Articles

  • L’Anssi donne l’alerte sur la « dépérimétrisation » des systèmes d’information (rapport annuel)

    « Les acteurs du numérique évoluent désormais au sein d’un cyberespace vaste et complexe à défendre, dénué de frontières géographiques, politiques et même parfois techniques », indique l’Agence nationale de la sécurité des systèmes d’information (Anssi) dans son rapport annuel. Elle évoque une « perte de notion du périmètre du système d’information ». 

    « En grande partie liée à l’apparition ou au renforcement de certains usages », cette tendance s’explique par :
    • le développement de l’externalisation des données, avec notamment les systèmes de cloud ;
    • une plus grande ouverture des systèmes sur internet ;
    • « un essor du nomadisme » des utilisateurs ;
    • l’interconnexion quasi-systématique des systèmes, conséquence notamment de la diffusion des objets connectés.  

    Dans ce rapport publié le 15 avril 2019, l’Anssi estime que cette mutation pose « la question de la confiance (…), plus difficile à évaluer que la seule sécurité », alors que « l’isolation des systèmes les plus sensibles[, la réponse la plus fréquemment apportée,] atteint ses limites ».
    L’agence appelle à la mise en œuvre d’initiatives qui « ne seront porteuses de sens et de résultats qu’à l’échelle européenne ».
    Elle demande aux organisations un accompagnement à la fois culturel et opérationnel au « déplacement de la sécurité des systèmes vers la sécurité de l’information et des services numériques », qui serait animé par « la recherche d’un équilibre entre fonctionnalité et fermeté ».

    Des campagnes malveillantes visant les acteurs de la santé

    De nombreuses campagnes d’hameçonnage ciblant des acteurs du secteur de la santé ont été observées en 2018, note l’Anssi dans son rapport annuel. Elle explique cette recrudescence par « la préoccupation croissante des opérateurs à l’égard des enjeux de sécurité numérique et le renforcement parallèle de leurs capacités de défense[, qui] amènent nombre d’attaquants à se tourner vers des cibles moins exposées mais plus vulnérables ». 

    Les objectifs de ces attaques, précise l’agence, sont :

    • le vol de données personnelles ;
    • la demande de rançon après chiffrement des données ;
    • le minage de cryptomonnaies ;
    • la constitution de réseaux de machines zombies (botnets).

    Alerte sur les objets connectés 

    « L’une des premières conséquences de l’apparition massive des objets connectés est leur propension à accroître très fortement la surface d’exposition aux attaques », avertit l’Anssi dans un chapitre consacré aux menaces visant les systèmes « cyber-physiques »*.

    Les attaques sur les objets connectés « peuvent être dirigées vers l’objet lui-même » mais aussi viser à « en détourner la finalité pour les transformer en vecteurs d’actions malveillantes », est-il indiqué. L’agence déplore ici le « manque de maturité » d’un secteur « encore jeune [bien que] très développé », ce qui se traduit par « une insuffisance de normes et l’absence de sécurité by design », soit l’absence de sécurité directement intégrée dans le code source de l’application ou du site web.

    Selon l’Anssi, « l’application de bonnes pratiques et de principes de sécurité tout au long du cycle de développement de ces systèmes (…) ne suffira pas» : elle demande un  « changement de paradigme ».

  • 90 % des GHT ont un schéma directeur des systèmes d’information validé (bilan DGOS)

    Près de 90 % des groupements hospitaliers de territoire (GHT) ont un schéma directeur des systèmes d’information (SDSI) validé, indique dans un bilan la Direction générale de l’offre de soins (DGOS), soulignant que la démarche est « bien enclenchée » pour quasiment tous les groupements. Son rapport se base sur un état des lieux réalisé courant 2018 avec l’Agence des systèmes d’information partagés de santé (Asip santé).
    Ce schéma directeur précise la feuille de route du GHT pour parvenir au 1er janvier 2021 à l’adoption d’un système informatique convergent doté d’une application unique par domaine fonctionnel.

    Autre éléments clés du bilan :
    • 30 % des GHT ont un SDSI validé exhaustif et complet, avec un portefeuille de projets chiffré ;
    • 1 tiers ont, en plus d’un SDSI, engagé des projets de convergence sur différents plans.

    La DGOS rappelle par ailleurs que, selon un bilan établi au cours de l’été 2018 pour 12 régions et 129 GHT, :
    • 62 % des schémas étaient finalisés ;
    • 16 % étaient en cours de validation ;
    • 22 % n’avaient pas été communiqués ou validés.

    Si la direction du ministère de la Santé constate que le processus est bel et bien en marche sur l’ensemble du territoire, l’objectif final n’est pas encore atteint puisque chaque GHT devait avoir finalisé son premier SDSI pour le 1er janvier 2018.

    Un accompagnement prévu dans le cadre du programme Hop’en

    Pour atteindre le but fixé, soit l’adoption d’un SI convergent au 1er janvier 2021, les GHT pourront bénéficier d’un accompagnement, notamment financier, prévu dans le cadre du programme Hop’en, qui définit la nouvelle feuille de route des systèmes d’information hospitaliers pour 2018-2022.

    Le programme est doté d’une enveloppe de 420 millions d’euros sur 5 ans, et ce à la fois pour le secteur public et le secteur privé.

    En ce qui concerne les GHT, les financements seront calculés par établissement mais versés à l’établissement support et imputés sur son budget annexe, précise la DGOS, cité par APMnews.

    La DGOS rappelle que la convergence doit se traduire par :

    • l’acquisition d’un même logiciel ;
    • la mise en place d’une direction des systèmes d’information (DSI) commune et la mutualisation des ressources humaines ;
    • l’uniformisation du poste de travail pour un professionnel médical, avec les mêmes paramétrages d’un établissement à l’autre et des applicatifs communs, soit un applicatif unique par domaine fonctionnel.

  • NHS England : un portail numérique pour réduire la durée des séjours hospitaliers évitables

    Le NHS England et les autorités locales (councils) ont, parmi d’autres mesures, déployé à grande échelle Capacity Tracker, un nouveau portail numérique afin de permettre au personnel des services de santé et sociaux de connaître plus facilement le nombre de lits disponibles dans les foyers de santé locaux, appelés en anglais « care homes« , des établissements de petite taille qui hébergent et soignent des personnes dépendantes, notamment des personnes âgées. La mise en place de ce dispositif a pour but de limiter le temps de séjour hospitalier avant le placement dans ce type de centres.

    Le développement du numérique au sein des établissements de santé et sociaux s’inscrit dans le cadre du plan à long terme du NHS (NHS Long Term Plan) visant à améliorer les services de soins, précise l’organisme du ministère de la Santé britannique dans un communiqué publié le 15 avril 2019.

    L’unité de soutien à la mise en service de Capacity Tracker dans le nord de l’Angleterre, financée par le NHS England, a développé le dispositif de suivi et dirigé le projet pilote. Les care homes, les autorités locales, les Clinical commissioning groups (CCG) et le personnel hospitalier ont participé à la création du système, et les foyers de soins sélectionnés pour tester l’outil sont régulièrement sollicités pour donner leur avis afin d’améliorer et de généraliser son utilisation.

    Angleterre : 1/4 des journées d’hospitalisation sont évitables (NHS)

    En 2018, sur 1 million de jours d’hospitalisation, environ un quart a concerné des personnes suffisamment en forme sur le plan médical pour sortir de l’établissement mais pour lesquelles les services de santé et sociaux n’ont pas immédiatement trouvé un foyer de santé adaptés à leurs besoins (sur le plan psychique par exemple), indique le NHS. 

    Le nombre de lits « perdus » par jour a été réduit de 20 % entre 2017 et 2018

    En collaboration avec les gouvernements locaux (councils), le NHS a réduit le nombre de lits « perdus » chaque jour de 20 % entre 2017 et 2018, assure l’organisme. Le déploiement du nouvel outil Capacity Tracker, désormais plus largement disponible, fait partie des différentes mesures à avoir été prises par les autorités pour réduire la durée des séjours hospitaliers évitables.

    Capacity Tracker : plus de 6 250 care homes équipées

    Le portail est accessible sur n’importe quel appareil. En quelques secondes, les foyers peuvent télécharger les informations concernant leurs lits disponibles, aidant ainsi le personnel des services de santé et des services sociaux à trouver les bons services pour les patients.

    Plus de 6 250 care homes ont déjà adopté le système, mis à l’essai en 2018 dans le Nord du pays, le comté de Devon et celui du Berkshire. Et des milliers de foyers supplémentaires peuvent désormais s’inscrire pour l’utiliser.

    Le déploiement de l’outil contribuera à mener à bien les projets présentés dans le NHS Long Term Plan visant à améliorer le soutien aux services de soins pour réduire les longs séjours hospitaliers évitables, en passant notamment par un meilleur partage des informations entre les care homes et le personnel de l’hôpital.

    Au total, le NHS et les gouvernements locaux collaborent étroitement dans le cadre de 14 projets portant sur des systèmes de soins intégrés et des partenariats pour accélérer la transformation du système de soins, l’idée étant de renforcer le dialogue entre les hôpitaux, les services communautaires, les gouvernements locaux (councils) ainsi que les organisations bénévoles et caritatives.

  • La Société européenne de cardiologie appelle à intégrer aux soins les applications e-santé

    Les systèmes de santé nationaux doivent rembourser les applications e-santé et les intégrer aux soins courants pour faire face aux maladies chroniques. C’est ce qu’affirment les responsables de la European society of cardiology (ESC) dans un article intitulé « Overcoming challenges in digital health implementation in cardiovascular medicine », publié dans la revue European Journal of Preventive Cardiology le 27 mars 2019.

    Les applications numériques sont de plus en plus utilisées par les patients en cardiologie pour contrôler leur pression artérielle, enregistrer un électrocardiogramme (ECG) et suivre leur activité physique, constatent les auteurs. Ils regrettent que les informations générées par ces appareils soient toujours traitées en complément aux thérapies plutôt que d’y être intégrées.

    Les patients qui utilisent des applications de e-santé « sont mieux informés de leur état et les consultations avec le médecin deviennent plus productives car les symptômes peuvent être corrélés à une lecture physiologique », affirme le Pr Enrico Caiani, coauteur de l’article.

    « L’interopérabilité est nécessaire »

    L’ESC souligne par ailleurs que « l’interopérabilité est nécessaire » pour que les technologies puissent dialoguer avec les systèmes hospitaliers. Elle en appelle à la recherche pour établir l’efficacité des outils de e-santé.

    Selon l’ESC, le non-remboursement des solutions de e-santé freine leur généralisation

    Elle aborde également la question du financement, jugeant que c’est le non-remboursement des appareils e-santé qui empêche leur généralisation.

    Le Pr Enrico Caiani souligne qu’« avec les coupes budgétaires et les pénuries de médecins, les systèmes de santé ont du mal à prendre en charge les patients, en particulier ceux atteints de maladies chroniques » et que « cette situation va empirer » avec l’allongement de la vie. Il estime que ces défis peuvent être relevés grâce aux technologies e-santé, et demande une « stratégie partagée » impliquant « les législateurs nationaux, l’industrie, les hôpitaux, les médecins et les associations de patients ».

  • Aide à la pratique clinique : Ramsay déploie ClinicalKey d’Elsevier auprès de ses 1 000 médecins

    Ramsay Generale de Santé annonce le lancement auprès de ses quelque 1 000 praticiens de ClinicalKey, une solution d’aide à la pratique clinique éditée par Elsevier.

    Le groupe d’hospitalisation privée indique avoir choisi ce service parce qu’il propose un « moteur de recherche intelligent » qu’il donne accès à des contenus pertinents (recommandations de bonnes pratiques HAS, revues, livres, traités EMC) ainsi qu’aux « informations médicales et scientifiques les plus récentes, basées sur des données probantes ».

    Dans un communiqué daté du 15 avril 2019, le Dr Stéphane Locret, directeur de la recherche et de l’enseignement de Ramsay Generale de Santé, estime que cet outil permettra à ses praticiens, qui forment la « 1ère communauté de chercheurs du secteur privé en France », d’« appuyer leurs recherches cliniques et leurs décisions cliniques » et ainsi de « mener des recherches au plus haut niveau [et] de fournir des soins de qualité ».

  • Rapport annuel 2018 de la Cnil : baisse de 30 % des plaintes sur l’accès au DMP

    « Les actions de la Cnil en 2018 se sont concentrées sur la mise en œuvre du RGPD », affirme la commission dans son rapport annuel d’activité pour l’année 2018. En 2019, la Cnil prévoit de concilier « pédagogie et dissuasion », alors que « la pression sur les autorités de protection des données n’a jamais été si forte », émanant « autant de la société civile que des acteurs économiques », précise-t-elle dans le document, publié le 15 avril 2019.

    4,2 % des plaintes concernent le secteur santé-social, indique l’autorité, soulignant que les personnes qui s’adressent à elle « rencontrent des difficultés pour obtenir l’accès à leur dossier personnel » et notamment à leur dossier médical (DMP).

    La commission relève cependant que « depuis la sanction de 10 000 euros prononcée en 2017 à l’encontre d’un professionnel de santé (…), une amélioration des pratiques est perceptible » puisque « le nombre de plaintes relatives au droit d’accès au dossier médical a baissé de près de 30 % par rapport à 2017 ».

    En outre, selon le rapport, « les questions de sécurité, et plus particulièrement de confidentialité, ont été plus importantes en 2018 (+100 %) dans ce secteur », démontrant « une préoccupation nouvelle des plaignants à ce sujet ».

    Des contrôles réalisés dans le secteur de l’assurance santé

    Dans le chapitre consacré au bilan du programme annuel 2017, la Cnil rapporte qu’une série de contrôles a été menée auprès de grands acteurs du secteur de l’assurance afin de « s’assurer du respect des règles de confidentialité des données de santé et du secret médical » dont il est fait état dans le pack de conformité « Assurance ».

    La commission relève que si les sociétés d’assurance « ont, dans la majorité des cas, porté à la connaissance des prospects et des assurés les mentions d’information prévues par la loi Informatique et Libertés (…), une grande partie d’entre elles ne recueille pas de manière satisfaisante le consentement exprès des personnes pour le traitement de leurs données de santé ». Qui plus est, certaines d’entre elles « conservent des données plus longtemps que nécessaire ou doivent prendre des actions afin d’améliorer la sécurité des données traitées », ajoute l’autorité.

    Par ailleurs, « pour la souscription d’un contrat d’assurance, certains personnels non médicaux sont amenés, dans le cadre de leurs fonctions, à accéder aux données de santé aux fins d’appréciation du risque », note la Cnil. Si ces derniers, »spécifiquement habilités, sont placés sous l’autorité fonctionnelle du médecin-conseil de l’assureur et formés à la confidentialité médicale », des travaux sont en cours avec les représentants du secteur de l’assurance et notamment la Fédération française de l’assurance (FFA) afin de mieux « encadrer les pratiques du secteur sur ce point ».

    Chiffres clés 2018 (Cnil)

  • VTD

    Velcade/bortézomib-thalidomide-dexaméthasone

  • MADRS

    Montgomery-Åsberg Depression Rating Scale (échelle utilisée pour évaluer la sévérité de la dépression chez des patients souffrant de troubles de l’humeur)

  • RGPD : un mémento de la DGOS présente aux établissements de santé les bonnes pratiques à adopter

    La Direction générale de l’offre de soins (DGOS) a conçu un mémento pour « éclairer les décideurs » des établissements de santé publics et privés sur les impacts du règlement général européen sur protection des données personnelles (RGPD), entré en vigueur en mai 2018, et de l’adoption de la loi adaptant la législation française à ce règlement.

    Le document, publié fin mars 2019 en complément du « mémento cybersécurité » réalisé par la DGOS fin 2017, présente :
    • les notions clés du RGPD ;
    • la définition des données personnelles « courantes » ou « sensibles » ainsi que celle des données données santé ;
    • les missions du responsable du traitement des données : la DGOS détaille ainsi les rôles et les missions du délégué à la protection des données personnes (data protection officer, DPO), qui doit être nommé dans les établissements de santé, soulignant l’importance d’une « responsabilisation des acteurs » traitant des données personnelle induites par le RGPD. « Il faudra désormais tenir à jour une documentation interne afin de pouvoir rendre compte à la Cnil en cas de contrôle », est-il indiqué. Dans cette documentation doit figurer, entre autres, les registres de traitements, les analyses d’impact des traitement sur la vie privée, les preuves de consentement et les contrats avec les sous-traitants.
    La DGOS rappelle que cette fonction peut-être mutualisée à l’échelle d’un groupement hospitalier de territoire (GHT).

    Ce mémento va être complété par un guide d’évaluation du risque numérique en établissement de santé, qui devrait être publié prochainement, a indiqué le 2 avril lors du 7e congrès national de la sécurité des SIS Michel Raux, adjoint à la cheffe du bureau des systèmes d’information à la DGOS.

    Un guide des bonnes pratiques de contrôle et de sécurité des données

    La DGOS propose aux directions plusieurs bonnes pratiques de contrôle et de sécurité des données à adopter

    Les Réflexes jugés essentiels par la DGOS :

    • mises à jour des antivirus et logiciels ;
    • changement régulier et utilisation de mots de passe complexes ;
    • chiffrement des données dans certaines situations

    Les bonnes questions à se poser pour évaluer rapidement le niveau de sécurité de son établissement :

    • Les accès aux locaux sont-ils sécurisés ? ;
    • Des profils distincts sont-ils créés selon les besoins des utilisateurs pour accéder aux données ? ;
    • Une procédure de sauvegarde et de récupération de données régulièrement testée en cas d’incident a-t-elle été mise en place ?
    • Les règles de sécurité fixées par la politique générale de sécurité des systèmes d’information de santé (PGSSI-S) sont-elles respectées ?

    Les actions à adopter en cas d’incidents :

    • « En cas de violation de données (des données personnelles ont été, de manière accidentelle ou illicite, détruites, perdues, altérées, divulguées, etc.) vous devez le signaler à la [Commission Nationale de l’Informatique et des Libertés (Cnil)], et à la personne concernée, dans les meilleurs délais (au maximum sous 72h) si cette violation est susceptible de représenter un risque pour les droits et libertés des personnes concernées », indique la DGOS : https://notifications.cnil.fr/notifications/index
    • Par ailleurs, elle ajoute que le signalement de tout incident de sécurité informatique est obligatoire et doit être déclaré sur : https://signalement.social-sante.gouv.fr/psig_ihm_utilisateurs/index.html#/accue

    Mémo-quiz RGPD : la DGOS identifie 5 étapes à suivre

    À la fin du document, un « mémo-quiz RGPD » présente plusieurs actions à engager dans l’optique de « faciliter la mise en œuvre de la conformité » en respectant les 5 étapes suivantes : 

    • désigner un pilote ;
    • cartographier des traitements ;
    • gérer les risques des traitements de données à caractère personnel susceptibles ;
    • organiser les processus internes;
    • documenter la conformité.

    Mémo-quiz RGPD :

    Un renforcement du contrôle par les usagers de leurs données

    Le RGPD « renforce le contrôle par les usagers de leurs données personnelles », indique la DGOS, avec la « réaffirmation » du droit à l’information et du droit d’accès aux données.

  • La Cnedimts (HAS) valide l’inscription de Moovcare Poumon sur la liste des produits remboursables

    « Compte tenu de la fréquence et du caractère de gravité du cancer du poumon », la Commission nationale d’évaluation des dispositifs médicaux et des technologies de santé (Cnedimts) considère que la web-application Moovcare Poumon (Sivan) a un « intérêt de santé publique« . Elle estime ainsi que le service attendu par la solution est suffisant pour l’inscription sur la liste des produits et prestations remboursables, prévue à l’article L.165-1 du code de la sécurité sociale.

    En conséquence, la commission de la Haute autorité de santé (HAS) recommande une inscription sous nom de marque et retient l’indication suivante : « Télésurveillance médicale en vue d’une détection précoce des récidives ou complications pour les patients de plus de 16 ans atteints d’un cancer du poumon et non progressif après l’évaluation de leur dernier traitement médical indépendamment du type histologique de la tumeur, en complément d’une surveillance conventionnelle », précisant que Moovcare Poumon pouvait être utilisé « avec un traitement de maintenance par chimiothérapie, une thérapie ciblée et/ou une immunothérapie. »

    Dans son avis, daté du 9 avril 2018, la Cnedimts s’est par ailleurs prononcée pour une amélioration modérée du service attendu de la web-application par rapport à la prise en charge conventionnelle seule, « à savoir le suivi par imagerie et par consultations médicales face à face, dans les indications et conditions d’utilisation retenues ».

    Au total, la population cible des patients atteints d’un cancer du poumon non progressif qui seraient susceptibles d’utiliser la solution de Sivan est estimée au maximum à 35 000 patients par an, indique la commission de la HAS.

    Modalités d’utilisation et de prescription

    Moovcare ne convient pas aux patients très symptomatiques au début de leur surveillance pour leur cancer du poumon. Une série de 5 questions doit être posée aux patients pour vérifier cette condition d’éligibilité, indique la Cnedimts.

    Prescripteur et modalités de prescription :

    • Le prescripteur est le médecin référent en charge du suivi du patient (oncologue,pneumologue ou chirurgien) ;
    • la prescription initiale est effectuée pour une durée de 6 mois après analyse de l’éligibilité du patient ;
    • le renouvellement est assuré par le médecin référent lors de la visite de suivi, après échange avec le patient, nouvelle analyse de l’éligibilité et analyse de son adhésion à cette modalité de suivi complémentaire.

    Aspects organisationnels :

    Chaque centre souhaitant proposer une télésurveillance par Moovcare Poumon en complément du suivi conventionnel doit mettre en place une organisation des soins pour garantir la bonne gestion des alertes de télésurveillance et la formation des utilisateurs, note la commission de la Haute autorité de santé.

    Coordination avec le médecin traitant :

    • La prescription de Moovcare Poumon doit être accompagnée d’un courrier adressé au médecin traitant du patient ;
    • les coordonnées du référent à contacter en cas de difficultés doivent être mises à disposition du patient et du médecin traitant.

    Conditions d’utilisation :

    • Moovcare Poumon n’est pas destiné à se substituer au suivi conventionnel, c’est un outil complémentaire.
    • Moovcare Poumon est une web-application ne nécessitant pas d’installation ni aucun paramétrage avant son utilisation :
      • il n’est pas nécessaire de télécharger d’application sur les plateformes de téléchargement ;
      • cependant, il est nécessaire de disposer d’une connexion internet et d’une messagerie électronique pour l’utiliser.
    • Les patients ne peuvent pas utiliser le dispositif Moovcare Poumon s’ils n’ont pas été inscrits préalablement par leur médecin référent.
    • Le médecin référent est le seul utilisateur qui peut prescrire Moovcare Poumon à un patient et réaliser entièrement le processus d’inscription en face à face avec le patient.(Cf.03.4.1 Acte associé).
    • Quand le médecin a fini de remplir le questionnaire d’inscription, le patient accède à une interface sur laquelle il va devoir donner son consentement au traitement de ses données,accepter les conditions générales d’utilisation et s’authentifier à l’aide d’un code unique reçu par SMS. La notice d’information complète est accessible par le biais de cette interface.

    Conditions de clôture d’un compte patient :

    Un compte patient peut être clôturé par le médecin référent à la demande du patient (si celui-ci souhaite retirer son consentement), en cas de décès du patient ou lorsque le médecin référent juge l’adhésion du patient insuffisante pour maintenir cette modalité de surveillance.

    Les données de santé liées à Moovacare Poumon sont stockées chez un HADS

    Hébergement des données de santé :

    L’ensemble des données de santé liées à la solution Moovcare Poumon est stocké chez un Hébergeur agréé de données de santé (HADS).

    Traitement des données à caractère personnel :

    Le demandeur déclare être en conformité avec les exigences du Règlement général sur la protection des données (RGPD).

    Maintenance de l’application :

    Moovcare Poumon étant une web-application, aucune action de mise à jour par les utilisateurs n’est nécessaire. Les mises à jour par le fabricant ne peuvent être que des révisions mineures.