2 min de lecture
Bien que la numérisation et l'Internet des objets (IoT) aient amélioré les performances des dispositifs médicaux, ils les ont également rendus plus vulnérables aux cybermenaces. Les logiciels malveillants et espions qui s'attaquent à ces équipements sont de plus en plus nombreux. Les pirates recherchent activement les failles des dispositifs et des logiciels associés pour les corrompre, perturber leur fonctionnement et compromettre les données des utilisateurs. Toutes ces difficultés compliquent la tâche des organisations qui s'efforcent de protéger les données des utilisateurs et d'éviter les dommages.
Pour lutter contre les risques de cybersécurité liés aux dispositifs médicaux, toutes les autorités de santé membres de l'International Medical Device Regulators Forum (IMDRF) ont publié des projets de directives contenant des règles réglementaires applicables avant la mise sur le marché. Cependant, la Therapeutic Goods Administration (TGA) en Australie a anticipé le besoin d'une réglementation incluant également la phase de commercialisation et a publié un projet de guide qui couvre l'ensemble du cycle de vie du produit (TPLC).
À qui s'adresse ce guide ?
L'approche TPLC proposée par la TGA met l'accent sur la mise à jour continue des systèmes de gestion de la qualité, des procédures de gestion des risques et des processus de gestion des changements. Comme ce guide aborde à la fois les aspects d'avant et d'après la mise sur le marché, ses exigences s'adressent à plusieurs intervenants présentés ci-dessous.
- Les fabricants qui développent des logiciels en tant que dispositifs médicaux (SaMD)
- Les fabricants de dispositifs comportant des composants logiciels vulnérables aux cybermenaces
- Les représentants légaux responsables de la fourniture des dispositifs en Australie
- Les professionnels de santé qui utilisent des dispositifs médicaux pour poser des diagnostics et soigner des patients
- Les ingénieurs cliniques et biomédicaux chargés de la gestion des équipements médicaux dans les établissements de santé
- Les équipes de gestion générale et informatique responsables des systèmes, des procédures et des processus dans le secteur de la santé
- Les consommateurs qui utilisent un dispositif médical enregistré
- sous la supervision de leur professionnel de santé
- ne nécessitant pas de surveillance médicale
Guide destiné à l'industrie des dispositifs médicaux :
Tout en aidant l'industrie des dispositifs médicaux à se préparer aux enjeux de cybersécurité, le guide rappelle que les produits doivent figurer au registre australien des produits thérapeutiques (ATRG) pour être commercialisés dans le pays. Toutefois, cette inscription au registre implique de prendre en compte l'ensemble du cycle de vie du dispositif médical, qui se divise en quatre étapes clés :
- Évaluation de la conformité avant la mise sur le marché
- Autorisation de mise sur le marché par l'inscription à l'ARTG
- Surveillance post-commercialisation
- Fin de vie / arrêt du support
Le guide précise également que les fabricants sont seuls responsables de l'évaluation et de la gestion des risques de cybersécurité du dispositif, tant avant qu'après sa mise sur le marché. Pour ce faire, ils doivent tenir compte de certains aspects à ces deux stades, notamment :
- Considérations pré-commercialisation : Ces considérations concernent les risques liés à la conception et au développement des dispositifs médicaux. Elles sont de nature générale et technique.
- Les aspects généraux tels que la démarche de développement, l'application des normes, les stratégies de gestion des risques, l'évaluation de la chaîne d'approvisionnement et la mise à disposition d'informations pour les utilisateurs.
- Les aspects techniques tels que les tests de performance en cybersécurité, l'architecture de conception modulaire, la sécurité des plateformes d'exploitation, les logiciels émergents, ainsi que l'accès sécurisé et la fourniture de contenus.
- Considérations post-commercialisation : Dans le cadre du régime post-commercialisation, les fabricants et les parrains de dispositifs sont tenus d'évaluer et de traiter en continu les risques de cybersécurité. Cela implique de comprendre les risques et les menaces, et d'y répondre lorsqu'ils surviennent.
Points clés du guide :
Alors que d'autres autorités de régulation de l'IMDRF ont énuméré des principes de cybersécurité pré-commercialisation, la TGA est allée plus loin en dressant une liste de 15 « principes essentiels », notamment axés sur la sécurité à long terme. En outre, huit autres principes essentiels ont été ajoutés au guide pour lutter contre la prévention des logiciels malveillants. Le guide met en avant le cadre de cybersécurité élaboré par le National Institute of Standards and Technology (NIST) des États-Unis. Il comprend également des exemples courants de vulnérabilités, des normes reconnues qui contribuent à renforcer la sécurité, ainsi que des instructions destinées aux utilisateurs finaux, aux essais cliniques et aux structures de soins utilisant les dispositifs.
Le projet de guide englobe un vaste ensemble d'informations permettant aux fabricants de dispositifs médicaux de mettre en place l'approche du cycle de vie complet du produit (TLPC). Toutefois, la version actuelle du guide est soumise à consultation et des modifications sont attendues dans les prochaines versions. Pour rester en conformité et en sécurité, les parties prenantes doivent agir sans tarder avec l'aide d'un expert réglementaire en dispositifs médicaux. Soyez en conformité.
