Gouvernance, risque et conformité

ANSI/AAMI SW96 : gestion des risques de cybersécurité des instruments médicaux 2023

La norme nationale américaine (American National Standard) de gestion des risques de cybersécurité des instruments médicaux, publiée en novembre 2023, accompagnée de l’AAMI TIR57:2016/(R)2023, le rapport d’information technique sur lequel elle s’appuie.

Elle étend la gestion des risques pour la sécurité selon ISO 14971 aux risques de cybersécurité plutôt que de la remplacer, et cette distinction est sa raison d’être : le risque pour la sécurité est estimé à partir de la probabilité d’un préjudice, ce qui est impossible pour le risque de cybersécurité, car un attaquant n’est pas un processus aléatoire. SW96 utilise plutôt l’exploitabilité.

Conséquence pratique : un fabricant garde le dossier de gestion des risques de cybersécurité lié au dossier de gestion des risques pour la sécurité, sans les fusionner, et la FDA comme Santé Canada s’attendent à voir une méthode nommée de gestion des risques de cybersécurité. Cette norme est cette méthode.

Niveaux d’évaluation pris en charge par Lavawall

Lavawall évalue ce cadre à chacun des niveaux ci-dessous, pour que vous puissiez commencer là où vous en êtes et progresser à mesure que votre programme mûrit.

ANSI/AAMI SW96 : gestion des risques de cybersécurité des instruments médicaux : comment Lavawall® vous aide à atteindre la conformité

Ce cadre se résume surtout à des contrôles techniques que vous devez appliquer et prouver : maintenir les systèmes à jour, renforcer la configuration, détecter les intrusions tôt, sauvegarder ce qui compte, contrôler les accès et conserver la preuve que tout cela a bien été fait. Lavawall® applique ces contrôles sur Windows, macOS, Linux et Microsoft 365 / Google Workspace depuis une seule console, les associe aux exigences de ce cadre et suit votre posture en continu plutôt qu’une fois par année au moment de l’audit.

• Évaluez votre situation actuelle par rapport à ce cadre dans le module GRC de Lavawall, avec le questionnaire et l’ensemble de contrôles intégrés.
• Corrigez les écarts avec la même plateforme (correctifs automatisés, corrections de configuration, sauvegardes et revue des accès) plutôt que dans un projet distinct.
• Prouvez le tout avec des registres horodatés et exportables qu’acceptent les auditeurs, les assureurs et les clients.

Ressources connexes

Lavawall® prend en charge ce cadre dans son catalogue intégré de cadres de conformité. Les exigences sont résumées à des fins de planification; confirmez toujours le texte officiel en vigueur avant toute certification.