Podcast sur la santé numérique: sur les cyberrisques pour les hôpitaux et les dispositifs médicaux

Un réseau sans fil ouvert dans un hôpital allemand a permis l'accès non autorisé à des infrastructures critiques, y compris les portes menant aux salles d'opération et aux services d'urgence. Un lanceur d'alerte a alerté le média heise en ligne sur la vulnérabilité, qui a ensuite été vérifiée sur place. Le système s'appuyait sur des informations d'identification par défaut, avec le nom d'utilisateur et le mot de passe définis sur admin, une configuration explicitement documentée dans le manuel de l'appareil. Bien que l'hôpital ait été informé de la faille plus tôt, le personnel a initialement ignoré l'avertissement. Des mesures n'ont été prises qu'après une enquête des médias, bien que les horaires des vacances aient retardé la fermeture immédiate de la faille de sécurité.

Une déclaration de l'hôpital concernant l'incident n'a pas encore été publiée. Martin Tettke, ancien responsable de la certification des dispositifs médicaux chez Berlin Cert GmbH, qui travaille actuellement dans la division réseau et sécurité de l'Institut fédéral d'évaluation des risques, a discuté du cas dans un podcast sur la santé numérique. Il a décrit la situation comme un échec à plusieurs niveaux de responsabilité. Les fournisseurs de services ne devraient jamais remettre des systèmes avec des données d'accès standard intactes. Les hôpitaux, à leur tour, doivent vérifier que les exigences de sécurité de base sont respectées lors des tests d'acceptation. Tettke a qualifié ce cas spécifique d'échec organisationnel évident.

Il a noté que les réseaux pour l'administration, la technologie médicale et le contrôle d'accès nécessitent une séparation stricte. La direction de l'hôpital est responsable dans de tels cas. Des risques supplémentaires découlent de l'informatique parallèle, où les employés connectent des points d'accès sans fil personnels aux réseaux institutionnels. Les représentants de l'Association des services informatiques hospitaliers se sont plaints au printemps dernier du fait que de nombreuses cliniques manquent de fonds et de personnel pour prioriser efficacement ces risques. Les cliniques doivent comprendre quels processus opérationnels dépendent de systèmes spécifiques. Par exemple, la défaillance d'un serveur de messagerie entraîne des conséquences différentes de celles d'une panne d'une machine cardiaque-pulmonaire connectée.

Les fabricants et les fournisseurs de services doivent tenir compte des besoins des opérateurs, en utilisant éventuellement des logiciels de fabrication de matériaux similaires à ceux utilisés dans le développement de produits médicaux. Les rapports indiquent que la complexité de la conformité informatique pour les hôpitaux augmente. Les équipes des technologies de l'information devraient être impliquées dès le début du processus d'approvisionnement pour les nouveaux dispositifs. Le paysage des menaces a considérablement changé, selon Tettke. Auparavant, il y avait suffisamment de temps pour corriger les vulnérabilités après leur divulgation. Aujourd'hui, les organisations doivent immédiatement évaluer si elles ont déjà été compromises. Le collage deux ou trois jours plus tard est probablement trop tard.

Alors que les modèles d'intelligence artificielle aident les attaquants, ils peuvent également être utilisés pour auditer les réseaux internes. Une récente simulation de crise menée par des chercheurs de Fraunhofer a démontré la dynamique imprévisible des cyberattaques contre les hôpitaux. Une réponse rapide nécessite un personnel formé. Tettke a fait valoir que le coût élevé et la pénurie de travailleurs qualifiés sont de faibles justifications pour négliger la sécurité, notant qu'un seul incident de sécurité coûte plusieurs fois l'embauche d'un à trois nouveaux employés. Il a rappelé une expérience où les services de radiologie étaient en panne pendant une semaine dans un hôpital en raison d'un problème technique.