Les systèmes d'exploitation au regard de la cybersécurité des dispositifs médicaux
Maurice Navarro
Consultant qualité & logiciel pour dispositifs médicaux
L'ANSM prévoit d'envoyer aux fabricants de dispositifs médicaux (DM) la version finale de ses recommandations sur la cybersécurité des dispositifs médicaux intégrant du logiciel (DMIL) en décembre 2019.
Les considérations de cybersécurité mettent au premier plan le système d'exploitation sur lequel s'exécute le logiciel (de) dispositif médical. En effet, le système d'exploitation est susceptible d'exposer un grand nombre de voies à des cyberattaques.
Sur quels éléments repose la problématique ? Quelles sont les recommandations de l'ANSM en rapport avec le système d'exploitation des dispositifs médicaux ?
Ce sont les questions dont traite cet article.
Risques de cybersécurité introduits par les systèmes d'exploitation dans les dispositifs médicaux intégrant du logiciel (DMIL)
Dans le cadre des dispositifs médicaux (DM) et du logiciel de dispositif médical, les systèmes d'exploitation (ou OS pour "Operating System") sont des logiciels SOUP.
Forescout Technologies a récemment réalisé une étude qui porte sur les systèmes d'exploitation (OS) des dispositifs médicaux (DM) et sur les réseaux informatiques des centres de santé (hôpitaux, cliniques, laboratoires d'analyses…).
On remarque qu'au moins 92% des appareils connectés aux réseaux informatiques des centres de santé ne sont pas des dispositifs médicaux. Il s'agit, entre autres, de téléphones mobiles et d'ordinateurs personnels qui constituent autant de voies d'entrée possibles pour des cyberattaques.
Cette étude montre aussi que les réseaux informatiques des centres de santé regroupent une grande diversité de systèmes d'exploitation (OS).
Ainsi, 40% des réseaux informatiques des centres de santé regroupent plus de 20 systèmes d'exploitation différents.
On note aussi que 59% des dispositifs médicaux (DM) sont sous une version ou une autre de MS Windows.
Ainsi, si on considère les systèmes d'information de santé (SIS), les dispositifs médicaux connectés arrivent avec une grande diversité de systèmes d'exploitation (OS) dans différentes versions.
De plus, dans le cadre de la télémédecine, les types de connexions possibles aux réseaux des centres de santé augmentent de jour en jour.
Les systèmes d'exploitation (OS) sont des logiciels SOUP qui peuvent exposer un grand nombre de voies pour des cyberattaques :
- protocoles SMB, RDP, FTP…
- connexions Wifi, Bluetooth…
De ce fait, la protection des réseaux informatiques des centres de santé contre les cyberattaques devient particulièrement complexe.
L'ANSM a donc décidé de mettre en place des recommandations qui concernent, entre autres, les systèmes d'exploitation (OS) des dispositifs médicaux (DM).
Recommandations de l'ANSM en rapport avec les systèmes d'exploitation dans le cadre de la cybersécurité des dispositifs médicaux
Pour pallier aux failles de cybersécurité liées aux systèmes d'exploitation (OS), l'ANSM demande aux fabricants de dispositifs médicaux (DM) d'agir à plusieurs niveaux.
Choix éclairé du système d'exploitation
L'ANSM demande que l'utilisation des logiciels SOUP soit justifiée et fasse l'objet d'une étude de sécurité via un processus de contrôle d'acceptabilité (Recommandation R4).
Les systèmes d'exploitation étant des logiciels SOUP, cette recommandation leur est pleinement applicable.
Configuration du système d'exploitation
L'ANSM invite les fabricants de dispositifs médicaux (DM) à configurer les systèmes d'exploitation des dispositifs médicaux pour réduire au maximum leurs failles potentielles par rapport aux cyberattaques (Recommandation R18).
Mise à jour du système d'exploitation
L'ANSM demande que soit prise en compte, dès la conception et le développement du dispositif médical (DM), la mise à jour du système d'exploitation.
Cette demande est formulée explicitement via la recommandation R30 et implicitement via la demande de prévision de moyens de remédiation (Recommandation R5).
Indépendance du dispositif médical par rapport au système d'exploitation du centre de santé
Il n'est pas possible de freiner les mises à jour du parc informatique d'un centre de santé sous prétexte que le dispositif médical n'accepte qu'une version donnée d'un système d'exploitation (Recommandations R14 et R15).
Cybersécurité intrinsèque du dispositif médical
Pour ce qui est des mesures de cybersécurité, l'ANSM demande que le dispositif médical soit aussi indépendant que possible du système d'exploitation (Recommandation R13). Autrement dit, le dispositif médical doit disposer de ses propres moyens de cybersécurité.
Implications pour les fabricants de dispositifs médicaux
Les recommandations de l'ANSM qui concernent les systèmes d'exploitation (OS) dans le cadre de la cybersécurité des dispositifs médicaux (DM) impactent les fabricants de dispositifs médicaux à deux grands niveaux :
conception du dispositif médical : le logiciel de dispositif médical (DM) se doit d'être aussi indépendant que possible du système d'exploitation,
maintenance du dispositif médical : le système d'exploitation du dispositif médical doit être régulièrement mis à jour.
Les impacts en termes de conception peuvent passer relativement inaperçus dans le cadre de l'activité du fabricant de dispositifs médicaux.
En effet, il est habituel de concevoir et développer les logiciels dans le cadre de contraintes et ces considérations impactent uniquement la durée prévue pour la mise en œuvre du projet.
Par contre, les impacts en termes de maintenance seront bien plus visibles et, potentiellement, plus coûteux.
En effet, il faudra régulièrement mettre à jour le système d'exploitation du dispositif médical.
Dans le cadre de cette mise à jour il faut prévoir (1) les vérifications et les validations requises pour garantir que le dispositif médical fonctionne correctement ainsi que (2) le déploiement des mises à jour chez les clients.
Pour en savoir plus
L'Union Européenne a publié un guide sur la cybersécurité des dispositifs médicaux.
Les considérations de cybersécurité des logiciels (de) dispositifs médicaux doivent être abordées par l'analyse de risques du dispositif.