Cybersécurité des dispositifs médicaux : quelles mesures devraient être mises en place ?

Quel est le risque de hacking d’un pacemaker ou d’un DAI ? Quid de la sécurité des données de santé en télécardiologie ? Quelles sont les mesures qui devraient être prises par les hôpitaux, les fabricants et les patients ? Le point avec Vincent Trély, président de l’Association Pour la Sécurité des Systèmes d'Information de Santé (APSSIS), interrogé par Walid Amara.

TRANSCRIPTION

Walid Amara – Bonjour et bienvenue sur Medscape, je suis Walid Amara et j’ai le plaisir d’être avec Vincent Trély, qui est président et fondateur de l’APSSIS, pour parler aujourd’hui de cybersécurité, notamment des prothèses implantables que de nombreux rythmologues mettent en place tous les jours. 

Première question : est-ce qu’il y a vraiment un risque de hacking d’un pacemaker ou d’un défibrillateur?

Vincent Trély – Par principe, il y a un risque de hacking de tout objet ou appareil à partir du moment où il est communicant. Il est évident que de plus en plus de dispositifs médicaux sont communicants – pour de bonnes raisons. Par exemple, un pacemaker connecté pour envoyer de l’information continue sur son propre état et sur l’état du cœur du porteur, des pompes à insuline connectées pour les diabétiques pour calculer en temps réel le taux d’insuline et l’adapter et envoyer aussi de l’information dans des progiciels métier qui permettent aux médecins de suivre les évolutions. Donc on va vers de plus en plus de dispositifs extérieurs et intérieurs au patient, qui ont besoin de communiquer vers l’extérieur. Communication vers l’extérieur égale fenêtre ouverte ; fenêtre ouverte égale possibilité potentielle d’entrer sur l’appareil et d’interagir avec. On a déjà vu ce cas de figure. Des chercheurs ont démontré la possibilité en 2015 de prendre la main sur des pompes à morphine aux États-Unis – Medscape, d’ailleurs, avait fait un papier là-dessus. Aussi, on a un chercheur australien qui a envoyé 830 volts dans un pacemaker sur une distance de 50 mètres ; on a revu, dans une récente émission de France 2 qui s’appelle « Complément d’enquête », une société de spécialistes en sécurité français faire fondre un pacemaker... Donc oui, c’est possible. Maintenant, la réalité aujourd’hui est que, à ma connaissance, nous n’avons pas eu ce qu’on pourrait appeler de « cybermeurtre ». C’est-à-dire qu’on reste à l’état de possibilité technique démontrée, mais plutôt par des hackers éthiques et des chercheurs.

Walid Amara – Toutes les prothèses communiquent en télécardiologie et typiquement les données sont adressées de la prothèse vers un transmetteur, puis adressées par le réseau 2G ou 3G ou 4G vers un site internet sécurisé où il y a de la double authentification. Est-ce qu’il a été décrit des risques à ce niveau-là? D’accès à ces données?

Vincent Trély – Plus on augmente le niveau de sécurité, plus on limite le risque, bien entendu. Il faut savoir que les pirates sont feignants et cherchent le retour sur investissement, donc ils vont plutôt s’attaquer à des systèmes qui présentent des fragilités ou des failles de sécurité. On a, dans les hôpitaux français et européens, beaucoup de matériel biomédical – IRM, mammographes, échographes – qui sont encore supportés par de l’informatique complètement obsolète. On a de très bons matériels médicaux qui tournent encore sur des PC sous Windows XP par exemple, dont on sait qu’il y a plus de 17 000 failles de sécurité connues et qui ne sont pas mis à jour. Donc, pour répondre à votre question, plus on prend soin de l’ensemble de la chaîne, c’est-à-dire du hardware, le produit en tant que tel, plus sa capacité à résister à des tentatives d’intrusion non désirées [sera forte. Cela dépend] ensuite, de la qualité de la transmission, donc avec du chiffrement de données sur le réseau et de la qualité de la sécurité du serveur sur lequel va être déposée l’information ; et enfin, de la qualité d’accessibilité par les professionnels de santé – vous évoquiez la double authentification – on en arrive là, tout de même, à un niveau de sécurité qui commence à être costaud. Alors cela ne veut pas dire que le risque n’existe pas, mais on l’a sévèrement réduit et cela va nécessiter du matériel, des compétences qui vont être quasiment disproportionnées pour mener une action là-dessus. N’oublions pas que souvent le maillon le plus faible emporte avec lui l’ensemble de la sécurité du système. Vous avez cité dans votre exemple quatre sous-systèmes – le hardware en lui-même, la connexion entre le hardware et une boîte, la connexion ensuite entre la boîte et un serveur, et la sécurité de ce propre serveur. Il est évident qu’on doit se mettre dans l’idée d’une chaîne de confiance sécurisée au même niveau et que si l’un des 4 éléments ou l’une des 4 des sous-solutions présente des failles, tout le système sera dépendant de ce déficit de sécurité porté par l’un des sous-systèmes.

Walid Amara – Les personnes, les patients et les médecins vont s’inquiéter de voir qu’il y a un risque potentiel… Mais est-ce qu’on peut dire que beaucoup d’efforts sont faits par les constructeurs et que globalement la sécurité est plutôt satisfaisante ? Qu’il y ait toujours des améliorations à faire, cela me paraît logique.

Vincent Trély – On évolue. On part de loin. Les hôpitaux, en général, et pas simplement les dispositifs médicaux, sont des endroits relativement faillibles et on l’a vu en ce début d’année avec des attaques multiples sur Dax, Villefranche-sur-Saône Oloron-Sainte-Marie -- des hôpitaux ont été à l’arrêt au niveau informatique pendant plusieurs jours avec forcément des conséquences sur les patients. Même si elles ne sont pas directes, elles sont indirectes, parce que l’hôpital subit une désorganisation, voire est obligé de reporter des séances de radiothérapie, d’orienter des patients vers d’autres hôpitaux locaux. Donc on a déjà cette fragilité.

Sur les dispositifs médicaux, historiquement on était sur des fragilités parce que la conception des produits était pensée en terme de fonctionnalité, et souvent le volet informatique-support ou sécurité était un peu laissé de côté. Cela tend à s’améliorer ces dernières années et on a un nouveau règlement européen qui entre en application depuis le 26 mai 2021, donc c’est très récent, ce qui est une évolution importante pour renforcer la sécurité des dispositifs médicaux et cela va obliger les industriels à mettre en œuvre un certain nombre d’exigences post-commercialisation d’un dispositif médical, avec l’obligation de mettre en place des évaluations, des investigations cliniques, pour s’assurer de l’efficacité et de la sécurité d’utilisation des dispositifs. La transparence, également, des données… C’est toute une évolution, je dirais même une petite révolution. L’Agence nationale de la sécurité du médicament, qui va superviser aussi ces dispositifs médicaux, va être de plus en plus regardante sur les autorisations de mise sur le marché et on invite évidemment les hôpitaux, donc les ingénieurs biomédicaux mais aussi les experts informatiques, à être plus vigilants sur la phase de mise en production, à réaliser des tests un peu plus costauds. Donc on a un système qui est en train d’être plus vertueux qu’il ne l’était et même si – je le rappelle – le risque 0 n’existera jamais, on peut se dire qu’on est sur une pente d’amélioration de la qualité et de la sécurité, c’est certain.

Walid Amara — Pour conclure, est-ce qu’il y a des conseils à donner aux utilisateurs? Que cela soit des ingénieurs biomédicaux, des médecins, peut-être pas le patient dans ce cas-là, mais est-ce qu’il y a deux ou trois messages à passer?

Vincent Trély – Coopérer ! J’ai été directeur des systèmes numériques d’un gros hôpital et il y avait historiquement assez peu de coopération entre ma direction et le biomédical. C’est-à-dire que je découvrais parfois que des matériels biomédicaux avait été acquis et mis en service, et donc branchés sur le réseau, sans même en avoir été informé. Alors l’idée n’est pas d’empêcher ces projets d’avoir lieu, bien entendu, mais chacun son métier. C’est-à-dire que l’ingénierie biomédicale est là pour qualifier le produit et l’ingénierie informatique est là pour qualifier la couche informatique, le réseau, la machine qui va permettre de le faire fonctionner. Donc la coopération entre ces différents acteurs me semble être un point essentiel pour mener à bien ce genre de projet, pour analyser les risques a priori et vérifier quels sont les risques : est-ce qu’on les a mesurés, analysés et comment est-ce qu’on met des barrières pour les réduire au minimum? Et puis, bien évidemment, comme je l’ai évoqué, une grosse part du boulot est à mener par les industriels, par les constructeurs, et eux vont être de plus en plus cadrés.

Walid Amara – Merci beaucoup, Vincent, de m’avoir sorti de mon univers médical et de m’avoir fait un peu mieux découvrir cet univers de la sécurité informatique qui est passionnant, parce que cela rejoint également une grande partie de l’actualité. Merci à tous d’avoir suivi cette vidéo et je vous dis à très bientôt sur Medscape.

Direction éditoriale : Véronique Duqueroy

Medscape © 2021 WebMD, LLC

Les opinions exprimées dans cet article ou cette vidéo n'engagent que leur(s) auteur(s) et ne reflètent pas nécessairement celles de WebMD ou Medscape.

Citer cet article: Cybersécurité des dispositifs médicaux : quelles mesures devraient être mises en place ? - Medscape - 29 juin 2021.