Pratiques innovantes
12/03/2024

Cyberattaques : retours d’expérience de deux PUI

En 2022, le Centre hospitalier de Versailles et le CH Sud Francilien ont tous les deux été victimes d’une cyberattaque. Les conséquences se font encore ressentir aujourd’hui dans l’organisation des soins, et particulièrement au sein de leur PUI. Retours d’expérience.

Si les systèmes d’information des établissements de santé facilitent l’organisation de l’offre de soins et la coordination des acteurs pour la prise en charge des patients, pour autant, ils ont ouvert la voie à un nouveau risque : la cybercriminalité. D’après les données de l’Agence du numérique en santé (ANS), en 2022, les établissements médicaux et médico-sociaux ont déclaré 30 % d’incidents de cybersécurité de plus qu’en 2021. Une menace que tous redoutent. Car les cyberattaques ont une force de frappe terrible pour les structures, réduisant à néant l’intégralité de leur fonctionnement. 

Le Centre hospitalier (CH) de Versailles en a fait les frais en décembre 2022. « J’ai été appelée à 22 heures un samedi soir sur mon téléphone portable personnel, témoigne le Dr Farahna Samdjee, pharmacien, chef de service au CH de Versailles. Mon directeur me prévient alors que nous avons été victimes d’une cyberattaque et qu’il m’attend pour la cellule de crise. » Quelques mois plus tôt, c’est le CH Sud Francilien qui subissait le même type d’attaque, dans la nuit du 20 au 21 août 2022. « A la pharmacie, le logiciel a fonctionné pendant la nuit, mais le Directeur des systèmes d’information (DSI) a tout déconnecté le lendemain dès lors qu’il a confirmé l’attaque informatique », indique le Dr Marie-Laure Maëstroni, pharmacien, chef de service. Pour les deux établissements et l’ensemble des équipes, PUI compris, c’était le début de longues semaines de difficultés de fonctionnement et un retour à l’ère pré-informatique.

Cellule de crise pour réagir à la cyberattaque

Lorsqu’une cyberattaque est avérée, la première étape clef repose sur l’organisation d’une cellule de crise afin de prendre les décisions nécessaires pour sécuriser, en urgence, la prise en charge des patients. En parallèle, l’Agence nationale de la sécurité des systèmes d'information (ANSSI) et l’Agence régionale de santé (ARS) doivent être informées de la situation. 

Au CH de Versailles, l’accès aux urgences a rapidement été fermé et l’établissement est progressivement descendu à 50 % de ses capacités de prise en charge, les patients les plus à risque ayant été transférés dans des structures voisines. En Essonne, l’établissement a également arrêté la prise en charge des patients les plus critiques alors réorientés. « Nous sommes un établissement de support et de recours pour les grossesses à risque et les hémorragies digestives, fait savoir le Dr Maëstroni. N’ayant plus de liaison possible avec l’Établissement français du sang, nous ne pouvions plus recevoir les patients à risque hémorragique. Une coordination avec le SAMU et l’ARS est primordiale et la solidarité territoriale a été instaurée rapidement. »

Déconnection intégrale

Lors de cyberattaques, les DSI décident généralement de déconnecter l’intégralité du réseau informatique, afin de sauvegarder les données pouvant encore l’être. « Cette décision était fondamentale, d’autant plus que notre niveau d’informatisation est particulièrement important, surtout à l’échelle de la PUI », pointe le Dr Samdjee. Même problématique du CH Sud Francilien. « Le fonctionnement de l’ensemble de la PUI a été mis à mal car toutes nos procédures sont informatisées », complète le Dr Maëstroni. 

Ordinateurs, stockeurs rotatifs, automates des piluliers, armoires à pharmacie connectées, logiciels patients, logiciels de préparation de chimiothérapie, édition d’étiquette patient, transmissions informatiques des prescriptions : tout a été mis à l’arrêt. 

Les PUI des deux établissements ont donc basculé en mode dégradé pour un grand nombre de leurs missions, et sont donc retournées à l’usage du papier et du stylo. Elles ont toutefois pu compter sur un important élan de solidarité de la part des membres des équipes même si cela implique « de communiquer sans cesse et d’expliquer les organisations proposées, souligne le Dr Maëstroni. Les équipes sont fragilisées et stressées car cette crise empêche les gens de travailler contrairement aux crises sanitaires auxquelles nous sommes davantage habitués. »

Mode dégradé et conséquences

Avec un fonctionnement en mode dégradé, les priorités sont à redéfinir. Dans ces cas précis, exit les actions de pharmacie clinique, l’urgence était de veiller à ce que les médecins récupèrent les prescriptions de leurs patients. 

Au CH Sud Francilien, « quelques prescriptions avaient été imprimées et nous avons pu récupérer des informations sur les comptes-rendus d’entrée parfois imprimés, explique le Dr Maëstroni. Dans de nombreux cas, les médecins ont dû se souvenir des prescriptions. » En parallèle, le directeur de l’établissement a mis en place une communication auprès des patients pour qu’ils apportent un maximum d’informations sur leur dossier. 

Concernant le renouvellement des stocks de médicament et de dispositifs médicaux disponibles dans les services, les infirmiers ont listé sur papier les différentes références stockées puis ont réalisé leurs demandes sur ce listing. « Pour les médicaments n’étant pas en stock, les services de soins nous envoyaient les demandes sur papier, soit via les pneumatiques, soit en nous les apportant directement », ajoute le Dr Maëstroni. 

En parallèle, une cartographie des stocks et des emplacements de stockage des produits de santé ont également été effectués à la PUI et saisis sur un fichier Excel pour permettre la saisie des demandes des services et la distribution manuelle car « généralement, le logiciel qui pilote les stockeurs rotatifs assure un stockage dynamique et une distribution optimisée », précise le Dr Maëstroni.  

Du côté du CH de Versailles, « notre priorité a été dans un premier temps d’aider les soignants dans les services, à imprimer tant que c’était possible, les plans de soins afin d’assurer la continuité de la prise en charge des patients, explique le Dr Samdjee. Nous avons également récupéré les dotations de services pour que chacun puisse nous commander les médicaments, de manière manuscrite, en fonction de leur besoin. » Pour les stocks, les 200 références les plus consommées ont été sorties des stockeurs pour être déposées sur des étagères afin que la préparation des dotations soit moins fastidieuse. La problématique de la dématérialisation des flux des commandes fournisseurs n’a cependant pas été sans conséquence sur les liens aux fournisseurs. « Nos commandes étaient dématérialisées, nous étions donc dans l’incapacité de connaître nos données de marché », indique le Dr Samdjee. Elle a donc sollicité la PUI du CH de Rambouillet, qui fait partie du même Groupement hospitalier de territoire (GHT) et détient le même marché. « Notre équipe dédiée à la cancérologie s’est rendue sur place pour passer des commandes fournisseurs depuis la base de l’autre hôpital », explique le pharmacien, précisant que les directions financières se sont mises d’accord.

Une préparation des chimiothérapies totalement revue

La PUI du CH Sud Francilien dispose d’un logiciel sécurisant le circuit des chimiothérapies de la prescription à l’administration, notamment le calcul des doses et des volumes à préparer par les préparateurs « pour fabriquer de manière sécurisée des chimiothérapies », fait savoir le Dr Maëstroni. Sans accès à ce logiciel, l’équipe de la PUI a décidé de créer un fichier Excel reprenant les calculs de fabrication des chimiothérapies sur la base de fiches de fabrication. Un pharmacien était dédié à cette mission, tandis que deux autres assuraient le contrôle des calculs. Cette solution a permis de poursuivre la production. « Aucune prise en charge de patient n’a été annulée, mais nous avons réduit les entrées de nouveaux patients », précise-t-elle. Le logiciel de chimiothérapie a ensuite été le premier à être réintégré, avant le logiciel de gestion des stocks. 

Au CH de Versailles, la préparation des chimiothérapies s’effectue généralement avec une Drug Cam, qui n’était plus opérationnelle. « Nous avons donc imprimé les feuillets de mode opératoire, permettant aux préparateurs de préparer les chimiothérapies manuellement, avec un double contrôle effectué par deux infirmières en renfort », rapporte le Dr Samdjee.

Un lent retour à la normale

Au CH Sud Francilien, dix jours après la cyberattaque, les premiers logiciels ont été récupérés. Pour la PUI, la priorité a été donnée au logiciel de chimiothérapie. La restauration du système d’information a pris deux mois. Depuis janvier 2023, l’établissement est dans une phase de reconstruction et de sécurisation. 

A Versailles, si l’établissement a fait le choix de restaurer les données dans l’urgence, sur la base des sauvegardes, pour avoir la capacité d’affronter l’arrivée de l’hiver, la stratégie a été de prioriser la reconstruction à neuf. Un poste informatique a été accessible avant Noël soit deux semaines (à confirmer) après l’attaque – au lieu des 40 ordinateurs habituels. « Notre sauvegarde n’ayant pas été cryptée, nous avons pu la récupérer pour prioriser le passage des commandes fournisseurs depuis ce poste et gérer les stupéfiants », fait savoir le Dr Samdjee. Les stockeurs et les armoires sécurisées ont quant à eux été récupérés juste avant l’été 2023. Mais pour le moment, l’automate de doses nominatives n’est toujours pas fonctionnel.

Les leçons retenues

Mieux se préparer au mode dégradé, c’est la principale leçon retenue par les équipes des PUI des deux établissements. D’autant qu’il est fort probable qu’ils subiront de nouvelles attaques. Les experts sont en effet formels : il n’existe pas de système d’information en réseau inviolable. Les équipes ont aussi retenu la nécessité de sauvegarder les données sur papier ou sur des ordinateurs hors réseau avec un système de sauvegarde et d’impression. « Aujourd’hui, nous avons un classeur par service avec toutes les dotations pour faciliter les approvisionnements », fait savoir le Dr Samdjee. Au CH Sud Francilien, « un plan de sauvegarde des stockeurs se lance tous les vendredis soir sur un ordinateur en local, ajoute le Dr Maëstroni. Les dotations sont également enregistrées en local chez nous aussi. » L’objectif à terme est de disposer d’un plan de continuité d’activité, de sauvegardes non connectées à Internet (ou hors ligne), pour un redémarrage rapide des applications métiers.

Autres articles sur « Pratiques innovantes »