Pourquoi le service informatique de l'hôpital demande-t-il un MDS2 ?
Considérez un échographe d'occasion livré avec un rapport d'intervention et une facture portant le même numéro de série. L'acheteur peut confirmer les sondes et les options installées, mais le PDF de sécurité du vendeur mentionne une autre version logicielle. La question immédiate est de savoir si l'hôpital d'accueil dispose de suffisamment d'informations fiables pour évaluer cette console en particulier. Il s'agit d'un scénario d'acquisition illustratif, et non d'un schéma mesuré d'incidents ou d'achats rejetés.
MDS2 signifie Manufacturer Disclosure Statement for Medical Device Security. Le fabricant d'équipement d'origine (OEM) fournit des réponses structurées sur des sujets tels que les mises à jour, les contrôles d'accès, les informations patients stockées et les interfaces. Le guide professionnel en HTM de Steven Hughes recommande de le demander lors de l'acquisition et pour le parc existant qui en est dépourvu, puis de l'examiner avec le service informatique et la gestion des risques. HTM signifie healthcare technology management. 2
Ce guide traite de cette décision documentaire pour un système d'occasion. Le guide d'achat d'un échographe d'occasion couvre le processus plus large d'achat et de recette. Un test réussi de qualité d'image ou de sécurité électrique ne permet pas de déterminer quelle déclaration de sécurité s'applique, tout comme un formulaire de sécurité ne peut établir les performances cliniques.
Ce qu'établit un MDS2 — et ce qu'il laisse en suspens
Le catalogue de l’ANSI décrit HN 1-2019 comme le formulaire MDS2 accompagné des instructions de remplissage et identifie HN 1-2013 comme son prédécesseur. La FDA répertorie une reconnaissance complète sous le numéro 13-123, liste 059, avec une date d’enregistrement au 19 décembre 2022. Cette date correspond à l’inscription de la reconnaissance, et non à une date limite de mise en œuvre pour les hôpitaux. 7 1
La notice de reconnaissance décrit ces informations comme une aide pour les professionnels réalisant des évaluations des risques de sécurité. Elle avertit également que la conformité peut ne pas satisfaire à l’ensemble des exigences de cybersécurité en vertu de la section 524B ou des directives de la FDA. La reconnaissance ne peut donc pas être interprétée comme la conclusion qu’un échographe d’occasion particulier est sécurisé ou comme une autorisation de connexion. Déterminez séparément les exigences légales, d’approvisionnement et propres à l’établissement applicables ; ce guide n’établit pas de règle juridique universelle. 1
Hughes rapporte que le formulaire de 2019 comporte environ 240 questions réparties sur 23 capacités de sécurité. Il s’agit de son résumé publié ; la norme payante n’a pas été consultée pour cet article. Plus utile que de compter les réponses « Oui », il convient de lire les notes d’accompagnement, d’identifier les inconnues et de demander des clarifications. Un « Non » peut révéler une limite architecturale que les évaluateurs locaux doivent analyser ; un « Oui » peut encore dépendre de la configuration. 2
Une nomenclature logicielle (SBOM, software bill of materials) inventorie les composants logiciels ; un MDS2 décrit les capacités de sécurité. La section SBOM du formulaire PX indique qu’un inventaire des composants est disponible, mais le MDS2 ne contient pas cet inventaire. Demandez le document sous-jacent lorsque l’analyse des risques nécessite des preuves au niveau des composants. Le cabinet de conseil Blue Goat Cyber explique également cette distinction, mais sa vue d’ensemble n’établit pas le contenu de l’inventaire d’un OEM particulier. 3 6
Comment faire correspondre une console d’occasion au formulaire ?
Distinguez bien trois dates et versions : l’édition de la norme, la date de publication de la déclaration remplie et l’état du logiciel installé sur le système. Un PDF récemment téléchargé peut être ancien, et un châssis plus ancien peut avoir bénéficié d’une mise à niveau logicielle légitime. Ni l’année de fabrication ni le résultat de recherche le plus récent n’établissent l’applicabilité. Hughes recommande de faire correspondre le modèle, le système d’exploitation (OS), le micrologiciel et le logiciel, en notant les éventuelles différences de SKU et de version. 2
Demandez les éléments suivants au vendeur ou à l’ingénieur responsable via les écrans d’information normaux documentés ou les rapports de maintenance. N’entrez pas en mode de maintenance restreint, n’obtenez pas d’identifiants privilégiés et ne modifiez pas les paramètres uniquement pour combler un manque de preuves. Indiquez les informations indisponibles comme inconnues et demandez à l’OEM ou au prestataire de maintenance qualifié d’identifier la méthode approuvée pour les obtenir.
- OEM, désignation exacte du modèle, numéro de série de la console et révision matérielle disponible d’après la plaque signalétique et le registre d’inventaire.
- Version et build du logiciel d’application ; versions de l’OS et du micrologiciel lorsque le fabricant les met à disposition.
- Options et interfaces installées pertinentes pour le flux de travail prévu, telles que la connectivité sans fil, l’authentification par annuaire ou les services à distance.
- Interventions récentes sur les cartes, le stockage ou les logiciels, y compris les références de pièces, les révisions, la provenance des supports de restauration et les historiques de versions avant/après.
- Identifiant de document de la déclaration, révision, date de publication, URL du fabricant d’origine ou réponse du support, et couverture déclarée des produits/versions.
Conservez les captures d’écran horodatées et les documents sources avec le registre d’inventaire. Un écran confirme la version affichée à cet instant ; il n’établit pas de manière indépendante l’intégrité du logiciel et ne prouve pas que chaque paramètre correspond à la déclaration. Si un document couvre une plage de versions, obtenez la confirmation que la configuration livrée se situe dans cette plage. Ne le rejetez pas uniquement parce qu’il ne comporte pas de PDF distinct pour chaque build mineur.
Par exemple, si un vendeur fournit une déclaration pour la version A alors que le système installé indique la version B, consignez « applicabilité non résolue ». Demandez si les réponses s'appliquent sans modification, s'il existe un formulaire spécifique à cette version ou quelles lignes ont changé. Ne réétiquetez pas le PDF vous-même. Une clarification du fabricant peut résoudre la question du périmètre, mais l'établissement décide toujours si les éléments de preuve qui en résultent sont adéquats.
Que révèle une déclaration réelle pour un échographe ?
La déclaration PX de 12 pages de FUJIFILM Sonosite, D24031-18 Rev A, est datée d'octobre 2025. Le nom du fichier téléchargé identifie PX 4-5 ; l'en-tête du document mentionne PX sans préciser la plage complète des versions applicatives. Considérez-la comme un exemple pratique et confirmez son applicabilité avant de l'utiliser pour une console spécifique. Les observations ci-dessous décrivent le formulaire, et non un test d'un dispositif d'occasion ou une comparaison de la sécurité des OEM. 3
| Lignes / page | Déclaration publiée | Question pour cette console d'occasion | Limite des éléments de preuve |
|---|---|---|---|
| DOC-6 / page 1 | Mentionne les services DICOM, notamment le stockage d'images, la liste de travail, l'impression, le Storage Commitment et le MPPS. | Quels services et destinations le flux de travail prévu requiert-il ? | La liste décrit l'utilisation prévue ; elle ne démontre pas une intégration réussie sur site. |
| CSUP-1, 2, 2.3–2.4 / page 4 | Composants Windows 10 LTSC ; mises à jour système du fabricant ; aucune installation de correctifs à distance ; les mises à jour tierces nécessitent une approbation. | Quels package de mise à jour et voie d'installation s'appliquent à cette version ? | À lire avec RMOT-3 ; n'en déduisez pas que tout mécanisme de mise à jour est absent. |
| MLDP-2, 3–4 / pages 6–7 | Aucun logiciel anti-malware ; la liste blanche d'applications restreint l'exécution de logiciels tiers. | L'établissement peut-il s'accommoder du modèle de protection documenté ? | Cela n'établit ni une immunité ni l'autorisation d'installer un agent de sécurité d'entreprise. |
| STCF-1–2 / page 11 | AES-256 au repos, configuré par défaut ; la réinitialisation/l'effacement sécurisé génère une nouvelle clé. | Quels enregistrements démontrent l'état de stockage et de remise accepté ? | Une déclaration de capacité ne constitue pas un certificat d'assainissement. |
| TXCF-3 / page 11 | Transmission des informations relatives aux patients restreinte à une liste fixe de destinations DICOM. | La liste des destinations approuvées correspond-elle aux destinataires prévus ? | Une liste de destinations ne prouve ni les règles de pare-feu ni le bon acheminement. |
| SAHD-14 / page 10 | L'administrateur peut désactiver l'Ethernet, le Wi-Fi, les périphériques USB et l'exportation USB. | Quelles interfaces sont activées sur l'équipement livré ? | La capacité de désactiver une interface ne signifie pas qu'elle est désactivée. |
| SBOM-1–4 / page 9 | SBOM disponible, avec processus de mise à jour ; aucune méthode de génération sur l'appareil. | Comment le propriétaire obtiendra-t-il l'inventaire correspondant à la version ? | Les réponses ne précisent aucun format lisible par machine ni droit à la livraison. |
| RDMP-3 / page 9 | Renvoie au calendrier de retrait du produit du fabricant. | Quelles dates de support et quels engagements de mise à jour s'appliquent actuellement ? | Le formulaire n'indique pas lui-même la date de retrait de la console. |
| RMOT-1, 3 / pages 11–12 | Aucun service d'analyse/réparation à distance ; une fonctionnalité optionnelle de mise à jour over-the-air est mentionnée. | Comment la fonctionnalité optionnelle de mise à jour s'articule-t-elle avec CSUP-2.3 ? | Le document nécessite une clarification sur cette distinction ; ne la tranchez pas par simple supposition. |
Source : FUJIFILM Sonosite D24031-18, octobre 2025 ; références de lignes indiquées. Le suivi pour l'acheteur constitue une analyse éditoriale de Rongtao Medical.
Deux distinctions méritent un suivi. Premièrement, une affirmation catégorique selon laquelle le PX ne peut pas utiliser l'authentification par annuaire serait erronée : PAUT-2 identifie une authentification externe via MS Active Directory et LDAP, tandis qu'AUTH-1.2 indique que les clients ne peuvent pas déployer de stratégies de groupe. La prise en charge de l'authentification et l'administration des stratégies de domaine sont deux questions distinctes. Deuxièmement, les réponses CSUP et RMOT ci-dessus ne peuvent justifier l'affirmation générale « aucun accès à distance d'aucune sorte ». Demandez une explication sur le mode de mise à jour et la configuration applicables. 3
Les lignes du formulaire relatives au chiffrement et à l'exportation ont également une portée plus restreinte qu'une procédure de passation. Utilisez le guide d'assainissement des données patient distinct pour les éléments de preuve requis avant le transfert. Le guide d'exportation USB du PX traite de l'état des examens et des contrôles administrateur.
Où les acheteurs peuvent-ils obtenir le document ?
Consultez d'abord le canal actuel d'assistance ou de sécurité produit du fabricant, puis demandez au vendeur de vous aider à obtenir l'enregistrement applicable. Les copies trouvées via les moteurs de recherche peuvent aider à identifier un numéro de document, mais un site miroir n'établit ni la paternité, ni l'exhaustivité, ni l'actualité du document. Conservez la source officielle ou la réponse écrite de l'assistance avec le fichier.
| Fabricant | Ce qui a été vérifié | Ce qui demeure inconnu | Action de l'acheteur |
|---|---|---|---|
| Échographe FUJIFILM Sonosite PX | Le PDF désigné d'octobre 2025 a été récupéré sur le domaine officiel. | Couverture de la version installée ; disponibilité pour d'autres modèles. | Vérifier la révision du document et demander la confirmation de son applicabilité. |
| Philips | La politique publique décrit des informations MDS2 propres à chaque modèle ainsi qu'une inscription client avec accès délivré par le centre d'assistance. | L'éligibilité de cet acheteur et l'existence d'un formulaire à jour pour la version exacte de l'échographe. | Utiliser le canal officiel d'inscription/d'assistance ; demander la transmission légale du document plutôt que les identifiants d'un autre client. |
| GE HealthCare | La page publique Products & Patches décrit les mises à jour, l'état des vulnérabilités et l'historique des correctifs. | La page ne confirme pas en elle-même l'existence d'un MDS2 pour un échographe particulier, ni l'authentification requise pour l'obtenir. | Utiliser le canal d'assistance/sécurité produit de l'OEM pour demander le formulaire exact ; un avis de correctif constitue un document distinct. |
Source : Sources primaires 3–5. Ces observations ne constituent pas un recensement de disponibilité à l'échelle de tous les OEM ; aucune bibliothèque authentifiée n'a été consultée.
Les instructions d'inscription de Philips démontrent une étape d'accès réelle, tandis que le fichier du PX met en évidence un document directement accessible. Ni l'un ni l'autre ne permet d'affirmer que tous les formulaires d'un OEM sont en libre accès ou qu'un concurrent disposant d'un portail est moins transparent. La page de GE est utile pour les avis de sécurité, mais sa présence ne peut prouver que le MDS2 de l'acheteur est disponible. Les voies d'accès des autres fabricants n'ont pas été vérifiées pour ce guide. 3 4 5
Intégrez la transmission des documents dans les discussions d'achat avant le paiement. Demandez qui contactera l'OEM, quelle version installée sera livrée, comment les questions non résolues influeront sur l'acceptation, et à qui incombe le suivi. La promesse d'un vendeur d'envoyer « un MDS2 » est moins solide qu'un engagement à fournir une déclaration applicable du fabricant ou à documenter l'écart non résolu pour examen par l'acheteur.
Quatre démarches lorsque le formulaire est manquant ou obsolète
Les démarches suivantes constituent un outil d'évaluation rédactionnel. Hughes recommande de demander un formulaire à jour, d'envoyer au fabricant le modèle et les instructions de la NEMA lorsqu'il n'en existe aucun, et d'examiner si les exigences peuvent être satisfaites en l'état, avec des mesures compensatoires ou pas du tout. Le tableau applique ces orientations au transfert d'une console d'occasion ; il ne s'agit pas d'une procédure approuvée par un organisme de réglementation. 2
| Voie / déclencheur | Action et responsable | Document à conserver | Décision possible |
|---|---|---|---|
| 1. Formulaire correspondant disponible | Le service HTM vérifie la source, le périmètre et l'exhaustivité ; l'informatique examine les fonctionnalités au regard de l'utilisation prévue. | Déclaration OEM applicable, accompagnée du relevé de l'état installé et des questions d'évaluation. | Approuver, restreindre, demander des éclaircissements ou rejeter après évaluation locale. |
| 2. Formulaire ancien ou discordance de version | Demander un formulaire à jour ou une explication du fabricant concernant les versions applicables et les réponses modifiées. | Demande, réponse, historique des révisions et divergences non résolues. | Suspendez la connexion en production tant que des écarts substantiels subsistent. |
| 3. Aucun formulaire complété trouvé | Demandez au fabricant de remplir le formulaire NEMA en vigueur conformément à ses instructions. | Demande/ticket OEM, documents fournis et historique des clarifications. | Maintenez en attente ; faites remonter le dossier si l'OEM ne peut pas fournir de preuves suffisantes. |
| 4. Déclaration impossible à obtenir | Les responsables désignés du génie biomédical (HTM), de la sécurité et des risques évaluent les preuves alternatives et toute restriction réalisable. | Registre des preuves manquantes, mesures de contrôle proposées, vérification et décision relative au risque résiduel. | N'appliquez de restrictions que si elles sont acceptées localement ; dans le cas contraire, maintenez la déconnexion, modifiez le déploiement ou refusez l'achat. |
Source : Synthèse rédactionnelle de Rongtao Medical à partir de la source 2. Les responsables locaux du génie biomédical, de la sécurité de l'information et des risques déterminent l'issue.
La voie 4 est un examen dérogatoire, et non la promesse que la segmentation rende un échographe non documenté acceptable. Indiquez exactement ce qui demeure inconnu, en quoi cela pourrait affecter le flux de travail prévu et pourquoi les restrictions proposées permettraient d'y remédier. Les évaluateurs peuvent décider que l'incertitude ne peut pas être gérée. Un PDF manquant ne prouve pas à lui seul que l'actif n'est pas sûr ; un PDF disponible ne prouve pas à lui seul qu'il est sûr.
Pour des décisions plus larges à l'échelle du parc concernant les horizons de support et l'isolation, consultez le guide de cybersécurité des échographes d'ancienne génération. Cet article s'arrête à la transmission des éléments probants et de la décision. Il ne prescrit pas de conception de pare-feu, de politique de gestion des correctifs ni de procédure de test de vulnérabilité.
Qu'est-ce qui change après la réparation d'une carte ou le rechargement du logiciel ?
Commencez par les travaux effectivement réalisés. Les mentions « Sonde », « alimentation », « formeur de faisceau » et « carte mère » ne constituent pas des descriptions suffisantes pour déterminer si une intervention de maintenance modifie le micrologiciel, les identifiants, les informations stockées ou les paramètres de sécurité. Certaines interventions peuvent laisser la configuration concernée inchangée, mais établissez-le à partir des éléments probants de la maintenance. N'attribuez pas de classification universelle d'impact nul à une famille de composants.
| Intervention de maintenance | Question à résoudre | Éléments probants à demander | Décision relative à la déclaration |
|---|---|---|---|
| Réparation ou remplacement de sonde | Seul l'ensemble de sonde documenté a-t-il été modifié, ou les logiciels/options de la console ont-ils également changé ? | Identité de la sonde, périmètre de l'intervention et résultats de recette applicables ; modifications de la console le cas échéant. | Consignez la raison pour laquelle les réponses existantes restent applicables ou transmettez les lignes concernées pour révision. |
| Réparation/remplacement du module d'alimentation | La pièce/révision approuvée ainsi que les éventuels paramètres programmables ou micrologiciels ont-ils été conservés ? | Enregistrement de la pièce/révision, description de l'intervention et résultats des tests qualifiés. | Ne déduisez pas l'absence de micrologiciel à partir du nom du module. |
| Carte numérique ou carte mère | L'identité matérielle, le micrologiciel, les interfaces, les licences ou les paramètres ont-ils changé ? | Enregistrements des pièces et des versions avant/après, modifications de configuration et tests de maintenance. | Rapprochez les réponses concernées ; interrogez l'OEM lorsque l'applicabilité n'est pas claire. |
| Remplacement du stockage ou restauration logicielle | Quelle image/version autorisée a été installée, et qu'est-il advenu des données et des paramètres ? | Provenance du support, enregistrement de la version, preuves d'intégrité autorisées et enregistrements de restauration/d'effacement sécurisé. | Un démarrage réussi ne suffit pas à lui seul à établir l'intégrité ou l'applicabilité du formulaire. |
| Ensemble réseau ou E/S | Les identifiants, les services activés, la capacité des interfaces ou la configuration ont-ils changé ? | Pièce/révision et identifiants/paramètres modifiés ; validation de l'équipe réseau locale. | Mettez à jour le profil de l'actif et réexaminez les contrôles concernés avant de reconnecter. |
Source : Questions de cadrage éditorial de Rongtao Medical, ne constituant pas un tableau de compatibilité des composants, une procédure de maintenance de l'OEM ni une garantie de validité de la déclaration.
N'exigez pas de vérification du hachage du micrologiciel effectuée par l'utilisateur à moins que le fabricant ne fournisse réellement une méthode approuvée. L'exemple du PX rend cette limitation concrète : SAHD-3 décrit des vérifications d'intégrité lors du démarrage, tandis que SAHD-4 indique que le propriétaire/l'exploitant ne peut pas effectuer de contrôles d'intégrité du logiciel. Une grille d'évaluation des achats ne peut pas inventer une capacité de vérification que l'appareil n'expose pas. 3
Une déclaration antérieure peut rester utile après une intervention si son périmètre couvre toujours la configuration documentée. Si les travaux modifient une réponse pertinente, conservez l'ancien enregistrement dans l'historique, identifiez le delta et demandez des clarifications au fabricant ou une déclaration révisée. Le rapport d'intervention d'un tiers documente les travaux de ce prestataire ; il ne peut pas devenir tacitement une déclaration de remplacement du fabricant.
Quels éléments de preuve alternatifs les évaluateurs peuvent-ils examiner ?
Pour un formulaire impossible à obtenir, établissez un relevé des lacunes de preuve question par question plutôt que de déclarer le dispositif « à faible risque ». L'équipe de sécurité de l'établissement décide quels autres enregistrements et contrôles sont adéquats. Les éléments utiles comprennent les recommandations de sécurité du fabricant, la documentation sur les ports et protocoles, les avis applicables, l'état du support et le relevé de l'état installé. Attribuez chaque réponse à sa source réelle et à sa date.
- Flux de travail clinique : quels récepteurs, flux de données et fonctions sont nécessaires, et lesquels seraient perdus si une interface était restreinte ?
- Limites du fabricant : quelles mises à jour, quels agents ou quelles modifications de configuration sont pris en charge, et quelles questions restent sans réponse ?
- Contrôles proposés : qui est responsable de la mise en œuvre, comment l'efficacité sera vérifiée et quelles limitations opérationnelles subsistent ?
- Incertitude résiduelle : ce qui ne peut pas être vérifié, qui peut accepter ce risque, et à quel moment la décision expire ou doit être réexaminée ?
Une étiquette de VLAN, une adresse IP statique ou une adresse MAC ne constituent pas une preuve que le trafic est convenablement restreint ou qu'un point de terminaison est sécurisé. Ne copiez pas de numéros de port génériques dans un plan de déploiement. L'équipe réseau locale doit déduire tous les flux autorisés de la documentation exacte du système et de l'intégration prévue. N'exécutez pas de scans actifs sur un dispositif clinique et ne modifiez pas les identifiants ni les interfaces sous l'autorité du présent article ; obtenez les directives du fabricant et l'approbation de l'établissement pour l'évaluation spécifique.
L'aboutissement peut être un refus de connexion ou un refus d'achat. Si un déploiement restreint est accepté, enregistrez les restrictions effectives, les vérifications démontrant leur bon fonctionnement et l'entité qui en assurera la maintenance. L'approbation du réseau est également distincte de l'autorisation d'utilisation clinique, de la préparation au contrôle des infections et de la réception du matériel réparé. Chaque équipe responsable conserve sa propre décision d'autorisation.
Que doit consigner le dossier d'admission de sécurité ?
Hughes recommande de relier les déclarations à la gestion des actifs de l'appareil, à la GMAO (CMMS) ou à un autre registre partagé des risques, et de vérifier les mises à jour lorsque des modifications sont apportées au produit. CMMS signifie « computerized maintenance management system » (système de gestion de la maintenance assistée par ordinateur). La structure de dossier suivante est suggérée pour cette transaction, et ne constitue pas une liste de contrôle d'accréditation obligatoire ni la garantie du résultat d'un audit. 2
| Rubrique du dossier | Joindre ou consigner | Responsable / suivi | Réexaminer si |
|---|---|---|---|
| Identification de l'actif | OEM/modèle/numéro de série, révision matérielle, logiciels installés et versions disponibles de l'OS/du firmware. | HTM ; résoudre les divergences avec le vendeur/l'OEM. | Modifications du système, d'une carte, d'un disque ou d'une version. |
| Provenance de la déclaration | URL officielle ou réponse du support, ID/révision/date du document, édition de la norme et plage de versions applicables. | Responsable du document ; conserver le fichier original et la correspondance. | Réception d'un formulaire révisé ou d'une clarification sur l'applicabilité. |
| Lacunes dans les réponses | Identifiants de lignes concernés, éléments inconnus, remarques contradictoires et documents complémentaires demandés. | Contact désigné chez l'OEM/le support et évaluateur local. | De nouveaux éléments de preuve permettent de résoudre ou modifient une réponse. |
| Delta de maintenance | Pièces/révisions modifiées, provenance des logiciels, paramètres et éléments de preuve de réception qualifiée. | Le prestataire de maintenance fournit les éléments factuels ; l'HTM examine le périmètre. | Toute nouvelle intervention de maintenance ou restauration. |
| Déploiement approuvé | Interfaces/récepteurs requis, restrictions locales, enregistrements de mise en œuvre et de vérification. | Responsables informatique/sécurité et flux de travail clinique. | Changements touchant le réseau, le flux de travail ou la responsabilité des contrôles. |
| Décision | Approuvé, restreint, suspendu ou refusé ; motifs, inconnues résiduelles, approbateur désigné et date d'examen. | Autorité responsable des risques désignée localement. | Expiration de la décision, nouvel avis ou changement de statut d'assistance. |
| Clôture commerciale | Livrables du vendeur, actions en suspens, personne responsable et conditions d'acceptation. | Achats avec les responsables techniques. | La livraison diffère de la configuration convenue. |
Source : Feuille de travail éditoriale de Rongtao Medical, établie d'après la source 2 ; adaptez les champs, les autorisations d'accès et les rôles d'approbation à la politique locale.
Conservez les dossiers techniques dans l'emplacement contrôlé approuvé de l'établissement. Pour les demandes externes, fournissez le minimum d'informations nécessaires sur l'actif et supprimez des captures d'écran les identifiants des patients, les identifiants d'accès et les détails sensibles relatifs au réseau. Le résultat utile est une décision traçable comportant les éléments non résolus nommément désignés, et non un dossier formulant des promesses de conformité non étayées.
Où intervient Rongtao — et où elle n'intervient pas
Rongtao Medical fournit des prestations multimarques de réparation de cartes d'échographie, des services pour sondes et des pièces de rechange. Son périmètre de marques documenté inclut GE, Philips, Siemens, Hitachi, Mindray, Samsung, Toshiba/Canon, Aloka et Biosound Esaote. Demandez quelle identification de pièce, révision, étendue des travaux et justificatifs de test sur machine réelle peuvent être fournis pour l'article concerné. Ne considérez pas un rapport de test matériel comme une attestation d'intégrité logicielle ou de sécurité réseau.
Le Sonosite PX constitue un exemple tiré d'un document public, et non une revendication de couverture de réparation Sonosite par Rongtao ou d'autorisation OEM. Rongtao n'émet pas de déclarations MDS2 de fabricant et n'approuve aucune connexion à un réseau hospitalier. Pour l'applicabilité du document, référez-vous au fabricant, et pour l'acceptation de sécurité, à l'organisation destinataire. Les noms des OEM servent à identifier les équipements ; ils n'établissent aucune affiliation ni approbation.
Pour toute demande de service ou de pièces sur les équipements pris en charge, utilisez le formulaire de demande technique de Rongtao. Indiquez l'OEM, le modèle exact, le numéro de série, la version installée, la référence de pièce du fabricant, des photos lisibles des deux faces de la carte et des étiquettes, les symptômes/le code d'erreur, la quantité et la destination. Précisez la documentation dont vous avez besoin et toute modification de maintenance connue. N'envoyez pas de données de patients ni d'identifiants.
Questions fréquentes
La reconnaissance par la FDA fait-elle d'un MDS2 une autorisation de connexion ?
Non. L'inscription de reconnaissance concerne une norme destinée à faciliter l'évaluation des risques ; elle n'approuve pas une console et n'autorise pas son utilisation sur un réseau particulier. Elle avertit également que la conformité peut ne pas satisfaire à toutes les exigences pertinentes en matière de cybersécurité. L'établissement doit déterminer les exigences et le processus d'acceptation qui s'appliquent à son utilisation. 1
Un formulaire rempli prouve-t-il que la console est sécurisée ?
Non. Il décrit les fonctionnalités et les limites déclarées par le fabricant. Il ne vérifie pas de manière indépendante l'état installé, l'efficacité des contrôles de l'établissement ni l'absence de vulnérabilités. Demandez quelles réponses dépendent d'options ou de paramètres et conservez l'évaluation locale.
Un formulaire peut-il couvrir une autre version logicielle ?
Uniquement si son champ d'application ou des clarifications du fabricant confirment son applicabilité. Ne présumez pas qu'une version différente est couverte — ou automatiquement non prise en charge — sur la seule base du nom de fichier. Consignez la variante installée et résolvez les divergences avec le fabricant. 2
En quoi un SBOM est-il différent ?
Un MDS2 décrit les fonctionnalités de sécurité. Un SBOM inventorie les composants logiciels. Le formulaire du PX indique qu'un SBOM est disponible, mais ne fournit pas sa liste de composants. Demandez l'inventaire correspondant à la version et son format de livraison si nécessaire ; ne déduisez pas ces détails d'une réponse « Yes ». 3
Faut-il un nouveau formulaire après la réparation d'une carte ?
Examinez d'abord les modifications apportées lors de l'intervention. Si la même déclaration couvre toujours la configuration, consignez la justification de son maintien. Si le matériel, le micrologiciel, le logiciel ou les paramètres ont modifié une réponse pertinente — ou si cet effet ne peut pas être établi —, demandez des clarifications et suspendez toute approbation concernée. Il n'existe aucune exemption universelle par nom de composant.
Que faire si l'OEM ne peut pas fournir la déclaration ?
Conservez la demande et la réponse, identifiez les questions restées sans réponse et soumettez des éléments de preuve alternatifs aux responsables des risques désignés de l'établissement. Ils peuvent accepter des restrictions documentées, demander des éléments de preuve supplémentaires, maintenir le système déconnecté ou refuser l'acquisition. L'absence de formulaire ne constitue pas une autorisation de contourner cette décision.
Limites et déclencheurs de revérification
Il s'agit d'une revue documentaire en date du 24 octobre 2026, et non d'une étude des problèmes liés aux systèmes d'occasion, d'un test de sécurité ou d'un classement de fournisseurs. Les observations relatives à l'accès OEM couvrent un fichier PX récupéré et deux pages publiques de politique/portail ; les bibliothèques nécessitant une authentification et les autres fabricants n'ont pas été évalués. Aucune affirmation relative à l'incidence, au taux de défaillance, au prix, à la compatibilité universelle ou à la réussite d'un audit n'est formulée.
Revérifiez lorsque le logiciel, le matériel concerné, les options, l'utilisation du réseau, les directives du fabricant, les avis de vulnérabilité ou le statut du support changent. Conservez les enregistrements remplacés afin que les évaluateurs puissent voir ce qui a motivé la décision antérieure. Une réponse non résolue du fabricant doit rester visiblement non résolue, même lorsque le reste du dossier d'admission est complet.