DM

« La déclaration de Montréal pour un développement responsable de l’intelligence artificielle (IA) [adoptée en décembre 2018] peut servir de modèle de base [pour] le développement d’un droit international public relatif à l’IA ». C’est ce qu’affirme la juriste Catherine Régis (université de Montréal), titulaire de la Chaire de recherche du Canada sur la culture collaborative en droit et politiques de la santé, invitée le 6 décembre 2019 à l’occasion des « Entretiens » organisés par l’Institut droit et santé de l’université Paris Descartes. Co-directrice du hub santé – politiques, organisations et droit (H-POD), elle a donné une conférence sur le thème « perspective internationale sur la régulation de l’intelligence artificielle dans le domaine de la santé ».

La professeure de droit a détaillé la genèse de cette charte adoptée en décembre 2018 pour laquelle 500 experts ont été consultés, avec le souci de « trouver un équilibre entre le juridique et le sociotechnique » pour éviter le « gel paradigmatique ».

Interrogée sur le caractère non contraignant de la déclaration, Catherine Régis appelle de ses vœux une « cristallisation normative » qui aboutirait à une « juridicisation » du texte. Elle souligne que l’éthique permet de trouver un moyen entre la « logique ex post », dans laquelle le droit doit suivre la marche de la science – au risque que science et technique deviennent normatives, et qu’il devienne difficile pour le droit de la freiner – et la « logique ex ante », dans laquelle la communauté scientifique évalue ses options en fonction des paramètres juridiques, au risque de limiter l’innovation.

Déclaration de Montréal : 10 principes

La déclaration de Montréal sur les systèmes d’intelligence artificielle (SIA) repose sur 10 principes fondateurs :

Principe de bien-être

Le développement et l’utilisation des systèmes d’intelligence artificielle doivent permettre d’accroître le bien-être de tous les êtres sensibles.

Principe de respect d l’autonomie

Les SIA doivent être développés et utilisés dans le respect de l’autonomie des personnes et dans le but d’accroître le contrôle des individus sur leur vie et leur environnement.

Principe de protection de l’intimité et de la vie privée

La vie privée et l’intimité doivent être protégées de l’intrusion de SIA et de systèmes d’acquisition et d’archivage des données personnelles (SAAD).

Principe de solidarité

Le développement de SIA doit être compatible avec le maintien de liens de solidarité entre les personnes et les générations.

Principe de participation démocratique

Les SIA doivent satisfaire les critères d’intelligibilité, de justiciabilité et d’accessibilité, et doivent pouvoir être soumis à un examen, un débat et un contrôle démocratiques.

Principe d’équité

Le développement et l’utilisation des SIA doivent contribuer à la réalisation d’une société juste et équitable.

Principe d’inclusion de la diversité

Le développement et l’utilisation des SIA doivent être compatibles avec le maintien de la diversité sociale et culturelle et ne doivent pas restreindre l’éventail des choix de vie et des expériences personnelles.

Principe de prudence

Toutes les personnes impliquées dans le développement des SIA doivent faire preuve de prudence en anticipant autant que possible les conséquences néfastes de l’utilisation des SIA et en prenant des mesures appropriées pour les éviter.

Principe de responsabilité

Le développement et l’utilisation des SIA ne doivent pas contribuer à une déresponsabilisation des êtres humains quand une décision doit être prise.

Principe de développement soutenable

Le développement et l’utilisation des SIA doivent se réaliser de manière à assurer une soutenabilité écologique forte de la planète.

Pour que la télémédecine, la santé mobile (mHealth), l’intelligence artificielle (IA), etc. puissent continuer d’évoluer et d’être utilisées de façon optimale par les professionnels de santé et les patients, les acteurs s’accordent sur le fait que des progrès doivent être réalisés dans le domaine de l’interopérabilité, toutes ces nouvelles solutions devant se construire sur « une base sémantique solide, cohérente et commune » et être en mesure de partager des données « normalisées », disponibles « sous une forme structurée et non ambigüe », avance l’organisme de promotion de l’interopérabilité en santé Phast dans un communiqué daté de septembre 2019.

Selon Phast, la SNOMED CT (Systematized Nomenclature of Medicine Clinical Terms), vocabulaire de référence international permettant de représenter les faits cliniques par des codes dans les SI médicaux, est une des terminologies qui pourrait permettre d’atteindre un niveau d’interopérabilité satisfaisant des solutions informatiques de santé.

Des savoirs et des expériences développées autour de SNOMED CT ont été partagés à l’occasion d’une journée dédiée, organisée le 27 novembre à Paris par Phast, en partenariat avec Interop’Santé, l’association de promotion de la standardisation des échanges informatiques en santé.

L’événement a réuni divers membres de l’écosystème de la santé tels que des éditeurs de logiciels hospitaliers et des start-ups de la e-santé, des professionnels de santé (pharmaciens, médecins, biologistes), des référents informatiques médicaux et des institutionnels.

Health & Tech Intelligence, qui a assisté à cette journée, revient sur les interventions de plusieurs pharmaciens présents lors de l’évènement, professionnels selon lesquels l’utilisation de la terminologie SNOMED CT permettra d’atteindre une digitalisation intelligente de la pharmacie, en particulier hospitalière et officinale, et de la recherche biomédicale. Ils attendent en particulier que l’utilisation généralisée de SNOMED CT :
• permette de mieux intégrer la biologie médicale dans des parcours de soins coordonné ;
• fasse de l’officine non seulement un lieu de conseil centré sur un patient hautement connecté mais également un hub technologique ouvert à la recherche ;
• facilite l’accès à des informations sur les médicaments ainsi qu’à certaines molécules innovantes.

Mieux intégrer la biologie médicale dans le parcours de soins

À l’heure actuelle, les biologistes médicaux travaillent à l’aide de logiciels fondés sur le recours à des terminologies spécifiques à leur domaine. Leur niveau d’interopérabilité sémantique est donc assez faible : ils communiquent difficilement avec d’autres logiciels métier ou patient dans la mesure où ils ne peuvent comprendre ou émettre des données non codées selon ces terminologies spécifiques.

Pour rendre plus interopérables les SI utilisés par les biologistes médicaux, ceux-ci pourraient être entièrement repensés, rebâtis et fondés sur la nouvelle terminologie SNOMED TC. Une restructuration en profondeur des logiciels métier n’est cependant pas souhaitable : elle nécessiterait une implication importante des professionnels déjà habitués à utiliser leurs propres logiciels métier et engendrerait des coûts élevés.

La solution n’est donc pas de transformer radicalement ces outils déjà adoptés par les biologistes médicaux mais d’adjoindre à ces derniers des fonctionnalités de mapping, c’est-à-dire de traduction de concepts cliniques d’une nomenclature ou terminologie à l’autre.

Valérie Desbois-Pelissier, médecin biologiste et responsable de la production et de la qualité du référentiel CIOlab à Phast, a illustré comment ces nouvelles fonctionnalités pourraient permettre d’ouvrir numériquement la biologie médicale vers le reste de l’écosystème de la santé et en particulier vers le circuit du médicament.

Selon elle, la clé est de considérer la terminologie SNOMED CT comme une terminologie intermédiaire, située à l’interface de référentiels d’interopérabilité sémantique autres tels que ceux commercialisés par Phast qui sont :

• CIOlab, terminologie utilisée par divers logiciels métiers de biologie médicale ;
• CIOds, terminologie spécifique au circuit du médicament ;
• CIOdm, terminologie utilisée dans le secteur des dispositifs médicaux ;
• CIOct, référentiel de termes médicaux utilisé par les cliniciens.

En effet, si ces terminologies permettent de communiquer facilement au sein des spécialités, ils n’autorisent pas des échanges de données fluides entre ces spécialités. Adjoindre aux logiciels des fonctions de mapping – de traduction des concepts de ces terminologies vers SNOMED CT, et de SNOMED CT vers ces terminologies – permettrait aux données d’être lues plus facilement par tous les professionnels.

Valérie Desbois-Pelissier affirme que dans le domaine de la biologie médicale, ce système trouverait des applications tant lors de la phase pré-analytique (qui précède les analyses d’échantillons) que de la phase post-analytique (qui suit les analyses d’échantillons).

En phase pré-analytique, lors de l’admission des patients au laboratoire, le recours à la terminologie SNOMED CT pourrait par exemple rendre les informations renseignées par le patient plus interopérables. En particulier, la saisie des médicaments absorbés par le patient avant l’examen biologique (obligatoire car certains pourraient modifier le résultat de l’analyse), habituellement réalisée dans une terminologie telle que CIOdc, pourrait être traduite en SNOMED CT et ainsi devenir facilement lisible par les biologistes travaillant avec des logiciels fondés sur le recours à la terminologie CIOlab et permettant de s’assurer que les traitements du patient ne modifieront pas les résultats de l’examen.

Serge Payeur, co-fondateur de la start-up SIL-LAB Experts qui commercialise la solution de prélèvement connecté à domicile P-A-D, a montré comment cette solution se fonde sur un principe analogue pour faciliter l’échange des informations recueillies lors de l’interrogation du patient avant le prélèvement.

En phase post-analytique, il s’agit également de faciliter l’échange des données entre des logiciels fondés sur les référentiels CIOlab et CIOdc. Par exemple, les compte rendus d’examen biologique qui suggèrent des modifications de la prescription initiale du patient selon la terminologie CIOlab pourraient être traduits, par l’intermédiaire de SNOMED CT, vers la terminologie CIOdc, terminologie utilisée par les logiciels des cliniciens autorisés à modifier les prescriptions.

Soutenir la transformation de l’officine en hub technologique                    

Pierre Renaudin, pharmacien et co-fondateur de Bimedoc, a donné un exemple de la façon dont le recours à la terminologie SNOMED CT pourrait soutenir la transformation de l’officine en hub technologique lors de la présentation des solutions commercialisées par cette start-up.

Lieu d’expertise sur le médicament

Le recours à la terminologie SNOMED CT doit pouvoir soutenir le pharmacien d’officine dans son rôle d’expert de premier recours concernant les médicaments, et ce au bénéfice des patients : il s’agit de soutenir le pharmacien dans son activité d’analyse des prescriptions, de faciliter la conciliation pharmaceutique exercée en particulier lors des entretiens pharmaceutiques, de poursuivre les efforts déjà réalisés dans la lutte contre les accidents médicamenteux, qui occasionnent encore, selon Pierre Renaudin, « 30 000 décès par an ».

A cette fin, les start-ups telles que Bimedoc pourraient proposer un accès facilité à des informations issues de diverses bases de données concernant les médicaments : il s’agit de croiser des informations issues de ces différentes bases de données codées selon divers référentiels, de les traduire en SNOMED CT et d’en faire une synthèse.

Ces bases de données et sources d’informations à croiser concernent par exemple :

• les interactions médicamenteuses, avec les plantes médicinales et l’alimentation : référentiels des interactions médicamenteuses de l’ANSM ;
• les médicaments inappropriés : listes Stopp & Start, Laroche, Anticholinergic Drug Scale, déficit en G6PD, cascades médicamenteuses, etc. ;
• les problèmes de forme galénique : liste sur les médicaments per os concernant l’écrasement des comprimés et l’ouverture des gélules (HAS, Thériaque, OMéDIT Haute Normandie, SFPC, etc.).

Hub technologique ouvert à la recherche

La traduction des données de santé mobile en SNOMED CT pourrait contribuer à faire des pharmaciens d’officine des chercheurs actifs.

De nombreux patients utilisent actuellement des applications mobiles de santé. Les données de santé produites en conditions de vie réelle par ces applications pourraient être centralisées par les pharmaciens d’officine, anonymisées et analysées dans l’objectif :

• de réaliser une pharmacovigilance efficace ;
• ou de mettre en évidence des groupes risquant particulièrement de connaître des complications liées à des effets indésirables médicamenteux, des interactions entre spécialités pharmaceutiques ou une observance difficile de leur traitement, groupes qui pourraient alors potentiellement bénéficier d’entretiens pharmaceutiques.

Faciliter l’accès aux informations sur le médicament et aux molécules innovantes

Faciliter l’implémentation des bases de données de médicaments à l’échelle internationale

Selon Paul Bonnet, directeur général de Vidal Espagne, l’utilisation de SNOMED CT faciliterait la gestion multilingue des bases de données concernant le médicament et ainsi la diffusion d’informations fiables et uniformisées à l’échelle internationale. Ceci serait permis par le caractère multilingue de SNOMED CT.

Faciliter la prescription et le remboursement à des molécules innovantes

Émilie Nguyen, pharmacien et responsable de l’unité CIOdc à Phast a montré, en présentant l’exemple de la nouvelle base de données off-label (utilisation hors indication), comment l’utilisation de la terminologie SNOMED CT pourrait permettre de faciliter l’accès à des molécules innovantes.

La prescription et le remboursement des molécules innovantes particulièrement onéreuses sont actuellement fortement retardés et limités du fait de la complexité de la procédure de demande d’accès à ces médicaments. La prescription de ces médicaments doit en effet être justifiée par le clinicien par une bibliographie précise et détaillée auprès des autorités compétentes. Or la constitution de cette bibliographie peut être longue.

Off-label constitue un exemple de base de données permettant de centraliser des informations concernant les médicaments et des références bibliographiques fournies par un organisme spécialiste de l’aide à la décision clinique, Motive Medical Intelligence. La centralisation de ces données nécessite le recours à SNOMED CT, qui permet finalement de présenter, pour chaque molécule innovante ou médicament pouvant être prescrit hors AMM, sous la forme de fiches :

• le nom du médicament ;
• les principales indications AMM, hors AMM ou encadrées par une autorisation temporaire d’utilisation (ATU) ;
• des justifications bibliographiques pour chaque indication ;
• la codification SNOMED concernant au médicament et à chaque indication.

« Un service de reconnaissance vocale avec apprentissage automatique (machine learning) [qui vise à] améliorer l’efficacité de la prise de notes médicales. » C’est ainsi qu’Amazon décrit son nouveau produit, Transcribe Medical, dans un billet de blog daté du 3 décembre 2019. Présenté la veille lors de Re-Invent, l’événement cloud du groupe organisé cette semaine à Las Vegas, ce programme développé avec Cerner est complémentaire de l’outil d’extraction Amazon Comprehend Medical, lancé en 2018.

Le groupe indique avoir conçu cette solution en réponse à une forte demande : pouvoir automatiser la saisie de données dans les dossiers patients électroniques, imposée depuis l’entrée en vigueur en 2009 de la loi HITECH. Selon Amazon, les médecins peuvent passer « jusqu’à six heures par jour » à cette tâche, ce qui constitue « un facteur important d’épuisement professionnel (burn out) et de stress » et dégrade la qualité des soins.
 
Amazon Transcribe Medical se présente comme une API (interface de programmation d’application) en streaming intégrable à toute application vocale sur tout appareil doté d’un micro. Amazon souligne que son outil est doté de fonctionnalités de ponctuation automatique qui permettent aux médecins l’utilisant de parler naturellement. Le groupe ajoute qu’un important travail d’annotation a été effectué pour éviter les erreurs de transcription de termes et d’abréviations pointues, dans un domaine où elles peuvent avoir de graves conséquences.

Des chercheurs américains ont développé un système d’intelligence artificielle (IA) qui mesure le taux de calcium dans les artères coronaires chez des patients ayant subi un scanner thoracique pour dépister un cancer du poumon. L’outil, qui repose sur l’apprentissage profond, permet d’extraire automatiquement ces informations sans rallonger l’examen. Les résultats de cette étude* ont été présentés le 3 décembre 2019 au congrès annuel de la Société de radiologie de l’Amérique du Nord (RSNA).

Le calcium, ennemi des coronaires

Un dépôt dans les artères représente un risque pour la santé. Des plaques d’athérome se retrouvent alors dans les artères coronaires, qui peuvent aussi contenir des dépôts de calcium. Il est actuellement démontré que la présence de ces éléments est un facteur de risque de maladie cardiovasculaire. La mesure du score calcique, qui s’effectue grâce à un scanner, présente l’avantage de pouvoir identifier des patients à risque intermédiaire et donc de faire de la prévention. Une étude parue en 2019 souligne l’intérêt de mesurer le score calcique pour évaluer le risque d’insuffisance cardiaque.

Pourtant, en dépit de sa valeur pronostique, le calcium dans les artères coronaires n’est pas systématiquement mesuré lors du dépistage pulmonaire par tomodensitométrie à faible dose, car les mesures nécessitent un logiciel spécifique et un temps supplémentaire pour l’interprétation.

Mesurer automatiquement le score calcique grâce à l’IA

Des chercheurs américains ont donc mis au point et testé une technique qui utilise l’intelligence artificielle (IA) pour mesurer automatiquement le taux de calcium dans les artères coronaires sur les images de scanner thoracique.

Ils ont formé un système d’apprentissage profond (deep learning) sur les scanners cardiaques et thoraciques dans lesquels le calcium de l’artère coronaire avait été mesuré manuellement. Ils ont ensuite testé le système sur des scanners de milliers de gros fumeurs âgés de 55 à 74 ans, qui participaient à l’essai national sur le dépistage pulmonaire (NLST), une étude majeure qui a démontré la valeur du scanner pour le dépistage précoce du cancer du poumon.

Résultats : des scores calciques correspondant à ceux des lecteurs humains

• Les scores calciques des artères coronaires obtenus par apprentissage profond correspondaient étroitement à ceux des lecteurs humains.
• Plus le score calcique mesuré par IA était élevé, plus le risque de décès par maladie cardiovasculaire s’est révélé important durant le suivi de 6,5 ans.
• Le temps d’examen est resté identique à celui qui est nécessaire au dépistage du cancer du poumon.

Un outil préventif à développer sur tous les scanners thoraciques

« ce moyen automatisé d’extraction du score calcique peut aider les patients et les médecins à prendre des décisions en matière de traitement préventif », déclarent les auteurs de l’étude, intervenus le 3 décembre 2019 pendant le congrès annuel de la Société de radiologie de l’Amérique du Nord (RSNA).

Par exemple, la quantification du calcium coronaire pourrait être utilisée pour séparer les personnes en groupes à risque élevé et faible. « Les nouvelles recommandations en matière de cholestérol incitent à utiliser le score de calcium pour aider les médecins et les patients à décider de prendre ou non une statine », rappelle l’un des auteurs des travaux. Pour certains patients à risque intermédiaire de maladie cardiaque, si le score de calcium est égal à 0, la statine peut être différée. Si le score de calcium est élevé, ces patients doivent prendre une statine. »

La mesure automatique du score calcique pourrait également être effectuée chez les personnes souffrant de douleurs thoraciques stables et aiguës et qui passent un scanner. L’équipe de recherche a d’ailleurs déjà mené des d’essais cliniques dans de telles populations et les résultats étaient similaires. « Nous disposons d’un outil qui peut à l’avenir être utilisé dans presque chaque scan du thorax pour générer des informations très pertinentes sur le plan clinique pour un grand nombre de patients », concluent les auteurs de l’étude.

Des chercheurs finlandais ont mis au point un système basé sur l’intelligence artificielle (IA) capable de prédire la mortalité en temps réel de patients en soins intensifs après une lésion cérébrale traumatique. Dans le cadre de travaux menés sur le système, ces algorithmes simples sont parvenus à prédire la probabilité de décès du patient dans les 30 jours avec une précision de 80 à 84 %. Étant donné que les patients sont inconscients, cette information peut faciliter la prise de décision clinique. Les résultats de cette étude* ont été publiés le 27 novembre 2019 dans la revue Scientific Reports, du groupe Nature.

Le big data des patients inconscients

En Europe et aux États-Unis, plus de 1,6 million de personnes sont hospitalisées chaque année en raison d’une lésion cérébrale traumatique. Malgré des soins de qualité en unités de soins intensifs, environ 1 patient sur 3 meurt.

Les patients souffrant d’un traumatisme cérébral grave sont inconscients, ce qui rend difficile leur suivi. En réanimation, plusieurs dizaines de variables font l’objet d’une surveillance continue (par exemple la pression intracrânienne, la pression artérielle moyenne et la pression de perfusion cérébrale), des variables qui donnent indirectement des informations sur l’état du patient.

Cependant, une seule variable, telle que la pression intracrânienne, peut générer des centaines de milliers de points de données par jour. Ainsi, il est impossible pour le cerveau humain de les analyser au regard de de toutes les données surveillées. Les algorithmes basés sur l’apprentissage automatique (machine learning) peuvent capturer des corrélations de caractéristiques non linéaires difficiles à détecter à l’aide d’approches statistiques classiques. En outre, les modèles pronostiques actuels sont de nature statique et sont basés sur des variables simples qui sont évaluées lors de l’admission.

Un algorithme dynamique pour prédire la mortalité

C’est pourquoi des chercheurs de l’Hôpital universitaire d’Helsinki ont commencé à développer un algorithme basé sur l’intelligence artificielle (IA) qui pourrait aider les médecins à traiter les patients atteints d’une lésion cérébrale traumatique grave. Ils ont conçu un algorithme dynamique capable de capturer les changements de pronostic pendant les soins intensifs. Ainsi, les cliniciens pourraient adapter leurs décisions de traitement fondées sur ces données, et améliorer potentiellement la qualité des soins.

Les chercheurs ont donc développé 2 algorithmes entièrement automatisés pour prédire la mortalité à 30 jours :

• l’un assez simple reposant sur la pression intracrânienne, la pression moyenne exercée sur les vaisseaux sanguins et la force entraînant le flux d’oxygène dans le cerveau ;
• le deuxième plus complexe incluant des données sur le niveau de conscience du patient.

Les résultats de cette étude ont été publiés le 27 novembre 2019 dans la revue Scientific Reports.

Résultats : une précision « étonnamment bonne »

• Sur 472 patients, 92 (19 %) sont décédés dans les 30 jours.
• L’algorithme le plus simple prédit la mortalité à 30 jours avec une précision de 81 %.
• L’algorithme le plus élaboré atteint une précision de 84 %.

« La précision des deux algorithmes est étonnamment bonne, étant donné que le modèle le plus simple ne repose que sur trois variables principales et le plus complexe sur cinq variables « , déclare l’un des auteurs et codeurs principaux des algorithmes.

De plus, les algorithmes fonctionnent même dans des conditions où la surveillance est perturbée par intermittence, comme cela arrive souvent dans les unités de soins intensifs. Il s’agit donc d’une preuve de concept (PoC). De nouveaux algorithmes sur des données volumineuses devraient permettre de prédire l’évolution de la lésion cérébrale traumatique. « De tels algorithmes ont le potentiel d’aider les cliniciens à prendre des décisions thérapeutiques plus rapides, fondées sur des données et normalisées », estiment les chercheurs.

Cependant, ils doivent maintenant valider les algorithmes en utilisant des jeux de données externes nationaux et internationaux.

478. C’est le nombre d’incidents déclaré à l’ACSS (Accompagnement cybersécurité des structures de santé) depuis la mise en place du signalement obligatoire des incidents de cybersécurité dans le domaine de la santé en octobre 2017 (chiffres de mai 2019). Depuis, d’autres piratages ont été recensées, dont celle du CHU de Rouen le 15 novembre 2019 (demande de rançon).

Les cyberattaques sont une réalité en santé. Les hôpitaux sont des proies bien identifiées, en France comme au niveau international, et sont encore mal protégés par rapport aux risques (perte d’intégrité des données, fuite d’informations, gel du système d’information avec obligation pour l’établissement de fonctionner en mode dégradé). Face aux enjeux de plus en plus importants que soulève l’utilisation des données de santé, un accompagnement des professionnels dans la mise en pratique de la cybersécurité semble nécessaire. C’est dans ce contexte qu’Agnès Buzyn lance ce 28 novembre 2019 une campagne nationale de cybersécurité des structures de santé, en ouverture de l’étape « Île-de-France » du Tour de France de la e-santé (Asip).

Health & Tech Intelligence fait le point sur le sujet :
• les cyberattaques en santé sont une réalité : en dehors du CHU de Rouen, d’autres établissements ont été touchés en 2019, dont 120 structures de soins du groupe Ramsay en août ainsi que les hôpitaux de Montpellier, de Saint-Denis et Condrieu, sans risque pour les patients ;
• les attaques sont en général d’origine malveillante, souvent portées par l’appât du gain : elles prennent différentes formes et sont de complexités variées ;
• les établissements de santé sont souvent encore mal protégés et les professionnels peu ou pas sensibilisés : lors de la réalisation d’audits sécurité, l’Anssi a retrouvé des « traces » d’attaque dans tous les établissements ; paradoxalement, les établissements sont relativement mal protégés puisqu’ils consacrent actuellement 6 % de leur budget informatique à la sécurité, contre 16 % dans l’industrie (étude Symantec) ;
• des solutions sont en cours de mise en place et la sensibilisation au problème se développe :  parmi elles figurent la création de l’ACSS en 2017, le projet de recommandations de l’ANSM concernant les dispositifs médicaux (à diposition des industriels en décembre 2019) et la campagne qui vient d’être lancée par le ministère pour sensibiliser et informer les acteurs sur les risques numériques en santé.

Cyberattaques en santé : 27 incidents par mois en moyenne en France

Les chiffres sont probants. De manière générale, tous secteurs confondus, l’Agence nationale de sécurité des systèmes d’information (Anssi) a relevé 1869 signalements en 2018 (rapport annuel).

Les hôpitaux sont une cible de choix. L’attaque du CHU de Rouen avec demande rançon le 15 novembre 2019, avec l’obligation pour l’établissement de rediriger une partie de ses patients et de fonctionner en mode dégradé pendant plusieurs jours en est la preuve. D’autres établissements ont été touchés au cours de l’année, dont 120 structures de soins du groupe Ramsay en août ainsi les hôpitaux de Montpellier, de Saint-Denis et de Condrieu, sans risque pour les patients.

Le signalement des incidents de cybersécurité est obligatoire en France depuis octobre 2017, avec la mise en place de l’ACSS (Accompagnement cybersécurité des structures de santé).

Les chiffres publiés par l’ACSS (mai 2019) font état de 478 incidents déclarés depuis la mise en place de la déclaration, soit environ 27 incidents par mois en moyenne.

En particulier :

• 7 incidents significatifs ayant fait l’objet d’un suivi particulier ;
• 5 incidents ont été pris en charge par l’Anssi ;
• 17 ont été signalés à l’ANSM ;
• 6 incidents ont eu un impact sanitaire.

Origine des signalements :

• 88 % : établissements de santé ;
• 4 % : laboratoires de biologie ;
• 2 % : centres de radiothérapie ;
• 6 % : autres.

A noter par ailleurs que 45 % des incidents de cybersécurité sont d’origine malveillante.

Gravité des attaques :

• 46 % des attaques ont conduit les établissements à mettre en place un mode dégradé de prise en charge des patients ;
• Sur les 12 % d’incidents présentant une mise en danger patient potentielle, 5 incidents ont entraîné une mise en danger avérée.

Les cyberattaques sont en général d’origine malveillante, souvent portées par l’appât du gain.

Elles peuvent prendre différentes formes, de complexités variées, impliquant des hackeurs plus ou moins chevronnés.

Les différents types d’attaque des plus au moins complexes :

• attaques avancées (APT : Advanced persistent threats) ;
• destruction/ neutralisation ;
• exfiltration/ divulgation ;
• rançonlogiciels ;
• attaques astucieuses ;
• dénis de services ;
• défiguration.

Les impacts potentiels s’expriment de différentes façons au sein de la structure, atteignant l’intégrité des données, leur disponibilité ou celle des systèmes d’information ainsi que le respect de la confidentialité, avec :

• perte d’intégrité des informations ;
• indisponibilité des systèmes d’information ;
• divulgation massive de données : les dossiers patients en masse représentent un marché intéressant, la valeur d’un dossier pouvant atteindre plusieurs centaines d’euros. 

Des établissements souvent mal protégés, des professionnels peu sensibilisés

Les établissements de santé sont des proies faciles pour les hackeurs. Lors de la réalisation d’audits de sécurité, l’Anssis retrouve des « traces » d’attaque dans tous les établissements.

Paradoxalement, les établissements sont relativement mal protégés. Ils consacrent actuellement 6 % de leur budget informatique à la sécurité, contre 16 % dans l’industrie (étude Symantec de 2016). Ces établissements présentent des failles nombreuses, comme en particulier le manque de sensibilisation des professionnels (80 % des attaques sont liés à une faille humaine) et les dispositifs médicaux connectés, de plus en plus présents dans les établissements.

80 % des professionnels de santé ne sécurisent pas leurs appareils

Concernant les professionnels de santé, une étude de Kaspersky démontre le manque de formation des professionnels dans le domaine de la cybersécurité : 70 % des professionnels de santé déclarent se sentir concernés par les questions de cybersécurité et de protection de la vie privée mais 80 % ne sécurisent pas les appareils qu’ils utilisent dans le cadre professionnel.

En particulier :

• seuls 20 % bénéficient d’une solution de sécurité sur tous les appareils qu’ils utilisent dans le cadre professionnel et 8 % sur une partie de ces appareils ;
• 42 % utilisent leur smartphone personnel pour manipuler des données de santé ;
• les professionnels de santé privilégient les emails (33 %) et les SMS (27 %) au détriment des outils professionnels ;
• ils sont 32 % à estimer manquer de connaissances et de formation sur le sujet.

Des solutions en déploiement, une sensibilisation de plus en plus présente :

Les solutions pour faire face aux menaces de cybersécurité sont à la fois humaines et techniques, avec un besoin d’implication forte au niveau de la direction.

Un cadre général se met en place pour adresser la thématique et accompagner les établissements.

• Création de l’ACSS (2017), dispositif de prévention, de traitement des signalements des incidents de sécurité et de veille sectorielle au sein des acteurs de santé. Ses 3 grandes missions sont :
  • le traitement des signalements d’incidents de sécurité SI ;
  • la veille sur l’actualité de la sécurité des SI et sur les menaces propres au secteur de la santé
  • l’animation de la communauté cyberveille-sante.gouv.fr.
• Concernant les dispositifs médicaux (DM), L’ANSM a rédigé un projet de recommandations à destination des fabricants de DM intégrant un logiciel. L’objectif de ce document est que la cybersécurité soit prise en compte lors du développement des produits pour réduire au maximum le risque d’attaque informatique. Les recommandations seront mises à la disposition des industriels en décembre 2019.
• Pour les établissements, la DGOS a publié à destination des directions Le mémento de cybersécurité, connaître vos risques pour mieux y faire face.
• Les actions menées par les plans Hôpital numérique et Hop’en ont conduit, à travers les prérequis, à une montée en puissance des actions de sécurité au sein des établissements :
  • 92 % des établissements avaient en 2018 une politique de sécurité des SI (Clusif) ;
  • les fonctionnalités évoluent, par exemple :
    • 75 % des établissements ont un filtrage internet (14 % en 2004) ;
    • 31 % ont des pare-feux (11 % en 2004) ;
• Novembre 2019 : lancement de la campagne nationale de cybersécurité des structures de santé par la ministre des Solidarités et de la Santé.

Reste au centre de la problématique le défi de la formation des professionnels, qui d’eux-mêmes se déclarent peu compétents en la matière.

Un acteur comme L’Association pour la sécurité des systèmes d’information de santé (APSSIS) peut aider à cette montée en compétences, à travers ses actions de formation, d’animation et de production de contenus.