Bastani Security
Réserver l’exercice d’incendie
Ressource gratuite · Pour les cliniques dentaires et médicales · Toronto et le Grand Toronto

La demande de rançon s'affiche avant l'horaire. Voici exactement quoi faire dans la première heure.

La plupart des rançongiciels en clinique commencent par un seul clic à la réception et se terminent par une décision liée à la PHIPA que personne n'a répétée. Cette trousse gratuite vous donne trois choses utilisables dès aujourd'hui : une liste de contrôle des signaux d'alerte pour les pièces jointes que votre réception ouvre réellement, un plan d'une page « nous sommes verrouillés » à coller près du téléphone, et une liste de contrôle en langage clair de décision d'atteinte à la PHIPA et de notification à la CIPVP. Imprimez-la, affichez-la, et votre équipe sera mieux préparée que la plupart des cliniques du quartier.

  • Une liste de contrôle des signaux d'alerte pour la réception, adaptée aux vrais leurres d'accueil de patients, de résultats de laboratoire et d'assurance - pas des conseils génériques sur le pourriel
  • Un plan d'intervention d'une page « nous sommes verrouillés » que vous pouvez coller à côté du téléphone de la réception
  • Une liste de contrôle de décision d'atteinte à la PHIPA et de notification à la CIPVP de l'Ontario, en langage clair
  • Conçue autour de Dexis, Tracker et AbelDent - et nous n'utilisons jamais de renseignements réels sur les patients
Envoyez-moi la trousse modifiable par courriel

Gratuit, sans mur d’inscription. Vous voulez les modèles modifiables ou un coup de main pour le déploiement? Vous n’avez qu’à demander.

01

Signaux d'alerte à la réception : la liste de contrôle des pièces jointes et des liens

Votre réception ouvre des dizaines de pièces jointes par jour - formulaires d'accueil, résultats de laboratoire, PDF d'assurance et réponses de réclamation. C'est la porte à laquelle frappent les attaquants. Voici la vérification de 30 secondes à faire avant de cliquer, rédigée pour les messages qu'une clinique reçoit réellement. Si deux de ces éléments ou plus sont vrais, arrêtez et vérifiez par téléphone avant d'ouvrir quoi que ce soit.

Le nom affiché de l'expéditeur est un laboratoire, un assureur ou un patient connu, mais l'adresse de courriel réelle (survolez-la) est un charabia ou un domaine presque identique - « intake@dental-records-secure.com » au lieu du cabinet ou de l'assureur que vous connaissez.
C'est un « formulaire d'assurance », un « nouveau dossier de patient », un « résultat de laboratoire » ou une « réponse de réclamation d'assurance » que vous n'attendiez pas, pour un patient que vous ne reconnaissez pas, ou qui est arrivé en dehors des heures normales de l'expéditeur.
La pièce jointe est un .zip, .html, .htm, .iso, ou un fichier qui vous demande d'« activer le contenu », d'« activer les macros » ou d'« activer la modification » pour le consulter - les vrais fichiers d'accueil et de laboratoire n'en ont jamais besoin.
Un lien vous demande de vous connecter pour consulter un document - et la page ressemble à votre messagerie, à votre système de gestion de cabinet ou à un portail, mais l'adresse Web n'est pas celle que vous utilisez habituellement. Allez sur le site que vous connaissez, ne cliquez pas sur le lien.
Le message crée un sentiment d'urgence ou de peur : « le compte sera suspendu », « réclamation impayée », « répondez dans les 24 heures », « plainte de patient jointe ». La pression est le signe révélateur.
Un appelant ou un courriel prétend être « votre entreprise informatique » ou le soutien logiciel et demande à quelqu'un d'installer un logiciel d'accès à distance, de lire un code à voix haute, ou d'approuver une invite de connexion qu'il n'a pas lancée.
Un code QR arrive par courriel ou sur un dépliant demandant au personnel de le scanner pour « vérifier » une connexion, une réclamation ou un paiement - traitez un code QR comme un lien que vous ne pouvez pas lire.
En cas de doute, la règle tient en une ligne : ne l'ouvrez pas, ne cliquez pas, ne l'approuvez pas - vérifiez auprès de l'expéditeur à un numéro que vous avez déjà, puis décidez.
02

Le plan d'une page « nous sommes verrouillés » - collez-le près du téléphone

Si un écran affiche une demande de rançon, ou si l'horaire, les dossiers ou l'imagerie ne se chargent pas sur plus d'un ordinateur, traitez cela comme une attaque possible - pas comme un pépin informatique. La première heure détermine à quel point la journée tournera mal. Attribuez ces rôles avant que quoi que ce soit ne survienne ; le moment venu, suivez simplement la liste dans l'ordre.

Restez calme et cessez d'utiliser les ordinateurs touchés. Ne payez rien, ne répondez pas à la demande, ne redémarrez pas et n'exécutez pas de « correctifs » - cela peut détruire les preuves dont vous aurez besoin plus tard.
Débranchez, n'éteignez pas : débranchez le câble réseau et coupez le Wi-Fi des machines touchées pour stopper la propagation, mais laissez-les ALLUMÉES pour que les journaux et les preuves médicolégales survivent (la recommandation du Centre pour la cybersécurité - n'effacez pas ce dont vous aurez besoin).
Mettez le reste de la clinique hors ligne : déconnectez le serveur et tout autre poste de travail du réseau et d'Internet pour qu'il ne puisse pas sauter de Dexis, Tracker ou AbelDent à la prochaine machine.
Appelez maintenant votre fournisseur informatique ou MSP - c'est le numéro qui devrait déjà être inscrit sur cette page - et dites-lui que vous soupçonnez un rançongiciel, pas un ordinateur lent.
Commencez une chronologie écrite sur papier : l'heure où vous l'avez remarqué, quels écrans affichaient quoi, qui a cliqué sur quoi et quand. Photographiez la demande de rançon avec un téléphone. Ce journal est précieux pour l'informatique, votre assureur et toute décision liée à la PHIPA.
Appelez votre courtier en cyberassurance / ligne d'urgence d'atteinte avant de poser de grandes actions - de nombreuses polices l'exigent, et ils font intervenir une aide à la réponse aux incidents. Le numéro va aussi sur cette page.
Décidez qui parle aux patients dans la salle d'attente et ce qu'il dit - un calme « nos systèmes sont en panne, nous vous reprenons rendez-vous » - et désignez une seule personne pour que le message reste cohérent.
Ne payez pas la rançon et ne négociez pas seul. Le Centre canadien pour la cybersécurité déconseille de payer, et votre assureur et votre équipe de réponse aux incidents s'en chargent. Signalez-le au Centre antifraude du Canada (1-888-495-8501) et envisagez la police locale.
Une fois contenu, passez à la décision liée à la PHIPA ci-dessous - car un verrouillage qui a exposé ou aurait pu exposer des dossiers de patients est une affaire de vie privée, pas seulement une affaire technique.
03

La liste de contrôle de décision d'atteinte à la PHIPA (Ontario)

En vertu de la Loi de 2004 sur la protection des renseignements personnels sur la santé (PHIPA) de l'Ontario, une clinique est un dépositaire de renseignements sur la santé, et un rançongiciel qui touche des dossiers de patients peut constituer une atteinte à la vie privée même si aucune donnée n'a manifestement été volée - l'« utilisation ou divulgation non autorisée » inclut des dossiers chiffrés, consultés ou copiés par un attaquant. Travaillez ces questions avec votre personne-ressource en protection de la vie privée (et, pour tout aspect juridique, votre avocat). Ceci est une préparation pratique, pas un avis juridique.

L'incident concernait-il des renseignements personnels sur la santé ? Dans une clinique, un rançongiciel sur le système qui exécute Dexis, Tracker ou AbelDent en concerne presque toujours - noms, dossiers, imagerie, facturation, numéros de carte Santé.
Des RPS ont-ils été utilisés, divulgués ou consultés sans autorisation, ou volés, perdus ou rendus indisponibles ? Le chiffrement par un attaquant, ou des données qu'il aurait pu copier avant de vous verrouiller, comptent - « nous ne pouvons pas prouver qu'ils les ont pris » n'équivaut pas à « ce n'était pas une atteinte ».
Déterminez de qui les renseignements sont touchés et approximativement combien de patients - même une portée approximative façonne vos obligations de notification.
Déterminez votre obligation d'aviser les patients touchés : la PHIPA exige d'aviser les personnes à la première occasion raisonnable lorsque leurs RPS sont volés, perdus, ou utilisés/divulgués sans autorisation. Planifiez qui appelle ou écrit, et ce que vous dites.
Déterminez votre obligation d'aviser le Commissaire à l'information et à la protection de la vie privée de l'Ontario (la CIPVP) : la PHIPA et son règlement exigent d'aviser la CIPVP dans des circonstances définies (par exemple, des atteintes impliquant un vol, une série d'atteintes similaires, ou lorsqu'un signalement à un ordre professionnel est requis). Vérifiez les directives actuelles de la CIPVP et votre situation avec un conseiller juridique.
Envisagez votre obligation d'aviser l'ordre professionnel pertinent (par exemple, l'ODAO pour les dentistes ou l'OMCO pour les médecins) lorsque les règles de signalement de la PHIPA s'appliquent.
Documentez tout : ce qui s'est passé, quels RPS étaient en cause, ce que vous avez décidé au sujet de la notification et pourquoi, et les dates. La PHIPA attend des dépositaires qu'ils suivent les atteintes à la vie privée et qu'ils déclarent chaque année leurs statistiques d'atteintes à la CIPVP.
Faites un bilan par la suite : quel contrôle aurait empêché cela - l'AMF sur le courriel, des sauvegardes testées, une formation de la réception - et inscrivez-le dans votre plan pour que la prochaine réponse soit plus rapide. (Consultez le Centre pour la cybersécurité et la CIPVP de l'Ontario pour les directives actuelles ; confirmez les détails avec votre avocat.)
04

Avant la mauvaise journée : cinq choses à faire cette semaine

Cette trousse est pour l'urgence. Ces cinq mesures sont les contrôles discrets et ennuyeux qui font que l'urgence soit n'arrive jamais, soit ne fait presque aucun dégât - ceux qui apparaissent sur chaque demande de cyberassurance et chaque revue de risque PHIPA d'une clinique. Aucun ne nécessite un grand projet.

Activez l'authentification multifacteur (AMF) pour le courriel et vos connexions de gestion de cabinet - la plupart des intrusions en clinique commencent par un seul mot de passe volé, et l'AMF en bloque la majorité.
Assurez-vous que vos sauvegardes sont réelles et testées : qu'elles couvrent Dexis / Tracker / AbelDent et le serveur d'imagerie, qu'au moins une copie soit hors ligne ou immuable pour que le rançongiciel ne puisse pas la chiffrer aussi, et que quelqu'un ait réellement restauré un fichier pour prouver que ça fonctionne.
Inscrivez maintenant les trois numéros de téléphone sur le plan d'une page - votre fournisseur informatique/MSP, votre courtier en cyberassurance ou ligne d'urgence d'atteinte, et votre personne-ressource en vie privée/PHIPA - pour que personne ne les cherche en pleine crise.
Consacrez cinq minutes à la réception sur la liste de contrôle des signaux d'alerte lors d'une réunion d'équipe, et convenez à voix haute de la règle de la clinique : quand une pièce jointe ou une connexion semble louche, on vérifie d'abord, et personne n'a d'ennuis pour avoir ralenti.
Décidez aujourd'hui qui prend la décision liée à la PHIPA et qui parle aux patients, pour que ce ne soient pas des questions auxquelles vous répondez pour la première fois pendant que la salle d'attente se remplit.
Comment l’utiliser

Imprimez les trois pages, collez le plan « nous sommes verrouillés » à côté du téléphone de la réception, et inscrivez vos numéros de téléphone informatique, d'assurance et de vie privée avant d'en avoir besoin. Ceci est une préparation pratique, pas un avis juridique - confirmez vos obligations en vertu de la PHIPA avec votre propre avocat et les directives actuelles de la CIPVP de l'Ontario.

Une liste de vérification, c’est un début. Un exercice, ça marque durablement.

L’Exercice d’incendie cybernétique mène ces attaques exactes contre votre équipe - en toute sécurité - pour que les réflexes de cetrousse d’outils deviennent une seconde nature. Trois heures, sur place, avec un plan de 30 jours noté.

Réserver l’exercice d’incendie Voir la page cliniques dentaires et médicales →
Est-ce vraiment gratuit, et touchez-vous un jour à nos données de patients ?

C'est gratuit, et non - nous n'utilisons jamais de renseignements réels sur les patients, pour quoi que ce soit. Cette trousse est bâtie à partir des directives publiques de la PHIPA, de la CIPVP de l'Ontario et du Centre canadien pour la cybersécurité, ainsi que de notre propre expérience en clinique. La même règle vaut dans notre formation en direct : aucune donnée réelle de patient, aucun logiciel malveillant, aucune récolte de mots de passe, et personne n'est nommé ni humilié.

Nous avons déjà une entreprise informatique. Est-ce que cela ne nous couvre pas ?

Votre fournisseur informatique garde les systèmes en marche et c'est exactement qui vous appelez dans la première heure - il est sur le plan pour une raison. Mais la plupart des rançongiciels en clinique commencent par un clic humain à la réception, et la décision liée à la PHIPA qui suit vous revient, pas à lui. Cette trousse couvre le volet des gens et des décisions que l'informatique ne peut pas faire à votre place. Votre entreprise informatique est bienvenue dans la salle lorsque nous formons votre équipe.

En quoi est-ce différent de votre Exercice d'intervention cyber ?

Cette trousse est la version imprimée de quelques éléments que nous couvrons. L'Exercice d'intervention cyber est la version en direct, d'environ trois heures, sur place, pour toute votre clinique - votre réception répète le moment de la pièce jointe malveillante, votre équipe parcourt ensemble l'exercice de simulation du verrouillage, et la direction repart avec un plan conscient de la PHIPA, avec un pointage correspondant à votre situation réelle. Lire le plan, c'est bien ; le vivre une fois, c'est ce dont votre équipe se souvient. Réservez un Exercice d'intervention cyber, ou un appel de 20 minutes, quand vous serez prêt.

Plus de ressources dans la bibliothèque de ressources · des questions? contact@bastani.org