L’horodatage des données n’est pas la première chose qui nous vient à l’esprit lorsque l’on évoque le domaine hospitalier. On ne pense pas spontanément qu’un hôpital est un gigantesque système d’information : du dossier patient informatisé à l’IRM, en passant par tous les équipements en chambre de soins, un hôpital est composé de centaines d’équipements qui produisent et échangent des données horodatées en continu.
Une heure fiable et sécurisée va permettre de garantir la valeur du dossier patient, la cohérence de l’imagerie, la sécurité informatique de l’établissement et sa conformité réglementaire.
Le dossier patient est un document opposable
A l’hôpital tout est important, voire vital. L’heure d’administration d’un médicament ? L’instant exact où a été mesurée une constante vitale ? Qui a effectué quel soin et à quel moment ? Ces informations font partie intégrante d’un dossier qui va servir à l’équipe médicale pour prendre des décisions. Par la suite, l’information horaire peut devenir une donnée critique mise à disposition d’un juge ou d’un assureur comme élément de preuve. Elle provient de sources et d’équipements qui horodatent leurs actions avec leur propre horloge. Pour que le dossier ait une valeur probante, il faut que toutes ces horloges soient synchronisées.
Tant qu’on regarde un appareil isolément, son heure interne suffit. Le besoin de synchronisation apparaît au moment où l’on recoupe plusieurs sources afin de reconstituer une suite d’évènements. C’est l’objet des analyses a posteriori, après un événement indésirable ou lors d’une contestation. Si les équipements ne partagent pas la même référence horaire, la chronologie reconstituée est fausse, et le dossier perd sa valeur probatoire.
Quelle précision temporelle est utile ?
Pour comprendre le niveau de précision utile dans le cadre des établissements de santé, on va prendre le cas de l’imagerie médicale. Les images d’un scanner ou d’une IRM sont stockées au format DICOM, qui horodate chaque prise de vue.
Pour que ces horodatages restent cohérents, DICOM s’appuie sur NTP, via le profil Consistent Time de l’IHE.
Pour aller plus loin, un attribut dédié indique si l’horodatage d’une image est réellement aligné sur une référence temporelle externe. On peut ainsi savoir si une image médicale a été horodatée de manière fiable.
Avec un horodatage externe, les informations horaires sont fiables. Elles permettent alors de rapprocher l’horodatage des examens faits sur différentes machines et d’établir le déroulé précis de la chronologie des soins d’un patient.
Il y a cependant un point qui différencie la santé par rapport à d’autres secteurs (comme la finance par exemple).
En finance, la réglementation MiFID II impose des seuils de précision spécifiques (jusqu’à 100 microsecondes). En santé, il n’existe aucun seuil de précision réglementaire.
C’est contre-intuitif. Mais ce qui compte pour un équipement médical, c’est la stabilité locale et la cohérence à l’échelle d’un établissement de soins. Un alignement fin, sur une référence internationale, est moins critique. La milliseconde de NTP suffit donc très largement. L’enjeu pour tout le monde, est de partager la même heure de référence, de façon fiable et continue, afin de prendre les bonnes décisions, et démontrer leur chronologie si nécessaire.
Le SIH face aux exigences de la DGOS
La DGOS (Direction Générale de l’Offre de Soins) pilote la stratégie numérique des établissements depuis 2012. La traçabilité des actions sur le système d’information hospitalier (SIH) en fait partie, et l’atlas des SIH publié par la DGOS et l’ATIH (Agence technique de l'information sur l'hospitalisation) indique que 97 % des établissements disposent d’un traçage des actions utilisateurs.
Ce traçage permet aux hôpitaux d’être en règle par rapport à l’instruction DGOS/MSIOS/2013/62 qui impose de savoir qui a consulté ou modifié quelle donnée médicale, et quand.
Pour répondre à ce « quand », le journal de traçabilité doit inclure un horodatage juste de chaque évènement. Quelques minutes d’écart entre serveurs peuvent générer une erreur d’ordre ou d’attribution entre deux événements liés. De ce fait, synchroniser tout le SIH sur une source NTP unique est la solution pour que la traçabilité soit recevable en cas d’audit.
La nécessité de la cybersécurité dans les SIH
Il y a une problématique que les hôpitaux partagent avec tous les acteurs industriels : la cybersécurité.
Les établissements de santé sont régulièrement la cible d’attaques par ransomware. Ils sont en effet des cibles faciles avec de nombreux personnels toujours « pressés » et des infrastructures pas toujours mises à jour.
L’ANSSI a recensé 30 établissements publics de santé touchés, rien que sur la période 2022-2023, ce qui représente 10 % des incidents qui lui ont été signalés.
En 2023, dans son internet crime report, le FBI indique que sur les 1193 cas de ransomwares traités par leur soin cette année-là, 249 étaient dans le secteur de la santé.
Après une attaque, c’est la journalisation des actions effectuées sur le SIH qui permet de comprendre par où l’intrus est entré et ce qu’il a touché. Concrètement, on recoupe les logs de dizaines de machines : pare-feu, serveurs, postes, contrôle d’accès, vidéosurveillance. Seule une synchronisation fine et précise permettra de comprendre le déroulé des évènements passés. Sans synchronisation, il devient impossible de comprendre ce qu’il s’est passé.
C’est pourquoi, l’ANSSI recommande la mise en place d’un serveur de temps NTP interne à l’établissement.
Cependant, un problème subsiste : dans sa version courante, NTP n’authentifie pas ses sources. Un attaquant qui parvient à injecter de faux paquets, peut décaler l’heure d’un équipement, et fausser au passage les logs des machines. Le protocole NTS (Network Time Security), défini par le RFC 8915, corrige ce souci en ajoutant une authentification et un chiffrement à NTP.
Pour aller plus loin, la recommandation est de mettre en place un serveur de temps qui utilise le protocole NTS.
Rester synchronisé de manière robuste
En général, un serveur de temps interne reçoit une source horaire GNSS (GPS, Galileo, etc.). Que se passe-t-il si ce signal disparaît, pour cause de brouillage, de panne d’antenne ou de travaux ? Tout dépend de l’oscillateur interne du serveur. Un oscillateur OCXO ou un rubidium conserve (holdover) l’heure de référence avec une dérive minimale sur une durée pouvant atteindre plusieurs mois (le temps que la source se rétablisse). Dans un hôpital, ce holdover évite que la perte d’un signal satellite ne désynchronise petit à petit tout l’établissement.
Conformité
Au-delà du système d’information, la traçabilité réglementaire couvre les actes médicaux, les administrations de médicaments, les produits sanguins, les dispositifs implantables. Sans horodatage, on perd la traçabilité de ces éléments. La certification HAS et les indicateurs SUN-ES (Ségur Usage Numérique en Établissements de Santé) portés par la DGOS intègrent ces enjeux de sécurité et de vérifiabilité. Une infrastructure de synchronisation fiable n’est pas un critère explicitement demandé par ces acteurs, mais c’est une conséquence inhérente à leurs demandes.
