En 2021, plus de 68 variantes de ransomware différentes ont été identifiées. À travers le monde, environ 37 % des organisations de santé mondiales sont victimes d'attaques par ransomware. (source Reportsanddata). Des chiffres plus qu’alarmants mais dont l’analyse peut sembler presque minime au vu de l’alerte qui vient d’être émise par les agences fédérales des Etats-Unis et relayée par le Cert-Santé France. 

En effet un groupe de cybercriminels nommé Daixin a attaqué de nombreuses organisations du secteur de la santé et ce depuis juin 2022. Cette annonce doit aujourd’hui interpeller les acteurs du monde de la santé sur ce ciblage spécifique et cette intention délibérée de mettre à mal les systèmes de santé. 

« Les attaques ont entrainé un vol de données médicales sensibles et le chiffrement de serveurs dédiés à la gestion de dossiers électroniques de santé, aux services de diagnostic et d'imagerie médicale, ou encore à des réseaux intranet hospitaliers. »

Le mode opératoire du groupe DAIXIN

Selon les premiers éléments, l’accès initial aux réseaux ciblés est obtenu au moyen de serveurs de réseau privé virtuel (VPN), tirant souvent parti des failles de sécurité non corrigées et des informations d’identification compromises obtenues via des e-mails de phishing (hameçonnage)

Les pirates progressent sur le réseau en se déplaçant latéralement en utilisant le protocole RDP (Remote Desktop Protocol) et le protocole Shell sécurisé (Secure Socket Shell) afin d’obtenir un accès privilégié aux serveurs ESXI via la récupération d’informations d’identification et la manipulation de comptes privilégiés

Selon le gouvernement américain : « Après avoir obtenu l’accès à ces serveurs, le groupe Daixin exfiltre plusieurs giga-octets de données sensibles avant de déployer le rançongiciel sur les serveurs VMWare ESXI des réseaux visés. De plus, le ransomware du groupe DAIXIN est basé sur une autre souche appelée Babuk qui a été divulguée en septembre 2021 et a été utilisée comme base pour un certain nombre de familles de logiciels malveillants de cryptage de fichiers telles que Rook, Night Sky, Pandora et Cheerscrypt. » 

Retrouvez l’article original sur le site CERT Santé ainsi que la fiche réflexe (disponible en référence) de gestion préventive du risque représenté par les rançongiciels à destination des organisations de santé.

Précisons à ce titre qu’il n’existe pas de délais précis correspondant à la mise en bière immédiate. Sur ce point, dans son avis du 25 mars, le Haut conseil de la Santé publique indiquait que la notion de mise en bière immédiate signifie que celle-ci est réalisée dans les 24 heures au maximum après le décès. 

Ce même délai de 24 heures est repris dans la fiche d’informations sur la conduite à tenir relative à la prise en charge du corps des défunts atteints ou probablement atteints de la COVID 19 au moment de leur décès, diffusée par le Ministère de la Santé le 17 novembre à destination des directeurs d’établissements accueillant des personnes âgées et/ou handicapées.

Notons que la mise en bière doit dans tous les cas intervenir avant la sortie de l’établissement lorsque le décès a eu lieu en établissement de santé ou en ESMS (art. 2 de l’arrêté du 12 juillet 2017 fixant les listes des infections transmissibles prescrivant ou portant interdiction de certaines opérations funéraires mentionnées à l'article R. 2213-2-1 du code général des collectivités territoriales, FAQ Funéraire Covid du Ministère de la Santé, dernière mise à jour au 30/04/20).

La FAQ publiée le 30 avril par le Ministère de la Santé déduisait de ces éléments que 

« Dans le respect le plus strict des mesures de protection et selon des modalités laissées à l’appréciation du directeur d’établissement, un délai de quelques heures peut être accordé pour que les familles ou proches puissent venir voir le corps du défunt une dernière fois avant qu’il ne soit mis en bière et le départ du cercueil de l’établissement. »

Il convient dans cette hypothèse, d’accorder une attention particulière au respect des mesures barrières afin d’éviter la contamination des proches du défunt et des professionnels de santé en charge de la présentation du corps.

Ainsi, les proches peuvent voir leur défunt, avant ou après la mise en housse mais de préférence après la toilette mortuaire. Le défunt doit être recouvert d’un drap dissimulant, le cas échéant, la housse mortuaire autant que possible. Les gestes barrières doivent être impérativement respectés (masques, gels hydro-alcoolique) ; la famille ne doit pas toucher le corps et rester à distance d’au moins un mètre.

En savoir plus sur les recommandations en cas de reprise du Covid-19

Si les mesures à prendre dans un établissement de santé vous intéressent ou vous concernent, les articles suivants abordent la gestion et la prévention des risques dans un établissement de santé durant la crise sanitaire du Covid-19 :

• Prise en charge hors Covid-19, conduite à tenir,
• Qui peut rédiger le certificat de décès,
• Comment procéder pour la prise en charge d'un patient décédé du Covid-19,
• Hydroxychloroquine et association lopinavir / ritonavir : dans quelles conditions les utiliser,
• Comment déclarer vos salariés en cas de chômage partiel,
• Client Santé, quel est l'impact du Covid-19 sur les remboursements de vos salariés ?

N'hésitez pas à consulter le résumé des experts Relyens sur les recommandations ministérielles en cas de reprise épidémique de Covid-19 !

La communication est vraiment primordiale pour que les équipes de soins acceptent les contraintes liées à la maintenance et aux vérifications réglementaires des équipements et infrastructures dans la vie du service. 
Pour améliorer cette interaction, il existe des logiciels de GMAO (Gestion de Maintenance Assistée par Ordinateur). L’aspect chronophage lors de leur installation qui freinait les responsables techniques et biomédicaux a énormément diminué du fait de bases de données simples à compléter. Ces outils facilitent les échanges interservices entre les techniciens et les soignants et permettent de mieux gérer les urgences de dépannage. Par conséquent, leur mise en place devrait être systématique dans les établissements de santé. La charge mentale des équipes soignantes est déjà fortement sollicitée, autant faire en sorte qu’une bonne politique de gestion de la maintenance soit effective. 
 

Convenons-en, la combinaison de plusieurs facteurs est nécessaire pour aboutir à de tels désastres, mais il y en a deux, indissociables : 

Nous avons coutume de dire que la richesse d’une organisation est L’HUMAIN. Selon cette affirmation, miser sur l’Humain est donc une évidence !

Les facteurs humain et organisationnels

Nous avons coutume de dire que la richesse d’une organisation est L’HUMAIN. Selon cette affirmation, miser sur l’Humain est donc une évidence !

• Notre Dame de Paris : édifice doté d’un dispositif d’alarme de sécurité incendie à détection automatique couvrant 100% de l’édifice et centralisant ses alarmes dans un poste de sécurité incendie avec présence humaine H24, 7 jours/7. Bilan : Matériel, de grande ampleur. Sans faire l’autopsie du sinistre, les investigations démontrent, entre autre, des failles dans l’organisation de la sécurité incendie :
  • Un nouvel agent de la société privée prend ses fonctions quelques jours à peine avant que l’incendie ne se déclare. Lorsque l’alarme se déclenche le lundi 15 avril 2019 à 18h16, sa mauvaise interprétation du signal au moment du déclenchement de l’alerte implique que les pompiers seront appelés plus d’une demi-heure après le déclenchement de la première alarme, le feu s’étant déjà largement propagé…
     
• Crash du Boeing 737 MAX d’Ethiopian Airlines : le 10 mars 2019, six minutes après son décollage d'Addis Abeba, le vol ET302 à destination de Nairobi s’écrase dans un champ au sud-est de la capitale éthiopienne. Bilan : 157 passagers et membres d'équipage périssent. Cet accident est survenu moins de cinq mois après celui d'un 737 MAX de la compagnie indonésienne Lion Air qui a fait 189 morts en s'écrasant quelques minutes après son décollage de Jakarta.
  • Les enquêtes révèlent, entre autres, que les pilotes ignoraient l’existence du système dans la plupart des cas.
  • « Les pilotes du Boeing 737 Max de Lion Air, qui s’est abîmé en mer de Java le 29 octobre 2018 avec 189 personnes à bord, ont tenté d’éviter le crash en appuyant à plusieurs reprises sur le bon interrupteur, qui permet de désactiver temporairement le logiciel fautif. Mais ils ignoraient les trois autres étapes de la procédure complète ».
  • « Voici quelques jours, lors de simulations de vol recréant les problèmes du Boeing 737 Max de Lion Air, les pilotes ont découvert qu’ils avaient à peine 40 secondes pour contourner le système automatisé embarqué et éviter un désastre ».
  • « Lors des simulations, les pilotes qui ont suivi les quatre étapes de la procédure complète ont pu arrêter le système, puis atterrir en toute sécurité. Mais ils l’ont fait avec une bien meilleure compréhension de son fonctionnement et une connaissance préalable de son déclenchement - avantages que les pilotes des accidents mortels du 737 Max n’avaient pas ».

Etant entendu que le risque zéro est illusoire, la formation adaptée et répétée des personnels et les exercices de mises en situation jouent un rôle préventif et accroissent considérablement la résilience de l’organisation en cas de crise (incendie, attentat, dégâts des eaux, gestion de l’image en de telles circonstances…). 

Se former c’est acquérir les bons réflexes permettant un gain de temps précieux et la prise des bonnes décisions pour sauver des vies et limiter les dommages aux biens. 

Les observations du BARPI démontrent également que chaque crise doit conduire à un Retour d’Expérience (retex) systématique, impliquant les équipes à tous les niveaux (opérationnels, ligne managériale, Direction). Formations, Retex…autant de piliers consolidant votre démarche de prévention des risques quels qu’ils soient. 

Alors oui, l’Humain est la richesse de l’organisation, mais un Humain formé et entraîné !

Face à l’essor des cyberattaques à l’encontre des établissements de santé et médico-sociaux, nos experts en prévention du risque cyber ont réalisé une affiche sur les "ACTIONS À PRENDRE SUITE À INCIDENT INFORMATIQUE D’ORIGINE INTENTIONNELLE".

RSSI et DSI, téléchargez-la vite !

Un médecin sur deux en France souffre d'au moins un symptôme de burn-out* :

• Un manque d’énergie ou un sentiment d’épuisement
• Un retrait vis-à-vis du travail ou des émotions négatives liées au travail
• Une perte d’efficacité professionnelle

Ces situations viennent impacter votre santé psychologique et physique et à terme votre activité au quotidien.

Comment prévenir l'épuisement professionnel ?

La principale cause de burn-out est le stress chronique, en effet lorsqu'il est important et répété, le corps se fatigue ce qui vient ensuite impacter le moral.

Se protéger du syndrome d’épuisement professionnel implique donc une meilleure gestion du stress et une réorganisation de la charge de travail, lorsqu'elle est possible.

Nos solutions dédiées aux professionnels de santé

Sham vous aide à gérer ces situations et états de stress, de crise, de surmenage... avec des solutions adaptées à votre activité.

Nous vous proposons des formations, d'une durée totale de 5 heures environ, qui s'adaptent à vos contraintes. Vous pouvez vous former à tout moment et progressivement selon le temps dont vous disposez. 

Cultivez votre résilience

Pour développer votre capacité à mieux vivre les changements et les défis de la vie. Un programme qui allie réflexion et mise en application, à travers du contenu inspirant (vidéos), des exercices (test, quizz, exercices projectifs) et des outils opérationnels. Un mode d’apprentissage innovant mixant programme digital et suivi à distance personnalisé.
Consultez la fiche détaillée

Gérez votre stress

Caractérisez votre profil face au stress, comprenez son mécanisme pour sortir plus rapidement d'une situation de stress et éliminer vos principales sources de stress. Un mode d’apprentissage innovant mixant expérience digitale et suivi à distance personnalisé.
Consultez la fiche détaillée

* selon les résultats d'une étude publiée dans Journal of affective disorders

Pour toute question, n'hésitez pas à contacter votre référente :

Sandrine FROBERT
04 72 75 50 15 
sandrine.frobert@relyens.eu

Quels sont les facteurs de risque ?

L’épidémie de COVID-19 continue et les problématiques posées par le recours massif aux respirateurs en anesthésie-réanimation ont marqué les esprits au printemps.

Nous souhaitons rappeler à vos mémoires la série de quatre cas d’accidents graves par mauvaise utilisation de respirateurs, publiée en 2019 dans Anaesthesia Critical Care & Pain Medicine puis dans Anesthésie Réanimation.

Les situations décrites sont issues de la base des sinistres déclarés à Sham, principal assureur en responsabilité civile médicale en France. Les accidents ont entrainé une anoxie cérébrale ou le décès immédiat du patient. Les procédures en responsabilité ont donné lieu à une reconnaissance de faute avec indemnisation.

Dans chaque situation, toutes différentes par leur contexte comme par les équipes concernées et techniques employées, l’accident est survenu du fait de dysfonctionnements multiples à la suite d’une erreur humaine.

L’erreur initiale était exceptionnelle :

• Défaut de branchement ou absence d’allumage du respirateur
• Erreur de montage du circuit d’anesthésie
• Respirateur de réanimation fonctionnant en autotest

Cependant, la complication n’a pas été évitée car les procédures de contrôle du fonctionnement du respirateur et/ou d’efficacité de la ventilation du patient n’ont pas été réalisées.

Pour citer les auteurs :

Nous vous invitons à (re)découvrir ces articles dans leur intégralité via les liens suivants :

• Consultez l'article complet en français
• Consultez l'article complet en anglais

N'hésitez pas à consulter l'article des experts Sham sur la communication dans les établissements de santé au temps du Covid-19 ! 

Les dispositions relatives aux conditions techniques de fonctionnement de l’activité d’anesthésie (1) n’imposent pas de présence « constante » du médecin anesthésiste réanimateur (MAR) auprès du patient durant toute l’anesthésie, mais exigent des établissements de santé, la mise en place d’une « organisation permettant de faire face à tout moment à une complication liée à l’intervention ou à l’anesthésie effectuée » (2).

Les dispositions régissant les compétences des IADE (3) imposent quant à elle la présence d’un MAR pouvant « intervenir à tout moment ». Dès lors, la prise en charge de plusieurs anesthésies simultanées par un seul MAR n’est pas, en elle-même, contraire à la réglementation à condition qu’elle permette d’assurer un niveau de sécurité suffisant pour les patients en cas d’incident anesthésique (MAR « à portée de voix »).

A ce titre, et sous réserve de l’appréciation des juges, un MAR pour deux salles, associé à la présence constante d’un IADE auprès du patient semble admis comme étant un niveau de sécurité suffisant, étant précisé qu’il convient éventuellement de renforcer la présence médicale en cas d’intervention particulièrement risquée.
Au-delà de ce ratio, la sécurité des patients pourrait être compromise. En effet, plus le nombre de salles surveillées par un même MAR est élevé, plus les capacités de d’intervention en temps utile de l’anesthésiste auprès du ou des patients en souffrance sont réduites.

En conséquence, il appartient aux anesthésistes et à l’établissement concerné de déterminer une organisation permettant d’assurer un tel niveau de sécurité pour les patients anesthésiés.
Le tableau fixant la programmation des interventions est établi conjointement par les médecins réalisant ces interventions, les médecins anesthésistes-réanimateurs concernés et le responsable de l'organisation du secteur opératoire, en tenant compte notamment des impératifs d'hygiène, de sécurité et d'organisation du fonctionnement du secteur opératoire ainsi que des possibilités d'accueil en surveillance post-interventionnelle.

Pour résumer, au-delà du respect des réglementations et recommandations, il est indispensable de pouvoir exposer, si besoin, une véritable démarche d’amélioration continue de la sécurité anesthésique.

(1) articles D. 6124-91 à D. 6124-103 Code de la Santé Publique
(2) article D.6124-91 CSP
(3) article R. 4311-12 CSP

Les Médecins Conseils Sham ont traité récemment plusieurs dossiers de demande d’indemnisation pour séquelles neurologiques graves attribuées à un retard de diagnostic d’une hypoglycémie néonatale. Les thématiques de diagnostics prénatals et d'échographes sont étroitement liées.

L’hypoglycémie néonatale est une situation fréquente et banale au cours des 48 premières heures de vie.

Pour l’éviter, les recommandations préconisent :

• Un premier repas dans les 60 minutes après la naissance,
• Puis une prise alimentaire toutes les 3 heures.

Les signes d’une hypoglycémie sont aspécifiques, tout symptôme compatible doit la faire rechercher. (Référence ci-dessous)

L’hypoglycémie est plus fréquente dans les situations suivantes (liste non exhaustive) :

• prématurité, macrosomie,
• asphyxie périnatale,
• RCIU,
• nouveau-né de mère diabétique,
• sous beta bloquant ou avec antécédents familiaux d’hypoglycémie,
• pathologies néonatales (infection, détresse respiratoire, etc…),
• anomalie endocrinienne, métabolique, hypothermie,
• chez le nouveau-né présentant des difficultés d’alimentation ou une symptomatologie aspécifique.

Les recommandations préconisent un contrôle glycémique systématique et renouvelé.

Les experts judiciaires ou CCI qui sont intervenus dans nos dossiers ont relevé les éléments suivants (plusieurs dossiers cumulés) :

• Absence de mise en place par l’équipe médicale de protocole systématique précoce de dépistage et surveillance rapprochée chez des nouveau-nés à risque
• Retard de l’alerte par défaut de sensibilisation de l’équipe soignante
• Retard de mise en route d’un traitement
• Absence ou retard de transfert de l’enfant en néonatalogie pour mise en place d’abords veineux centraux (cathéters ombilicaux) pour permettre le passage rapide de solutés adaptés à la gravité de la situation.

Si la prévention des risques obstétricaux vous intéressent, les experts Sham ont également abordé les thématiques suivantes :

• le concept controversé et considéré à risque de la pratique de la mise "peau à peau",
• la nécessite d'une rédaction rigoureuse du compte-rendu de l'échographie obstétricale,
• la question peu connue de la conservation du placenta après l'accouchement par la parturiente,
• l'amélioration de la surveillance foetale grâce à l'analyse du segment ST de l'ECG foetal grâce au STAN,
• la prévention des risques avec le calcul du risque de trisomie 21.

Merci de votre intérêt pour le travail des experts Sham ! Si vous désirez en apprendre plus à propos de la gestion des risques obstétricaux, n'hésitez pas à consulter notre Cartographie des risques en obstétrique !