Protection de l'IoMT : meilleures pratiques pour sécuriser les dispositifs médicaux connectés à Internet

Lions, tigres et ours — Oh mon Dieu !

À son arrivée dans un paysage inconnu dans Le Magicien d'Oz, Dorothy observa : « Toto, j'ai le sentiment qu'on n'est plus au Kansas. » Les rencontres avec des singes volants, des compagnons dépourvus d'organes, des Munchkins joyeux et une sorcière aquaphobe devinrent bientôt sa nouvelle normale.

Pour nous, la nouvelle normale implique l'adoption accélérée de dispositifs médicaux connectés à Internet et de modèles de soins virtuels — l'« internet des objets médicaux » ou IoMT, défini par Deloitte comme une « infrastructure connectée de dispositifs médicaux, d'applications logicielles, et de systèmes et services de santé ».

La demande mondiale pour les dispositifs médicaux — de la part des consommateurs individuels et des prestataires de soins de santé — est énorme. Aux États-Unis, ce marché était estimé à 160,8 milliards de dollars en 2019 et devrait atteindre 176 milliards de dollars en 2020. Pendant ce temps, un rapport publié par la société de recherche Fior Markets prévoyait une croissance du marché mondial de la connectivité des dispositifs médicaux de 1,63 milliard de dollars en 2019 à 8,76 milliards de dollars en 2027.

C'est vivant !

Dans une autre histoire célèbre, le baron Victor Frankenstein, le docteur fou de Mary Shelley, utilisa de simples techniques de couture pour assembler les différentes parties du corps de sa créature, qu'il activa ensuite avec la version du 19e siècle de l'électroconvulsivothérapie. La technologie du 21e siècle n'a pas encore atteint cette capacité, bien que les transplantations, réattachements, prothèses et implants — dont beaucoup sont « intelligents » (c'est-à-dire connectés) ou fabriqués à l'aide d'outils de fabrication additive et d'impression 3D — ne soient pas rares.

À cause de cela, l'IoMT représente un aspect plus personnel de la convergence cyber-physique que celui vu dans d'autres applications IdO — ils entrent dans notre « zone de confiance » physique intime. La sécurité des patients et la vie privée peuvent être affectées si un dispositif ou le processus de fabrication d'un dispositif est compromis. Un tel potentiel a engendré des préoccupations concernant l'utilisation éthique et la capacité technique à protéger la vie privée, la cybersécurité et la performance essentielle du dispositif.

Gérer efficacement l'infrastructure IoMT nécessite la prise en compte de nombreuses pièces mobiles, souvent autonomes, y compris :

• Contrôle qualité dans le processus de fabrication.
• Interopérabilité des informations médicales stockées sur plusieurs appareils.
• Dépendance au stockage cloud et à la plateforme logicielle.
• Surveillance des communications réseau.
• Répondre aux attentes des professionnels de la santé.

L'IoMT fait de plus en plus partie de notre tissu de vie. Intégrer la confidentialité des données, l'intégrité des dispositifs et la résilience cyber dans la conception et la fabrication des dispositifs et équipements médicaux est essentiel.

Qui allez-vous appeler ?

Les scientifiques excentriques de SOS Fantômes utilisaient des tours parapsychologiques pour débusquer les spectres indésirables. Les standards et lignes directrices¹ pour les fabricants de dispositifs médicaux abordent la collaboration, les problèmes de qualité, la gestion des risques et de la sécurité, les scénarios d'utilisation, et décrivent les pratiques pour identifier et éradiquer tout comportement « fantomatique » inattendu dans les dispositifs médicaux. Cela aide à améliorer le contrôle sur la performance du dispositif « tel que conçu » et « tel que construit » (même si le contrôle sur les dispositifs « tels qu'utilisés » est plus insaisissable).

Le Forum international des régulateurs de dispositifs médicaux (IMDRF), une organisation volontaire, a constitué un groupe de travail sur la cybersécurité des dispositifs médicaux, qui a publié ses « Principes et pratiques pour la cybersécurité des dispositifs médicaux » en mars 2020.

Ce document n'aborde pas la cybersécurité au sein de l'entreprise elle-même, mais discute de la responsabilité des fabricants de dispositifs médicaux à améliorer la résilience cyber des produits, à corriger les vulnérabilités et à atténuer les risques à travers les étapes de conception/développement, fabrication, test, et support/surveillance post-marché du cycle de vie total du produit (TPLC). Ses recommandations pour les fabricants incluent le développement d'un plan de gestion de la cybersécurité TPLC pour aborder les éléments suivants :

• Conscience situationnelle.
• Divulgation des vulnérabilités.
• Mises à jour et correction.
• Récupération.
• Preuve que le fabricant reste informé des vulnérabilités divulguées et partage celles qu'il a identifiées.

Une technique de gestion des risques en particulier qui peut être utile est la modélisation des menaces. Le Open Web Application Security Project (OWASP) recommande que les fabricants posent les quatre questions suivantes lors de la conception et du développement :

1. Qu'est-ce qu'on construit ?
2. Qu'est-ce qui peut mal tourner (par ex. comment pourrait-il être attaqué) ?
3. Qu'allons-nous faire à ce sujet ?
4. Avons-nous fait un travail suffisamment bon ?

Planifier et intégrer la résilience cyber dans les dispositifs médicaux tout au long du TPLC, de la définition des exigences de performance jusqu'à la mise en service — et la retraite du — service aboutira à des produits qui méritent notre confiance.

Ils sont icccci !

Poltergeist explore les perturbations créées lorsque des activités commerciales basées sur le profit ignorent les préoccupations éthiques et humanistes et prennent des raccourcis qui mènent à des conséquences imprévues et des dommages collatéraux. La communauté des parties prenantes a collaboré sur une initiative pour prévenir de telles perturbations dans le secteur de la fabrication de dispositifs médicaux, qui relève de deux des 16 secteurs d'infrastructure critique identifiés dans la Directive présidentielle 21 (PPD-21) : santé et santé publique, et fabrication critique. De plus, en 2015, le Congrès américain a adopté le Cybersecurity Act of 2015 (CSA), qui inclut des exigences pour aligner les approches de sécurité de l'industrie de la santé.

Le Groupe de travail conjoint sur la cybersécurité du Conseil de coordination des secteurs de la santé et du secteur public, un partenariat public-privé avec le Département américain de la Santé et des Services sociaux, énumère les meilleures pratiques techniques pour les fabricants de dispositifs médicaux, notamment :

• Minimiser les surfaces d'attaque.
• Établir des configurations par défaut sécurisées.
• Maintenir l'audit et la responsabilité.
• Suivre les principes du moindre privilège, de la séparation des tâches et de la défense en profondeur.
• Échouer en toute sécurité.
• Garder la sécurité simple et corriger correctement les problèmes de sécurité.

Quiconque a travaillé sur les exigences de contrôle de sécurité NIST SP 800-171 reconnaîtra des éléments de ses 14 familles de contrôles capturés dans le résumé ci-dessus des meilleures pratiques. Ce sont des approches éprouvées — et fondamentales pour une confiance éclairée plutôt qu'aveugle.

Qu'il s'agisse de prévenir des raccourcis désastreux, de contenir des fantômes malveillants (ou des écureuils), ou de recoudre une solution multi-nœuds, en ce qui concerne les dispositifs médicaux, nous sommes dans une nouvelle normale. Heureusement, nous pouvons passer à une relation plus sûre et plus profondément consciente avec la technologie. Il nous suffit de plonger plus loin dans le script du film IoMT pour comprendre les parties composantes, comment elles interagissent et comment éviter les accidents.

Ce blog fait partie d'une série publiée pour le Mois national de la sensibilisation à la cybersécurité (NCSAM). Les autres blogs de la série incluent Creating a Culture of Security par Celia Paulsen, If You Connect It, Protect It par Zane Patalive, Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked par Pat Toth et The Future of Connected Devices par Erik Fogleman et Jeff Orszak.

---

^{1 Exemples : Association for Advancement of Medical Information (AAMI) - https://www.aami.org/medical-device-manufacturer ; Food and Drug Administration - https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity#guidance ; International Electrotechnical Commission (IEC) - https://www.iec.ch/perspectives/government/sectors/medical_devices.htm ; International Organization for Standardization (ISO) - https://www.iso.org/iso-13485-medical-devices.html ; Underwriters Laboratories (UL) - https://www.ul.com/resources/healthcare-standards-directory}