Cybersécurité des échographes d'ancienne génération 2026 : appliquer un correctif, segmenter, isoler ou remplacer ?

Dans ce guide

• La lettre aux deux horloges
• Neuf modèles autorisés sur dix sont antérieurs à la loi
• Le catalogue qui n'inclut pas votre échographe
• Le catalogue qui l'inclut
• Ce que le bilan de sécurité dit et ce qu'il ne dit pas
• Le contexte des menaces, évalué à sa juste mesure
• Comment savoir concrètement ce qui s'exécute sur cet équipement ?
• Appliquer un correctif, segmenter, isoler ou remplacer : définitions précises
• Où s'inscrit la maintenance indépendante, et où elle s'arrête
• Clauses d'achat pour le prochain système
• Méthodologie et limites
• Foire aux questions
• Conclusion

La lettre aux deux horloges

À retenir : un avis de fin de support n'est pas un événement unique. La lettre d'Olympus relative à l'EU-ME2 distingue au moins cinq horloges — et le fabricant d'origine indique lui-même lesquelles se sont arrêtées et lesquelles ne l'ont pas été.

Lisez attentivement l'avis d'Olympus, car il confirme officiellement presque tout ce que ce rapport soutient ¹. Le facteur déclencheur n'était pas l'usure de l'appareil : "Cela est nécessaire car les composants logiciels sous-jacents de l'EU-ME2 ne sont plus pris en charge par leurs fournisseurs." La posture de risque au moment de la lettre était saine : "Olympus n'a identifié aucune vulnérabilité dans ces produits et n'a connaissance d'aucune cyberattaque ciblant ces produits." Ce qui prend fin, c'est la possibilité d'une solution logicielle future : aucune "contre-mesure logicielle face aux vulnérabilités futures", et toute mise à jour logicielle ultérieure "relèverait de la fonctionnalité plutôt que de la cybersécurité". Les mesures compensatoires recommandées par le fabricant se situent au niveau physique et réseau — verrous de port USB à clé, verrous de port LAN à clé, scellés d'inviolabilité. Et le support matériel — le remplacement des pièces — continue explicitement.

Cela fait cinq horloges distinctes dans une seule lettre, et elles arrivent à échéance à des moments différents :

1. Utilité clinique — le système produit-il toujours les images requises pour ses procédures ? (Olympus ne dit pas que l'EU-ME2 a cessé d'être cliniquement utile. Ce n'est pas le cas.)
2. Support produit OEM — la période de support commercial, que la lettre clôt en partie.
3. Support des logiciels et des composants — l'horloge qui a réellement déclenché la lettre : les fournisseurs en amont ont mis fin au support des composants intégrés à l'appareil.
4. Supportabilité des contrôles de sécurité — après la lettre, les contrôles réalisables sont les mesures physiques et réseau répertoriées par l'OEM, et non des correctifs.
5. Maintenabilité physique — « continuera d'être proposé ». Toujours en cours.

L'International Medical Device Regulators Forum définit le terme « legacy » exactement ainsi : un dispositif legacy est un dispositif qui « ne peut pas être raisonnablement protégé contre les cybermenaces actuelles » — une condition de supportabilité, non une tranche d'âge. Un dispositif neuf peut être legacy ; un ancien peut être supportable ⁶. Le cadre juridique américain renforce cette même structure : la section 524B du FD&C Act exige un plan de gestion des vulnérabilités, un processus de gestion des correctifs et une nomenclature logicielle (SBOM) — mais uniquement pour les dossiers visés reçus à compter du 29 mars 2023, et elle n'est pas rétroactive ⁷. Le document d'orientation actuel de la FDA sur la cybersécurité précommercialisation, finalisé en février 2026, régit les nouvelles soumissions ; il ne s'étend pas rétroactivement au parc installé ⁸.

Ainsi, la question « quel âge a l'échographe ? » n'est pas la bonne première question. Les bonnes questions sont : lesquelles des cinq horloges ont expiré, lesquelles tournent encore, et qui est responsable de chacune d'elles. La suite de ce rapport répond à ces questions à l'aide de données.

Neuf modèles autorisés sur dix sont antérieurs à la loi

À retenir : la population des modèles d'échographes est très majoritairement antérieure à toute exigence exécutoire de cybersécurité — et comme les autorisations continuent d'arriver au rythme régulier de 55 à 83 par an pour une durée de vie en service de 10 à 15 ans, la population antérieure à la loi ne disparaîtra pas par simple renouvellement à aucun horizon de planification.

Nous avons extrait la base de données 510(k) de la FDA — soit l'ensemble des autorisations précommercialisation jamais délivrées — et nous l'avons filtrée selon les deux codes produit qui définissent un système d'échographie diagnostique sur chariot/console : les appareils dotés d'un système d'exploitation, d'un port réseau et d'une adresse IP hospitalière. Cela donne 2,066 décisions d'autorisation d'août 1977 à juin 2026 ². Au regard des trois jalons de cybersécurité :

Élargissez le filtre aux onze codes produit d'échographie — sondes, transducteurs, Dopplers fœtaux — et la tendance se maintient à 91.8 % sur 2,726 enregistrements ; ce constat n'est pas un artefact lié au choix des codes ².

Trois précisions fondamentales accompagnent chaque chiffre de cette section. Une autorisation concerne une conception, non une unité — la FDA ne publiant pas les effectifs de parc installé, aucun élément ici n'indique "N machines en service". Antérieur au 524B ne signifie pas non sécurisé — la loi a créé une obligation, non une vulnérabilité, et de nombreux fabricants appliquaient des programmes de sécurité rigoureux bien avant 2023. Et les 204 décisions postérieures à la date d'application (9.9 %) constituent un plafond, non un décompte — le 524B s'applique à la date à laquelle un dossier est reçu, et les décisions interviennent plusieurs mois après la réception, si bien qu'une partie de ces 204 autorisations a été accordée au titre de dossiers soumis avant la loi.

Ce que ces chiffres démontrent est d'ordre structurel : le mécanisme légal imposant l'existence d'un processus de correctif et d'un SBOM a été activé alors que la quasi-totalité de la population des conceptions autorisées existait déjà.

Voici maintenant les tranches d'ancienneté réellement exploitées par les hôpitaux :

Chaque console autorisée entre 2006 et 2020 — la tranche qui domine les parcs en service, compte tenu des durées réelles d'exploitation de 10 à 15 ans documentées dans notre rapport sur la fin de service des parcs — est antérieure à la loi sans exception. Même la décennie complète la plus récente de conceptions autorisées est à 70 % antérieure au 524B. Un hôpital qui achète aujourd'hui un équipement de remplacement a environ une chance sur dix que la conception de l'équipement de remplacement ait été autorisée en vertu de la loi sur les cyber-dispositifs, et même cette estimation est surévaluée.

Et cette population ne disparaît pas avec le temps. Le volume d'autorisations s'est maintenu dans une fourchette stable de 55 à 83 systèmes par an depuis 2012, sans aucune hausse après 2014 ou 2023 ² :

Attendre que le parc se modernise n'est pas une stratégie de cybersécurité. C'est un plan sur plusieurs décennies.

Un fait structurel supplémentaire, car il prépare l'ensemble des éléments de la section ci-dessous sur la hiérarchie des preuves : le parc est multi-constructeur par construction, et la traîne des fabricants est très longue. 532 noms de demandeurs distincts ont fait autoriser un système d'échographie depuis 1977 ; 238 demandeurs distincts en ont fait autoriser un rien que sur la période 2011–2026 ; plus de la moitié de tous les constructeurs ayant jamais fait autoriser un système n'en ont fait autoriser qu'un seul ². Pour la période 2011–2026, les huit plus grandes familles d'OEM ne représentent que 55.2 % des autorisations — 349 sur 1,005 proviennent de demandeurs extérieurs aux quatorze noms connus de tous :

Chacun de ces fabricants a sa propre pratique de divulgation en matière de sécurité des produits — ou n'en a aucune. Et une majorité des fabricants à l'origine des tranches d'âge en service ne déposent plus de dossiers aux États-Unis : sur 167 fabricants ayant obtenu l'autorisation d'un système entre 2006 et 2018, 116 (69.5 %) n'ont aucune autorisation d'échographe aux États-Unis accordée en 2020–2026 ². L'absence de nouvelle autorisation ne prouve pas qu'une entreprise a disparu — des sociétés sont rachetées, changent de nom, obtiennent des autorisations sous l'égide d'une maison mère ou vendent ailleurs —, mais elle constitue une borne inférieure de la difficulté pratique de la consigne « appeler le fabricant pour obtenir un correctif validé ». L'interlocuteur n'est fréquemment pas un déposant actif aux États-Unis.

Le catalogue qui ne contient pas votre échographe

À retenir : le catalogue Known Exploited Vulnerabilities de la CISA est l'outil de priorisation approprié pour le parc informatique d'un hôpital, et une erreur de catégorie lorsqu'il est appliqué à un échographe — ses 276 fournisseurs n'incluent aucun fabricant d'imagerie, et son délai médian de remédiation de 21 jours est un délai qu'aucun dispositif médical validé ne peut respecter.

Si l'équipe de sécurité d'un hôpital extrait une seule liste fédérale pour piloter l'application des correctifs, c'est le catalogue Known Exploited Vulnerabilities (KEV) de la CISA — la liste des vulnérabilités dont l'exploitation dans la nature est confirmée, assortie de délais de remédiation qui s'imposent aux agences fédérales en vertu de la Binding Operational Directive 22-01 ⁵¹¹. Le catalogue du 7 août 2026 compte 1,662 entrées réparties entre 276 fournisseurs distincts. Passez l'ensemble des 1,662 entrées au crible des fabricants d'imagerie diagnostique et de dispositifs médicaux, et vous en trouvez zéro — aucun GE HealthCare, aucun Philips, aucun Siemens Healthineers, aucun Canon Medical, aucun Mindray, aucun Samsung Medison, aucun Esaote. La seule entrée véritablement liée à la santé dans l'ensemble du catalogue est un moteur d'intégration informatique de santé (NextGen Healthcare Mirth Connect). La toile de fond Microsoft/Windows mise en avant dans la version précédente de cette analyse — 382 entrées Microsoft, dont 170 portant la mention « Windows » — est bien réelle, mais il s'agit d'un contexte et non d'un constat propre à l'échographie ⁵.

Deux chiffres du KEV comptent réellement pour un parc d'imagerie, et aucun des deux n'est le nombre de fournisseurs :

Une vulnérabilité exploitée connue sur cinq est associée à un rançongiciel. 338 entrées sur 1,662 (20.3 %) portent l'indicateur de la CISA relatif aux campagnes de rançongiciel connues — et les entrées sur plateforme Microsoft sont de moitié plus élevées, à 27.2 % ⁵. Pour un dispositif dont la valeur clinique réside dans sa disponibilité, l'association à un rançongiciel constitue le cadrage pertinent de la menace, et non le simple décompte brut des CVE.

L'horloge du KEV est de 21 jours. La fenêtre médiane entre l'ajout d'une entrée au KEV et sa date limite fédérale de remédiation est de 21 jours ⁵. Un dispositif médical ne peut pas fonctionner sur cette horloge : un correctif doit être validé par le fabricant par rapport à la configuration homologuée avant qu'un hôpital ne puisse l'installer en toute sécurité, et les propres recommandations post-commercialisation de l'FDA envisagent 30 jours pour communiquer et 60 jours pour corriger les risques non maîtrisés ¹⁰ — soit deux à trois fois la fenêtre du KEV. Lorsque l'OEM ne prend plus en charge la plateforme, il n'y a plus d'horloge du tout. Cet écart — 21 jours d'exigence en entreprise face à un cycle de validation OEM mesuré en mois, voire jamais — constitue la raison opérationnelle pour laquelle "segmenter" et "isoler" existent en tant que dispositions.

L'énoncé précis de ce qu'une entrée KEV Windows vous apprend sur un échographe : une couche standard sous-jacente à certains dispositifs médicaux est exploitée dans la nature. Elle ne vous indique pas si la configuration validée de votre échographe intègre ce composant, l'expose ou dispose d'un correctif approuvé par l'OEM. Les composants intégrés aux dispositifs apparaissent dans le KEV sous le nom de l'éditeur du composant, jamais sous celui du fabricant de l'appareil — ce qui explique précisément l'existence des SBOM, et pourquoi le catalogue de la section suivante importe d'autant plus.

Le catalogue qui vous renseigne

À retenir : Les avis médicaux ICS de la CISA constituent l'historique de référence du secteur des dispositifs — et dans cet historique, lorsqu'une gamme de produits d'échographie est citée, la solution n'a encore jamais été un correctif complet. La moitié des avis d'imagerie vérifiés laissaient au moins un produit sans aucun correctif logiciel ; l'instruction officielle était de restreindre l'accès, ou de remplacer.

La CISA publie une série d'avis dédiée aux dispositifs médicaux : les ICS Medical Advisories (ICSMA). Nous avons recensé l'intégralité de la série — 176 avis sur l'ensemble des années 2016–2025, plus 10 avis supplémentaires jusqu'au 9 août 2026 — et nous avons extrait et vérifié individuellement les 18 avis concernant des produits d'imagerie ³. (27 autres publications liées à l'imagerie, principalement des visualiseurs DICOM et des logiciels PACS, ont été cataloguées mais n'ont pas fait l'objet d'une vérification approfondie ; le décompte des avis mesure l'activité de divulgation et non l'incidence, et le total d'une année mêle nouveaux avis et révisions.)

Bilan de la disponibilité des correctifs sur les 18 avis d'imagerie vérifiés :

La moitié des avis relatifs à l'imagerie laissaient au moins un produit désigné sans correctif disponible. Et l'analyse plus ciblée et plus nette : l'ensemble des quatre avis mentionnant explicitement des gammes de produits d'échographie — produits d'imagerie et d'échographie GE, produits d'échographie GE, systèmes d'échographie Philips, Philips HDI 4000 — présentaient une couverture de correctifs incomplète pour les gammes d'échographie désignées au moment de leur publication ^312131415. Trois des quatre ne comportaient aucun correctif pour l'échographie ; le quatrième disposait d'un correctif publié pour l'une des cinq gammes de produits désignées, le reste étant "planifié". Quatre avis constituent un échantillon restreint, et nous le présentons exactement comme tel — mais l'orientation ne saurait être plus claire, et elle émane du texte de remédiation même de l'autorité de régulation.

Lisez ce que préconisent réellement les avis, textuellement :

"GE Healthcare recommande aux organisations de restreindre l'accès physique aux dispositifs par des personnes non autorisées." — avis relatif à l'échappement de kiosque sur les échographes GE, où la mesure d'atténuation est le contrôle de l'accès physique, et non un correctif ¹⁴

"Le cycle de vie du support du système d'échographie Philips HDI 4000 a pris fin le 31 décembre 2013… Les utilisateurs doivent mettre en œuvre des contrôles pour limiter l'accès au réseau et envisager le remplacement du système." — le cas de fin de vie, où le remède est le remplacement ¹⁵

"Si la sécurité des patients et le traitement ne sont pas compromis, déconnectez le produit du réseau et utilisez-le en mode autonome." — imagerie moléculaire Siemens, la consigne d'isolement énoncée aussi nettement que possible ¹⁶

Corriger, segmenter, isoler, remplacer : ce n'est pas l'invention de ce rapport. Ce sont les quatre remèdes que le registre officiel des avis utilise déjà. La contribution de ce rapport consiste à leur associer des points de contrôle et des conditions d'arrêt.

L'exemple concret — avec ses réserves formulées dans le même souffle. En mai 2024, des chercheurs de Nozomi Networks (un éditeur de sécurité OT ; qualifié comme tel) ont publié 11 vulnérabilités concernant le système d'échographie Vivid T9 de GE HealthCare, son application web Common Service Desktop et le logiciel pour station de travail EchoPAC — la plus critique étant une faille d'identifiants codés en dur notée CVSS 9.6 — et ont fait la démonstration d'un ransomware de preuve de concept verrouillant l'échographe ¹⁷. Trois faits font de ce cas le plus instructif jamais enregistré en matière de sécurité des échographes. Premièrement, la porte d'entrée de la chaîne était une évasion du mode kiosque initialement divulguée en 2020 (CVE-2020-6977) — une faille vieille de quatre ans constituait encore le premier maillon, et la réponse de la CISA a consisté à republier le même avis de 2020 sous la forme d'une "Update A" plutôt que d'en ouvrir un nouveau ¹⁴. Deuxièmement, comme l'a formulé une analyse sectorielle, le Vivid T9 "est essentiellement un PC complet exécutant une version de Windows 10 personnalisée par GE" ¹⁸ — la console est une machine Windows dotée d'une interface utilisateur clinique, et le shell kiosque constitue la frontière de sécurité. L'âge n'était pas la variable en cause ; la conception du confinement l'était. Troisièmement — et ces réserves ne sont pas facultatives —, la chaîne du Vivid T9 nécessite l'accès physique au clavier de la console, GE a publié des mesures d'atténuation sur son portail de sécurité, GE a déclaré aux journalistes n'avoir reçu aucun signalement d'exploitation, et le propre bulletin de GE répertorie un vaste ensemble d'appareils d'échographie non vulnérables, notamment le Vivid E9 (toutes versions) et les LOGIQ E9/E8/S8 (toutes versions) ¹⁷¹⁹²⁰. Citer la démonstration de ransomware sans cette condition préalable d'accès physique dénaturerait la source — et c'est précisément le type de discours alarmiste que ce rapport vise à remplacer.

Une remarque sur le profil des divulgations, formulée avec prudence : aucun avis ICSMA dédié n'existe pour Canon Medical, Hologic, Sectra, Mindray, Samsung Medison, Hitachi ou Esaote. Cela reflète les périmètres examinés par les chercheurs en sécurité et la façon dont la divulgation coordonnée s'est déroulée — ce n'est pas une preuve que les produits de ces fabricants sont plus sécurisés, et le présent rapport n'en tire aucune déduction ³.

Ce que le registre de sécurité dit et ne dit pas

À retenir : les canaux d'événements indésirables et de rappel de la FDA sont presque totalement silencieux sur la cybersécurité des échographes — zéro mention cyber dans 8,525 rapports depuis 2019, un seul rappel au total — alors que le même canal de rappel enregistre 18 événements cyber pour d'autres types d'appareils. Ce silence mesure un circuit de notification, non un niveau de risque. Attendre un signal de sécurité, c'est attendre un signal qui, structurellement, ne peut pas arriver.

Nous avons analysé le texte narratif de chaque rapport d'événement indésirable lié aux ultrasons dans la base de données MAUDE de la FDA — soit 13,213 rapports historiques pour onze codes produits d'échographie ⁴. L'ensemble du vocabulaire de cybersécurité ne produit que des occurrences à un chiffre : "ransomware" deux fois, "malware" trois fois, "cybersecurity" cinq fois, "hacked", "unauthorized access", "phishing", "data breach" et "firewall" zéro fois chacun. Si l'on restreint la période de 2019 à 2026 — soit 8,525 rapports —, chaque terme cyber tombe à zéro.

Les résultats non nuls qui se recoupent renvoient presque entièrement à un seul épisode : WannaCry, juin 2017. La recherche de « wannacry » dans l'ensemble de la base de données MAUDE — tout type de dispositif confondu, toutes années confondues — renvoie 12 rapports, dont cinq concernent l'échographie : cinq systèmes et stations de travail de la famille Siemens ACUSON, signalés au cours d'une même période de dix jours ⁴²¹.

Le propre récit du fabricant dans ces déclarations mérite d'être cité, car il expose le modèle de menace mieux que n'importe quel fournisseur de sécurité :

« L'exploitation de la vulnérabilité permet un contrôle à distance total du dispositif sans aucun autre prérequis que le fait que l'ordinateur attaquant se trouve sur le même réseau que le dispositif d'échographie. » ²¹

C'est là l'argument de la segmentation, formulé par l'OEM. Le même récit précise la chaîne du préjudice clinique réel — « un retard possible dans une intervention pour un patient sous sédation, la réinsertion d'un transducteur ou d'un cathéter transœsophagien, ou la répétition d'un examen d'échographie de stress » — une atteinte à la disponibilité, et non des diagnostics corrompus. Et il en consigne la résolution : « Le problème a été traité par la diffusion de correctifs logiciels en juin 2017 » ²¹. Une faille Windows SMB courante a touché trois plateformes ACUSON distinctes ; l'OEM a validé et diffusé des correctifs en quelques semaines, en effectuant sa notification au titre des lignes directrices post-commercialisation de 2016 de l'FDA ¹⁰. Le seul épisode réel figurant dans le registre plaide à la fois pour l'application de correctifs et la segmentation — ce qui résume la thèse des quatre options en miniature. (« Blessure » dans ces déclarations correspond à la classification de déclarabilité du fabricant au titre d'un préjudice potentiel, énoncé de manière conditionnelle — et non à une blessure confirmée chez un patient.)

Le registre des rappels raconte la même histoire avec un groupe témoin plus net. Parmi les 542 dossiers de rappel d'échographes figurant dans la base de données de l'FDA, exactement un seul est motivé par la cybersécurité : un rappel de 2008 concernant une console d'échographie intravasculaire qui « peut être infectée par un ver (logiciel malveillant) » ⁴²². Mais le canal des rappels est manifestement capable d'enregistrer des événements cyber — il contient 18 événements de rappel distincts motivés par la cybersécurité pour d'autres types de dispositifs depuis 2008 : systèmes de perfusion, moniteurs patients, ventilateurs, séquenceurs, un visualiseur d'imagerie, un système d'information en radiothérapie, un robot chirurgical, un contrôleur d'assistance circulatoire ⁴. Le canal fonctionne. Les événements cyber en échographie n'arrivent tout simplement pas par ce canal.

Pourquoi ce silence ? Parce que les circuits de signalement mènent ailleurs. MAUDE recueille les décès, les blessures graves et les dysfonctionnements liés aux dispositifs ; un incident de rançongiciel qui met un échographe hors ligne pendant une journée sans conséquence clinique à déclarer ne constitue généralement pas du tout un MDR. Les hôpitaux signalent les cyberincidents à l'OCR de l'HHS, à la CISA, au FBI et à leurs assureurs — pas à une base de données sur la sécurité des dispositifs. Les utilisations légitimes de ce silence sont donc au nombre de deux, et de deux seulement : il démolit l'idée selon laquelle une équipe HTM peut attendre un signal de sécurité avant d'agir, et il justifie de fonder la décision d'orientation sur les données probantes relatives aux actifs et aux avis de sécurité à la place. Il ne doit en aucun cas être inversé en « aucun signalement, donc aucun danger ».

Pour être complet, l'historique ordinaire des défaillances, recalculé à partir de l'export actuel : sur 2,534 signalements en échographie en 2025–2026, 94.3 % correspondent à des dysfonctionnements, 4.9 % à des blessures, 0.6 % à des décès — et aucun ne relève de la cybersécurité ⁴. Cette répartition est stable par rapport aux chiffres de notre rapport de juillet 2026 sur l'état du parc pour 2020–2026. Le logiciel constitue déjà la deuxième cause principale des rappels en échographie (125 enregistrements sur 542 — pour des défauts fonctionnels, et non de sécurité). La fiabilité et la sécurité racontent deux histoires différentes.

Le contexte de la menace, évalué en toute honnêteté

À retenir : les chiffres à l'échelle du secteur justifient une gestion rigoureuse des inventaires, la segmentation et la surveillance. Aucun d'entre eux ne constitue une statistique propre à l'échographie, et ce rapport refuse de prétendre le contraire — le contexte réel est suffisamment alarmant sans exagération.

Chaque chiffre de cette section est assorti de sa source et de son échantillon, car chacun d'eux provient soit du relevé d'une agence, soit de la propre télémétrie d'un fournisseur de sécurité — et non d'un recensement exhaustif.

Volume des violations de données dans la santé (données HHS OCR). Pour 2025, 772 violations touchant 500+ dossiers figuraient sur le portail de l'OCR en juin 2026, affectant 139.7 millions de personnes — un chiffre qui continue d'augmenter pendant des mois au fur et à mesure que le portail rattrape son retard (l'instantané de février 2026 pour la même année indiquait 710 violations et 61.6 millions de personnes ; datez toujours l'instantané) ²³. Au cours de la période la plus récente ayant fait l'objet d'un décompte consolidé, les incidents de piratage/informatiques représentaient 77.8 % des violations majeures dans le secteur de la santé (301 sur 387, H1 2024) ²³.

Exposition de l'imagerie connectée (Claroty Team82, 2025 — télémétrie fournisseur issue de 351 organismes de santé utilisant son produit ; pas un recensement). Sur les 195,659 dispositifs d'imagerie du jeu de données de Claroty, 28 % présentent des vulnérabilités exploitées connues, et 8 % présentent à la fois des KEV liées à des rançongiciels et sont connectés à Internet de manière non sécurisée — une combinaison qui touche 85 % des organismes de santé de l'échantillon ²⁴. La catégorie "systèmes d'imagerie" de Claroty mentionne l'échographie parmi ses composants mais ne publie aucun chiffre spécifique à l'échographie — il s'agit donc d'un contexte pour la catégorie à laquelle appartient l'échographie, et non d'une statistique sur l'échographie.

Économie des rançongiciels (Sophos, octobre 2025 — enquête auprès des organisations victimes). La situation du secteur de la santé s'est améliorée en 2025 : 58 % des prestataires touchés se sont rétablis en l'espace d'une semaine (en hausse par rapport à 21 % en 2024), et la demande médiane de rançon a chuté de 91 % d'une année sur l'autre pour s'établir à environ $343,000–$345,000 ²⁵. L'amélioration est réelle ; le volume des menaces ne va pas disparaître.

La mise en perspective de l'FBI (Private Industry Notification, septembre 2022). L'FBI a averti que les dispositifs médicaux non corrigés et obsolètes offrent des opportunités d'attaque, citant "un rapport de recherche mené par une entreprise de cybersécurité" — l'FBI ne nomme pas l'entreprise — qui a constaté que 53 % des dispositifs médicaux connectés dans les hôpitaux présentaient des vulnérabilités critiques connues. La phrase la plus pérenne de l'avis PIN ne nécessite aucune statistique : "Le matériel des dispositifs médicaux reste souvent actif pendant 10-30 ans, cependant, les cycles de vie des logiciels sous-jacents sont spécifiés par le fabricant… ce qui laisse aux acteurs de cybermenaces le temps de découvrir et d'exploiter les vulnérabilités" ²⁶. (Nous omettons délibérément deux chiffres largement répétés — "6.2 vulnérabilités par dispositif" et "40 % de dispositifs en fin de vie" — car leur source primaire ne peut être retrouvée ; l'FBI lui-même ne les attribue qu'à un rapport non nommé.)

Infrastructure d'imagerie exposée (Trend Micro, données de scan novembre–décembre 2025). 3,627 serveurs DICOM étaient directement accessibles depuis l'Internet public dans plus de 100 pays ; seuls 0.14 % utilisaient TLS ²⁷. Il s'agit de la couche PACS/stockage entourant les dispositifs d'imagerie, non des scanners eux-mêmes — mais c'est le réseau avec lequel ces scanners communiquent.

Et l'incident canonique, rectifié. L'impact de WannaCry sur le NHS est l'histoire que tout le monde cite et que la plupart citent mal. Le National Audit Office britannique a constaté 34 trusts infectés et bloqués hors de leurs dispositifs, avec au moins 81 trusts sur 236 affectés au total — deux chiffres différents qui ne doivent pas être confondus — et 6,912 rendez-vous confirmés annulés, avec environ 19,500 estimés ²⁸. Mais la leçon relative au système d'exploitation est à l'opposé des idées reçues. Le propre retour d'expérience de NHS England : "Il s'agissait d'une attaque exploitant une vulnérabilité spécifique de Microsoft Windows, et non d'une attaque contre des logiciels non pris en charge. La majorité des dispositifs du NHS infectés exécutaient le système d'exploitation pris en charge, mais non corrigé, Microsoft Windows 7" — les machines sous Windows XP ne représentaient qu'une minorité des infections, tombant à 1.8 % du parc en janvier 2018 ²⁹. WannaCry ne démontre pas que les anciens systèmes d'exploitation vous exposent à des compromissions. Il démontre que ce sont les systèmes pris en charge mais non corrigés qui vous exposent à des compromissions — ce qui relève d'une défaillance de gouvernance des correctifs, et non d'une défaillance liée à l'ancienneté. C'est la thèse de ce rapport, formulée par un service national de santé. (Le dossier du NHS mentionne des scanners IRM et des analyseurs de sang parmi les équipements affectés ; aucune source ne confirme spécifiquement de systèmes d'échographie dans l'incident du NHS — la preuve concernant WannaCry et l'échographie réside dans le dossier distinct de la base américaine MAUDE ci-dessus.)

Comment savoir ce qui tourne sur cet appareil ?

À retenir : dans l'ensemble, vous ne le pouvez pas — pas à partir de sources publiques. Zéro des dix OEM étudiés ne publie de document en accès libre par produit sur le système d'exploitation ou le statut du support ; seules 8 des 26 plateformes d'échographie nommées disposaient d'un système d'exploitation vérifiable auprès de sources publiques ; les résumés 510(k) de la FDA ne l'indiquent pas non plus. La fiche d'inventaire dont vous avez besoin doit être relevée directement sur l'appareil et demandée au fournisseur, car elle ne peut pas être recherchée.

Les professionnels HTM posent publiquement cette question, exactement en ces termes — « Comment savoir si mon échographe fonctionne sous Windows 10 ? » ; « Existe-t-il une liste de référence EOL/EOS à laquelle comparer mon inventaire ? » — et n'obtiennent aucune véritable réponse ³⁰. Nous avons tenté d'y répondre de manière systématique, et cet échec constitue en soi le constat.

L'étude sur les divulgations des OEM (dix fabricants, août 2026). Cinq fabricants sur dix publient une liste datée et en accès libre d'avis de sécurité ou de bulletins : Philips, Siemens Healthineers, Canon Medical, GE HealthCare et Olympus. Zéro fabricant sur dix ne publie de document en accès libre par produit sur le système d'exploitation ou le statut du support. Partout où un tel référentiel existe, il se trouve protégé par des identifiants client : le Product Security Portal de GE's (« un portail mondial sécurisé sur le Web offrant un référentiel centralisé aux clients munis d'identifiants »), l'InCenter et la bibliothèque MDS² de Philips's (inscription par e-mail), teamplay Fleet de Siemens's (SBOM et avis antérieurs à 2022), le portail de service de Mindray's, le formulaire de demande sécurisé de Fujifilm's ^19313233. Le schéma précis : la divulgation des vulnérabilités est publique ; le correctif validé et le statut par produit sont protégés par une connexion. Vous pouvez savoir gratuitement que la famille de votre échographe est concernée. Vous avez besoin d'un compte pour obtenir le correctif.

La correspondance plateforme-système d'exploitation (26 plateformes répertoriées). Seules 8 ont pu être rattachées à un système d'exploitation documenté à partir d'une source publique accessible, et seules trois d'entre elles font l'objet d'un document du constructeur le consignant officiellement — l'avis de sécurité de Canon indiquant Windows 10 IoT Enterprise LTSC 2015 pour la deuxième console optionnelle de l'Aplio série i, et la déclaration de conformité DICOM d'Esaote plaçant les familles MyLab sous Windows 10 ³³³⁴. Pour les GE Voluson série S, LOGIQ E9 et série P, Vivid E9, les familles Philips EPIQ/Affiniti/HD11/CX50, les séries S et X de Siemens ACUSON, Hitachi/Fujifilm Arietta, Samsung RS80 — aucune source publique ne mentionne le système d'exploitation. À titre de test, nous avons vérifié directement deux résumés 510(k) de la FDA (une homologation pour un GE LOGIQ E10 et une pour un Canon Aplio) : aucun des deux ne mentionne le système d'exploitation ². Même les déclarations de conformité DICOM manquent d'uniformité — celle d'Esaote divulgue le système d'exploitation ; celles de Philips et de GE ne l'indiquent pas. Il n'existe aucun document standard qu'un biomédical puisse vérifier de manière fiable d'une marque à l'autre.

Le calendrier Microsoft, lorsque vous identifiez la build. Windows XP a dépassé sa fin de support de 12.3 ans ; Windows 7, de 6.6 ans ; Windows 8.1, de 3.6 ans ; la version grand public de Windows 10 (22H2) a atteint sa fin de support en octobre 2025 et ne fonctionne plus qu'avec des mises à jour de sécurité étendues payantes jusqu'en 2028 au plus tard ³⁵. Mais les versions IoT/embarquées qui équipent réellement de nombreuses consoles s'en écartent nettement : Windows 10 IoT Enterprise LTSC 2019 est pris en charge jusqu'en janvier 2029, la version LTSC 2021 jusqu'en janvier 2032, et la version LTSC de génération 2024 est basée sur Windows 11 et prise en charge jusqu'en octobre 2034 ³⁵. Deux déclarations de constructeurs datant de septembre 2025 confirment ce constat du côté des fabricants : Canon Medical et Philips ont chacune publié des avis sur la fin de support de Windows 10, notant que la seule version IoT concernée par l'échéance de 2025 (LTSB 2015) est soit absente de leurs produits, soit isolée des réseaux externes ³³³¹. La mention "Il est indiqué Windows 10 sur l'écran de démarrage" ne constitue donc pas une donnée d'inventaire — l'édition et la build séparent une plateforme ayant expiré en octobre dernier d'une plateforme prise en charge jusque dans les années 2030.

Ce que cela implique pour la fiche d'actif. Puisque rien de tout cela ne peut être simplement recherché, ces informations doivent être recueillies et exigées. Sur l'appareil : version du logiciel applicatif, édition/version/build de l'OS issue de l'écran d'informations système (avec la date et la méthode de collecte — jamais une supposition d'après le thème du bureau), flux réseau configurés, état de l'accès distant et empreinte locale des données patients. Auprès du fabricant, par écrit : le statut d'assistance du produit avec des dates distinctes pour le service matériel, la maintenance logicielle et le support de sécurité ; le MDS² (Manufacturer Disclosure Statement for Medical Device Security) à jour ; le SBOM lorsque l'article 524B ou un contrat vous y donne droit ; l'accès aux avis de sécurité via un compte organisationnel plutôt que dans la boîte de réception d'un seul employé ; et le statut des correctifs validés pour la build exacte que vous avez relevée. « Inconnu » est une valeur autorisée dans la fiche — il s'agit d'un constat assorti d'un responsable et d'une date d'échéance, pas d'un champ vide.

Patcher, segmenter, isoler ou remplacer, définis avec précision

À retenir : les quatre dispositions sont employées indifféremment dans la littérature ; elles ne sont pas interchangeables. Chacune comporte une définition, des critères de preuve et une condition d'arrêt — et le coût et la cybersécurité se décident selon des axes différents de l'âge.

La littérature existante — y compris les recommandations des régulateurs — glisse d'un terme à l'autre sans réelle rigueur, et ce glissement a des conséquences : un parc marqué « isolé » dans un tableur peut, en pratique, être segmenté, connecté ou simplement débranché jusqu'à ce que quelqu'un ait besoin de la liste de travail. Le relevé des avis ci-dessus fait appel à ces quatre recours ; voici ce qu'est réellement chacun d'eux, les preuves qu'il requiert et ce qui y met fin.

Patcher signifie installer sur l'appareil une remédiation logicielle autorisée par l'OEM dans le cadre d'une gestion contrôlée des modifications. Ses critères de preuve : un avis de sécurité ou une mise à jour validée mentionnant votre modèle exact, la version applicative et la build ; une procédure définie de sauvegarde et de retour arrière ; et un test fonctionnel post-installation — démarrage, reconnaissance de la sonde, acquisition, mesures, liste de travail, archivage DICOM — avant le retour à l'usage clinique. Sa condition d'arrêt : aucun package autorisé n'existe pour votre configuration, ou la validation fonctionnelle échoue. Un patch d'entreprise déployé sur un échographe parce que le nom de l'OS correspond n'est pas un patch ; c'est une modification non maîtrisée d'un dispositif médical validé.

Segmenter signifie que l'appareil reste connecté, mais uniquement via une liste d'autorisation documentée : destinations nommées pour le PACS, la liste de travail, le DNS/NTP et la télémaintenance, avec refus par défaut de tout le reste, appliqué au niveau d'un périmètre que l'hôpital contrôle réellement. Ses critères de preuve : une cartographie vérifiée des flux, des objets pare-feu testés par rapport aux flux cliniques réels (requête de liste de travail, acquisition, archivage, reprise après indisponibilité) et une revue des journaux pour détecter le trafic bloqué mais nécessaire. Les objectifs de performance sectoriels de l'HHS citent la segmentation et l'inventaire des actifs parmi les pratiques prioritaires, et le modèle zéro confiance du NIST énonce le principe sous-jacent — l'emplacement réseau à lui seul ne confère aucune confiance ³⁶³⁷. Sa limite, énoncée en toute franchise : la segmentation réduit l'accessibilité ; elle ne supprime pas le code vulnérable et ne protège ni contre les supports USB ni contre un protocole autorisé véhiculant une charge utile malveillante. Sa condition d'arrêt : les flux requis ne peuvent pas être circonscrits, ou le filtrage n'est pas appliqué au niveau du périmètre concerné.

Isoler est plus strict : le système fonctionne sans accès réseau de routine — l'avis de Siemens « déconnecter le produit du réseau et l'utiliser en mode autonome », et les verrous physiques de ports dans la lettre d'Olympus ¹⁶¹. Ses conditions préalables : un flux de travail viable hors ligne (données démographiques du patient en entrée, images en sortie, sur des supports gérés), une autorité de reconnexion contrôlée, et des interfaces secondaires désactivées ou verrouillées. Sa condition d'arrêt : le flux de travail clinique ne peut pas fonctionner en toute sécurité hors ligne, ou le statut « isolé » ne peut être vérifié — un câble débranché aujourd'hui et rebranché demain n'est pas une décision d'orientation.

Remplacer est la décision d'orientation lorsque ni la maintenabilité logicielle ni les mesures compensatoires ne peuvent assumer le risque résiduel — le cas du Philips HDI 4000, où l'avis même du régulateur indique « envisager de remplacer le système » ¹⁵ — ou lorsque le matériel lui-même n'est plus maintenable de manière fiable. Ses conditions préalables sont un projet financé intégrant des clauses d'approvisionnement en cybersécurité (section suivante) et une mise hors service contrôlée : données patients purgées avec preuves à l'appui, identifiants et certificats révoqués, objets réseau supprimés.

Les deux axes sont évalués séparément, et ne font jamais l'objet d'une moyenne :

Une sonde parfaite ne peut compenser un accès à distance non contrôlé, et un système d'exploitation entièrement corrigé ne peut compenser une alimentation défaillante dans un rôle en soins critiques. Et tout état sous mesure compensatoire doit avoir une échéance : un responsable, une date de réexamen et un événement explicite qui y met fin — un correctif validé, la livraison d'un système de remplacement, une réévaluation du risque. Le mot le plus dangereux dans un programme de cycle de vie est « temporairement ».

Si un appareil présente un signal suspect — une destination inattendue dans le journal du pare-feu, un redémarrage inexpliqué, une invite de maintenance que personne ne reconnaît —, la première démarche relève de la coordination et non d'une mise hors tension réflexe : confirmer l'actif et le signal, protéger toute procédure patient en cours, choisir la mesure de confinement la moins perturbatrice qui réduise réellement le risque (bloquer une destination, désactiver l'accès distant, restreindre la politique réseau), préserver les journaux et contacter le canal de sécurité produit du fabricant avec le modèle exact, le build et l'observation. Un dispositif médical ne doit pas être imagé, scanné ou réinitialisé aux paramètres d'usine avec des outils informatiques ordinaires simplement parce que ces outils sont disponibles.

Où s'inscrit la maintenance indépendante, et où elle s'arrête

À retenir : la lettre d'Olympus trace la frontière mieux que n'importe quel consultant : lorsque l'horloge logicielle s'arrête, l'horloge matérielle continue de tourner — et quelqu'un doit maintenir le matériel en état de fonctionnement. C'est là la voie de la maintenance indépendante, abordée selon ce même cadre de décision d'orientation, jamais comme un substitut à celui-ci.

Toute décision d'orientation, à l'exception de « remplacer immédiatement », suppose que l'échographe reste cliniquement fiable pendant que la décision de cybersécurité suit son cours. Un hôpital qui passe un trimestre à concevoir une exception de segmentation pour un système dont la carte est défaillante a commencé par résoudre le mauvais problème. La matrice à deux axes exige des données concrètes sur l'axe physique : codes d'erreur et symptômes actuels, état des sondes et des connecteurs, isolement de la panne au niveau de la carte, état de l'alimentation et du refroidissement, disponibilité des pièces pour ce modèle et historique des défaillances récurrentes.

Ces données probantes constituent précisément l'apport d'un prestataire de maintenance multimarque indépendant. Les données d'exploitation vérifiées de Rongtao Medical définissent les contours de cette activité : 35+ ingénieurs expérimentés assurant le diagnostic et la réparation au niveau de la carte, plus de 3,000 références de pièces pour les principales marques OEM, un test sur machine réelle de 48 heures avant expédition avec preuve photo ou vidéo, un délai standard de traitement de 5 à 8 jours ouvrés, une garantie généralement de 90 jours, les certifications ISO 13485:2016 et ISO 9001:2015, et des expéditions depuis une zone sous douane vers plus de 140 pays ³⁸. Pour les aspects économiques de l'arbitrage prolongation/remplacement et les questions de provenance des pièces qui sous-tendent ce créneau, consultez nos rapports complémentaires sur le parc vieillissant après la lettre de fin de service, sur la sécurité de la maintenance indépendante et sur les modes de défaillance des cartes.

Et la limite, énoncée aussi catégoriquement qu'Olympus énonce la sienne : une réparation matérielle ne crée pas de correctif OEM, ne rend pas une CVE inapplicable, ne valide pas une modification du système d'exploitation, ne certifie pas un réseau et ne rend pas un équipement cybersécurisé. Rongtao n'est pas agréé par les OEM, n'est pas un prestataire de cybersécurité, ne développe pas de correctifs et n'évalue pas les réseaux hospitaliers ; les noms d'OEM figurant dans ce rapport servent à identifier la couverture de maintenance et des éléments de preuve publics, sans jamais impliquer d'affiliation. La décision d'arbitrage appartient aux responsables HTM, sécurité et cliniques de l'hôpital ; le prestataire de maintenance n'en fournit qu'un des axes.

Une règle d'interface pratique vient boucler la boucle : après toute intervention sur une carte, un disque ou un module — par qui que ce soit —, le contrôle de remise en service doit confirmer non seulement la qualité d'image, mais aussi l'état pertinent pour la cybersécurité : version logicielle inchangée, comptes et configuration réseau intacts, état de la télémaintenance conforme aux approbations, inventaire du parc mis à jour. "Matériel réparé" et "actif remis dans son état opérationnel approuvé" sont deux validations distinctes, qui relèvent de deux responsables différents.

Clauses d'approvisionnement pour le prochain système

À retenir : les preuves manquantes d'aujourd'hui constituent la clause contractuelle de demain. Tout ce que ce rapport n'a pas pu vérifier — statut de l'OS par produit, dates de fin de support, droits d'accès aux correctifs — correspond exactement à ce que le prochain bon de commande devrait exiger par écrit.

Rien de tout cela n'empêche les vulnérabilités. Cela garantit que lors de la parution du prochain avis, l'hôpital détiendra les droits et les preuves au lieu de découvrir — comme l'a montré l'enquête d'identification des systèmes d'exploitation ci-dessus — que la réponse se trouve derrière un identifiant de connexion dont il ne dispose pas.

Méthodologie et limites

À retenir : chaque chiffre calculé ci-dessus est reproductible à partir de données publiques avec les filtres indiqués ici, et chaque silence est qualifié comme une propriété du canal qui l'a produit.

Analyse 510(k) de la FDA. Base de données 510(k) de l'FDA, export du 22 juillet 2026 (175,559 enregistrements). Cohorte principale : codes produit IYN et IYO — systèmes d'échographie diagnostique sur chariot/console — 2,066 décisions, d'août 1977 à juin 2026 ; recoupée avec un ensemble d'échographie à 11 codes (2,726 enregistrements), qui reproduit la même distribution (91.8 % antérieurs au 524B). Les autorisations sont des décisions de conception et non des unités installées ; aucun décompte public du parc installé n'existe, et aucun n'est revendiqué. Les 204 décisions postérieures à la date de bascule constituent un plafond pour les conceptions relevant de l'ère 524B, car la loi s'applique à la réception de la soumission et non à la date de décision ².

Analyses CISA. Version 2026.08.07 du catalogue KEV (1,662 entrées ; filtrage des fournisseurs par rapport aux listes de fabricants d'imagerie et de dispositifs médicaux ; indicateur de rançongiciel et calcul de la date d'échéance d'après les champs propres du flux) ⁵. Série ICSMA dénombrée page par page depuis la liste d'avis de la CISA en date du 9 août 2026 — 176 avis pour les années complètes 2016–2025, 10 de plus pour l'année partielle 2026 ; 18 avis pertinents pour l'imagerie récupérés individuellement et vérifiés ; 27 autres titres connexes à l'imagerie répertoriés mais non vérifiés en profondeur. Le décompte des avis mesure l'activité de divulgation, et non l'incidence ³.

Analyses des registres de sécurité de la FDA. Recherche textuelle dans MAUDE via openFDA (données mises à jour le 28 juillet 2026) sur onze codes produit d'échographie, soit 13,213 signalements au total depuis l'origine ; recalcul de la répartition des événements sur la fenêtre d'exportation 2025–2026 (2,534 signalements). Analyse des rappels portant sur 542 dossiers de rappel d'échographes et filtrage de l'ensemble de la base de données à la recherche d'événements de rappel motivés par la cybersécurité (18 depuis 2008). Le silence de MAUDE est une propriété des circuits de notification — les hôpitaux signalent les cyberincidents à l'OCR, à la CISA, au FBI et aux assureurs, et non à une base de données sur la sécurité des dispositifs — et n'est jamais interprété ici comme une preuve de sécurité ⁴.

Enquête sur les divulgations des OEM. Propriétés publiques de sécurité des produits de dix fabricants, examinées au mois d'août 2026 ; "gated" signifie que le document ou le référentiel requiert des identifiants client. L'absence d'un fournisseur du KEV, des registres ICSMA ou de toute divulgation publique ne constitue pas une preuve quant à la sécurité de ses produits, dans un sens comme dans l'autre.

Les statistiques sectorielles sont assorties de leur éditeur et de leur échantillon partout où elles sont citées : les chiffres de Claroty sont issus d'une télémétrie provenant de sa propre clientèle de 351 organisations, et non d'un recensement ²⁴ ; ceux de Sophos proviennent d'une enquête auprès de victimes ²⁵ ; le décompte des violations de l'OCR augmente pendant des mois à mesure que le portail est complété rétroactivement ²³. Deux chiffres largement répétés (6.2 vulnérabilités par dispositif ; 40 % de dispositifs en fin de vie) sont omis car leur source primaire ne peut être retrouvée. Une piste explorée est signalée comme infructueuse : un examen de 29,979 titres d'avis de marchés publics de l'UE (2016–2026) n'en a trouvé aucun faisant référence à des exigences de cybersécurité — les cinq occurrences « cyber » correspondaient au nom de marque CyberKnife —, mais les titres d'appels d'offres ne permettent pas de consulter les annexes des spécifications ; l'énoncé exact est donc « non testable avec ces données », et non « les acheteurs n'en demandent pas ».

Foire aux questions

Comment déterminer le système d'exploitation utilisé par mon échographe ? La plupart du temps, vous ne pouvez pas le chercher dans la documentation — vous devez le relever directement. Seules 8 des 26 plateformes répertoriées disposaient d'un système d'exploitation documenté publiquement dans notre étude ; les résumés FDA 510(k) ne le divulguent pas, et aucun constructeur ne publie de document de statut par produit en libre accès ²¹⁹³¹. Relevez l'édition, la version et le build depuis l'écran d'informations système de l'appareil lui-même, puis demandez par écrit au fabricant le statut de support de ce build exact, le MDS² à jour et un accès aux avis de sécurité via un compte organisationnel.

Le support de Windows 10 a pris fin — dois-je remplacer mon système d'échographie ? Pas sur ce seul fait. « Windows 10 » ne correspond pas à une seule horloge : le support de la version grand public 22H2 a pris fin en octobre 2025, mais les builds IoT Enterprise LTSC dont sont équipées de nombreuses consoles bénéficient d'un support jusqu'en janvier 2029 (LTSC 2019) et janvier 2032 (LTSC 2021), et Canon ainsi que Philips ont tous deux publié des déclarations confirmant que l'unique build concerné par l'échéance de 2025 est absent de leurs produits actuels ou isolé au sein de ceux-ci ³⁵³³³¹. Identifiez d'abord le build exact ; appliquez ensuite la vérification des cinq horloges, et non celle de la date anniversaire.

Puis-je installer moi-même une version plus récente de Windows sur l'échographe ? Non. Le système d'exploitation d'un système d'échographie homologué fait partie intégrante d'une configuration de dispositif médical validée ; un changement non autorisé de système d'exploitation constitue une modification non contrôlée susceptible d'affecter la sécurité, l'efficacité et le statut réglementaire. La voie d'application des correctifs passe par les mises à jour validées du fabricant de l'appareil ¹⁰. Si aucune voie de ce type n'existe, les options honnêtes sont les trois autres dispositions — segmenter, isoler ou remplacer.

Un échographe ancien représente-t-il automatiquement un risque de cybersécurité ? Non — l'âge n'est pas la variable, la maintenabilité l'est. L'IMDRF définit un dispositif hérité comme un équipement qui ne peut pas être raisonnablement protégé contre les menaces actuelles, et explicitement pas par une tranche d'âge ⁶. WannaCry en est lui-même la preuve : le NHS England a constaté que la majorité des appareils infectés fonctionnaient sous Windows 7, pris en charge mais non corrigé, et non sous un vieil XP ²⁹. Une console ancienne aux ports verrouillés, aux flux délimités et dotée d'une filière de maintenance matérielle active peut constituer un actif maîtrisé ; une console récente dotée d'un accès distant non maîtrisé ne l'est pas.

Qu'est-ce qu'un « cyber device » au sens de la section 524B ? Un dispositif qui intègre un logiciel autorisé par le promoteur, peut se connecter à Internet et présente des caractéristiques susceptibles d'être vulnérables à des menaces. Pour les demandes visées reçues à compter du 29 mars 2023, le fabricant doit fournir un plan de gestion des vulnérabilités, un processus de gestion des correctifs et un SBOM ⁷. Cette exigence n'est pas rétroactive — c'est pourquoi 90.1 % de la population de conceptions d'échographes homologués se situe en dehors de son champ d'application ².

Où trouver les avis de sécurité pour mon modèle d'échographe ? À trois endroits, par ordre d'autorité : la page de sécurité des produits du fabricant (cinq OEM sur dix publient des listes d'avis gratuites et datées — Philips, Siemens Healthineers, Canon Medical, GE HealthCare, Olympus) ; la série d'avis ICS Medical Advisories de la CISA ; et le portail d'accès sécurisé par authentification du fabricant pour le correctif validé et le statut par produit ³¹⁹³¹. Confiez le suivi des avis à un responsable désigné au sein de votre organisation — les données montrent que le correctif se trouve systématiquement derrière l'accès authentifié.

Une lettre de fin de support signifie-t-elle que les pièces ne sont plus disponibles ? Pas nécessairement — examinez quelles horloges la lettre arrête réellement. L'avis d'Olympus de 2025 relatif aux échographes a mis fin au support logiciel et aux futures contre-mesures de sécurité, tout en précisant dans le même document que « le support matériel, tel que le remplacement de pièces, etc., continuera d'être proposé » ¹. Le support logiciel, la disponibilité des pièces et le service complet peuvent prendre fin à plusieurs années d'intervalle, et le marché indépendant des pièces et de la réparation prolonge encore l'horloge matérielle ; confirmez chaque date par écrit.

Conclusion : la disposition, non la date de naissance

Quatre constats portent ce rapport.

Les horloges sont dissociables, et les OEM eux-mêmes les séparent. Olympus a mis fin à l'horloge logicielle d'un système d'échographie et a maintenu son horloge matérielle dans un seul et même courrier ¹. Gérer un parc existant relève de la discipline de savoir laquelle des cinq horloges a expiré pour chaque actif — et non d'un tri par date d'achat.

Le cadre réglementaire est arrivé après le parc. Neuf conceptions de systèmes d'échographie homologués sur dix sont antérieures à la loi exigeant un processus de gestion des correctifs, la population ne se renouvelle pas au rythme de 55 à 83 homologations par an, et un tiers des homologations récentes provient d'une longue traîne de fabricants aux pratiques de divulgation faibles ou inexistantes ². Attendre la modernisation est un plan sur plusieurs décennies.

Les données officielles indiquent déjà que le déploiement de correctifs n'est souvent pas le remède. La moitié des avis d'imagerie vérifiés de la CISA laissait au moins un produit sans correctif ; chaque avis mentionnant l'échographie présentait une couverture de correctifs incomplète ; les instructions étaient restreindre, isoler, remplacer ³. Dans le même temps, l'horloge d'entreprise pour le déploiement de correctifs — 21 jours — est une cadence sur laquelle aucun dispositif validé ne peut fonctionner ⁵. Segmenter et isoler ne sont pas des manques de courage ; ce sont les remèdes documentés.

Le silence de l'historique de sécurité est une voie, non un verdict. Zéro mention cyber dans 8,525 rapports récents de sécurité sur les échographes signifie que le signal n'arrivera jamais par ce canal ⁴. La décision doit être prise sur la base des preuves relatives aux actifs et aux avis — l'historique que vous constituez, car celui que vous pouvez consulter n'existe pas.

Pour chaque système maintenu en service dans le cadre de cette décision, l'horloge matérielle doit continuer de tourner : cartes fiables, pièces testées, sondes fonctionnelles, fonctionnement documenté. Si une évaluation physique de la maintenabilité peut éclairer votre décision relative au devenir de vos équipements — localisation des pannes, disponibilité de pièces testées pour vos modèles, preuves de test sur machine réelle —, c'est l'échange pour lequel Rongtao Medical est conçue, comme l'un des éléments d'une décision qui revient à vos responsables HTM, sécurité et cliniques.