Vulnérabilités de la cybersécurité avec certains moniteurs de patient de Contec et EPSIMED: FDA Safety Communication

Date émise: 30 janvier 2025

La Food and Drug Administration (FDA) américaine sensibilise les fournisseurs de soins de santé, les établissements de santé, les patients et les soignants que les vulnérabilités de cybersécurité dans les moniteurs de patient CMS8000 Consec CMS8000 et les moniteurs de patient MN-120 (qui sont des moniteurs de patient CMS8000 Consec CMS8000 en tant que MN en tant que MN (qui sont des moniteurs MN CMS8000 Contec CMS8000. -120) peut mettre les patients en danger après avoir été connecté à Internet.

Trois vulnérabilités de cybersécurité ont été identifiées:

• Le moniteur du patient peut être contrôlé à distance par un utilisateur non autorisé ou ne fonctionne pas comme prévu.
• Le logiciel sur les moniteurs du patient comprend une porte dérobée, ce qui peut signifier que l’appareil ou le réseau auquel l’appareil a été connecté peut avoir été ou peut être compromis.
• Une fois que le moniteur du patient est connecté à Internet, il commence à collecter des données sur les patients, y compris des informations personnellement identifiables (PII) et des informations de santé protégées (PHI), et exfiltrant (retirant) les données en dehors de l’environnement de prestation de soins de santé.

Ces vulnérabilités de cybersécurité peuvent permettre aux acteurs non autorisés de contourner les contrôles de cybersécurité, à accéder et potentiellement à la manipulation de l’appareil.

Recommandations pour les patients et les soignants

• Parlez à votre fournisseur de soins de santé de savoir si votre appareil repose sur les fonctionnalités de surveillance à distance. La surveillance à distance signifie que l’appareil utilise une connexion Internet pour permettre à un fournisseur de soins de santé d’évaluer les signes vitaux du patient à partir d’un autre emplacement (comme un système de surveillance à distance ou un système de surveillance central).
  • Si votre fournisseur de soins de santé confirme que votre appareil repose sur les fonctionnalités de surveillance à distance, débranchez l’appareil et arrêtez de l’utiliser. Parlez à votre fournisseur de soins de santé de trouver un autre moniteur de patients.
  • Si votre appareil ne s’appuie pas sur les fonctionnalités de surveillance à distance, utilisez uniquement les fonctionnalités de surveillance locales du moniteur du patient. Cela signifie débrancher le câble Ethernet de l’appareil et désactiver les capacités sans fil (c’est-à-dire WiFi ou cellulaire), de sorte que les signes vitaux du patient ne sont observés que par un soignant ou un fournisseur de soins de santé en présence physique d’un patient.
    • Si vous ne pouvez pas désactiver les capacités sans fil, débranchez l’appareil et arrêtez de l’utiliser. Parlez à votre fournisseur de soins de santé de trouver un autre moniteur de patients.
• Sachez que la FDA n’est consciente d’aucun incident de cybersécurité, blessures ou décès liés à cette vulnérabilité pour le moment.
• Signaler tout problème ou complication avec votre moniteur de patient CMS8000 Consec CMS8000 ou moniteur de patient MN-120 EPSIMED à la FDA.

Recommandations pour les prestataires de soins de santé

• Travailler avec le personnel des établissements de soins de santé pour déterminer si le moniteur du patient CMS8000 Contec CMS8000 d’un patient ou le moniteur de patient MN-120 EPSIMED peut être affecté et comment réduire le risque associé.
• Lisez et suivez les recommandations pour les patients et les soignants dans cette communication de sécurité.
• Vérifiez les moniteurs du patient CMS8000 Consec CMS8000 et les moniteurs du patient MN-120 EPSIMED pour tout signe de fonctionnement inhabituel, tels que les incohérences entre les vitaux du patient affichés et l’état physique réel du patient.
• Signaler tout problème avec votre moniteur de patient CMS8000 Consec CMS8000 ou moniteur de patient MN-120 EPSIMED à la FDA.

Recommandations pour le personnel des établissements de soins de santé (y compris les technologies de l’information (TI) et le personnel de cybersécurité)

• Utilisez uniquement les fonctionnalités de surveillance locales de l’appareil.
  • Si votre moniteur de patient repose sur les fonctionnalités de surveillance à distance, débranchez l’appareil et arrêtez de l’utiliser.
  • Si votre appareil ne fait pas Comptez sur les fonctionnalités de surveillance à distance, débranchez le câble Ethernet de l’appareil et désactivez les capacités sans fil (c’est-à-dire WiFi ou cellulaire). Si vous ne pouvez pas désactiver les capacités sans fil, continuer à utiliser l’appareil exposera l’appareil à la porte dérobée et à une éventuelle exfiltration des données des patients.
• Revoir le Section des «atténuations» de l’Agence de sécurité de la cybersécurité et des infrastructures (CISA) dans le conseil lié aux vulnérabilités.
• Sachez, pour le moment, aucun correctif logiciel n’est disponible pour aider à atténuer ce risque.
• Vérifiez les moniteurs du patient CMS8000 Consec CMS8000 et les moniteurs du patient MN-120 EPSIMED pour tout signe de fonctionnement inhabituel, tels que les incohérences entre les vitaux du patient affichés et l’état physique réel du patient.
• Signaler tout problèmeavec votre moniteur de patient CMS8000 Consec CMS8000 ou moniteur de patient MN-120 EPSIMED à la FDA.

Description de l’appareil

Les moniteurs des patients sont utilisés dans les soins de santé et les milieux à domicile pour afficher des informations, tels que les signes vitaux d’un patient, y compris la température, le rythme cardiaque et la pression artérielle.

Les vulnérabilités de la cybersécurité peuvent affecter les moniteurs du patient CMS8000 et EPSIMED MN-120

Trois vulnérabilités de cybersécurité ont été identifiées, dont les impacts potentiels se répartissent dans deux catégories principales. Un appareil vulnérable pourrait être exploité pour:

• Refuser l’accès à l’appareil, tel que la casque de l’appareil et ne pas être en mesure de travailler comme prévu.
• Prenez le contrôle de l’appareil pour le contrôler à distance pour effectuer des actions inattendues ou indésirables, telles que le corruption des données.

Les vulnérabilités pourraient permettre d’exploiter tous les moniteurs de patient consec et epsimed vulnérables sur un réseau donné en même temps.

De plus, le logiciel sur les moniteurs du patient comprend une porte dérobée. «Backdoor» est le terme utilisé pour décrire les fonctionnalités cachées dont les utilisateurs d’appareils ne sont pas informés et peuvent permettre aux acteurs non autorisés de contourner les contrôles de cybersécurité. Les acteurs non autorisés pourraient accéder et potentiellement manipuler l’appareil. Compte tenu de la porte dérobée, l’appareil et / ou le réseau auquel l’appareil a été connecté peut avoir été ou pourrait être compromis.

De plus, la FDA n’a autorisé ces moniteurs des patients que pour les fonctionnalités câblées (c’est-à-dire la connectivité Ethernet). Cependant, la FDA est consciente que certains moniteurs de patients peuvent être disponibles avec des capacités sans fil (c’est-à-dire WiFi ou cellulaire) sans autorisation de la FDA.

L’Agence de sécurité de la cybersécurité et de l’infrastructure (CISA) a identifié qu’une fois que le moniteur du patient est connecté à Internet, il commence à rassembler et à exfiltrer (retirer) les données des patients en dehors de l’environnement de prestation de soins de santé, y compris lorsque l’appareil est utilisé dans un cadre à domicile . La FDA et la CISA continuent de travailler avec Contec pour corriger ces vulnérabilités dès que possible.

Identificateur de périphérique unique (UDI)

L’identifiant de dispositif unique aide à identifier les dispositifs médicaux individuels, y compris les moniteurs de patients, vendus aux États-Unis, de la fabrication par la distribution à l’utilisation des patients. L’UDI permet des rapports, une révision et une analyse plus précis des rapports d’événements indésirables afin que les appareils puissent être identifiés et des problèmes potentiellement corrigés plus rapidement.

Vous pouvez identifier les appareils affectés par la vérification de l’identifiant de périphérique unique (UDI), qui est un code numérique ou alphanumérique unique qui comprend généralement un identifiant de périphérique (DI) qui identifie l’étiquetage et la version ou le modèle spécifique d’un appareil.

Actions de la FDA

La FDA prend au sérieux tous les rapports de vulnérabilités de cybersécurité dans les dispositifs médicaux et continuera de travailler avec Contec et CISA pour corriger ces vulnérabilités dès que possible.

La FDA continuera d’évaluer les nouvelles informations concernant les vulnérabilités et tiendra le public informé si de nouvelles informations importantes sont disponibles.

Reporter des problèmes avec votre appareil

Si vous pensez que vous avez eu un problème avec un contenu CMS8000 ou des moniteurs de patients MN-120 EPSIMED, la FDA vous encourage à Signalez le problème via le formulaire de rapport volontaire MedWatch.

Le personnel des soins de santé employés par des établissements soumis aux exigences de déclaration des installations de la FDA devrait suivre les procédures de déclaration établies par leurs installations.

Questions?

Si vous avez des questions, contactez la division de l’éducation de l’industrie et des consommateurs de CDRH (DICE).

• Contenu courant à partir de:

  30/01/2025

#Vulnérabilités #cybersécurité #avec #certains #moniteurs #patient #Contec #EPSIMED #FDA #Safety #Communication