Points clés
- Les dispositifs médicaux connectés créent des dépendances techniques avec les systèmes d'information hospitaliers qui amplifient les impacts en cas d'incident.
- Ces dépendances doivent être cartographiées explicitement pour anticiper les effets en cascade lors d'une défaillance ou d'une compromission.
- La gestion de ces dépendances nécessite une coordination entre les équipes biomédicales, IT et les fabricants — qui connaissent les interdépendances de leurs équipements.
- Les tests de continuité doivent couvrir les scénarios de défaillance des dépendances — pas uniquement les défaillances directes des équipements.
Les types de dépendances techniques IoMT
Les dispositifs médicaux connectés créent plusieurs types de dépendances techniques avec les systèmes d'information. Les dépendances d'authentification : des équipements qui utilisent l'Active Directory hospitalier pour l'authentification des utilisateurs. Les dépendances de données : des équipements qui envoient leurs données vers un DPI ou un système de gestion spécifique. Les dépendances réseau : des équipements qui nécessitent la disponibilité de services réseau spécifiques (DNS, NTP, serveurs de licences) pour fonctionner. Les dépendances de mises à jour : des équipements qui reçoivent leurs mises à jour depuis des serveurs centraux. Chacune de ces dépendances crée un risque de défaillance en cascade.
La cartographie des dépendances
La cartographie des dépendances techniques entre les dispositifs médicaux et les systèmes d'information est un exercice souvent négligé mais essentiel. Elle doit identifier, pour chaque équipement médical critique, les systèmes d'information dont il dépend pour fonctionner, et les systèmes d'information qui dépendent de lui. Cette cartographie permet de planifier les maintenances en évitant les interférences, d'anticiper les impacts lors des incidents, et de définir les ordres de priorité lors de la reprise d'activité après un incident majeur.
Les risques liés aux serveurs de licences
De nombreux équipements médicaux fonctionnent avec des licences logicielles qui doivent être validées périodiquement par un serveur de licences du fabricant — souvent accessible via internet. L'indisponibilité de ce serveur, ou la coupure de la connexion internet de l'établissement, peut désactiver des fonctionnalités critiques de l'équipement. Cette dépendance cachée est rarement documentée explicitement et peut surprendre les équipes lors d'un incident. Son identification lors de la cartographie des dépendances permet de prévoir des solutions de contournement.
Les impacts lors des maintenances programmées
Les maintenances programmées des systèmes d'information hospitaliers peuvent avoir des impacts non anticipés sur les équipements médicaux connectés si les dépendances ne sont pas cartographiées. Une mise à jour du serveur Active Directory peut bloquer l'authentification des utilisateurs sur des équipements médicaux. Une migration du système de fichiers peut interrompre les sauvegardes automatiques des équipements médicaux. Une modification des règles du pare-feux peut bloquer les communications des équipements avec leurs serveurs de gestion. Ces impacts doivent être anticipés lors de la planification des maintenances, en impliquant les équipes biomédicales.
Tester la résilience des dépendances
Les tests de continuité d'activité IoMT doivent inclure des scénarios de défaillance des systèmes dont dépendent les équipements médicaux. Comment les équipements médicaux se comportent-ils si l'Active Directory est inaccessible ? Si le réseau est segmenté suite à un incident ? Si le serveur de licences est indisponible ? Ces tests permettent d'identifier les équipements dont la résilience est insuffisante et de définir les procédures alternatives pour maintenir la continuité des soins dans ces scénarios.