Analyse du risque en matière de cybersécurité de l'écosystème des dispositifs électroniques cardiaques implantables (DECI)

L'utilisation des dispositifs électroniques cardiaques implantables (DECI) équipés de fonctionnalités de télémétrie augmente en raison des avantages qu'ils apportent à la qualité des soins aux patients, au rendement du personnel médical et à la réduction des coûts en santé. Ils interagissent avec des systèmes externes situés à l'hôpital (programmeur), au domicile des patients (moniteur à domicile) et dans le nuage. Les DECI communiquent avec les programmeurs et les moniteurs domestiques par l'intermédiaire de signaux radiofréquence (RF) transmis dans la bande des services de communication pour implants médicaux (MICS 402-405 Mhz), tandis qu'ils interagissent avec les systèmes en nuage par l'intermédiaire des moniteurs domestiques et de la connectivité IP (protocole Internet). Les DECI sont vulnérables aux cyberattaques qui exploitent leur interface de communication par radiofréquence. Cela vaut également pour les DECI non équipés de télémétrie, mais la télémétrie introduit des vecteurs d'attaque supplémentaires. La mise en garde de la Food and Drug Administration (FDA) concernant près d'un demi-million de DECI en 2017, selon laquelle ces dispositifs étaient vulnérables à un accès non autorisé, permettant à une personne malveillante de les reprogrammer à l'aide d'équipements disponibles sur le marché, témoigne de la croissante inquiétude que suscitent les cyberattaques contre les DECI. Bien que les DECI puissent être vulnérables, aucune cyberattaque de ce type n'a été signalée. Bien que nous sachions qu'il est techniquement possible de mener de telles attaques dans l'environnement contrôlé d'un laboratoire de recherche, il reste à déterminer dans quelle mesure de telles attaques seraient viables sur une cible réelle dans le monde réel. Nous avons cherché à évaluer les risques réels des cyberattaques contre les DECI équipés de télémétrie et des systèmes dont ils dépendent. Nous avons effectué une analyse de risque réaliste de ces attaques. Un inventaire des vulnérabilités qui ont été rendues publiques à ce jour a été réalisé. Des scénarios d'attaque ont été déterminés sur la base de ces vulnérabilités, en évaluant pourquoi et comment un cybercriminel pourrait les exploiter à des fins malveillantes. La probabilité d'une exploitation malveillante de chaque vulnérabilité a été estimée en fonction de trois critères : la capacité, la motivation et l'opportunité des cybercriminels. Des cyberattaques ont été simulées dans notre laboratoire à l'aide de DECI et de programmeurs. Nous avons déterminé l'impact des cyberattaques selon quatre échelles distinctes : santé, économie, vie privée et qualité de vie. L'impact sur la santé a été déterminé selon la classification Hayes des interférences cliniquement significatives avec les fonctions des DECI, tandis que le reste des impacts ont été déterminés selon le Fair Information Practice Principles 999 (FIPPS), un standard pour l'évaluation de sécurité des systèmes de l'information. Enfin, le risque associé à chaque vecteur d'attaque a été calculé en multipliant sa probabilité d'exploitation par son impact. Deux des six objectifs d'attaque possibles représentent un risque critique , à savoir “Inciter le personnel médical à commettre des erreurs de diagnostic” et “Acquérir des connaissances sur le fonctionnement de l'appareil et des logiciels”. Quatre des 15 vulnérabilités identifiées représentent un risque inacceptable, toutes associées à des dispositifs externes (programmeur et moniteur à domicile) et sont exploitables via l'accès réseau ou l'accès web aux cibles. Les résultats de cette étude révèlent que les menaces associées à l'interface de communication RF des DECI représentent un risque acceptable par rapport à la connectivité IP des appareils externes (programmateur et moniteur domestique). Le risque réel se trouve dans les réseaux informatiques et dans le nuage. Il existe plusieurs solutions à ce problème. Il est donc à la portée des groupes affectés (patients, personnel de santé, fabricants et autorités gouvernementales) de prendre les mesures nécessaires pour réduire les risques associés à de telles cyberattaques.