Les États-Unis. Administration des aliments et des médicaments (FDA) informe les patients, prestataires de soins de santé, et les fabricants sur la famille de vulnérabilités de cybersécurité SweynTooth, ce qui peut introduire des risques pour certains dispositifs médicaux. La FDA n'a connaissance d'aucun événement indésirable confirmé lié à ces vulnérabilités.. Un logiciel permettant d'exploiter ces vulnérabilités dans certaines situations est déjà accessible au public.
Les chercheurs en sécurité ont identifié 12 vulnérabilités, nommé « SweynTooth,» associé à une technologie de communication sans fil connue sous le nom de Bluetooth Low Energy (BLE). BLE permet à deux appareils de « s'associer » et d'échanger des informations pour remplir leurs fonctions prévues tout en préservant la durée de vie de la batterie..
Les impacts potentiels des vulnérabilités de SweynTooth se répartissent en trois catégories. Un utilisateur non autorisé peut exploiter ces vulnérabilités sans fil pour:
·Accident l'appareil. L'appareil peut cesser de communiquer ou cesser de fonctionner.
·Impasse l'appareil. L'appareil peut geler et cesser de fonctionner correctement.
· Contourner la sécurité pour accéder aux fonctions de l'appareil normalement disponibles uniquement à un utilisateur autorisé.
La FDA connaît actuellement plusieurs systèmes sur puce (SoC) les fabricants concernés par ces vulnérabilités:
·Texas Instruments
·NXP
·Cyprès
·Semi-conducteurs de dialogue
·Puce
·STMicroélectronique
·Semi-conducteur Telink
Pour plus d'informations sur les vulnérabilités de cybersécurité de SweynTooth, voir:
·ICS-ALERT-20-063-01 Vulnérabilités SweynTooth – Avis de sécurité des infrastructures de cybersécurité du Département de la sécurité intérieure, Mars 3, 2020
Les fabricants de dispositifs médicaux évaluent déjà quels dispositifs sont concernés par SweynTooth, évaluer le risque, et développer des actions de remédiation.
Recommandations pour les fabricants
·Si votre appareil ou tout appareil qui communique avec votre appareil utilise la technologie BLE, évaluer comment il est impacté par ces vulnérabilités.
·Effectuer une évaluation des risques, comme décrit dans les directives post-commercialisation sur la cybersécurité de la FDA, évaluer l'impact de ces vulnérabilités sur les appareils concernés et élaborer des plans d'atténuation des risques.
·Les mesures d'atténuation doivent inclure des contrôles compensatoires pendant que vous développez des correctifs logiciels..
·Travailler avec les prestataires de soins de santé, installations, et les patients pour déterminer quels dispositifs médicaux sont concernés et prendre des mesures pour garantir que les risques sont réduits à des niveaux acceptables.
·Lorsque cela est possible, surveiller les dispositifs médicaux pour déceler tout signe de comportement inhabituel. Communiquez avec vos clients et la communauté des utilisateurs concernant votre évaluation et vos recommandations en matière de stratégies d'atténuation des risques et de tout contrôle compensatoire., afin que les clients puissent prendre des décisions éclairées concernant l'utilisation des appareils. Partagez vos communications clients avec une organisation d’analyse du partage d’informations (ISAO).
Remarque sur l'examen préalable à la commercialisation: En général, les contrôles compensatoires et les correctifs conçus pour remédier aux vulnérabilités de SweynTooth ne sont pas susceptibles d'affecter de manière significative la sécurité ou l'efficacité du dispositif et ne nécessiteraient donc probablement pas d'examen préalable à la commercialisation par la FDA avant la mise en œuvre.. Si les modifications apportées à l'appareil nécessaires pour remédier aux vulnérabilités pourraient affecter de manière significative la sécurité ou l'efficacité de l'appareil, cependant, un examen préalable à la commercialisation est requis.
Pour plus d’informations sur les attentes en matière de soumission avant commercialisation et de rapports post-commercialisation, voir les directives de cybersécurité sur la page Cybersécurité de la FDA.
Recommandations pour les prestataires de soins de santé et le personnel des établissements
·Travailler avec les fabricants d'appareils pour déterminer quels appareils médicaux dans vos établissements ou utilisés par vos patients pourraient être affectés par ces vulnérabilités et élaborer des plans d'atténuation des risques..
·Informer les patients qui utilisent des dispositifs médicaux concernés des mesures qu'ils peuvent prendre pour réduire les risques..
·Rappelez aux patients qui utilisent des dispositifs médicaux de consulter immédiatement un médecin s'ils pensent que le fonctionnement ou la fonction de leur dispositif médical a changé de manière inattendue..
·Lorsque cela est possible, surveiller les dispositifs médicaux pour déceler tout signe de comportement inhabituel.
Recommandations pour les patients et les soignants
·Parlez à votre fournisseur de soins de santé pour déterminer si votre dispositif médical peut être affecté ou si vous devez prendre des mesures.. Les fabricants d'appareils partageront plus d'informations dès qu'elles seront disponibles.
·Consultez immédiatement un médecin si vous pensez que votre dispositif médical ne fonctionne pas comme prévu.
Actions de la FDA
La FDA travaille en étroite collaboration avec d'autres agences fédérales, fabricants, et des chercheurs en cybersécurité pour identifier, communiquer, et prévenir les événements indésirables liés aux vulnérabilités de SweynTooth.
La FDA continuera d'évaluer les nouvelles informations concernant les vulnérabilités de SweynTooth et tiendra le public informé si de nouvelles informations importantes deviennent disponibles..
Signaler des problèmes avec votre appareil
Si vous pensez avoir un problème avec votre appareil ou avec un appareil que votre patient utilise, la FDA vous encourage à signaler le problème via le formulaire de rapport volontaire MedWatch.
Personnel de santé employé par des établissements soumis à la FDA’Les exigences en matière de déclaration des installations utilisatrices doivent suivre les procédures de déclaration établies par leurs installations..
Republier depuis： FDA
Discuter maintenant