Gestion des risques de cybersécurité des dispositifs médicaux

Rôle de la gestion des risques

La FDA considère la gestion des risques de sécurité comme une composante du système qualité et du cycle de vie du dispositif. Elle se distingue de la gestion des risques liés à la sécurité selon l’ISO 14971, car les défaillances de sécurité peuvent être intentionnelles, l’exploitabilité évolue dans le temps et les préjudices peuvent être indirects, par exemple en cas de perte de disponibilité, d’intégrité, de confidentialité ou de contrôle. Les deux processus doivent néanmoins être articulés, car un problème de sécurité peut entraîner un préjudice pour le patient.

Le document MDCG 2019-16 précise qu’une mesure de sécurité peut elle-même avoir un effet sur la sécurité. Par exemple, une restriction d’accès peut empêcher des modifications non autorisées, mais également retarder une opération légitime. Le fabricant doit évaluer ces deux effets dans l’environnement d’utilisation prévu.

Le modèle de menace alimente l’évaluation

Le modèle de menace décrit comment un attaquant pourrait exploiter une interface du dispositif ou une dépendance externe pour provoquer un résultat indésirable. Les conditions d’attaque et les conséquences possibles alimentent l’évaluation des risques de cybersécurité.

• Le modèle de menace identifie ce qui peut mal tourner et les voies par lesquelles un attaquant ou un déclencheur accidentel peut atteindre le système.
• L’évaluation des risques de cybersécurité examine les risques, les mesures de maîtrise, les risques résiduels et les critères d’acceptation.
• Le processus de gestion des risques liés à la sécurité prend en compte les risques de cybersécurité lorsque leur exploitation peut affecter le préjudice pour le patient, les performances cliniques ou le fonctionnement sûr.
• Le processus de surveillance après commercialisation met à jour le modèle lorsque de nouvelles vulnérabilités, des déploiements modifiés, de nouvelles interfaces ou de nouvelles techniques d’attaque changent le profil de risque.

L’exploitabilité modifie l’analyse

L’évaluation des risques de cybersécurité ne peut pas se fonder uniquement sur les probabilités historiques. La FDA explique qu’elle porte principalement sur l’exploitabilité : la faisabilité, la facilité et les moyens techniques permettant d’exploiter une vulnérabilité. C’est pourquoi la découverte d’une vulnérabilité lors des essais, l’inscription dans la liste CISA Known Exploited Vulnerabilities, la modification d’un chemin réseau ou la publication d’un nouvel exploit peut modifier l’évaluation, même si aucun incident concernant un patient ne s’est produit.

La SBOM ne constitue pas l’évaluation des risques

Une SBOM répertorie les composants logiciels et leurs relations de dépendance. Elle aide le fabricant à repérer l’exposition à des vulnérabilités connues des composants, l’état du support et les versions concernées. Elle ne permet pas de savoir si un composant vulnérable est accessible, si une mesure empêche son exploitation, si les performances cliniques sont modifiées ou si le risque résiduel de préjudice pour le patient est acceptable.

Une SBOM est un inventaire formel lisible par machine des composants logiciels et de leurs dépendances, des informations relatives à ces composants et de leurs relations hiérarchiques.

NTIA, Framing Software Component Transparency, 2021 (version originale en anglais)

Dossiers liés

La FDA recommande d’assurer la traçabilité entre le modèle de menace, l’évaluation des risques, la SBOM et les dossiers d’essais. Un évaluateur doit pouvoir partir d’un composant concerné et retrouver la décision de risque qui en découle ainsi que le résultat de vérification. Pour un dossier technique de l’UE, expliquez comment ces dossiers étayent les exigences applicables du MDR ou du IVDR.