Les éditeurs de logiciels de santé pointés du doigt pour manquements à la sécurité de leurs produits

Le CERT (Cyber Emergency Response Team) français et l’ANSSI (Agence nationale de la sécurité des systèmes d’information) ont récemment publié un rapport qui reprochent aux éditeurs de logiciels orientés santé de “manquements de sécurité trop nombreux”.

Ces manquements – qu’il s’agisse de lenteur d’identification ou de rectification de failles et vulnérabilités – accroissent ainsi, selon les deux organismes, les risques “d’impact direct potentiel sur la confidentialité des données de santé, mais également sur la continuité des soins et la sécurité des patients”.

L’évolution de la situation – dans le sens d’une généralisation de l’IA mais aussi du fait d’un déploiement plus massif des logiciels de santé – expose selon eux les établissements et les acteurs de la santé à des risques d’attaques et de dommages à grande échelle. Sans que les éditeurs n’amplifient suffisamment leurs efforts pour y faire face.

Parmi les manquements identifiés et pointés du doigt : délais de correction très longs pour corriger des vulnérabilités, défaut de communication auprès des clients et utilisateurs, déploiement de correctif plusieurs années (!) après le signalement de la vulnérabilité, pratique consistant à attendre la sortie de la future version du logiciel pour corriger la faille, voire, dans certains cas, “mauvaise gestion des secrets permettant de protéger l’infrastructure ou les données” ou accès permis sans authentification préalable.

Source : ticsante.com