Cyber attaque du CHSF - Conséquences et mesures mises en place

Le CHSF (Centre hospitalier sud francilien) est un établissement public de 1000 lits situé dans l’Essonne avec un bassin de population de 600 000 habitants.

Il est centre recours du GHT, centre AVC, centre recours de radiologie interventionnelle, centre de prélèvement, possède une maternité niveau 3 et assure 3 services d’urgences (gynécologiques, pédiatriques et adultes).

Il fait partie des établissements de santé victimes d’une cyber-attaque avec demande de rançon.

cyber

Nuit du samedi au dimanche 21/08/2022 :

            1h : Appel de l’astreinte informatique : plus aucun accès au système d’information,

            2h : Agents informatique sur site.

            5h : Diagnostique cyber attaque (chiffrage des serveurs/ demande de rançon).

Mesures immédiates:

  • Déconnexion physique des baies de stockage/serveurs pour limiter la propagation des virus.
  • Désactivation de tous les accès extérieurs
  • Serveurs isolés non éteints afin de permettre la recherche des éléments de compromission (IOC),

= Mise hors service des logiciels métiers, de tous les accès extérieurs, des systèmes de stockage/archivage, du système d’information des admissions de la patientèle

= SIDERATION de l’hôpital, passage en mode dégradé

MESURES INSTITUTIONNELLES :

Déclenchement du plan blanc, arrêt des admissions des patients via la régulation du SAMU, accueil des présentations spontanées aux urgences pour évaluation et orientation.

Aide de l’ANSSI avec renforts en cyber sécurité et gestion de crise CERT (Computer Emergency Response Team), mise en place immédiate des cellules de crise.

1ere étape : Identifier la source de l’attaque, son périmètre, sécuriser les sauvegardes.

2ème étape : Prioriser les reconstructions des applications les plus critiques selon le retour de la cellule de crise (notamment Laboratoire, Pharmacie, Imagerie).

 

 

EN PRATIQUE, DANS LE SERVICE D’IMAGERIE :

  • Aucun accueil administratif des patients : dysfonctionnements liés aux problèmes d’identitovigilance
  • Aucun accès au dossier patient ni données biologiques.
  • Plus de logiciel métier : aucune vision sur les patients programmés, aucune antériorité, comptes rendus uniquement manuscrits
  • Plus d’accès au PACS, pas de sauvegarde des images/de post traitement/d’imagerie antérieure.
    • Scanner : interprétation sur console d’acquisition.
    • IRM :  console avec post traitements dédiés branchée en direct sur l’IRM
    • Radios : visualisation uniquement sur le pupitre d’acquisition
    • Echo : Interprétation en temps réel (pas d’impression).
    • Aucune transmission d’images ou de résultats aux cliniciens.
  • Aucune communication (mail, Fax …) : groupes WhatsApp, tableau d’affichage, réunions internes, prêt d’un unique ordinateur portable avec clé 4G

 

Phase 1 : Mesures immédiates en imagerie

 

  • Restriction majeure de l’activité à la continuité des soins intra-établissement
  • Activation des filières de proximité pour prise en charge des patients externes. Forte solidarité des services d’imagerie des cliniques/hôpitaux locaux/APHP.
  • Radiologue à l’accueil pour priorisation/réorientation des patients externes.
  • Aide des constructeurs pour prêt/achat de consoles dédiées pour chaque scanner avec tous les post traitements habituellement disponibles en distanciel.
  • Circuit pour les demandes d’examen, les CR (récupération de dictaphones, cassettes) et leur diffusion (coursiers)
  • Sauvegardes pour tous les examens (CD/DVD, exemplaires pour le service et le dossier archivage transitoire pour une réintégration ultérieure), cahiers de traçabilité.
  • Agendas papiers : rdv patients hospitalisés
  • Attention majeure sur les problèmes d’identitovigilance. (Plus d’accueil administratif, plus d’historique ni DPI, risque d’erreur).

=> Prise en charge d’un patient très CHRONOPHAGE

Modification continue des circuits et procédures en fonction des évolutions informatiques

 

 

Phase 2 : Restauration avec reprise progressive d’activité (en cours)

Mise en place d’un PACS local intra radio (récupération de consoles de visualisation) puis avec diffusion vers les services. Aucune récupération des dossiers antérieurs.

Récupération du logiciel métier Xplore : reprise de RDV pour tous les patients

Post traitements disponibles uniquement sur les consoles dédiées (indisponibilité pour les interprétations une fois la vacation finie).

Mise en place d’un EDR sur tous les postes/logiciels de l’établissement source de lenteur, instabilité des logiciels restaurés.

  • Récupération très progressive des fonctionnalités avec diminution de l’efficience, épuisement des équipes avec reprise non proportionnelle de l’activité.

 

 

Phase 3 (à venir)

Démarrage de la phase de reconstruction globale du SI, amorcée, avec nouvelles règles de sécurité et intégrant les évolutions priorisées.

Réintégration des examens faits en mode dégradé (plusieurs mois)

Récupération prévisionnelle des données complètes du PACS (sur 2023), sauvegarde du PACS

Remise en place des télémaintenances pour les prestataires après réflexion préalable sur leur sécurisation

 

 

Prévoir un an minimum pour atteindre une organisation sécurisée et fonctionnelle

     

Frédérique Amrar-Vennier : chef du Service d’imagerie médicale

SFR Actu