Points clés
- La cartographie des risques traditionnelle ne capture pas les spécificités des dispositifs médicaux : criticité clinique, contraintes réglementaires MDR, dépendances constructeurs et impossibilité de patch immédiat.
- Intégrer l'IoMT dans la gestion des risques nécessite un inventaire exhaustif couplant identification IT (IP, MAC, OS) et données biomédicales (référence constructeur, numéro de série, version firmware, classe IEC).
- L'évaluation du risque IoMT doit croiser impact clinique (arrêt de soins, erreur diagnostique) et impact cyber (compromission, propagation), dimensions rarement intégrées dans les référentiels classiques.
- La priorisation des actions correctives tient compte de la faisabilité : un équipement de classe III ne peut être mis hors ligne sans plan de continuité clinique validé par la direction médicale.
Les limites des approches de cartographie classiques
Les référentiels de gestion des risques IT — ISO 27005, EBIOS RM, NIST SP 800-30 — sont conçus pour des actifs informatiques standard dont le comportement est prévisible et la gestion relève d'une équipe unique. Les dispositifs médicaux connectés échappent à ce cadre : leur criticité se mesure en termes cliniques (impact sur les soins, risque patient) autant que numériques, leur cycle de vie dépasse le périmètre de la DSI, et leur maintien en conditions opérationnelles est contraint par des impératifs réglementaires MDR 2017/745 et des certifications constructeurs. Toute approche de cartographie qui ignore ces spécificités produit une évaluation des risques IoMT structurellement incomplète.
Construire un inventaire IoMT exploitable
La première étape est un inventaire bimodal : identification réseau par scan passif (Nmap, Claroty, Medigate) couplée aux données du service biomédical (CMMS, registre des dispositifs). Chaque entrée doit documenter l'adresse IP/MAC, le système d'exploitation et sa version, la version firmware, la classe IEC 62443, la classification MDR, l'usage clinique, le fabricant, la date de fin de support, et les CVE connues. Cet inventaire doit être maintenu à jour — toute acquisition ou mise en service d'équipement déclenchant une mise à jour automatique — et constitue la base de toute analyse de risque IoMT sérieuse.
Évaluer le risque selon deux dimensions croisées
L'évaluation du risque IoMT doit intégrer deux dimensions indissociables. La dimension clinique évalue l'impact d'une panne ou d'un comportement anormal sur la sécurité des patients : un défibrillateurimplantable compromis présente un risque vital direct, un système de gestion de rendez-vous un risque indirect via la désorganisation des soins. La dimension cyber évalue le potentiel de compromission et de propagation : un équipement d'imagerie DICOM exposé sur le réseau représente un vecteur de mouvement latéral significatif. La matrice de risque résultante, croisant ces deux dimensions, permet une priorisation qui respecte à la fois les impératifs de sécurité numérique et les contraintes opérationnelles médicales.
Prioriser sans désorganiser les soins
La priorisation des mesures correctives IoMT ne peut pas suivre la logique IT classique — isolation immédiate d'un actif à risque élevé. Un dispositif médical critique ne peut être mis hors ligne sans validation médicale et plan de substitution. La démarche correcte implique une concertation entre RSSI, ingénieur biomédical, cadre de soins et médecin référent pour chaque équipement à risque élevé. Les mesures compensatoires — isolation réseau partielle, monitoring renforcé, authentification additionnelle — permettent souvent de réduire le risque sans interrompre les soins. Ce processus doit être formalisé dans la politique de sécurité des dispositifs médicaux de l'établissement.
Intégration dans la gouvernance et les cycles de révision
La cartographie des risques IoMT n'est pas un exercice ponctuel mais un processus continu. Chaque nouvelle CVE publiée sur un équipement inventorié, chaque acquisition, chaque mise à jour de firmware, chaque changement de configuration réseau doit déclencher une réévaluation. Cette dynamique requiert des outils adaptés — plateformes de gestion des risques IoMT comme Medigate, Claroty ou Cylera — intégrés aux processus RSSI et biomédical. Les résultats alimentent le tableau de bord de gouvernance de l'établissement, permettant à la direction de piloter objectivement le niveau de risque global de son parc de dispositifs connectés.