Essais de cybersécurité des dispositifs médicaux
Sytance · Mis à jour
Les essais de cybersécurité des dispositifs médicaux vérifient si les exigences de sécurité et les mesures de maîtrise des risques fonctionnent dans la configuration prévue du dispositif. Les résultats doivent indiquer les conditions d’essai et le comportement observé afin que les examinateurs puissent déterminer ce que les essais démontrent au sujet du produit.
Objectif des essais
Le périmètre des essais découle des menaces et des exigences de sécurité du dispositif. Si seul un compte de service autorisé peut modifier la configuration, testez l’interface directe avec des comptes autorisés et interdits, puis observez si les réglages enregistrés changent.
Preuves avant commercialisation
Le dossier avant commercialisation utilise des essais pour étayer la vérification et la validation de la conception, l’efficacité des mesures de sécurité et l’adéquation des mesures de maîtrise des risques.
Preuves après commercialisation
Le processus après commercialisation utilise des essais pour évaluer les nouvelles vulnérabilités, vérifier les corrections, rechercher les régressions et maintenir la confiance dans les versions déployées.
Périmètre des essais avant commercialisation
Les recommandations actuelles de la FDA avant commercialisation recensent plusieurs types d’essais et d’analyses de cybersécurité susceptibles de figurer dans un dossier de soumission. Celui-ci doit expliquer pourquoi les essais choisis conviennent aux risques, à l’architecture et aux mesures de sécurité du dispositif.
Ces essais montrent que les exigences de conception ont été mises en œuvre et que les hypothèses relatives aux limites sont justifiées. Ils doivent relier les exigences aux éléments d’architecture et aux critères d’acceptation des mesures de sécurité.
Ces essais démontrent que les mesures de maîtrise des risques résistent aux menaces identifiées dans le modèle de menace et les vues d’architecture. Ils doivent couvrir l’efficacité, la stabilité, la fiabilité et les conditions de trafic ou de charge lorsque celles-ci sont pertinentes.
Les exemples de la FDA comprennent les cas d’abus ou de mauvais usage, les entrées malformées et inattendues, les essais de robustesse, le fuzzing, l’analyse de la surface d’attaque, l’enchaînement de vulnérabilités, la recherche de vulnérabilités connues, l’analyse de composition logicielle de fichiers binaires exécutables et l’analyse statique ou dynamique du code.
Les tests d’intrusion doivent tenter de découvrir et d’exploiter les vulnérabilités de sécurité du produit. La FDA attend des rapports qu’ils expliquent l’indépendance et l’expertise des testeurs, le périmètre et la durée des essais, les méthodes, résultats, constats et observations.
Un seul scan ne suffit pas
Un scan de vulnérabilités signale les constats dans les limites de sa couverture. Il peut identifier une faiblesse connue dans un service réseau, alors qu’un essai distinct est nécessaire pour vérifier si le dispositif rejette une commande non autorisée ou récupère après l’échec d’une mise à jour. Évaluez l’impact sur les patients au regard de l’architecture du dispositif et de l’analyse des risques.
- Un scan de vulnérabilités peut détecter des problèmes connus, mais manquer des défauts de conception et des hypothèses de confiance dangereuses.
- L’analyse statique peut repérer des faiblesses dans le code, mais ne prouve pas la configuration déployée ni le comportement des contrôles à l’exécution.
- Le fuzzing peut révéler le traitement des entrées malformées, mais ne remplace ni l’examen de l’architecture ni les tests d’intrusion.
- Les tests d’intrusion peuvent montrer des chemins d’exploitation, mais leur portée reste limitée par le périmètre, le temps, l’accès des testeurs et la méthodologie.
Les constats alimentent la gestion des risques
Les constats des essais doivent être évalués au regard de leur impact sur la sécurité et reliés au processus de gestion des risques de cybersécurité. La FDA explique qu’une anomalie de sécurité peut nécessiter une atténuation, car son exploitabilité peut entraîner un type de dommage différent de celui d’un défaut logiciel ordinaire.
Évaluation des constats
Les rapports doivent expliquer le constat, le composant ou l’interface concerné, l’exploitabilité, les versions touchées, l’état des mesures de sécurité et les conséquences possibles pour les patients.
Correction différée
Si une correction est différée, le dossier doit expliquer la justification du risque, la version prévue, les dispositifs déployés concernés et la manière dont la mise à jour leur sera transmise.
Essais après commercialisation
La FDA recommande des essais de sécurité pendant le développement et après la mise sur le marché, à des intervalles adaptés au risque. Une modification du mécanisme de mise à jour peut, par exemple, nécessiter de nouveaux essais d’intégrité et de récupération. La divulgation d’une nouvelle vulnérabilité d’un composant peut exiger une investigation et des essais de régression de la correction.
Pour la documentation de l’UE, les résultats de vérification étayent l’évaluation des risques et peuvent révéler des modifications à apporter au dispositif ou à ses instructions. Le MDCG 2019-16 explique comment ce travail se poursuit après la mise sur le marché. La norme IEC 81001-5-1 fournit un processus de cycle de vie pour maintenir ces activités.
Références
- FDA, Cybersécurité des dispositifs médicaux : considérations relatives au système de gestion de la qualité et contenu des dossiers de soumission avant commercialisation, recommandations définitives, février 2026
- FDA, Gestion après commercialisation de la cybersécurité des dispositifs médicaux, recommandations définitives, décembre 2016
- Commission européenne, recommandations de cybersécurité MDCG 2019-16 pour les dispositifs médicaux
- IEC, IEC 81001-5-1:2021 Sécurité, efficacité et sécurité des logiciels de santé et des systèmes informatiques de santé