En mai 2017, la première attaque de ransomware documentée sur des équipements médicaux en réseau a eu lieu. L’attaque mondiale du ransomware WannaCry a compromis les instruments radiologiques et autres dans plusieurs hôpitaux à son apogée, après une panne logicielle causée par une cyberattaque sur le service cloud d’oncologie de son fournisseur tiers, les patients cancéreux recevant une radiothérapie dans quatre établissements de santé ont dû reporter leurs rendez-vous.

Ces exemples montrent comment les cyberattaques et les violations de données peuvent avoir un impact significatif sur le secteur de la santé, fortement tributaire des équipements médicaux connectés. Les PHI (informations de santé du patient) capturées et stockées dans ces dispositifs médicaux connectés doivent être sécurisées. Parce que les PHI sont transférés sur le cloud via des systèmes basés sur des serveurs, ce qui les rend très vulnérables aux pirates.

Les attaques de ransomware contre les professionnels de la santé sont devenues plus courantes, sophistiquées et graves ces dernières années. Les mauvais acteurs individuels ont été supplantés en tant que principaux auteurs par les gangs criminels organisés, les États-nations et les groupes militaires. Malgré de gros efforts, les forces de l’ordre et le gouvernement n’ont pas été en mesure d’arrêter la vague croissante d’attaques contre les appareils hospitaliers et d’autres infrastructures clés. Sécurité des dispositifs médicaux sera un élément clé de la cybersécurité des hôpitaux à mesure que les attaques de ransomware contre les établissements de santé se multiplient.

Les dispositifs médicaux ont pris de l’ampleur

La sécurité des équipements médicaux externes, qu’ils soient fixes, implantés ou portables, est essentielle à la vie et au bien-être des patients. Les dispositifs médicaux qui sauvent des vies comprennent les pompes à insuline, les défibrillateurs cardiaques, les stimulateurs cardiaques artificiels et les ventilateurs, pour n’en nommer que quelques-uns. Les exemples incluent les articulations artificielles, les scanners IRM et CT, les pompes à perfusion, la programmation clinique et la surveillance à domicile.

Dans un hôpital ou un établissement de santé, les caméras de sécurité, les lecteurs RFID, les systèmes de point de vente et les cartes d’accès des clients doivent tous être protégés contre les cyberattaques et les atteintes à la sécurité. L’équipement médical comprend fréquemment des systèmes et des réseaux informatiques.

Dans le monde d’aujourd’hui, les équipements médicaux sont liés à tous les autres appareils connectés dans un hôpital ou un établissement de soins. Les capteurs intégrés dans les équipements médicaux liés collectent des données qui peuvent être envoyées à d’autres appareils et à Internet. Ces gadgets et leurs données constituent l’Internet des objets médicaux (IoMT), qui aide au diagnostic, à la surveillance et à l’administration de médicaments.

Ces attaques de ransomware sur les appareils médicaux démontrent l’impact des cyberattaques et des violations de données sur le secteur de la santé, qui dépend fortement des équipements médicaux liés. Les informations sur la santé des patients enregistrées et stockées dans ces dispositifs médicaux liés doivent être protégées. Les PHI sont envoyés via des systèmes basés sur des serveurs sur le cloud, ce qui les rend très vulnérables aux pirates.

Les dispositifs médicaux connectés, qui améliorent considérablement les soins aux patients et offrent de meilleurs résultats pour les patients, doivent être maintenus et mis à niveau pour assurer la sécurité des patients depuis la conception jusqu’à leur utilisation dans les établissements de santé ou à domicile.

Écosystème IoT

L’écosystème IoT se compose de fabricants de dispositifs médicaux, de fournisseurs, de fournisseurs de systèmes et de logiciels, d’intégrateurs de systèmes, de fournisseurs de connectivité et d’utilisateurs finaux. Une collaboration accrue entre les parties prenantes pour lutter contre les vulnérabilités et les risques de cybersécurité des dispositifs médicaux connectés contribuera à prévenir les cyberattaques.

Les attaques de ransomwares sur les réseaux des établissements de santé déclenchent des pannes de dispositifs médicaux qui mettent la vie des patients en danger. Vous ne pouvez pas disposer d’un équipement médical sûr et fonctionnel s’il n’est pas disponible en raison d’un ransomware. Il y a eu un changement important dans le secteur Medtech au cours de la dernière décennie pour identifier la cybermenace croissante pour les appareils. Les États-nations et les syndicats du crime organisé font des ravages sur les équipements médicaux, mettant en péril leur sécurité et leur efficacité pour les prestataires de soins de santé.

Dans un sondage du Ponemon Institute, un quart des entreprises de prestation de soins de santé ont indiqué avoir constaté une augmentation des taux de mortalité après une attaque de ransomware. Les systèmes de santé sont plus à risque d’avoir une influence négative sur les soins aux patients à mesure que les dispositifs médicaux liés deviennent plus largement utilisés. Le dernier problème pour les établissements de santé et le secteur MedTech est de maintenir la disponibilité des équipements médicaux face à l’escalade des cybermenaces qui menacent la sécurité des patients.

Les dispositifs médicaux doivent être conçus dans un souci de sécurité pour résister même aux menaces courantes et courantes comme les ransomwares. À l’heure actuelle, il n’existe aucune exigence légale, avant ou après commercialisation, qui oblige expressément les fabricants d’appareils à lutter contre la cybersécurité.

Mesures de sécurité dans le cloud

En cas de violation de données, l’établissement de santé, et non le fournisseur de services cloud, est responsable. D’autre part, les fournisseurs de Cloud doivent suivre des directives de sécurité strictes. Les directives de cybersécurité de la FDA, les meilleures pratiques d’ingénierie de sécurité dans le cloud, les audits de sécurité fréquents, les scénarios de reprise après sinistre et les actions basées sur un système de gestion des incidents de sécurité et de protection des données bien défini en sont des exemples.

Avec des dispositifs médicaux ou des logiciels associés, la surveillance en temps réel, la modélisation et l’analyse des cybermenaces, l’atténuation des menaces et la remédiation devraient tous être réalisables. Grâce à la tenue de registres et à la surveillance régulières, chaque violation est détectée dès qu’elle se produit. La détection précoce d’une violation aide à déterminer la gravité de la violation et garantit qu’elle est corrigée.

Les gadgets médicaux, souvent obsolètes, ne sont pas toujours évolutifs. Les agressions contre du matériel médical avec un soutien minimal peuvent perturber les fonctions vitales, mettant des vies en danger. Les propriétaires de dispositifs médicaux doivent contacter le fournisseur ou le fabricant à l’avance s’ils rencontrent des problèmes de maintenance ou de mise à jour de leur équipement médical.

La FDA a incorporé une exigence dans son plan d’action pour la sécurité des dispositifs médicaux qui oblige les fabricants de dispositifs médicaux à intégrer dès le départ des mises à jour de sécurité et des capacités de correctifs dans les dispositifs connectés au réseau, en réponse au danger croissant.

Il décrit également les procédures de divulgation de tout défaut de ces appareils une fois diffusés au grand public. Il devient de plus en plus essentiel pour les ingénieurs de prendre en compte les considérations de cybersécurité tout en évaluant le danger d’un dispositif médical. Une protection anti-ransomware/cyberattaque doit être incluse dans les spécifications de l’appareil. Si vous soumettez l’un de ces appareils à la FDA, attendez-vous à ce qu’elle vous pose de nombreuses questions sur la façon dont vous traitez les problèmes de cybersécurité.

Conclusion

De la phase de conception à leur utilisation dans les établissements de santé ou à domicile, les dispositifs médicaux connectés qui améliorent considérablement les soins aux patients et améliorent les résultats pour les patients doivent être correctement entretenus et mis à niveau pour garantir la sécurité des patients contre les pannes de ransomware.

Les fabricants de dispositifs médicaux, les fournisseurs, les fournisseurs de systèmes et de logiciels, les intégrateurs de systèmes, les fournisseurs de connexions et les utilisateurs finaux constituent l’écosystème IoT. Il sera plus facile d’éviter les cyberattaques si toutes les parties prenantes travaillent ensemble pour lutter contre les vulnérabilités et les dangers de la cybersécurité des équipements médicaux connectés.