Medtech doit reconsidérer son approche de la cybersécurité

Les dispositifs médicaux connectés sont devenus essentiels pour les soins de santé modernes. Leur prévalence a considérablement amélioré les soins de santé, mais a également entraîné une menace accrue de cyberattaques. L’année dernière a vu une augmentation de 55% des attaques de cybersécurité contre les prestataires de soins de santé aux États-Unis seulement.

Avec les données des patients, les dossiers de santé et les infrastructures critiques à risque–et les objets connectés ne font que se généraliser et se complexifier–l’industrie doit reconsidérer son approche de la protection de la cybersécurité.

Pourquoi maintenant?

Nos systèmes de santé ont dû transformer leur fonctionnement pendant la pandémie de coronavirus. Du personnel aux ressources, les services de santé ont été à pleine capacité ou en surcapacité dans de nombreux pays pendant presque dix-huit mois.

En partie à cause de cette pression, l’essor de l’adoption des dispositifs médicaux connectés a permis à l’industrie de progresser pratiquement du jour au lendemain pendant une décennie.

Cependant, alors que de nombreuses organisations de santé se précipitent pour adopter des solutions connectées, beaucoup doivent réfléchir aux implications de la connectivité en matière de cybersécurité. Avec les HCO confrontés à une augmentation de près de 50 % des cyberattaques d’ici la fin de 2020, la nécessité de mieux traiter les vulnérabilités dans les systèmes de santé numériques est plus pressante que jamais.

Cependant, les cyberattaques ne sont pas seulement de plus en plus fréquentes ; ils deviennent également plus sophistiqués. Ces dernières années, une série de nouvelles menaces sont apparues : 18 vulnérabilités zero-day–nom de code Ripple 20–ont été identifiés récemment par l’entreprise de cybersécurité JSOF, tandis qu’une gamme de vulnérabilités dans le logiciel IPNet, nommée URGENT/11, constitue une menace particulière pour le secteur de la santé selon la FDA.

Il est facile pour nous de considérer les risques de cybersécurité comme une autre complication que les prestataires de santé numérique doivent prendre en compte lorsqu’ils opèrent dans l’espace. Mais, à mesure que les ramifications des cyberattaques s’aggravent, le besoin d’agir est d’autant plus grand.

Alors, comment les prestataires de soins de santé devraient-ils exactement chercher à mettre à jour leur approche de la cybersécurité ?

Ne vous fiez pas uniquement aux conseils

Il y a quelques mois à peine, l’industrie dispose désormais de nouvelles directives de cybersécurité indispensables avec lesquelles travailler sous la forme du document d’orientation sur la cybersécurité 2018 de la FDA.

Le problème est un écart de sept ans depuis que la dernière publication des directives fédérales a vu de nombreux États américains prendre les choses en main et élaborer des réglementations sur la sécurité des appareils individuels. Beaucoup de ces lois–comme la loi de l’État de Californie, par exemple–exigent qu’une approche très normative soit suivie pour que les dispositifs obtiennent l’approbation, contrairement aux directives de la FDA, qui laissent la mise en œuvre ouverte à l’interprétation individuelle.

Une approche fragmentaire qui repose sur plusieurs documents d’orientation différents ne conduira qu’à une mise en œuvre inférieure aux normes, d’autant plus que les directives aux niveaux étatique, fédéral et international sont susceptibles de changer à mesure que la technologie se développe. S’il est crucial de suivre les réglementations et les directives pertinentes, il est également important de se tenir au courant des derniers développements.

Une meilleure approche de la cybersécurité

Les dispositifs médicaux ont longtemps été considérés comme à l’abri des cyberattaques, en raison de leur manque relatif de connectivité. Avec l’arrivée d’une connectivité généralisée, cependant, la plupart des appareils sont reliés d’une manière ou d’une autre, faisant de l’industrie médicale une cible tout autant que n’importe quelle autre.

Cela signifie que la sécurité doit désormais être intégrée à l’ensemble du processus de création d’un dispositif médical. Pour être vraiment efficace, la sécurité doit être prise en compte par chaque fonction métier qui utilisera la solution tout au long du cycle de vie d’un appareil. S’assurer que les mises à jour sont gérées en toute sécurité est également un élément clé de cela.

En unifiant des éléments disparates du processus de développement, les créateurs d’appareils peuvent obtenir une vue d’ensemble plus complète des problèmes auxquels ils sont confrontés et créer des solutions qui les traitent de manière holistique.

Bien que le développement sécurisé puisse être entrepris de différentes manières, il devrait idéalement correspondre étroitement aux processus d’une équipe de développement de périphériques. Les approches basées sur les actifs qui reposent sur la connaissance d’une équipe de développement de ce qui est nécessaire dans un appareil sont les plus efficaces, les équipes de développement exécutant une analyse de sécurité pour comprendre comment créer au mieux des appareils afin que tous les actifs puissent être correctement protégés.

Les clés de chiffrement basées sur les appareils ne sont qu’un exemple d’une approche de sécurité proactive. Intégrées lors de l’assemblage, les clés de chiffrement garantissent que les appareils transmettent les données en toute sécurité lorsqu’ils sont utilisés sur le terrain. Toutes les données sont codées avec un emplacement et un point de départ précis, et l’intégrité des données est ensuite vérifiée lorsqu’elles sont déchiffrées au niveau du centre de données, garantissant qu’elles n’ont pas été falsifiées ou autrement compromises.

Ce processus se déroule sans qu’il soit nécessaire d’intégrer le système de DSE d’un hôpital ou d’autres réseaux, ce qui réduit les coûts, la complexité et les autres risques associés à l’interfaçage avec un autre réseau protégé.

Le résultat est un système complètement protégé contre les risques de cybersécurité, beaucoup plus efficacement.

La préparation avancée atténue les risques plus efficacement

Les dispositifs médicaux connectés étant désormais essentiels au bon fonctionnement de nos systèmes de santé, une approche globale de la cybersécurité est vitale.

La clarté réglementaire contribuera grandement à faciliter le processus, mais les fabricants d’appareils ne peuvent pas se permettre d’attendre. Les fabricants d’appareils doivent désormais prendre en compte la sécurité dès le début du processus de création d’appareils, jusqu’à la fin de la durée de vie d’un produit.

Une approche proactive de la sécurité est le moyen le plus efficace d’atténuer les risques de cybersécurité et d’assurer la sécurité des patients et des cliniciens. Plus que cela, cela signifie également que moins d’investissements sont nécessaires à long terme, qu’il s’agisse de corriger rétroactivement des processus de sécurité inadéquats ou de contrer des failles de sécurité à grande échelle. Et pour les employés de l’hôpital, cela signifie plus de temps à consacrer aux tâches qui font vraiment la différence pour le bien-être des patients.