Dispositifs médicaux et pourquoi la cybersécurité n'est pas négociable

Cet article a été initialement publié dans New Electronics.

Afin de soutenir cet effort, la Food and Drug Administration (FDA) a publié en 2005 ses premières recommandations sur la cybersécurité des dispositifs médicaux, axées sur les dispositifs connectés en réseau utilisant des logiciels standard (OTS - off-the-shelf).

Néanmoins, au fil des ans, les recommandations de la FDA relatives aux soumissions précommercialisation ont considérablement évolué, passant d'un document de 9 pages en 2014 à un guide exhaustif de 57 pages en 2023. Cette seule évolution témoigne de l'importance croissante de la cybersécurité dans le secteur des dispositifs médicaux.

Le Consolidated Appropriations Act de 2023 a toutefois transformé les recommandations jusqu'alors informelles de la FDA concernant la cybersécurité des dispositifs médicaux en exigences légales strictes. Associée à la mise à jour en 2023 du guide de la FDA intitulé Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions (Cybersécurité des dispositifs médicaux : considérations relatives au système qualité et contenu des soumissions précommercialisation), cette évolution marque un durcissement des exigences réglementaires. Ensemble, ces changements représentent une avancée majeure pour le cadre réglementaire de la cybersécurité des dispositifs médicaux.

Garantir la cybersécurité des dispositifs médicaux

Comme le montrent diverses initiatives à travers le monde, ces exigences ne se limitent pas aux États-Unis. Par exemple, la directive européenne NIS2 (Directive (UE) 2022/2555 sur la sécurité des réseaux et de l'information) impose désormais aux fabricants de produits de santé — y compris les substances chimiques (les principes actifs ou API), les produits pharmaceutiques et les dispositifs médicaux — de mettre en œuvre des mesures globales de gestion des risques cyber et de se conformer à des obligations de notification.

En Australie, la Therapeutic Goods Administration (TGA) a publié en 2022 son guide Medical Device Cybersecurity Guidance for Industry, qui impose une approche de la cybersécurité tout au long du cycle de vie du produit (TPLC - Total Product Life Cycle). Cette démarche exige des fabricants qu'ils intègrent des tests d'intrusion, la modélisation des menaces et d'autres mesures proactives dans leur processus d'évaluation et de gestion des risques.

À Singapour, le schéma de labellisation de la cybersécurité des dispositifs médicaux (CLS-MD - Cybersecurity Labelling Scheme for Medical Devices) introduit un système de notation basé sur les mesures de sécurité informatique mises en œuvre. Dans ce cadre, les dispositifs médicaux sont évalués et labellisés selon leur niveau de robustesse cyber, offrant une visibilité précieuse au grand public et aux professionnels de santé. Ce système d'étiquetage facilite des décisions d'achat éclairées, permettant aux parties prenantes d'identifier et de sélectionner des dispositifs conformes à des standards de cybersécurité élevés.

Ces initiatives mondiales témoignent d'un consensus international croissant quant à la nécessité de déployer des mesures de cybersécurité robustes dans le secteur des dispositifs médicaux.

L'interconnexion : des avantages qui n'excluent pas certaines faiblesses

Lorsqu'un dispositif médical intègre un logiciel, a fortiori s'il dispose d'une connectivité électronique avec d'autres équipements ou réseaux, la cybersécurité devient une priorité absolue. L'interconnexion des dispositifs médicaux au sein du paysage médical moderne — portée par les dispositifs intelligents équipés de logiciels et l'essor de l'Internet des objets (IoT) — apporte indéniablement des bénéfices majeurs en matière de commodité et de réactivité des soins.

Par exemple, les patients porteurs d'implants cardiaques peuvent faire l'objet d'un suivi à distance, ce qui limite la fréquence des consultations médicales présentielles. De même, de nouveaux outils de gestion de la glycémie permettent aux lecteurs de glycémie (glucomètres) et aux pompes à insuline d'interagir de manière transparente. Les établissements hospitaliers déploient également de plus en plus d'équipements interconnectés afin d'optimiser la prise en charge et l'efficacité opérationnelle grâce au partage fluide des données. Toutefois, cette connectivité accrue accroît également la vulnérabilité des dispositifs médicaux face aux cyberattaques et aux failles de sécurité si le système de santé comporte des maillons faibles.

Ces risques accrus découlent de l'action d'acteurs malveillants qui ciblent les structures de soins pour exploiter les failles des dispositifs, accéder aux dossiers médicaux des patients, perturber les services, exiger des rançons ou infiltrer les réseaux. Par exemple, les dispositifs tels que les pompes à insuline, les stimulateurs cardiaques (pacemakers) et les dispositifs connectés portables (wearables) sont particulièrement exposés en raison de leur suivi en temps réel et de la transmission instantanée des données physiologiques aux patients et aux cliniciens. Par conséquent, la mise en œuvre de mesures de cybersécurité robustes s'avère indispensable pour protéger ces dispositifs critiques et garantir la sécurité des patients.

Implications pratiques pour les développeurs

Les recommandations et la portée réglementaire de la FDA en matière de cybersécurité englobent un large éventail de fonctionnalités logicielles, notamment le stockage, le transfert et l'analyse des données. Tout dispositif médical ou de diagnostic doté d'un logiciel pouvant être mis à jour, d'un port USB ou même d'un lecteur de disque compact est désormais qualifié de dispositif connecté et relève de cette nouvelle réglementation.

Tant la FDA que les principes de conception sécurisée du NCSC britannique (NCSC-Secure Design Principles) soulignent la nécessité pour les fabricants de prendre en compte l'écosystème global et l'interconnexion des dispositifs.

Plutôt que d'être traités de manière isolée, les objectifs de sécurité doivent être intégrés dès la conception à l'ensemble de l'architecture système des dispositifs médicaux.

Les fabricants de dispositifs médicaux (MDM - Medical Device Manufacturers) doivent effectuer une modélisation des menaces sur les dispositifs bien avant leur mise sur le marché afin d'identifier au plus tôt les menaces et vulnérabilités de sécurité, de les évaluer et de les hiérarchiser pour garantir la sûreté du produit. L'établissement d'une liste prioritaire de vulnérabilités clés permet aux équipes projet de traiter et de résoudre efficacement les points critiques en amont de la soumission réglementaire. De plus, cela constitue un historique documenté des points de sécurité que les équipes pourront traiter de manière systématique lors des prochaines itérations.

Il convient également de traiter les problèmes systémiques afin d'éviter d'avoir à appliquer des correctifs au cas par cas par la suite. Cela peut impliquer la révision des procédures opérationnelles standard (SOP), l'harmonisation du système de gestion de la qualité (SGQ) et l'élaboration de stratégies de sécurité globales couvrant l'intégralité du cycle de vie du développement, en conformité avec les normes de cybersécurité et les exigences réglementaires.

En fin de compte, le non-respect des critères explicites fixés par la FDA en matière de cybersécurité met non seulement en péril la sécurité des patients et l'intégrité des données, mais risque également de retarder la mise sur le marché, ce qui engendre des pertes financières et nuit à la réputation. De même, dans l'UE, les fabricants non conformes au Cyber Resilience Act s'exposent au retrait de leurs produits du marché unique ou à des amendes administratives substantielles, comparables à celles prévues par le Règlement général sur la protection des données (RGPD).

Afin d'atténuer ces risques, la FDA préconise la mise en œuvre d'une nomenclature logicielle (SBOM - Software Bill of Materials), considérée comme un pilier de la sécurité du logiciel et de la gestion de la chaîne d'approvisionnement. La SBOM fournit une liste exhaustive de tous les composants logiciels intégrés au dispositif, ce qui permet d'identifier et de gérer efficacement les vulnérabilités.

Pour naviguer efficacement au sein des différents cadres réglementaires et garantir la sécurité ainsi que l'intégrité de leurs dispositifs médicaux, il est fondamental que les fabricants appréhendent et respectent les exigences et attentes des marchés cibles en matière de cybersécurité.

Mieux vaut prévenir que guérir

La cybersécurité ne doit pas être une préoccupation secondaire ou tardive, mais doit être intégrée dès la genèse du développement des dispositifs médicaux.

La cybersécurité doit s'imposer comme une priorité dans toutes les fonctions de l'entreprise : allocation budgétaire, ressources humaines, formation continue, etc. Il ne s'agit pas uniquement de se conformer à la réglementation pour éviter les sanctions. Il s'agit avant tout de comprendre que la valeur ajoutée réelle des dispositifs connectés de pointe ne pourra s'exprimer que si les utilisateurs finaux ont une confiance absolue dans ces technologies omniprésentes dans leur quotidien. Si la sécurité informatique n'est pas intégrée dès la conception logicielle, le dispositif devient vulnérable aux cybermenaces, exposant directement à ces risques les patients qui en dépendent. Ce qui va à l'encontre du but recherché.

Les problématiques systémiques doivent également être traitées lors de la définition de la stratégie de sécurité afin d'éviter d'avoir à appliquer des correctifs ultérieurs. Accorder toute l'attention nécessaire à ces processus permettra aux concepteurs d'anticiper les risques potentiels et de prendre des mesures correctives en amont, s'épargnant ainsi les conséquences de préjudices réputationnels, de pertes financières, de retards de commercialisation et de risques pour la sécurité des patients.