La sécurité des équipements biomédicaux face à la problématique de la certification

Ces derniers temps, de façon générale il a été observé une augmentation des attaques informatiques dirigées vers les établissements de santé.

Cela s’est observé à plusieurs niveaux, en particulier avec le nombreuses au risque de compromission et même d’intrusions des équipements servant pour les services biomédicaux. 2019 avait déjà jeté les bases de cet intérêt que la cybercriminalité a consacré à ces systèmes de santé.

Cet article va aussi vous intéresser : Les hôpitaux intelligents face à la réalité de la cybersécurité

Les hôpitaux étant de plus en plus connectés, la palette des outils biomédicaux classiques (échographes, cardiographes, tomodensitomètres, etc.…) se trouve aujourd’hui être impliqué dans le cadre des objets connectés à Internet. Une connectivité qui était censée rendre plus facile les activités de nos établissements. Mais aujourd’hui la réalité nous ramène à une situation très évidente celle de la sécurité. La multiplication des actes cybermalveillance prouvent clairement la difficulté de combler les failles de sécurité.

Dans ce contexte la certification semblait être un moyen d’améliorer cette sécurité. Cependant une polémique demeure sur la question. En effet, une partie des spécialistes continuent de croire, affirmant même que cela est un frein à la sécurisation de ces équipements biomédicaux. À la question de savoir dans quelle mesure la certification rend difficile la sécurisation des équipements biomédicaux, Renaud Bidou, directeur technique pour l’Europe du Sud de Trend Micro affirme : « Les conditions de certification imposent la non-altération des équipements biomédicaux par ceux qui en font l’acquisition, au risque de perdre la certification et la garantie. Dès lors, il devient impossible d’y installer des solutions de sécurité a posteriori (antimalware, antiransomware, etc.). Or, ces équipements étant de plus en plus connectés (possibilité de brancher une clef USB et d’échanger des données), les risques de contamination par un virus augmentent. Même un équipement biomédical présenté comme très sûr reste exposé à un possible faille de sécurité. Quand celle-ci est découverte, l’établissement doit se retourner vers le fabricant pour déployer un correctif, ce qui peut prendre du temps dans la mesure où des tests doivent être réalisés pour s’assurer que tout danger est écarté. Puisque l’appareil doit continuer à fonctionner, la vulnérabilité demeure tant que tout n’a pas été remis en ordre. On pourrait également ajouter les équipements biomédicaux qui ne disposaient pas de SSL à leur installation et continuent à communiquer en clair avec le SIH. Ils sont ainsi exposés à un vol de données, une altération de flux, un défaut de confidentialité, etc. Et, à partir du moment où les équipements biomédicaux peuvent échanger des données avec le SIH, c’est toute l’infrastructure de l’établissement qui s’en trouve fragilisée. ».

En d’autres termes en, nous nous trouvons dans une situation où il devient difficile d’ajouter des solutions de sécurité aux équipements. Les rendant ainsi naturellement vulnérables. Mais selon l’expert de Trend Micro, il n’est pas impossible donc j’ai une solution. Il conseille alors 2 approches sécuritaire pour les équipements biomédicaux :

– restauration d’un contrôle de sécurité pour l’ensemble de réseau pour en prendre en compte le firewall, avec des activités de prévention des cyberattaques. Pour cela doit se faire dans un contexte propre au secteur de la santé. Veiller à ne pas perdre de données et affecter les performances du réseau ;

– la réalisation de test périodique sur les équipements non connectés. L’objectif sera alors de s’assurer que ces appareils ne contiennent pas de programmes malveillants. Car comme on peut s’en douter, il suffit d’une simple clé USB pour introduire dans un équipement non connecté, un programme malveillant qui peut à long terme affecté ses performances voire, contaminer d’autres appareils. Et pour faire cela il ne faut pas avoir forcément de compétence élevées en informatique. Il faudrait aussi assurer d’une certaine manière la sécurité physique de ces appareils. Car il suffit d’un collaborateur véreux pour réussir la contamination. La vigilance est donc de mise de tous les côtés.

Mais au-delà de tout ceci, il semblerait que la meilleure manière de protéger efficacement ses équipements biomédicaux et de penser à la manière de renforcer leurs sécurités depuis leur conception. « L’idéal est d’intégrer une solution de sécurité dès la conception d’un équipement. Cette solution doit respecter les contraintes en matière de performances de l’équipement et de ressources du réseau. » concluait Renaud Bidou.

Accédez maintenant à un nombre illimité de mot de passe :