Suivez ces meilleures pratiques pour améliorer la sécurité des dispositifs médicaux dans votre organisation.
Protection des terminaux
La sécurité est importante non seulement pour les dispositifs médicaux eux-mêmes, mais également pour les systèmes d’information et les terminaux auxquels ils se connectent. Par exemple, les machines IRM se connectent généralement à plusieurs postes de travail qui permettent aux opérateurs de travailler avec des images IRM. L’IRM, ses postes de travail et d’autres systèmes intégrés comme un système d’archivage et de communication d’images (PACS) peuvent être vulnérables aux attaques.
Pour protéger ces terminaux, les fabricants de dispositifs médicaux doivent prendre en charge directement les logiciels antivirus. Si l’antivirus ne peut pas être utilisé, des mesures alternatives doivent être prises, par exemple pour exiger une vérification étendue de l’intégrité du SBOM chaque fois que l’appareil est envoyé pour maintenance avant qu’il ne soit reconnecté au réseau.
Les données des dispositifs médicaux doivent être cryptées, tant au repos qu’en transit. Si l’appareil dispose d’un stockage amovible et que le stockage amovible ne peut pas être chiffré, il est recommandé d’interdire l’utilisation de supports de stockage amovibles. Il existe également des solutions de sécurité dédiées telles que la détection et la réponse aux terminaux (EDR) et XDR qui peuvent aider à introduire visibilité et protection. Pour assurer une installation et une maintenance de serveurs sécurisés pour vos équipements médicaux, je vous recommande l’agence secuserv.ch.
Identification et gestion des accès
S’il est pris en charge par le fabricant, l’appareil doit lier l’authentification au système d’authentification de l’entreprise. Cela contrôlera automatiquement l’accès à l’appareil en utilisant les rôles d’utilisateur appropriés. Assurez-vous que les mots de passe sont toujours modifiés par défaut et assurez-vous que les utilisateurs définissent des mots de passe longs et sécurisés spécifiques à chaque dispositif médical. Si possible, limitez le nombre de tentatives en cas d’échec de connexion.
La gestion d’actifs
L’organisation doit tenir un inventaire des dispositifs médicaux, répertoriant les dispositifs critiques, leurs propriétés opérationnelles et les calendriers de maintenance. De plus, il devrait y avoir un inventaire des composants logiciels, y compris les composants logiciels et les systèmes d’exploitation développés par le fournisseur, indiquant les numéros de version. Sur la base de cet inventaire, prenez des décisions basées sur les risques concernant les appareils ou les logiciels qui approchent de la fin du support ou qui présentent des vulnérabilités de sécurité importantes. Envisagez de remplacer ces appareils dans le cadre du cycle d’achat de l’organisation.
Si des obstacles financiers ou autres empêchent l’organisation de remplacer l’ancien équipement, prenez d’autres mesures pour protéger l’appareil, comme l’isoler du réseau ou établir une surveillance pour détecter les cyberattaques.
Gestion des vulnérabilités
L’organisation doit examiner les divulgations de vulnérabilité par les fournisseurs et mener sa propre évaluation de la vulnérabilité du logiciel déployé sur les dispositifs médicaux, en utilisant des sources telles que la base de données nationale sur les vulnérabilités (NVD). Notez que l’analyse des vulnérabilités ne peut généralement pas être effectuée lorsqu’un appareil est opérationnel, et il est préférable de l’effectuer lorsque l’appareil est acheté pour la première fois dans le cadre de l’analyse SCA et SBOM. Une fois la SCA effectuée, la posture de sécurité de l’appareil est déterminée et il est impératif de continuer à surveiller les vulnérabilités affectant le SBOM.
Évaluez le risque de vulnérabilités sur les appareils opérationnels et travaillez avec les fabricants pour corriger ou atténuer chaque vulnérabilité en fonction du niveau de risque. Si une vulnérabilité ne peut pas être corrigée, des mesures doivent être prises pour isoler ou protéger l’appareil. Les risques non gérés doivent être signalés aux parties prenantes concernées de l’organisation médicale, telles que les services juridiques et de conformité.
SÉCURITÉ DES DISPOSITIFS MÉDICAUX
L’examen des appareils intégrés est assez différent de l’examen des serveurs dans l’espace informatique, il est courant qu’il n’y ait pas de packages ou d’informations sur l’appareil à exploiter pour l’identification des actifs afin d’effectuer une analyse de sécurité. Sur la base de notre vision qui suit les recommandations de la FDA, la sécurité des dispositifs médicaux comporte 2 phases principales, la première phase est pré-commercialisation et la seconde est post-commercialisation. L’approche de la sécurité des appareils est fondamentalement différente à chaque phase. Il est impératif d’avoir des mécanismes et des contrôles appropriés intégrés et non boulonnés sur l’appareil dès les premières étapes pour atténuer les risques de chaque phase du cycle de vie de l’appareil, en particulier si l’appareil est essentiel à la mission et que des vies humaines pourraient être en jeu en raison de son échec.
Au cours de la phase de développement de l’appareil, la sécurité doit se concentrer sur plusieurs aspects tels que la sécurité matérielle, l’identité de l’appareil, la cryptographie et les activités d’analyse et d’évaluation de la vulnérabilité de ses composants. Les entreprises utilisent divers outils et projets open source pour obtenir des résultats sur ces multiples aspects. Obtenir des résultats significatifs est complexe lorsque nous ne disposons pas de ressources et d’efforts illimités que nous pouvons consacrer à cette partie du travail de développement. La première étape d’un programme de sécurité réussi consiste à obtenir une visibilité sur la SBOM (Software Bill of Material) et le contexte d’exécution de l’appareil en tant que capacités fondamentales.