CEI 81001-5-1 Sécurité, efficacité et sûreté des systèmes d'information de santé - Activités du cycle de vie du produit

La norme « CEI 81001-5-1 Sûreté, efficacité et sécurité des logiciels et systèmes d’information de santé – Partie 5-1 : Sécurité – Activités du cycle de vie du produit », élaborée par la Commission électrotechnique internationale (CEI), décrit les exigences relatives au cycle de vie du développement et de la maintenance des logiciels de santé, nécessaires à la conformité avec la norme CEI 62443-4-1. Ces exigences tiennent également compte des besoins spécifiques des logiciels de santé.

L'ensemble des processus, activités et tâches décrits dans cette norme fournit un cadre commun pour la sécurisation du cycle de vie des logiciels de santé. Son objectif est d'améliorer la cybersécurité de ces logiciels en définissant des activités et des tâches spécifiques au sein de leur cycle de vie et en renforçant la sécurité de ces processus.

La norme IEC 81001-5-1 est une norme internationale relative à la cybersécurité des logiciels et des systèmes d'information de santé. Elle définit les processus, les activités et les tâches que les organismes doivent intégrer au cycle de vie du développement et de la maintenance des logiciels de santé. Son objectif principal est d'améliorer la cybersécurité tout en préservant un équilibre adéquat entre sécurité, efficacité et sûreté.

La norme CEI 81001-5-1 est essentiellement une norme de cycle de vie sécurisé des logiciels pour le secteur de la santé. Elle adapte les pratiques de cybersécurité de la norme CEI 62443-4-1 aux exigences et aux risques spécifiques des logiciels de santé.

La norme CEI 81001-5-1 s'applique à une large gamme de logiciels de santé, y compris les logiciels intégrés aux dispositifs médicaux et les logiciels en tant que dispositif médical (SaMD). Cette norme est définie comme une norme de processus couvrant les logiciels de santé, y compris les logiciels intégrés aux dispositifs médicaux.

La norme IEC 81001-5-1 intègre les activités de sécurité tout au long du cycle de vie du produit, au lieu de se concentrer uniquement sur les tests de cybersécurité à la fin du développement.

Les logiciels de santé communiquent de plus en plus via des réseaux, des services cloud, les systèmes d'information hospitaliers, les appareils mobiles et les équipements médicaux connectés. Par conséquent, les failles de cybersécurité peuvent potentiellement impacter non seulement la confidentialité des données, mais aussi la sécurité et l'efficacité des fonctions de soins.

La norme CEI 81001-5-1 est importante car elle aide les fabricants et les éditeurs de logiciels dans les domaines suivants :

• Identifier les risques de cybersécurité pendant le développement.
• Créer des pratiques de développement sécurisées.
• Gérer les risques liés à la sécurité tout au long du cycle de vie du produit.
• Vérification des configurations et modifications logicielles.
• Résolution des problèmes de sécurité logicielle.
• Maintenir la sécurité après le lancement du produit
• Pour démontrer que la cybersécurité est systématiquement prise en compte.

L’objectif de cette norme est d’améliorer la cybersécurité des logiciels de santé en définissant les activités et les tâches appropriées au sein des processus du cycle de vie de ces logiciels.

La norme CEI 81001-5-1 organise les exigences relatives aux différents processus clés du cycle de vie des logiciels. Les principaux domaines sont les suivants :

• Exigences générales : Les exigences générales constituent le fondement de la mise en œuvre des activités liées à la sécurité du cycle de vie des logiciels. Elles englobent les aspects relatifs aux processus organisationnels, à la gestion de la qualité et à la gestion des risques. L’objectif est de garantir que la cybersécurité soit considérée non pas comme une activité distincte réalisée uniquement après le développement, mais comme une composante intégrante de ce dernier.
• Processus de développement logiciel : Ce processus décrit les activités de sécurité à intégrer dès la phase de développement. Ces activités comprennent généralement l’identification des exigences de sécurité, l’évaluation des menaces et des vulnérabilités, la conception de contrôles de sécurité appropriés, la mise en œuvre de mesures de sécurité et la vérification de la conformité aux exigences de sécurité. Cette approche permet de prévenir l’introduction de failles de sécurité dans le produit dès sa conception.
• Processus de maintenance logicielle : La cybersécurité ne s’arrête pas à la mise en production d’un logiciel. Des vulnérabilités peuvent être découvertes même des années après le lancement d’un produit. C’est pourquoi la norme CEI 81001-5-1 traite des activités de sécurité liées à la maintenance logicielle, notamment les modifications, les mises à jour, les correctifs et autres interventions. Ceci est particulièrement important pour les dispositifs médicaux susceptibles de rester opérationnels pendant de nombreuses années.
• Processus de gestion des risques de sécurité : La gestion des risques de sécurité est un élément clé de cette norme. Les organisations doivent identifier les menaces potentielles en matière de cybersécurité et déterminer comment ces menaces pourraient affecter les logiciels et, en fin de compte, la sécurité et l’efficacité. La gestion des risques de sécurité peut comprendre :
  • Identification des menaces
  • Analyse de la vulnérabilité
  • Estimation du risque
  • Contrôle des risques
  • Évaluation des risques restants.
  • Suivi des risques de sécurité au fil du temps.
• Processus de gestion de la configuration logicielle : La gestion de la configuration logicielle permet à une organisation de connaître les logiciels installés, leurs versions disponibles et les modifications apportées. Ceci est particulièrement important lorsqu’un dispositif médical contient plusieurs composants logiciels ou des logiciels tiers. La gestion logicielle facilite les mises à jour logicielles contrôlées et permet de déterminer plus facilement si une version particulière est affectée par une vulnérabilité nouvellement découverte.
• Processus de résolution des problèmes logiciels : Cette norme traite également de la résolution systématique des problèmes logiciels. Lorsqu’une vulnérabilité ou un bogue logiciel est identifié, l’organisation doit disposer d’un processus intégré pour enquêter, évaluer, corriger et documenter le problème. Ce processus fournit un mécanisme structuré pour répondre aux incidents de cybersécurité et aux vulnérabilités logicielles.

Un aspect essentiel de la norme CEI 81001-5-1 est la modélisation des menaces. Cette norme comprend une annexe informative consacrée à ce sujet. La modélisation des menaces aide les développeurs à anticiper les interactions potentielles d'un attaquant avec un logiciel, à identifier les interfaces ou fonctions vulnérables et à déterminer les mesures de sécurité appropriées. Par exemple, un dispositif médical connecté pourrait présenter les caractéristiques suivantes :

• interfaces réseau
• Communication sans fil
• Authentification de l'utilisateur
• Connexions au cloud
• Avec supports amovibles
• mécanismes de mise à jour logicielle
• Interfaces avec les systèmes d'information hospitaliers

Chacun de ces éléments peut présenter des risques potentiels en matière de cybersécurité qui doivent être pris en compte lors du développement.

Les principaux avantages de la mise en œuvre de la norme CEI 81001-5-1 sont les suivants :

• Cybersécurité renforcée : au lieu de considérer la sécurité comme une activité de test finale, elle est intégrée à l’ensemble du processus de développement et de maintenance.
• Détection précoce des vulnérabilités : la modélisation des menaces et la gestion des risques de sécurité permettent d’identifier les points faibles avant la mise sur le marché des produits.
• Gestion améliorée des vulnérabilités : des processus de maintenance et de dépannage définis aident les organisations à réagir aux vulnérabilités nouvellement découvertes.
• Soutien réglementaire supplémentaire : La Food and Drug Administration (FDA) des États-Unis considère cette norme comme une norme consensuelle pour les dispositifs médicaux.
• Traçabilité améliorée : La gestion de la configuration, la gestion des risques et les processus de résolution de problèmes aident les organisations à conserver des preuves de la manière dont les problèmes de cybersécurité sont identifiés et traités.

La norme CEI 81001-5-1 s'applique spécifiquement aux éléments suivants :

• Fabricants de dispositifs médicaux
• Développeurs de logiciels en tant que dispositifs médicaux (SaMD)
• développeurs de logiciels pour le secteur de la santé
• fabricants d'équipements médicaux connexes
• Les organisations qui développent des logiciels pour hôpitaux ou cliniques
• fournisseurs de logiciels et intégrateurs de systèmes
• Organisations chargées de la maintenance des logiciels de santé

Son champ d'application est suffisamment large pour englober les logiciels de santé, allant bien au-delà d'un seul type de dispositif médical.

Depuis de nombreuses années, notre organisation, forte de son personnel compétent et expérimenté, comprend les besoins de ses clients, leur fournit les services d'essais avancés requis et les accompagne dans la mise en place, l'application et l'amélioration de leurs systèmes de management. Dans ce cadre, nous proposons également des services d'essais conformes à la norme CEI 81001-5-1.