Cybersécurité de l'IOT

Sandrine Roussel (Afib) : "Un équipement biomédical n'est pas un équipement informatique"

Par

Publié le 17/05/2023

Les équipements biomédicaux ont mauvaise réputation en matière de cybersécurité. La faute à l'obsolescence informatique de ces appareils qui arrive avant la fin de vie du produit. Comment y remédier ? Solutions.

Sandrine Roussel
Crédit photo : DR

Qu'est-ce que l'Afib ?
L'Association française des ingénieurs biomédicaux regroupe environ 200 professionnels, soit la moitié de la profession et une forte représentativité des établissements de santé français. L'Afib organise des actions pour former, informer et répondre aux interrogations de ses adhérents. Je suis moi-même ingénieure biomédicale dans un CHU et en charge des dossiers sur la sécurité numérique des dispositifs au sein de l’association. J’ai mis en place deux groupes de travail. Le premier pour mettre à plat la question de la sécurité numérique, définir et expliquer à mes confrères les informations qu'ils reçoivent (OSE, audits, nouveau marquage CE…). Le second groupe de travail, soutenu par le Plan France Relance, est en cours pour rédiger un cahier des charges des exigences fournisseurs en matière de cybersécurité.

Quelle est la problématique cyber en matière d'appareils biomédicaux ? Pourquoi les acteurs insistent-ils sur ce point ?

Il est important de rappeler qu'un équipement biomédical n'est pas un équipement informatique. L’intégration au SIH est une problématique récente en regard du cycle de renouvellement des équipements. À tort, la profession a pensé que la DSI de l'hôpital se chargerait de mettre en place un réseau sécurisé et adapté à l’intégration sécurisée des équipements médicaux. Or les normes de sécurité sont contraignantes et sont pensées pour des équipements informatiques, sans prendre en compte les particularités des équipements biomédicaux. De plus, le besoin aussi évolue. Les professionnels de santé souhaitent pouvoir accéder de façon continue aux données produites, gagner du temps mais aussi en sécurité, éviter les erreurs de recopiage, tracer, croiser les informations…

Quel exemple concret illustre cette évolution ?
En quelques années, le nombre de médicaments utilisés en réanimation a fortement augmenté, impliquant un nombre croissant de pousse-seringues au chevet du lit du patient. Les professionnels de santé auraient besoin des données générées par ces appareils. De nombreuses demandes d’intégration des équipements biomédicaux n’aboutissent pas dans nos établissements pour cause de non-adéquation entre le matériel proposé et les exigences de sécurité.

Quel obstacle empêche alors l'informatisation de ces équipements ?

Il existe un problème de temporalité. Alors que l'obsolescence informatique des systèmes d'exploitation Windows est de cinq ans, le cycle de renouvellement des équipements biomédicaux dans les hôpitaux est en moyenne de huit ans. De plus, les fournisseurs commercialisent pendant dix ans des appareils avec un marquage CE conforme au jour de la commercialisation, sans possibilité de les faire évoluer. Au final, ces temps s’additionnent, nous achetons des équipements dont les systèmes d'exploitation sont obsolètes et que nous devons garder pendant huit ans.

Comment y remédier pour les intégrer au SIH ?

Trois pistes d’actions sont à explorer.

Premièrement, les services biomédicaux peuvent renouveler les équipements plus rapidement, tous les cinq ans. Cela nécessite de doubler les budgets d'investissement et accentuerait les difficultés financières des hôpitaux. Sans oublier l'impact environnemental provoqué par ces achats supplémentaires.

En second lieu, il faut mener un travail conjoint avec les fournisseurs pour mettre à jour les OS et faire évoluer la partie informatique sans mettre en péril le marquage CE. Dans nos recommandations, nous conseillons d’inclure dans les contrats de maintenance des clauses rendant obligatoires les mises à jour informatiques. Ces dernières représentent un coût supplémentaire pour les fournisseurs que les hôpitaux doivent aussi prendre en charge.

En troisième lieu, il n'existe pas aujourd’hui de circuit clair de cybervigilance pour les appareils biomédicaux. Dans les centres hospitaliers, le RSSI réalise une veille et alerte l’ingénieur biomédical en cas de faille critique. Ce dernier contacte les fournisseurs dédiés (parfois plusieurs dizaines) qui seuls connaissent le détail des composants informatiques de leurs équipements. La démarche prend beaucoup de temps et a peu de chances d’aboutir. C'est pourquoi je souhaite la mise en place d'un circuit de cybervigilance national, sur le même modèle que la matériovigilance, et qui oblige les fabricants à surveiller leurs failles, à en informer leurs clients et à procéder aux correctifs nécessaires.

Enfin, les DSI des hôpitaux ont pleinement leur rôle à jouer. Elles doivent mettre en place des mesures compensatoires adaptées à l’activité de soin et aux contraintes des équipements, comme par exemple la fragmentation des réseaux, la journalisation ou la surveillance des flux réseaux.