Comment l'Europe utilise la réglementation pour renforcer les dispositifs médicaux contre les attaques

En raison du nombre croissant d'attaques contre les dispositifs médicaux, les régulateurs de l'Union européenne ont proposé un nouvel ensemble d'exigences d'entrée sur le marché pour les dispositifs médicaux et les dispositifs médicaux de diagnostic in vitro afin de réduire le risque de préjudice pour les patients à la suite d'un cyberincident, ainsi que protéger les systèmes de santé nationaux.

Les régulateurs de l'UE relèvent la barre des exigences en matière de cybersécurité avec le Règlement de l'Union européenne sur les dispositifs médicaux (MDR) et le Règlement de l'Union européenne sur le diagnostic in vitro (IVDR), qui est entré en vigueur le 26 mai 2021. Le règlement vise à «établir un cadre réglementaire solide, transparent, prévisible et durable… qui assure un niveau élevé de sécurité et de santé tout en soutenant l'innovation».

Les organisations ont jusqu'au 26 mai 2024, ou jusqu'à l'expiration des certificats numériques utilisés par les appareils, pour apporter les modifications nécessaires à leurs systèmes de gestion de la qualité et à leur documentation technique afin de se conformer aux nouvelles exigences. Malgré le nombre de processus d'évaluation, de normes et de documents d'orientation qui ont été fournis, les fabricants de dispositifs médicaux, les fournisseurs et les services de certification peuvent ne pas être prêts à temps.

Plus de 90 % des certificats AIMDD/MDD actuellement valides expireront d'ici 2024, de sorte qu'un nombre important d'appareils existants doivent être réapprouvés, en plus des nouveaux appareils entrant sur le marché. On estime que 85% des produits actuellement sur le marché aujourd'hui nécessitent toujours une nouvelle certification en vertu du MDR.IVDR. Considérant que le processus prend de 13 à 18 mois, les entreprises doivent commencer le processus maintenant afin de respecter l'échéance de 2024.

Instructions de réglage pour l'utilisation

En général, les processus de cybersécurité ne sont pas si différents des processus généraux de performance et de sécurité des appareils. L'objectif est d'assurer (par la vérification et la validation) et de démontrer (par la documentation) les performances du dispositif, la réduction et le contrôle des risques, et la minimisation des risques prévisibles et des effets secondaires indésirables grâce à la gestion des risques. Les produits combinés ou les dispositifs/systèmes interconnectés nécessitent également une gestion des risques résultant de l'interaction entre le logiciel et l'environnement informatique.

Le groupe de coordination des dispositifs médicaux MDCG-16 Guide sur la cybersécurité des dispositifs médicaux explique comment interpréter et satisfaire aux exigences de cybersécurité sous MDR et IVDR. Les fabricants sont censés tenir compte des principes du cycle de vie de développement sécurisé, de la gestion des risques de sécurité, ainsi que de la vérification et de la validation. En outre, ils doivent fournir les exigences et les attentes informatiques minimales pour les processus de cybersécurité, tels que l'installation et la maintenance, dans les instructions d'utilisation de leur appareil. Le « mode d'emploi » est une section obligatoire hautement structurée de la demande de certification que les fabricants doivent déposer.

Les mesures de cybersécurité doivent réduire tous les risques associés au fonctionnement des dispositifs médicaux, y compris les risques de sécurité induits par la cybersécurité, afin de fournir un niveau élevé de protection de la santé et de la sécurité. La Commission électrotechnique internationale (CEI) énonce les caractéristiques de sécurité de haut niveau, les meilleures pratiques et les niveaux de sécurité dans CEI/TIR 60601-4-5. Un autre rapport technique CEI, IEC 80001-2-2, énumère les fonctionnalités de sécurité de conception et d'architecture spécifiques, telles que la déconnexion automatique, les contrôles d'audit, la sauvegarde des données et la reprise après sinistre, la détection/protection contre les logiciels malveillants et le renforcement du système et du système d'exploitation.

Pour répondre aux directives ISO (ISO 14971), l'Association pour l'avancement de l'instrumentation médicale conseille de trouver un équilibre entre sûreté et sécurité. Une analyse minutieuse est nécessaire pour éviter que les mesures de sécurité ne compromettent la sécurité et que les mesures de sécurité ne deviennent un risque pour la sécurité. La sécurité doit être correctement dimensionnée et ne doit être ni trop faible ni trop restrictive.

Partager la responsabilité de la cybersécurité

La cybersécurité est une responsabilité partagée entre le fabricant de l'appareil et l'organisation de déploiement (généralement le client/opérateur). Ainsi, les rôles spécifiques qui fournissent des fonctions importantes de cybersécurité - tels que l'intégrateur, l'opérateur, les professionnels de la santé et de la santé, les patients et les consommateurs - nécessitent une formation et une documentation minutieuses.

La section « instructions d'utilisation » de la demande de certification d'un fabricant doit fournir des processus de cybersécurité, y compris les options de configuration de la sécurité, l'installation du produit, les directives de configuration initiales (par exemple, le changement du mot de passe par défaut), les instructions pour déployer les mises à jour de sécurité, les procédures d'utilisation du dispositif médical en mode de sécurité intégrée. mode de sécurité (par exemple, entrer/sortir du mode de sécurité, restrictions de performances en mode de sécurité et fonction de récupération des données lors de la reprise du fonctionnement normal) et des plans d'action pour l'utilisateur en cas de message d'alerte.

Cette section doit également fournir les exigences de l'utilisateur en matière de formation et énumérer les compétences requises, y compris les compétences informatiques requises pour l'installation, la configuration et le fonctionnement du dispositif médical. En outre, il doit spécifier les exigences relatives à l'environnement d'exploitation (matériel, caractéristiques du réseau, contrôles de sécurité, etc.) qui couvrent les hypothèses sur l'environnement d'utilisation, les risques de fonctionnement de l'appareil en dehors de l'environnement d'exploitation prévu, les exigences minimales de plate-forme pour l'appareil médical connecté , les contrôles de sécurité informatique recommandés et les fonctionnalités de sauvegarde et de restauration des données et des paramètres de configuration.

Des informations de sécurité spécifiques peuvent être partagées via une documentation autre que les instructions d'utilisation, telles que des instructions pour les administrateurs ou des manuels d'utilisation de la sécurité. Ces informations peuvent inclure une liste des contrôles de sécurité informatique inclus dans le dispositif médical, des dispositions visant à garantir l'intégrité/la validation des mises à jour logicielles et des correctifs de sécurité, les propriétés techniques des composants matériels, la nomenclature du logiciel, les rôles d'utilisateur et les privilèges/autorisations d'accès associés sur le dispositif, la fonction de journalisation, les directives sur les recommandations de sécurité, les exigences d'intégration du dispositif médical dans un système d'information de santé et une liste des flux de données du réseau (types de protocoles, origine/destination des données flux, schéma d'adressage, etc.).

Si l'environnement d'exploitation n'est pas exclusivement local mais implique des fournisseurs d'hébergement externes, la documentation doit indiquer clairement quoi, où (en tenant compte des lois sur la résidence des données) et comment les données sont stockées, ainsi que tout contrôle de sécurité pour protéger les données dans le environnement cloud (par exemple, cryptage). La section des instructions d'utilisation de la documentation doit fournir des exigences de configuration spécifiques pour l'environnement d'exploitation, telles que les règles de pare-feu (ports, interfaces, protocoles, schémas d'adressage, etc.).

Les contrôles de sécurité mis en place pendant les activités de pré-commercialisation peuvent être inadéquats pour maintenir un niveau de bénéfice/risque acceptable pendant la durée de vie opérationnelle du dispositif. Par conséquent, les réglementations exigent que le fabricant établisse un programme de surveillance de la cybersécurité post-commercialisation pour surveiller le fonctionnement de l'appareil dans l'environnement prévu ; partager et diffuser des informations sur la cybersécurité et des connaissances sur les vulnérabilités et les menaces en matière de cybersécurité dans de multiples secteurs ; pour effectuer la correction des vulnérabilités ; et pour planifier la réponse aux incidents.

Le fabricant est en outre responsable d'enquêter et de signaler les incidents graves et de mettre en place des actions correctives de sécurité. Plus précisément, les incidents dont les causes profondes sont liées à la cybersécurité font l'objet de rapports sur les tendances, y compris toute augmentation statistiquement significative de la fréquence ou de la gravité des incidents.

Planification pour tous les scénarios

Les appareils médicaux d'aujourd'hui sont hautement intégrés et fonctionnent dans un réseau complexe d'appareils et de systèmes, dont beaucoup peuvent ne pas être sous le contrôle de l'opérateur de l'appareil. Par conséquent, les fabricants doivent soigneusement documenter l'utilisation prévue de l'appareil et l'environnement opérationnel prévu, ainsi que planifier une mauvaise utilisation raisonnablement prévisible, telle qu'une cyberattaque.

Les exigences de gestion des risques de cybersécurité avant et après la commercialisation et les activités de soutien ne sont pas nécessairement différentes des programmes de sécurité traditionnels. Cependant, ils ajoutent un niveau de complexité supplémentaire car :

• L'éventail des risques à prendre en compte est plus complexe (sécurité, vie privée, opérations, business). 
• Ils nécessitent un ensemble spécifique d'activités qui doivent être menées tout au long du cycle de vie du développement de l'appareil via un cadre de développement de produit sécurisé (SPDF).

Les régulateurs mondiaux, y compris MDR/IVDR, commencent à appliquer un niveau de sécurité plus élevé pour les dispositifs médicaux et exigent spécifiquement une sécurité démontrable dans le cadre du cycle de vie plus large des dispositifs. Les appareils doivent respecter, en fonction du type d'appareil et du cas d'utilisation, une ligne de base de sécurité, et les fabricants doivent maintenir cette ligne de base pendant toute la durée de vie de l'appareil.