[2022-10-10] (Accès libre) Team-NB, l’association européenne des organismes notifiés pour les dispositifs médicaux, a publié le 10 octobre 2022 un nouveau « position paper » de 3 pages sur la cybersécurité des dispositifs médicaux.
Ce document, intitulé sobrement « Cyber Security», propose un certain nombre de recommandations dans un contexte d’utilisation croissante de dispositifs médicaux connectés. Il est ainsi recommandé :
– d’appliquer des normes correspondant à l’état de l’art, comme la norme IEC 81001-5-1 (dont l’harmonisation par la Commission Européenne est prévue dans un avenir proche) ou l’IEC TR 60601-4-5 ;
– d’appliquer une approche harmonisée d’évaluation du risque, comme la technique de modélisation des menaces systémiques (comme le modèle STRIDE) pour bien identifier et traiter toutes les menaces, tout en l’intégrant dans le cadre de gestion des risques de l’EN ISO 14971. D’autres techniques support pour la modélisation des menaces sont listées, comme le projet de sécurité « OWASP top ten vulnerabilites » (accessible en français ici), la liste CAPEC (« Common Attack Pattern Enumerations and Classifications » : énumération et classification des modèles d’attaques communs) ou encore l’un des plus utilisés, le système d’évaluation standardisé de la criticité des vulnérabilités CVSS (pour « Common Vulnerability Scoring Systems ») ;
– d’harmoniser les tests d’intrusion (« penetration tests ») sur tout le cycle de vie du dispositif médical, et à des intervalles appropriés ;
– d’introduire la cybersécurité dès les premières phases de conception et au travers d’un cycle de développement sécurisé. La norme IEC 81001-5-1 est encore nommée comme référence principale ;
– de ne pas négliger la surveillance après commercialisation. Un processus de surveillance après commercialisation efficace, comme décrit dans le guide MDCG 2019-16, permet notamment de combattre la problématique croissante des rançongiciels, en permettant de réduire la nécessité de mettre à disposition des patchs logiciels, et de stopper le plus rapidement possible la propagation de ces attaques.
Article rédigé par Karim Chelly, membre du réseau DM Experts.