Le document, qui s'ajoute au précédent datant d'octobre 2014 sur la cybersécurité des DM en développement, est diffusé alors que l'un des principaux acteurs du secteur, St Jude (racheté par Abbott), est au centre d'une polémique sur la potentielle vulnérabilité aux cyberattaques de ses pacemakers et défibrillateurs (voir dépêche du 8 novembre 2016).

Dans les "principes généraux" de ce document de 30 pages, la FDA indique qu'elle "reconnaît" que la question relève d'une "responsabilité partagée" entre tous les acteurs, du fabricant au patient. L'agence considère également que, ces risques évoluant "continuellement", il n'est pas possible de s'en tenir uniquement à la phase de développement du produit et que des mesures portant sur les produits commercialisés sont aussi nécessaires.

Elle invite les entreprises à adopter une "approche structurée et systématique" en la matière.

Plusieurs recommandations sont adressées aux fabricants pour anticiper les éventuelles failles, les évaluer, déterminer des processus de communication pour les faire émerger et utiliser des modèles pour sauvegarder la sécurité et les performances du DM. Il est aussi demandé d'évaluer les possibilités d'exploitation d'une attaque sur les dispositifs et les conséquences pour le patient afin, dans la mesure du possible, de prendre des actions correctives en amont.

En termes de signalement, la FDA préconise d'adopter une politique "coordonnée" sur les pratiques de cybersécurité et d'adopter de façon "proactive" de bonnes pratiques de "cyber hygiène". L'objectif est notamment de travailler avec les chercheurs sur ce domaine et les autres parties prenantes. Dans cette optique, l'application des principes du National Institute of Standards and Technology (NIST) est fortement recommandée.

L'une des membres de la FDA, Suzanne Schwartz, explique toutefois dans une note sur le blog de l'agence que ce n'est "vraisemblablement pas la fin de ce que la FDA devra faire pour assurer la cybersécurité" et que "plus de travail devra être fait" à l'avenir pour écarter ces menaces.