Points clés
- Un environnement IoMT insuffisamment maîtrisé présente des signaux identifiables lors d'un audit ou d'une analyse réseau — avant qu'un incident ne les révèle.
- Ces signaux sont de nature technique (flux réseau anormaux, équipements non inventoriés), organisationnelle (absence de processus) et documentaire (politiques non adaptées).
- La détection de ces signaux par une analyse réseau passive est possible sans interrompre les équipements médicaux — une contrainte critique dans les environnements de soins.
- La priorisation des risques identifiés doit tenir compte de la criticité clinique des équipements concernés — tous les risques IoMT ne méritent pas la même urgence de traitement.
Signal 1 : équipements médicaux connectés hors inventaire
Un scan réseau de l'infrastructure hospitalière révèle souvent des équipements médicaux connectés qui n'apparaissent dans aucun inventaire. Des pompes à perfusion, des moniteurs patients, des équipements d'imagerie portables, ou des appareils de diagnostic connectés via WiFi peuvent être présents sur le réseau sans que les équipes IT ou biomédicales n'en aient connaissance. Ces équipements hors inventaire sont des angles morts complets : leurs vulnérabilités sont inconnues, leur maintenance n'est pas planifiée, et leurs communications réseau ne sont pas surveillées.
Signal 2 : flux réseau anormaux émanant d'équipements médicaux
L'analyse des flux réseau émanant des équipements médicaux peut révéler des comportements anormaux. Des connexions vers des adresses IP externes non documentées comme étant celles du fabricant, des volumes de données sortants anormalement élevés à des heures inhabituelles, des tentatives de connexion vers d'autres équipements du réseau sur des ports non justifiés, ou des communications vers des services cloud non attendus sont des signaux qui méritent investigation. Ces anomalies peuvent signaler une compromission, mais aussi simplement des fonctionnalités non documentées des équipements.
Signal 3 : équipements sur des systèmes d'exploitation en fin de support
L'inventaire des systèmes d'exploitation des équipements médicaux révèle souvent un pourcentage significatif de machines fonctionnant sur des OS en fin de support. Windows XP, Windows 7, ou des distributions Linux non maintenues sont communs dans les parcs IoMT hospitaliers. Ces systèmes accumulent des vulnérabilités connues et publiquement documentées pour lesquelles aucun patch ne sera disponible. Leur identification dans l'inventaire permet de prioriser les contrôles compensatoires (segmentation renforcée, surveillance accrue) sur ces équipements spécifiques.
Signal 4 : absence de politique de sécurité IoMT documentée
L'absence d'une politique de sécurité spécifique aux dispositifs médicaux connectés est un signal organisationnel fort d'un environnement non maîtrisé. Sans politique, il n'existe pas de processus formel de déploiement sécurisé, pas de critères de validation des équipements avant connexion, pas de règles sur les accès de maintenance fabricant, et pas d'indicateurs de suivi de la sécurité du parc IoMT. Cette politique n'a pas besoin d'être complexe — elle doit définir les principes fondamentaux applicables à l'ensemble du parc et les responsabilités de chaque acteur.
L'analyse passive : détecter sans interrompre
L'analyse de l'environnement IoMT doit être réalisée de manière passive — sans générer de trafic actif vers les équipements médicaux, qui pourrait perturber leur fonctionnement ou déclencher des alarmes cliniques. Des outils de découverte réseau passifs, qui écoutent le trafic existant plutôt que d'envoyer des requêtes actives, permettent de constituer l'inventaire et d'identifier les anomalies sans risque pour les équipements et les patients. Cette contrainte d'analyse passive est spécifique aux environnements médicaux — elle doit être prise en compte dans le choix des outils de surveillance IoMT.