Pourquoi un dispositif médical ne peut pas être simplement patché
Un dispositif médical connecté ne peut pas être simplement patché car son logiciel fait partie d'un produit réglementé. Le modifier peut exiger une nouvelle validation du fabricant, et un hôpital qui patche un appareil unilatéralement risque d'annuler le support ou la certification. Le résultat est un équipement fonctionnant avec un logiciel connu pour être vulnérable pendant des années, en toute légitimité.
Cette contrainte explique pourquoi la stratégie d'atténuation dans ce domaine ne ressemble en rien à celle utilisée pour les ordinateurs portables. Le dispositif ne peut pas être réparé, c'est donc le réseau qui l'entoure qui doit être modifié, et chaque contrôle doit être choisi sans perturber un flux de travail clinique dont les gens dépendent. La seule chose à ne pas divulguer sont les détails au niveau de l'appareil : les numéros de modèle, les versions de firmware et les unités connues pour ne pas être patchées constituent une liste de cibles si elles sont publiées.
Le modèle l'explique à travers sept scènes : une sur la raison pour laquelle l'appareil est "gelé", une sur ce qu'un attaquant gagne en l'atteignant, deux sur la segmentation et le contrôle des communications, une sur la surveillance plutôt que le patching, une sur ce que le personnel clinique doit et ne doit pas faire, et une sur les questions à poser avant l'achat du prochain appareil.
