Bulletin n° : B106 - Question et réponse écrite n° : 1315 - Législature : 54

La société pharmaceutique Johnson and Johnson vient de publier un article signalant un risque de piratage des pompes à insuline wi-fi One Touch Ping jusqu'à une distance de sept mètres. Ces pompes ne sont, selon Johnson and Johnson, vendues qu'aux États-Unis et au Canada. En février 2016, un chercheur en sécurité, Sergey Lozhkin, est parvenu à rentrer facilement dans le réseau d'un hôpital pour modifier les paramètres d'une IRM. Il est surprenant de constater que si des équipes hautement qualifiées sont capables d'installer et d'utiliser ce matériel sophistiqué, la sécurité informatique qui devrait aller de pair avec ces installations est totalement ignorée des installateurs et des médecins utilisateurs. Comment pouvons-nous être certains des résultats d'une IRM, d'un scanner, d'un monitoring cardiaque, si des paramètres sont facilement modifiables par des pirates via le net? 1. Ne serait-il pas opportun d'obliger les établissements de santé à un audit de sécurité des appareils connectés au net ou télécommandés par wi-fi afin de garantir la sécurité des patients? 2. D'une manière plus générale, nos services de santé ont-ils déjà été confrontés à des problèmes de piratage d'appareils médicaux, soit via wi-fi soit via Internet?

1. Nous sommes effectivement au courant des risques de cyberattaque concernant les dispositifs médicaux connectés. Ces risques sont de plus en plus présents suite au développement de la connectivité des différents dispositifs médicaux utilisés aussi bien en milieu hospitalier qu'à la maison. La transmission d'information par des connexions sans fil ou via Internet est un outil facilitant le travail du personnel soignant mais aussi la vie des patients. En effet, la transmission des données relevées par le dispositif directement vers le médecin peut permettre un suivi beaucoup plus régulier des patients et de les rappeler plus rapidement en cas de problème constaté. La récolte des données voire le contrôle de certains dispositifs peut également être réalisé par des applications mobiles. Bien qu'offrant de nombreux avantages, la connectivité des dispositifs médicaux les expose aux cyberattaques. Le piratage informatique est un risque existant pour tout appareil connecté que ce soit à un réseau ou en connexion sans fil. Le risque de piratage doit donc être pris en compte par les fabricants de ces dispositifs médicaux lors de leur conception mais aussi tout au long de leur utilisation. Une des exigences essentielles auxquelles les dispositifs médicaux doivent répondre concerne spécifiquement les dispositifs incorporant des logiciels ou étant eux-mêmes des logiciels. Les logiciels doivent être validés sur base de l'état de l'art, en tenant compte des principes du cycle de développement ainsi que de la gestion des risques, de validation et de vérification. Il incombe donc aux fabricants d'identifier les risques spécifiques liés aux logiciels et de prendre les mesures nécessaires pour les minimiser au maximum et ce au moment de la conception du dispositif mais également tout au long de son utilisation. Le risque de piratage est un risque évident concernant les logiciels et tout appareil en renfermant. C'est pourquoi de plus en plus de fabricants font appel à des experts en cybersécurité pour tester leurs appareils et identifier les vulnérabilités afin d'y remédier. Quand une faille de sécurité est identifiée, les fabricants sont légalement tenus d'en informer les utilisateurs ainsi que des mesures mises ne place permettant de corriger le problème. Il est donc probable que des informations de sécurité relatives à un risque informatique identifié soient de plus en plus fréquentes au cours des mois et années qui viennent, celles -ci ne sont cependant pas nécessairement liées à un incident mais à l'activité de surveillance post-marketing des fabricants de dispositifs médicaux et des autorités compétentes. Comme il s'agit d'une exigence essentielle à laquelle le dispositif médical doit se conformer, tous les éléments en possession du fabricant concernant la protection contre le piratage informatique doivent faire partie du dossier technique. Quand l'organisme notifié examine le dossier technique pour délivrer la certification CE, il doit donc évaluer les mesures de protection prises par le fabricant contre les risques de piratage informatique. La sécurité informatique ne dépend cependant pas que des sécurités apportées au niveau du dispositif médical. Il faut aussi que les réseaux qui permettent de dialoguer avec les dispositifs soient sécurisés correctement et disposent de pare-feu à jour et à niveau. Les informations permettant de se connecter à distance sur ces dispositifs doivent également être gardées en toute sécurité par les utilisateurs et les fabricants. La sécurité du réseau auquel les dispositifs médicaux sont connectés ne dépend pas des fabricants des dispositifs mais bien des utilisateurs. Ceux-ci doivent donc prendre conscience de leur responsabilité en matière de sécurité informatique et mettre en place les mesures nécessaires pour éviter toute intrusion sur leur réseau. Il sera demandé avec l'application du nouveau règlement européen que les fabricants informent les utilisateurs des prescriptions minimales concernant le matériel informatique et des caractéristiques des réseaux informatiques y compris la protection contre l'accès non autorisé qui sont nécessaires pour faire fonctionner les logiciels comme prévu. Il sera également exigé que les dispositifs actifs et les dispositifs raccordés à des dispositifs actifs soient conçus de façon à les protéger autant que possible contre un accès non autorisé qui les empêcherait de fonctionner comme prévu. 2. À ce jour, aucun incident de piratage informatique d'un dispositif médical n'a été signalé à mon administration que ce soit par wi-fi ou par Internet.