ibm.com/downloads/cas/3R8N1DZJ

³ https://www.proofpoint.com/us/cyber-insecurity-in-healthcare

⁴ https://www.verizon.com/business/resources/reports/dbir

⁵ https://www.brighttalk.com/webcast/16337/531083

Les principales vulnérabilités des centres d’appels du secteur de la santé

Le secteur de la santé a connu une augmentation du nombre d’attaques car il traite un volume important de données personnelles sensibles. Les acteurs malveillants savent que les organisations de santé disposent souvent de processus de vérification d’identité dans les centres d’appels plus faibles que dans d’autres secteurs, comme les institutions financières, ce qui en fait des cibles plus faciles.

Pour commencer à élaborer une stratégie de sécurité pour les centres d’appels, il est important d’identifier d’abord les sources de risques et de vulnérabilités. Les plus courantes incluent :

1. Mots de passe et identifiants faibles

L’utilisation de mots de passe faibles ou faciles à deviner constitue un risque de sécurité courant. Il en va de même pour les questions d’authentification courantes, telles que l’adresse ou la date de naissance, posées par les agents de centres d’appels/help-desk et le personnel administratif du secteur de la santé. Les centres de contact de santé s’appuient souvent sur des questions d’authentification basées sur la connaissance (KBA), qui peuvent être facilement contournées si les fraudeurs disposent déjà d’informations partielles sur un consommateur. Cela crée un vecteur d’attaque permettant aux fraudeurs d’accéder à des comptes confidentiels.

2. Menaces internes

Les menaces internes désignent les risques posés par des personnes au sein d’une organisation, telles que des employés ou des prestataires, qui disposent d’un accès légitime aux systèmes mais en abusent, de manière malveillante ou par erreur. Cet abus peut inclure un accès non autorisé, le vol de données ou la divulgation inappropriée d’informations sensibles.

3. Usurpation d’identité et ingénierie sociale

Les fraudeurs se font souvent passer pour des consommateurs légitimes, tels que des patients, des prestataires de soins ou des assureurs, en utilisant des informations qu’ils ont pu obtenir via des violations de données, du phishing ou d’autres tactiques d’ingénierie sociale. En incitant les agents des centres de contact à révéler des informations supplémentaires ou à accorder l’accès à des comptes, les fraudeurs peuvent ensuite utiliser ces données à des fins de gain financier, de fraude à l’assurance ou d’usurpation d’identité supplémentaire. Malheureusement, l’IA générative facilite l’usurpation d’identité, contribuant à un risque significatif de « deepfakes » vocaux et vidéo.

4. Usurpation des identifiants d’appelant

Les fraudeurs utilisent de plus en plus des identifiants d’appelant falsifiés pour masquer leur identité et paraître légitimes lorsqu’ils contactent des établissements de santé. En imitant des numéros de téléphone de confiance (par exemple, un hôpital ou un payeur), ils peuvent réduire la suspicion et augmenter leurs chances d’obtenir un accès non autorisé à des informations sensibles.

5. Tentatives de fraude omnicanales

Les fraudeurs emploient désormais des stratégies multicanales, combinant appels vocaux, e-mails, SMS et attaques basées sur le web. Ils peuvent tenter de collecter des fragments d’informations à partir de différents points d’interaction, y compris les centres de contact, afin de reconstituer leur schéma de fraude.

La gestion de ces risques et vulnérabilités nécessite des capacités de sécurité fournies par une plateforme d’identité numérique de niveau entreprise.

Comment sécuriser le centre d’appels du secteur de la santé avec Ping Identity

Plusieurs solutions de sécurité des identités de niveau entreprise protègent non seulement les organisations contre les violations, la fraude et les ransomwares, mais elles permettent également d’offrir d’excellentes expériences — tout en réduisant les coûts.

1. Vérification d’identité

La vérification d’identité est le processus qui consiste à confirmer qu’une personne est bien celle qu’elle prétend être. Cela se produit généralement lorsqu’une personne crée un compte, se connecte, réinitialise un mot de passe ou effectue une action à haut risque, comme l’accès à des informations de santé personnelles (PHI). Cela implique souvent la vérification d’informations personnelles, telles qu’un permis de conduire ou un passeport, afin de confirmer l’identité. Aujourd’hui, d’autres méthodes incluent la vérification des adresses e-mail, des numéros de téléphone, l’utilisation de données biométriques comme les empreintes digitales ou la reconnaissance faciale, voire des caractéristiques vocales. L’objectif est de relier l’identité réelle d’une personne à son identité numérique et de prévenir la fraude — en garantissant que seuls les utilisateurs autorisés peuvent accéder à certains services.

Des tendances préoccupantes rendent nécessaires des capacités robustes de vérification d’identité. La première est l’augmentation des candidats à l’emploi qui utilisent des usurpateurs lors des entretiens. Avec la montée des menaces internes comme cause majeure des violations dans le secteur de la santé, il est important pour les professionnels de la sécurité de s’assurer qu’un agent de centre d’appels, ou tout autre employé recruté, est bien la même personne que celle qui a passé l’entretien pour le poste. Deuxièmement, en raison de la hausse des usurpations d’identité, de la création de comptes synthétiques et de la fraude dans le secteur de la santé, il est important de vérifier l’identité d’un consommateur lors de l’inscription à un compte, ainsi qu’au moment de l’authentification lorsque les scores de risque l’indiquent, ou au cours de la session utilisateur.

Ping Identity propose une variété d’options de vérification d’identité, permettant aux responsables du secteur de la santé de rationaliser les processus de vérification d’identité afin d’améliorer considérablement la sécurité et l’expérience globale des consommateurs.

1. Vérification d’identité basée sur des documents : Ce service est intégré aux applications via un SDK mobile afin de permettre aux clients de vérifier facilement leur identité pour renforcer la sécurité et réduire la création frauduleuse de comptes, en réalisant une capture faciale en direct, en scannant et en vérifiant leur pièce d’identité officielle et en faisant correspondre cette pièce avec la capture faciale en direct.
2. Vérification d’identité basée sur la connaissance (KBA) : Repose sur des questions de sécurité auxquelles seule la personne légitime est censée pouvoir répondre (par exemple, historique d’adresses, transactions précédentes ou informations personnelles).
3. Vérification d’identité par correspondance mobile : Utilise l’appareil mobile d’une personne comme facteur de vérification, généralement en faisant correspondre le numéro de téléphone ou en utilisant des données biométriques liées à l’appareil (par exemple, reconnaissance faciale, empreintes digitales). Cette méthode vérifie la possession de l’appareil mobile grâce à des techniques telles que les OTP par SMS (codes à usage unique) ou les notifications push pour authentifier l’utilisateur. Elle est souvent combinée à d’autres facteurs comme la géolocalisation ou l’historique de l’appareil afin de renforcer l’authentification.
4. Vérification d’identité biométrique vocale : Identifie et authentifie les individus sur la base de leurs caractéristiques vocales uniques. Contrairement aux biométries physiques (empreintes digitales, scans faciaux), aucun matériel spécifique n’est requis — seulement un microphone ou un téléphone, ce qui en fait une solution idéale pour les cas d’usage des centres de contact.

⁶ https://www.verizon.com/business/resources/Tc8f/infographics/2024-dbir-healthcare-snapshot.pdf

2. Gouvernance des identités alimentée par l’IA

Comme indiqué précédemment, les risques et vulnérabilités en matière de sécurité dans le secteur de la santé proviennent en grande partie d’acteurs internes. Un facteur important de ce problème de sécurité réside dans la manière dont les employés, sous-traitants et partenaires se voient accorder l’accès aux systèmes et ressources internes.

Malheureusement, l’attribution des accès et la gouvernance restent largement manuelles : elles sont fastidieuses et sujettes aux erreurs humaines. En règle générale, les droits d’accès des utilisateurs sont accordés en permettant à un responsable ou au propriétaire d’une application de vérifier les accès des utilisateurs dans un système donné, puis de certifier qu’un utilisateur spécifique, ou des groupes d’utilisateurs, doivent se voir accorder ou refuser l’accès.

La solution de gouvernance de Ping Identity exploite le machine learning (ML) et l’intelligence artificielle (AI) pour transformer les modèles de gouvernance statiques traditionnels utilisés pour accorder les accès, en analysant l’ensemble du paysage des droits d’accès d’une organisation. Elle fournit ensuite des informations permettant de prendre des décisions éclairées en matière d’attribution et de gouvernance des accès, et identifie les zones à haut risque nécessitant un contrôle renforcé. Cette solution de gouvernance unifiée aide les responsables de la sécurité du secteur de la santé à réduire significativement le risque que des utilisateurs internes, tels que des conseillers de centres de contact, aient accès à des ressources et des données auxquelles ils ne devraient pas accéder.

Gouvernance unifiée des identités

3. Authentification sans mot de passe et authentification multifacteur (MFA)

L’authentification sans mot de passe et la MFA permettent de répondre aux problèmes liés aux identifiants faibles ainsi qu’aux risques et vulnérabilités d’ATO. L’authentification sans mot de passe élimine pratiquement le vol d’identifiants, la réutilisation d’identifiants, les attaques de phishing, le credential stuffing et d’autres menaces.

Elle réduit également de manière significative les coûts liés aux réinitialisations de mots de passe pour les centres d’assistance et offre une excellente expérience aux consommateurs comme aux collaborateurs — puisqu’ils n’ont plus jamais à créer un mot de passe, à s’en souvenir ou à le réinitialiser.

Ping Identity propose de nombreuses options d’authentification sans mot de passe pour les entreprises et leurs collaborateurs. Ces options vont du sans mot de passe en tant que facteur jusqu’au « sans mot de passe complet », et permettent aux organisations de déployer le sans mot de passe à leur propre rythme.

1. Facteur sans mot de passe
   Utiliser une méthode sans mot de passe, telle qu’une notification push ou un lien magique envoyé par e-mail, comme facteur d’authentification supplémentaire en plus d’un mot de passe.
2. Expérience sans mot de passe
   Supprimer le mot de passe de l’expérience utilisateur et effectuer toute authentification basée sur un mot de passe de manière sécurisée en arrière-plan.
3. Sans mot de passe complet
   Éliminer totalement la création et l’utilisation des mots de passe et effectuer l’authentification à l’aide de la biométrie, de la cryptographie à clé privée et d’autres méthodes.

Pour les responsables de la sécurité du secteur de la santé qui ne sont pas prêts à adopter l’authentification sans mot de passe, l’authentification multifacteur (MFA) constitue une alternative populaire et efficace. La MFA est une méthode de validation de l’identité d’un utilisateur via plusieurs mécanismes d’authentification incluant quelque chose que l’utilisateur connaît, quelque chose qu’il possède et quelque chose qu’il est. Par exemple, l’accès n’est accordé qu’après que l’utilisateur a saisi le mot de passe correct (ce qu’il connaît), accompagné d’une notification push ou d’un code numérique envoyé par e-mail ou par SMS sur son téléphone enregistré (ce qu’il possède), ou via des données biométriques telles qu’une empreinte digitale, un scan facial ou Touch ID (ce qu’il est).

Les clients apprécient de savoir que des fonctionnalités de sécurité supplémentaires sont à leur disposition. Avec Ping, ils peuvent même choisir l’option ou les options de MFA qu’ils préfèrent, comme une invite par SMS ou un scan de QR code.

4. Surveillance en temps réel et détection des menaces

La solution Protect de Ping aide les responsables de la sécurité du secteur de la santé à prévenir la prise de contrôle de comptes et la fraude à tous les points d’authentification, connus sous le nom de périmètre d’identité. Elle évalue l’activité des sessions et les interactions avec les centres d’appels afin de détecter les comportements anormaux et fournit des informations sur les menaces pour ajuster les exigences d’authentification en fonction d’une analyse des risques en temps réel. Par exemple, si un patient appelle depuis un lieu ou un appareil non reconnu, le système peut exiger une forme d’authentification plus forte, telle qu’une vérification biométrique ou un code à usage unique (OTP) envoyé vers un appareil connu.

Les méthodes traditionnelles, comme demander la date de naissance d’un patient ou la dernière intervention qu’il a subie, peuvent être facilement compromises lors de violations de données. À la place, PingOne Protect fournit une vérification d’identité en temps réel en s’appuyant sur des facteurs tels que l’analyse comportementale et l’authentification biométrique, rendant beaucoup plus difficile l’usurpation d’identité de patients réels par des fraudeurs.

Ping a conçu sa solution Protect pour qu’elle s’intègre de manière transparente à son moteur d’orchestration no-code plébiscité. Les scores de risque peuvent être intégrés dans la conception des parcours des centres d’appels et des services d’assistance, permettant aux responsables de la sécurité du secteur de la santé de réduire les frictions inutiles et d’améliorer l’expérience des utilisateurs légitimes.

Avec PingOne Protect, vous pouvez :

• Réduire le nombre de fois où les utilisateurs légitimes sont interrompus pour s’authentifier
• Prévenir la fraude à l’identité en évaluant l’activité et en détectant les anomalies
• Obtenir une visibilité sur le niveau de risque, la posture face à la fraude et les tendances

Évaluer les risques et la fraude grâce à des tableaux de bord

Comprendre où se situent les risques au sein d’une organisation permet aux responsables de la sécurité de prendre les bonnes décisions d’authentification afin de renforcer leur posture de sécurité. PingOne Protect propose des tableaux de bord et des rapports robustes offrant une visibilité sur la répartition des événements à risque, les localisations à haut risque, les facteurs à haut risque, les utilisateurs les plus risqués, la répartition des navigateurs et celle des systèmes d’exploitation.

5. CIBA et usurpation d’identité sécurisée

Plutôt que d’exiger des appelants qu’ils répondent à des questions d’authentification faibles, la solution client-initiated backchannel authentication (CIBA) de Ping Identity permet aux conseillers des centres de contact d’authentifier les appelants via des méthodes plus sécurisées, telles que l’envoi d’une invite via une application mobile ou un message texte. CIBA prend également en charge l’usurpation d’identité sécurisée, permettant aux conseillers d’interagir de manière sécurisée avec les consommateurs et leurs données.

Étant donné que les conseillers des centres d’appels ont accès aux comptes des consommateurs, des fraudeurs peuvent potentiellement exploiter cette situation pour obtenir des données sensibles. Il est donc essentiel que la solution d’identité d’une organisation prenne en charge l’usurpation d’identité sécurisée. Cette fonctionnalité permet aux consommateurs d’accorder temporairement aux conseillers le contrôle de leur compte — souvent via une invite dans une application mobile — pour une durée déterminée. En garantissant que les conseillers n’accèdent aux comptes des consommateurs qu’avec l’autorisation explicite d’utilisateurs authentifiés, les responsables de la sécurité du secteur de la santé rendent la tâche des fraudeurs nettement plus difficile. Du côté des consommateurs, les clients apprécient de pouvoir contrôler si un conseiller peut consulter leur compte et pendant combien de temps. Les conseillers bénéficient également de cette fonctionnalité, car elle réduit le risque d’accroître les vulnérabilités de sécurité en raison d’erreurs humaines.

6. Identité décentralisée

La fraude à l’identité dans le secteur de la santé est répandue, entraînant des pertes financières substantielles et une augmentation des coûts de vérification d’identité. Les efforts actuels visant à atténuer les risques, associés aux exigences réglementaires, freinent l’agilité des entreprises. Les patients, employés et partenaires du secteur de la santé sont confrontés à des contrôles d’identité longs, à des saisies de données répétitives et à des difficultés liées au partage sécurisé d’informations d’identité vérifiées lors des appels aux centres de contact, impliquant souvent des processus manuels et des intégrations complexes.

L’identité décentralisée (DCI) fonctionne en donnant aux individus le contrôle de leurs informations personnelles, leur permettant de gérer et de partager en toute sécurité des justificatifs vérifiés directement, sans dépendre de bases de données centralisées. Grâce à des technologies telles que la blockchain et la cryptographie, les utilisateurs stockent des versions numériques de documents personnels (par exemple, pièces d’identité, certifications) dans un portefeuille numérique sécurisé. Lorsqu’ils doivent prouver leur identité, ils peuvent partager uniquement les informations requises avec des tiers (par exemple, uniquement l’âge, et non la date de naissance) via un justificatif vérifiable. Ce système améliore la confidentialité, réduit la fraude et rationalise les processus de vérification d’identité en limitant le recours à de multiples intermédiaires.

Avec la solution d’identité décentralisée (DCI) de Ping, Neo, les responsables du secteur de la santé peuvent renforcer la sécurité, l’expérience et la confidentialité des interactions avec les centres de contact des manières suivantes :

1. Justificatifs vérifiables pour la vérification d’identité : Les patients peuvent partager des justificatifs vérifiés et sécurisés par cryptographie directement depuis leurs portefeuilles numériques afin de prouver leur identité sans divulguer d’informations sensibles telles que les numéros de sécurité sociale (SSN) ou les mots de passe. Cela réduit le risque d’usurpation d’identité ou d’attaques d’ingénierie sociale.
2. Authentification sans mot de passe : La DCI permet aux patients de s’authentifier à l’aide de justificatifs numériques stockés dans leurs portefeuilles, éliminant ainsi le besoin de mots de passe. Cela réduit le risque d’attaques liées aux mots de passe, telles que le phishing ou le credential stuffing, renforçant la sécurité des interactions avec les centres de contact.
3. Divulgation sélective : Avec la DCI, les patients peuvent partager uniquement les informations spécifiques requises pour une interaction, comme la preuve d’âge, de tutelle ou de statut d’adhésion, sans exposer de données personnelles inutiles. Cela minimise le risque d’exposition des données et de fraude lors des interactions avec le centre d’appels.

7. Orchestration des identités no-code

Les attaquants ont tendance à cibler les maillons les plus faibles d’une organisation et, selon Accenture, les centres d’appels sont devenus la voie de moindre résistance pour la fraude en raison de processus d’authentification obsolètes et cloisonnés. De plus, les expériences traditionnelles des centres de contact dans le secteur de la santé frustrent souvent les patients en les obligeant à fournir à plusieurs reprises leurs identifiants à différentes étapes du processus d’authentification, ce qui entraîne insatisfaction et manque de fidélité.

L’orchestration des identités no-code est une capacité essentielle qui simplifie l’intégration de multiples systèmes, applications et technologies de sécurité. Elle offre un environnement no-code ou low-code dans lequel les organisations peuvent concevoir et gérer des workflows d’authentification sans nécessiter de développement manuel important. Le moteur d’orchestration des identités de Ping propose une interface par glisser-déposer et des connecteurs préconfigurés vers des systèmes courants, permettant une intégration aisée de divers services d’identité. Par exemple, les professionnels de la sécurité peuvent créer des parcours utilisateurs intégrant une combinaison de solutions de vérification d’identité, de détection de fraude et de gestion des accès au sein d’un workflow unique.

Dans le secteur de la santé, l’orchestration des identités permet aux organisations de gérer les intégrations de manière globale, éliminant la nécessité de jongler avec plusieurs fournisseurs ou plateformes d’identité pour différents cas d’usage. Cela réduit non seulement le risque de violations liées à l’identité, mais contribue également à garantir que les données de santé sensibles sont protégées contre les accès non autorisés et la fraude.

En fin de compte, l’orchestration no-code améliore l’expérience utilisateur en réduisant les frictions — par exemple en supprimant les sollicitations MFA inutiles pour les interactions à faible risque. Pour les responsables sécurité et expérience du secteur de la santé, cela signifie que les centres de contact peuvent offrir des interactions plus fluides et plus rapides, améliorant à la fois l’efficacité opérationnelle et la satisfaction des patients, tout en maintenant une conformité stricte en matière de sécurité et de confidentialité avec des réglementations telles que HIPAA.

Orchestration des identités no-code et low-code de Ping Identity

Le ROI de la modernisation de la sécurité des centres de contact

Les avantages de l’amélioration de la sécurité à l’accueil, au help desk et dans les centres d’appels sont évidents — et il est temps d’offrir une meilleure expérience aux clients ou aux patients utilisant ces services. Bien qu’une refonte complète puisse sembler intimidante, la bonne solution d’identité numérique peut générer des économies significatives et renforcer l’engagement des clients.

Par exemple, une récente étude Forrester® Total Economic Impact™ (TEI) sur Ping Identity (anciennement ForgeRock) CIAM montre que sur trois ans, les entreprises du secteur de la santé peuvent obtenir les résultats suivants :

Avec Ping Identity, les organisations du secteur de la santé peuvent obtenir les résultats suivants sur trois ans :

Les leaders du secteur de la santé choisissent Ping Identity

Utilisées conjointement, les capacités de sécurité des identités de niveau entreprise de Ping Identity atténuent les risques et les vulnérabilités afin d’améliorer significativement la sécurité et l’expérience utilisateur des centres de contact du secteur de la santé.

Ping Identity est le principal fournisseur d’IAM de niveau entreprise, aidant les individus à accéder simplement et en toute sécurité au monde connecté. Huit des dix plus grandes organisations de santé aux États-Unis utilisent Ping pour moderniser et accélérer leur transformation numérique, soutenir leurs initiatives de santé numérique et sécuriser leurs utilisateurs et leur organisation.

Chez Ping Identity, nous croyons en des expériences numériques à la fois sécurisées et fluides pour tous les utilisateurs, sans compromis. C’est cela, la liberté numérique. Nous permettons aux entreprises de combiner nos solutions d’identité de premier plan avec les services tiers qu’elles utilisent déjà afin d’éliminer les mots de passe, de prévenir la fraude, de soutenir une approche Zero Trust, et bien plus encore. Tout cela peut être réalisé grâce à une interface simple en glisser-déposer. C’est pourquoi plus de la moitié des entreprises du Fortune 100 choisissent Ping Identity pour protéger les interactions numériques de leurs utilisateurs tout en garantissant des expériences sans friction. En savoir plus sur www.pingidentity.com.