Appareils connectés, petites équipes : une vision adaptée de la cybersécurité médicale

Les recommandations en cybersécurité pour les dispositifs médicaux sont principalement rédigées pour des systèmes de santé dotés d’équipes de sécurité. L’hôpital de mission qui adopte ses premiers analyseurs et moniteurs connectés fait face aux mêmes menaces sans le personnel dédié — voici donc une version adaptée à sa taille.

Les fondamentaux assurent l’essentiel de la protection : changez les mots de passe par défaut (les mots de passe d’usine sont connus publiquement à tous les niveaux), gardez les appareils cliniques hors des réseaux publics ou invités, appliquez les mises à jour du fabricant lorsqu’elles sont proposées, et sachez quels appareils stockent des données patient afin de les effacer lors de la mise hors service. Rien de cela ne nécessite un service de sécurité ; il suffit que l’inventaire sache quels équipements ont des ports réseau — un argument de plus pour un inventaire précis.

Une évaluation honnête des menaces apporte aussi de la sérénité : dans un hôpital rural, l’« incident cyber » le plus probable est banal — une clé USB infectée branchée sur un poste, un mot de passe partagé qui part avec un employé — et non une attaque sophistiquée et ciblée. Protégez d’abord contre ce qui est le plus probable.

À mesure que la connectivité devient une caractéristique biomédicale (voir notre note de terrain sur la bande passante), la sécurité devient une habitude de maintenance au même titre que l’étalonnage : simple, planifiée, documentée. La profession a déjà intégré des ajouts plus importants à la liste de contrôle.