[Avis d'expert] L’IoT, futur maillon faible des hôpitaux ?

Entrés dans les établissements de santé, les objets connectés font l’objet de réglementations et de normes drastiques en matière de sécurité du patient et de sécurité informatique. Les fabricants d’IoT de santé doivent intégrer la protection numérique dès la conception de leurs produits et utiliser des systèmes statiques et dynamiques pour se prémunir contre les cybercriminels.

 

Partager

TESTEZ GRATUITEMENT L'ABONNEMENT À L'USINE NOUVELLE

15 jours gratuits et sans engagement

[Avis d'expert] L’IoT, futur maillon faible des hôpitaux ?
Les matériels médicaux connectés, de plus en plus nombreux dans les hôpitaux, pourraient devenir des cibles de cyberattaques.

Structurée autour de deux piliers – systèmes d’information et périphériques –, l’architecture informatique des hôpitaux offre une large surface d’attaque aux cybercriminels. Mais si les objets connectés représentent un risque important comme point d’entrée des cybercriminels dans les entreprises, le talon d’Achille des établissements de santé est avant tout le système d’information. Infrastructures vieillissantes, outils de sécurité insuffisants, manque de ressources humaines spécialisées en cybersécurité… autant de paramètres qui font la joie des attaquants. Grâce à des ransomwares, ils pénètrent dans le réseau et chiffrent les données stockées sur les serveurs, paralysant leur utilisation.

En revanche, les IoT spécifiques aux hôpitaux (ECG, pression sanguine, oxymètre de pouls, pompes à insuline, etc.) sont, pour le moment, moins la cible des attaquants en raison de deux facteurs. Dotés d’une architecture différente des postes de travail, ces objets connectés n’ont pas les mêmes vulnérabilités. Les attaquer requiert des méthodes et des outils spécifiques. Par ailleurs, leur niveau de sécurité tend à être généralement plus élevé. Et pour cause. Tous ces équipements doivent répondre à des standards et des normes drastiques de sécurité des personnes, à l’instar de la directive européenne 2017/745 ou de la norme ISO14971, qui encadre la gestion des risques liés à ces dispositifs (malades comme professionnels qui opèrent l’équipement), pour recevoir l’accord de mise sur le marché.

Analyse de risque préalable

Ces réglementations ont un effet de bord positif sur la sécurité informatique de ces matériels. En effet, les normes soumettent ce type de dispositifs à une analyse de risque préalable. Le risque informatique lié à une attaque ou à un ransomware pourra être intégré dans ces analyses. Un électrocardiographe, par exemple, ne peut réaliser des mesures justes que si son système ne connaît aucun dysfonctionnement. Il est donc impératif pour les fabricants d’objets connectés médicaux d’intégrer, dès la phase de conception, la sécurité de tous les composants et briques logicielles constituant le produit final contre les attaques informatiques pouvant viser les établissements de santé. Ce principe de "Safety by design" doit aussi intégrer le "Security by design" afin de mettre en œuvre des mesures plus performantes.

La protection des périphériques médicaux est vitale pour assurer la mission des personnels soignants en cas d’attaque informatique.
Si le risque de cyberattaque ciblée sur ces périphériques connectés médicaux est moins important que sur les systèmes d'information classiques, il ne doit en aucune manière être négligé. Et pour cause. Ces équipements étant de plus en plus connectés et interconnectés, les impacts d’une cyberattaque peuvent être lourds de conséquences. D’autres risques, comme le vol de propriété intellectuelle, doivent également être pris en compte dans les analyses de risque préalables.

Protection statique et dynamique

La technique d’obfuscation, consistant à noyer les pirates dans des centaines de lignes de code glissées dans les programmes informatiques, ajoute un niveau de protection.

Pour se prémunir contre les cyberattaques, deux moyens peuvent être utilisés : la protection statique et la protection dynamique. Dans le premier cas, la technique consiste à altérer la lecture du programme en en modifiant l’écriture de manière à le rendre indéchiffrable. Dans le second, l’objectif est de bloquer la lecture du programme afin d’empêcher l’utilisation d’outils d’analyse par les cybercriminels. Dans le cas de contournement de cet obstacle, la technique d’obfuscation, consistant à noyer les pirates dans des centaines de lignes de code glissées dans les programmes informatiques, ajoute un niveau de protection.

Si cumuler ces techniques est idéal, certains environnements dits "contraints", comme le sont les dispositifs médicaux, ne peuvent se permettre ce luxe, ne disposant que de ressources limitées (en termes de processeur et de mémoire). Il apparaît donc nécessaire d’adapter la défense au modèle d’attaque, aux ressources disponibles et aux données à protéger. Il ne faut jamais oublier qu’une attaque représente un coût financier, en temps et en ressources humaines.

La sécurité informatique des établissements de santé est un problème complexe, qui nécessite une approche holistique de la sécurité informatique, en prenant en compte le système d’information et les périphériques médicaux. Si les objets connectés de santé ne sont pas la cible prioritaire des pirates, il est essentiel de mettre en place les garde-fous nécessaires afin que cela ne le devienne.

Par Éric Houdet, VP Sales & marketing de Quarkslab

Les avis d'experts sont publiés sous l'entière responsabilité de leurs auteurs et n'engagent en rien la rédaction de L'Usine Nouvelle.

Partager

SUJETS ASSOCIÉS
LES ÉVÉNEMENTS L'USINE NOUVELLE

LES SERVICES DE L'USINE NOUVELLE

ARTICLES LES PLUS LUS