Audit de sécurité de l'information exigé pour nos dispositifs médicaux — que recherche exactement l'audit ?

L'un des premiers points de la liste sera un SBOM lisible par machine au format CycloneDX ou SPDX. Si votre passerelle tourne avec un noyau Linux, la version de chaque paquet open source et le rapport de scan des CVE connues doivent être fournis. Si vous n'avez pas laissé de telnet ouvert ou de HTTP non chiffré sur la passerelle, la moitié du boulot est faite.

Il y a deux ans, pour un appel d'offres similaire, on a payé 11.500 EUR auprès d'un labo indépendant pour obtenir un pentest du dispositif et un rapport de conformité au standard hospitalier B3S. En joignant le rapport au dossier de candidature, l'équipe informatique de l'hôpital a validé directement la liste des 45 points, quasiment sans poser de questions.

Demandez à l'équipe IT de l'hôpital s'ils se basent sur le profil BSI IT-Grundschutz ou B3S Medizinische Versorgung. La plupart des hôpitaux ne rédigent pas leur liste de zéro, ils copient les formulaires de contrôle prêts à l'emploi des standards fédéraux. Si vous connaissez le format standard, c'est beaucoup plus simple d'y répondre.

Les équipes informatiques des hôpitaux ne comprennent généralement pas la logique interne des logiciels médicaux, donc elles les traitent comme de simples serveurs standards. Ils peuvent très bien vous sortir : « Installez un antivirus sur l'appareil ». Il va falloir leur expliquer patiemment pourquoi un antivirus traditionnel ne peut pas tourner sur des systèmes embarqués et qu'à la place, vous utilisez un contrôle d'intégrité matériel (Secure Boot).

En 2021, on s'est fait recaler lors d'un audit similaire pour l'appel d'offres d'une clinique universitaire. Nos appareils étaient parfaits, mais notre système de mise à jour logicielle à distance ne disposait pas de vérification par signature cryptographique. L'auditeur a retoqué le dossier sur ce seul point, et ils ont gelé le contrat pendant 5 mois, le temps qu'on mette en place l'infrastructure de signature.

si vous avez pas laissé de mot de passe par défaut genre « admin/admin » sur les appareils et que vous forcez le changement de mot de passe à la première connexion vous passez déjà le premier gros filtre que les auditeurs vérifient en priorité.

Conformément à l'annexe I, section 17.2 du MDR, la sécurité de l'information constitue déjà une exigence légale fondamentale. Présenter les documents à l'auditeur en les intégrant directement au dossier technique de votre dispositif médical (Post-Market Surveillance et Risk Management) témoignera du sérieux et de la rigueur de votre structure.

edit : j'ai écrit une erreur ci-dessus, désolé.

Voici les 4 documents indispensables à fournir dans un premier temps : 1) Le rapport d'analyse des menaces conforme au MDCG, 2) Le schéma d'architecture réseau détaillant les ports et services ouverts, 3) La politique de notification des vulnérabilités et de déploiement des correctifs, 4) La preuve de démarrage sécurisé au niveau matériel (Secure Boot).

Je parle du point de vue du fournisseur, c'est mon côté. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Bien sûr, cela change si votre situation est différente.

J'aimerais poser une question. Une sauvegarde non testée n'est pas une sauvegarde.

Bon courage.

Je ne savais pas ça.

Je suis d'accord. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Je le note au cas où.

Chez nous, ça s'est passé comme ça. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

C'est confirmé par l'expérience.

Je ne suis pas d'accord sur ce point. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Une sauvegarde non testée n'est pas une sauvegarde.

Je suis dans la même situation, c'est pourquoi je pose la question. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Je suis d'accord, j'aimerais même souligner ce point. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je suis passé par là, laissez-moi vous raconter. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

J'écris cela pour éviter que vous ne fassiez la même erreur. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

C'est mon avis, je ne l'écris pas comme une vérité absolue.