211service.com
Les virus informatiques sont « rampants » sur les dispositifs médicaux dans les hôpitaux
Les équipements hospitaliers informatisés sont de plus en plus vulnérables aux infections par des logiciels malveillants, selon les participants à un récent panel gouvernemental. Ces infections peuvent obstruer l'équipement de surveillance des patients et d'autres systèmes logiciels, rendant parfois les appareils temporairement inutilisables.
Bien qu'aucune blessure n'ait été signalée, le problème des logiciels malveillants dans les hôpitaux augmente clairement à l'échelle nationale, selon Kévin Fu , un grand spécialiste de la sécurité des dispositifs médicaux et informaticien à l'Université du Michigan et à l'Université du Massachusetts à Amherst, qui a participé à la table ronde.
Les équipements médicaux contrôlés par logiciel sont devenus de plus en plus interconnectés ces dernières années, et de nombreux systèmes fonctionnent sur des variantes de Windows, une cible commune pour les pirates informatiques ailleurs. Les appareils sont généralement connectés à un réseau interne qui est lui-même connecté à Internet, et ils sont également vulnérables aux infections provenant d'ordinateurs portables ou d'autres appareils introduits dans les hôpitaux. Le problème est exacerbé par le fait que les fabricants ne permettent souvent pas de modifier leurs équipements, même pour ajouter des fonctionnalités de sécurité.
Dans un exemple typique, au Beth Israel Deaconess Medical Center de Boston, 664 pièces d'équipement médical fonctionnent sur des systèmes d'exploitation Windows plus anciens que les fabricants ne modifieront pas ou ne permettront pas à l'hôpital de changer, même pour ajouter un logiciel antivirus, en raison de désaccords sur la question de savoir si les modifications pourrait aller à l'encontre des examens réglementaires de la Food and Drug Administration des États-Unis, dit Fu.
En conséquence, ces ordinateurs sont fréquemment infectés par des logiciels malveillants et un ou deux doivent être mis hors ligne chaque semaine pour être nettoyés, explique Mark Olson, responsable de la sécurité des informations chez Beth Israel.
Je trouve cela ahurissant, dit Fu. Les logiciels malveillants conventionnels sont endémiques dans les hôpitaux en raison des dispositifs médicaux utilisant des systèmes d'exploitation non corrigés. Les hôpitaux ont peu de recours lorsqu'un fabricant refuse d'autoriser les mises à jour du système d'exploitation ou les correctifs de sécurité.
Les inquiétudes concernant les conséquences possibles pour les patients ont été décrites jeudi dernier lors d'une réunion d'un groupe d'experts sur les dispositifs médicaux au National Institute of Standards and Technology Conseil consultatif sur la sécurité de l'information et la confidentialité , dont Fu est membre, à Washington, D.C. Lors de la réunion, Olson a décrit comment les logiciels malveillants ont ralenti à un moment donné les moniteurs fœtaux utilisés sur les femmes ayant des grossesses à haut risque traitées dans les services de soins intensifs.
Il n'est pas inhabituel que ces appareils, pour des raisons que nous ne comprenons pas parfaitement, soient compromis au point de ne plus pouvoir enregistrer et suivre les données, a déclaré Olson lors de la réunion, faisant référence aux moniteurs de grossesse à haut risque. Heureusement, nous avons un modèle de secours car ce sont des [patients] à haut risque. Ils sont dans une unité IC - il y a quelqu'un physiquement là pour regarder. Mais s'ils s'éloignent vers un autre patient, il y a une fenêtre de temps pour que les choses aillent dans la mauvaise direction.
Les systèmes informatiques défaillants dans les moniteurs ont été remplacés il y a plusieurs mois par le fabricant Philips ; les nouveaux systèmes, basés sur Windows XP, ont de meilleures protections et le problème a été résolu, a déclaré Olson dans une interview ultérieure.
Lors de la réunion, Olson a également déclaré que des problèmes similaires menaçaient une grande variété d'appareils, allant des mélangeurs, qui préparent des médicaments intraveineux et de la nutrition intraveineuse, aux systèmes d'archivage d'images associés aux équipements de diagnostic, y compris les énormes appareils d'imagerie par résonance magnétique de 500 000 $.
Olson a déclaré au panel que des infections ont frappé de nombreux types d'équipements, faisant craindre qu'un jour un patient ne soit blessé. Nous nous inquiétons également des situations où les analyseurs de gaz du sang, les mélangeurs, les équipements de radiologie, les systèmes d'administration de médecine nucléaire pourraient être compromis au point où ils ne peuvent pas être utilisés, ou ils deviennent compromis au point où leurs valeurs sont ajustées à l'insu du logiciel, il a dit. Il a expliqué que lorsqu'une machine est obstruée par des logiciels malveillants, elle peut en théorie manquer quelques lectures d'un capteur [et] signaler par erreur une valeur, ce qui peut maintenant causer des dommages.
Souvent, le malware est associé à des botnets, a déclaré Olson, et une fois qu'il se loge dans un ordinateur, il tente de contacter les serveurs de commande et de contrôle pour obtenir des instructions. Les botnets, ou collections d'ordinateurs compromis, envoient généralement du spam, mais peuvent également lancer des attaques sur d'autres systèmes informatiques ou effectuer d'autres tâches assignées par les organisations qui les contrôlent (voir Moore's Outlaws ).
En septembre, le Government Accountability Office a publié un rapport avertissant que les dispositifs médicaux informatisés pourraient être vulnérables au piratage, constituant une menace pour la sécurité, et a demandé à la FDA de résoudre le problème. Le rapport du GAO s'est principalement concentré sur la menace pesant sur deux types d'appareils implantés sans fil : les défibrillateurs implantés et les pompes à insuline. La vulnérabilité de ces appareils a fait l'objet d'une large attention de la presse (voir Sécurité personnelle et Protection des stimulateurs cardiaques contre les pirates informatiques ), mais aucune attaque réelle contre eux n'a été signalée.
Fu, qui est un leader dans la recherche sur les risques décrits dans le rapport du GAO, a déclaré que ces deux classes d'appareils sont une goutte d'eau dans le seau : des milliers d'autres appareils connectés au réseau utilisés pour les soins aux patients sont également vulnérables aux infections. Ce sont des dispositifs de sauvetage. Les patients sont beaucoup plus en sécurité avec eux que sans eux. Mais des fissures apparaissent, a-t-il déclaré. (Fu était Examen de la technologie Innovateur de l'année en 2009.)
Les problèmes de logiciels malveillants sur les appareils hospitaliers sont rarement signalés aux régulateurs étatiques ou fédéraux, ont déclaré Olson et Fu. C'est en partie parce que les hôpitaux pensent qu'ils ont peu de recours. Malgré la FDA directives émises en 2009 à l'intention des hôpitaux et des fabricants — en les encourageant à travailler ensemble et en soulignant que l'élimination des risques de sécurité ne nécessite pas toujours un examen réglementaire — de nombreux fabricants interprètent les petits caractères d'une autre manière et n'offrent pas de mises à jour, dit Fu. Et une telle déclaration n'est pas requise à moins qu'un patient ne soit blessé. C'est peut-être un échec de notre part, que nous n'essayions pas d'augmenter la visibilité de la menace, a déclaré Olson. Mais je pense que nous pensons tous que la menace devient de plus en plus élevée.
S'exprimant lors de la réunion, Brian Fitzgerald, directeur adjoint de la FDA, a déclaré qu'en visitant les hôpitaux du pays, il avait découvert que les problèmes de Beth Israel étaient largement partagés. C'est un profil très courant, dit-il. La FDA est en train de revoir sa position réglementaire sur les logiciels, a déclaré Fitzgerald au panel. Cela devra être un processus graduel, car cela implique de changer la culture, de changer la technologie, de recruter du nouveau personnel et d'adopter une approche systématique à cet égard, a-t-il déclaré.
Dans une interview lundi, Tam Woodrum, responsable logiciel chez le fabricant d'appareils GE Healthcare, a déclaré que les fabricants étaient dans une situation difficile et que les problèmes s'amplifiaient car les hôpitaux s'attendent à de plus en plus d'interconnexion. Il a ajouté que malgré les directives de la FDA en 2009, les réglementations rendent les modifications du système difficiles à accomplir : pour revenir en arrière et mettre à jour le système d'exploitation, avec un logiciel mis à jour pour fonctionner sur la prochaine version, c'est un processus réglementaire onéreux.
Olson a déclaré que d'après son expérience, GE Healthcare propose des correctifs logiciels et des conseils sur la sécurité des appareils, mais que tous les fabricants n'ont pas la même posture. Il a ajouté que les appareils les moins protégés ont été placés derrière des pare-feu. Mais pour faire cela avec tout l'équipement contrôlé par logiciel d'un hôpital, il faudrait plus de 200 pare-feu, une perspective irréalisable, a-t-il déclaré.
John Halamka , directeur informatique de Beth Israel et professeur à la Harvard Medical School, a déclaré qu'il avait commencé à demander de l'aide aux fabricants pour isoler leurs appareils des réseaux après la survenue de problèmes en 2009 : le ver Conficker a causé des problèmes avec un poste de travail de soins obstétricaux Philips, un poste de travail de radiologie GE et applications médicales qui n'ont pas pu être corrigées en raison de restrictions [réglementaires]. Il a dit : Personne n'a été blessé, mais nous avons dû arrêter les systèmes, les nettoyer, puis les isoler de l'Internet/du réseau local.
Il a ajouté : De nombreux CTO ne savent pas comment protéger leurs propres produits avec des pare-feu restrictifs. Tous ont déclaré qu'ils s'efforçaient d'améliorer la sécurité mais n'avaient pas encore apporté les améliorations nécessaires.
Fu dit que les dispositifs médicaux doivent cesser d'utiliser des systèmes d'exploitation non sécurisés et non pris en charge. Davantage d'hôpitaux et de fabricants doivent s'exprimer sur l'importance de la sécurité des dispositifs médicaux, a-t-il déclaré après la réunion. Les dirigeants de quelques fabricants de premier plan commencent à engager des ressources d'ingénierie pour assurer une sécurité optimale, mais il existe des milliers de dispositifs médicaux basés sur des logiciels.