Grâce à des partenariats, Main Line Health a mis en œuvre une plateforme de gestion des risques en temps réel pour ajouter de nouveaux dispositifs médicaux au réseau. Si un appareil présente une menace, l’équipe de Weismann peut l’empêcher de communiquer avec d’autres appareils et le mettre en sandbox. Ces appareils peuvent toujours communiquer avec Internet mais pas avec le réseau interne.
À l’avenir, Weismann prévoit de garantir que les appareils touchant n’importe quel port ouvert sont authentifiés afin que l’organisation puisse empêcher une compromission potentielle résultant d’une attaque locale.
« Avec la stratégie que nous avons adoptée, nous étions très concentrés sur les attaques à distance, et maintenant nous nous tournons vers une approche plus locale également », explique Weismann.
Michigan Medicine maintient la visibilité des appareils au milieu des fusions
L’Université de Michigan Health (Michigan Medicine) a connu un certain nombre de fusions ces dernières années, ce qui a représenté un défi urgent pour gagner en visibilité sur des dizaines de milliers d’appareils dans un écosystème en constante croissance. En 2018, il s’est joint à Metro Health (maintenant University of Michigan Health-West) et en 2024, Sparrow Health a été intégré au giron.
Michigan Medicine utilise des outils pour attribuer un score de vulnérabilité aux appareils tels que les appareils IRM et les téléviseurs intelligents. Les renseignements sur les menaces permettent à l’école de mieux déterminer la criticité des vulnérabilités, explique Greg Sieg, RSSI du réseau régional de santé de l’Université du Michigan, qui comprend les hôpitaux communautaires UM Health-Sparrow à Lansing et UM Health-West à Grand Rapids.
La plate-forme ServiceNow permet de gérer l’inventaire des appareils, et les réseaux segmentés séparent la technologie médicale des appareils grand public. Le moteur de services d’identité (ISE) de Cisco automatise une partie de la segmentation du réseau de Michigan Medicine et détermine si un périphérique doit être autorisé sur le réseau. Il peut déplacer un appareil tel qu’une pompe à perfusion vers le réseau virtuel approprié de l’organisation pour le sécuriser, explique Sieg.
« Il effectue toute cette automatisation en arrière-plan, et peu importe l’endroit où je le branche sur un commutateur », ajoute Sieg. « Tant que ISE est activé sur le commutateur, il le fera. »
Si un patient débranche une pompe à perfusion et branche une console Xbox à la place, par exemple, le port s’arrêtera, explique Sieg.
Les appareils existants sont également segmentés, ajoute-t-il : « À mesure que nous trouvons des appareils, nous les déplaçons là où ils doivent être. »
Les renseignements sur les menaces de l’industrie permettent au système de santé d’identifier les appareils sur lesquels les correctifs doivent être appliqués en priorité, explique Sieg, ainsi que les informations provenant des agences fédérales. La gestion des appareils de pointe est un processus continu, c’est pourquoi le système de santé continue d’évaluer ses partenaires pour ses prochaines étapes.
Luminis Health protège contre les vulnérabilités des appareils Edge
Luminis Health, basé dans le Maryland, compte plus de 100 000 appareils sur son réseau, déclare Jason Taule, RSSI virtuel. Cela représente beaucoup de points de terminaison vulnérables à gérer.
« Les hôpitaux constituent un environnement assez permissif en raison de la nature de notre mission, qui permet aux patients et à leurs familles d’entrer, mais dès que je découvre qu’un appareil n’a pas sa place, nous devons le retirer de là », explique Taule.
Un autre défi majeur consiste à éviter une panne prolongée, explique Taule. « Nous nous concentrons sur les temps d’arrêt et les pannes prolongées, car cela entrave notre capacité à servir nos patients. »
La gestion des appareils Edge existants peut présenter son propre ensemble de problèmes, en particulier lors de l’acquisition de nouveaux services. Lorsque Luminis Health a acheté un analyseur de produits chimiques sanguins auprès d’une société de dispositifs médicaux, elle a découvert que la solution fonctionnait sur un système d’exploitation Windows CE qui n’était plus pris en charge depuis longtemps, explique Taule.
« Le processus de la Food and Drug Administration des États-Unis est défectueux, car vous n’avez pas besoin de passer par une nouvelle certification si vous ne modifiez pas votre produit, ce qui n’incite pas les entreprises à mettre à jour un produit ancien, non corrigé et vulnérable », explique Taule. « Je ne pouvais pas mettre ça sur la défensive sur mon réseau. »
Technologie de la santé