IMDRF : Principes et pratiques pour la cybersécurité des dispositifs médicaux anciens

Nouveau guide de l’IMDRF, relatif à la cybersécurité des dispositifs médicaux “anciens”, c’est-à-dire les “dispositifs médicaux déjà sur le marché, mais pas au top de la cybersécurité”.

Ce document liste des bonnes pratiques, à destination de toutes les parties prenantes (fabricant, distributeur, utilisateur), pour assurer la sécurité du patient face aux risques causés par des défauts de cybersécurité dans des dispositifs médicaux déjà sur le marché.

Il part du principe qu’un DM peut être utilisé après sa durée de vie.

Définitions

Le guide propose 39 définitions, la plupart sont classiques, d’autres plus originales :

Dispositif médical ancien : dispositifs médicaux qui ne peuvent pas être raisonnablement protégés contre les menaces actuelles en matière de cybersécurité.

Mesure compensatoire de maîtrise des risques : type spécifique de mesure de maîtrise des risques déployée à la place ou en l’absence de mesures de maîtrise des risques mises en œuvre dans le cadre de la conception du dispositif. Peut être permanente ou temporaire (par exemple, jusqu’à ce que le fabricant puisse fournir une mise à jour intégrant des mesures supplémentaires de maîtrise des risques).

Fin de vie (d’un DM) : Point dans le cycle de vie d’un produit à partir du moment où le fabricant ne vend plus le produit au-delà de sa durée de vie telle que définie par le fabricant et que le produit a fait l’objet d’un processus formel de fin de vie comprenant la notification aux utilisateurs. Le moment de la fin de vie déclenche la phase d’assistance limitée.

Transfert de risque : transfert de la responsabilité de la gestion d’un risque à une autre organisation ou entité fonctionnelle mieux à même d’atténuer le risque.

Cycle de vie total du produit (TPLC) : Les étapes de développement, de support, de support limité et de fin de support dans la vie d’un dispositif médical.

Principes pour la cybersécurité des dispositifs médicaux anciens

• Par le fabricant lors du développement du produit
• Par le fabricant lors de la phase de support, via des mises à jour, des patchs, de la télé-assistance… et en communiquant sur les vulnérabilités constatées
• Par le fabricant lors de la phase de support limité (après la fin de commercialisation), l’utilisateur planifie la phase suivante en fonction des orientations/avertissements/bonnes pratiques définies par le fabricant. Si possible, le fabricant continue de proposer des correctifs.
• Par l’utilisateur après la fin du support (après la durée de vie du dispositif, cette échéance étant notifiée par le fabricant aux utilisateurs)

Pratiques pour la cybersécurité des dispositifs médicaux anciens

Les activités associées à chaque étape sont détaillées dans le guide, pour le fabricant comme pour les utilisateurs, elles reprennent les pratiques classiques :

• Planification du cycle de vie
• Gestion des risques
• Mise en œuvre des bonnes pratiques de cybersécurité
• Communication entre les parties prenantes

De nombreuses exigences visent les professionnels de santé, elles demandent de bonnes compétences en matière de gestion des risques et de cybersécurité.