Cybersécurité des logiciels (de) dispositifs médicaux en France

Cybersécurité des logiciels (de) dispositifs médicaux en France

La consultation de l'ANSM (Agence nationale de sécurité du médicament et des produits de santé) au sujet de recommandations pour la des (DM) arrive à son terme fin septembre 2019.

L'ANSM prévoit la version finale de ces recommandations pour décembre de cette même année. Elle les adressera alors aux de dispositifs médicaux (DM).

Quelles sont la teneur et les implications de ces recommandations pour les fabricants de dispositifs médicaux ?

C'est le sujet traité dans cet article.

Cybersécurité des logiciels (de) dispositifs médicaux en France

En quoi consiste la cybersécurité des dispositifs médicaux ?

Pour préciser l'objectif de ses recommandations, l'ANSM indique qu'il s'agit d'assurer la sécurité des dispositifs médicaux (DM). A savoir, "s'assurer que le dispositif médical (DM) est protégé contre les attaques extérieures pouvant compromettre le fonctionnement du dispositif médical (DM)".

L'ANSM apporte aussi une définition de cybersécurité : "ensemble des mesures techniques ou organisationnelles mises en place pour assurer l'intégrité et la disponibilité d’un dispositif médical (DM) ainsi que la confidentialité des informations contenues ou issues de ce dispositif médical (DM) contre le risque d'attaques dont il pourrait faire l'objet".

Sur cette base, assurer la cybersécurité des dispositifs médicaux (DM) consiste à mettre en œuvre des mesures proactives de protection dans les dispositifs médicaux (DM) qui sont susceptibles de subir des attaques informatiques.

Les considérations de cybersécurité impactent donc les dispositifs médicaux intégrant du logiciel et les logiciels dispositifs médicaux en soi, logiciel embarqué (ou firmware) compris.

Approche conseillée par l'ANSM pour prendre en compte la cybersécurité dans les logiciels (de) dispositifs médicaux

Suivant les recommandations de l'ANSM, la prise en compte de la cybersécurité dans les logiciels (de) dispositifs médicaux doit se faire dès la conception du dispositif médical (DM) et tout au long de son cycle de vie.

Pour ce faire, l'ANSM conseille de passer par l' du dispositif médical (DM) afin de déterminer les mesures de cybersécurité adéquates.

Deux cas de figure sont à prendre en considération :

  • le dispositif médical est la cible directe d'une cyberattaque dont la conséquence possible, directe ou indirecte, est la détérioration de la santé de patients,

  • le dispositif médical est une voie d'accès vers la réelle cible de la cyberattaque (la base de données de l'établissement de santé dans lequel se trouve le dispositif médical par exemple).

Pour la de l'approche, l'ANSM demande de compléter le du dispositif médical (DM) avec "un rapport de sécurité qui évalue les activités liées à la sécurité du logiciel et la prise en compte des exigences de sécurité émises dans le plan de prévention des menaces et qui statue sur la sécurité du Logiciel".

Implications de la prise en compte de la cybersécurité dans les logiciels (de) dispositifs médicaux

Pour les entreprises du secteur biomédical, la prise en compte des recommandations de l'ANSM pour la cybersécurité des logiciels (de) dispositifs médicaux emporte des conséquences à trois niveaux :

1. Implications sur le système de management de la qualité (SMQ)

Dans les systèmes de management de la qualité , les vont devoir évoluer pour inclure explicitement la cybersécurité dans les de l'entreprise. Notamment pour la ainsi que pour la conception, le développement et la maintenance de logiciel (de) dispositif médical.

Une mise à jour des modèles de documents (ou formulaires) s'en suivra par voie de conséquence.

2. Implications sur le dossier technique des dispositifs médicaux

Pour répondre aux recommandations de l'ANSM, le dossier technique des dispositifs médicaux impactés par les considérations de cybersécurité devra être complété avec les enregistrements demandés : rapport de sécurité, plan de prévention des menaces…

3. Implications sur l'ingénierie des logiciels (de) dispositifs médicaux

Pour l'ingénierie des logiciels (de) dispositifs médicaux, la prise en compte de la cybersécurité implique d'adapter les fonctionnalités des logiciels pour liés à de possibles cyberattaques.

Jusqu'à maintenant, les évolutions de la réglementation applicable aux logiciels (de) dispositifs médicaux avaient pour avantage d'améliorer la fiabilité des dispositifs, notamment en réduisant la probabilité de dysfonctionnements du logiciel.

Malheureusement, les fonctionnalités de cybersécurité répondent à une contrainte de l'environnement d'exécution des logiciels (de) dispositifs médicaux mais n'améliorent pas les fonctionnalités premières des dispositifs :

  • une connexion par mot de passe ne rend un dispositif de diagnostic ni plus sensible ni plus spécifique,

  • le cryptage des données d'un dispositif de traitement ne raccourcit pas la durée du traitement et n'améliore pas non plus son efficacité…

Par ailleurs, les statistiques le prouvent : l'ajout de fonctionnalités à un logiciel augmente sa probabilité de dysfonctionnement (voir "Comment réduire le coût d'un logiciel de dispositif médical ?").

Pour réduire les probabilités de dysfonctionnements logiciels liées à l'ajout de fonctionnalités, une attention particulière doit être portée à l'analyse de risques du dispositif. Le but : opter pour les moyens de maîtrise des risques de cybersécurité les plus efficaces afin d'en réduire le nombre au maximum.

De même, il faut veiller à choisir les architectures de logiciel qui, malgré la présence de fonctionnalités annexes, n'entravent pas la maintenance évolutive et n'augmentent pas significativement le temps de mise en œuvre des essais.

Intérêt de la cybersécurité du logiciel pour les fabricants de dispositifs médicaux

Les recommandations de l'ANSM marquent un tournant dans la conception et le développement de logiciel (de) dispositif médical en France et, probablement, dans l'Union Européenne.

Auparavant, il était courant de considérer que les dispositifs médicaux étaient utilisés en zone démilitarisée (au sens réseau informatique de l'expression, à savoir DMZ). Mais l'évolution des technologies introduites dans les dispositifs médicaux et l'actualité de ces dernières années ont changé la donne.

Dans ce contexte, la cybersécurité peut faire partie d'un argumentaire commercial à l'attention des établissements de santé : connexion sécurisée, résilience du dispositif, fonctionnement dégradé en cas de cyberattaque… De plus, le fabricant aura tout mis en œuvre pour ne pas faire la une des journaux au titre de responsable des problèmes d'un système d'information hospitalier par exemple.

Mais le véritable intérêt de la cybersécurité pour les fabricants de dispositifs médicaux réside dans la commercialisation du dispositif au niveau international.

En effet, la FDA (U.S. Food and Drug Administration) s'occupe des problématiques de cybersécurité depuis plus de 10 ans. De ce fait, sa prise en compte en France et dans l'Union Européenne ne fera que simplifier l'obtention des autorisations de commercialisation aux USA.

Pour en savoir plus

L'Union Européenne a publié un guide sur la cybersécurité des dispositifs médicaux.

Un guide sur la cybersécurité des dispositifs médicaux dans l'Union Européenne

Ce guide est diffusé alors que plusieurs états de l'Union Européenne ont publié des recommandations ou établi des législations sur la cybersécurité des dispositifs médicaux.

Les considérations de cybersécurité des logiciels (de) dispositifs médicaux impactent les systèmes d'exploitation des dispositifs.

Les systèmes d'exploitation au regard de la cybersécurité des dispositifs médicaux

Conséquences des recommandations de l'ANSM au sujet des systèmes d'exploitation dans le cadre de la cybersécurité des dispositifs médicaux intégrant du logiciel (DMIL).

La cybersécurité des dispositifs médicaux dans l'actualité

On pourrait penser que les questions de cybersécurité des dispositifs médicaux tiennent d'avantage de la paranoïa que d'un réel besoin de santé publique.

Pourtant, l'ANSM cite plusieurs exemples de cyberattaques effectives ou potentielles dans son projet de recommandations :

  • en 2015, le système informatique du service de radiothérapie de Valence a été piraté donnant l'accès aux données des patients contenues dans les dispositifs médicaux;

  • en 2016, plusieurs failles de sécurité sur des dispositifs médicaux connectés ont été identifiées et une pompe à perfusion dotée d'une fonction WIFI a été retirée du marché pour cause de vulnérabilité;

  • toujours en 2016, des failles de sécurité ont été identifiées sur des DM implantables connectés et leur exploitation pouvait permettre de modifier les commandes du pacemaker entraînant ainsi la mort du patient.

Par ailleurs, l'actualité est riche d'articles qui traitent de la situation à laquelle sont confrontés les établissements de santé en termes de cybersécurité :

  • A l'hôpital, le risque des virus… informatiques
    [LA TRIBUNE - 01/12/2018]

  • Les hôpitaux français croulent sous les tentatives de cyberattaques
    [BFM TV - 26/06/2019]

  • Les 120 hôpitaux du groupe de santé Ramsay en France victimes d'une cyberattaque
    [EUROPE 1 - 13/08/2019]

Ainsi, force est de le constater : la cybersécurité est un réel besoin de santé publique.

Et l'ANSM le souligne dans son projet de recommandations : les règlements (UE) 2017/745 et 2017/746 sur les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro, par leur Annexe I, indiquent notamment que "les dispositifs sont conçus et fabriqués de manière à éliminer ou à réduire autant que possible […] tout risque associé à une éventuelle interaction négative entre les logiciels et l'environnement informatique dans lequel ceux-ci fonctionnement et avec lequel ils interagissent".

Sites connexes