Une mise à jour de sécurité omise à l’origine de la panne des systèmes de santé à Singapour, 4 000 rendez-vous reportés

Une défaillance évitable dans les trois pôles de santé

Le défaut d’un prestataire, qui n’a pas effectué une mise à jour de sécurité obligatoire, est à l’origine de la panne survenue le 13 octobre dans les systèmes de santé publics de Singapour. Environ 4 000 consultations externes ont dû être reprogrammées et certains patients ont attendu jusqu’à deux heures. La panne a duré environ neuf heures et demie et touché NHG Health, le National University Health System et SingHealth.

Tan Kiat How, ministre d’État principal à la Santé, a déclaré que la mise à jour concernait un service partagé du système de noms de domaine (DNS). L’agence nationale chargée des technologies de santé, Synapxe, avait chargé un prestataire d’effectuer cette opération, mais celle-ci n’avait pas été réalisée avant une modification mondiale programmée. Tan a qualifié cette omission d’évitable et présenté ses excuses pour une panne qui, selon lui, n’aurait pas dû se produire.

L’enquête a également expliqué pourquoi l’infrastructure de secours n’avait pas permis de résoudre le problème. Les systèmes de santé publics de Singapour disposaient de deux centres de données, mais tous deux dépendaient du même service DNS et de la même configuration de sécurité. Le transfert des opérations d’un centre à l’autre n’aurait pas éliminé la défaillance sous-jacente.

Aucun incident lié à la sécurité des patients et imputable à la panne n’a été signalé. Les enquêteurs n’ont relevé ni cyberattaque, ni accès non autorisé, ni compromission ou perte de données patients. Les conséquences immédiates ont été des interruptions de service, des délais d’attente plus longs et des rendez-vous à reprogrammer.

Ce qu’ont vécu les patients et le personnel

Les réservations de consultations, l’enregistrement des visiteurs, la délivrance de médicaments et la facturation ont notamment été touchés. Les problèmes de connectivité ont varié d’un pôle à l’autre : la panne ne s’est donc pas manifestée de la même manière dans chaque établissement.

Pour les patients, les conséquences ne se sont pas limitées à un écran qui refusait de se charger. Certains ont dû attendre plus longtemps pour accéder aux services, tandis que d’autres ont vu leur consultation externe déplacée à un autre horaire. Environ 4 000 rendez-vous ont été reprogrammés, un chiffre qui compte les rendez-vous et non toutes les personnes ayant subi des désagréments pendant la panne.

Les établissements de santé ont activé leurs procédures de fonctionnement en mode dégradé, prévues lorsque les systèmes informatiques habituels sont indisponibles. Ils ont mobilisé du personnel supplémentaire et poursuivi les soins essentiels au moyen de procédures manuelles et de certains dossiers patients accessibles séparément en lecture seule.

Les dossiers en lecture seule permettent au personnel de consulter les informations sans les modifier dans le système concerné. Ils ont donné aux soignants accès à une sélection d’informations sur les patients pendant l’interruption des services habituels. Le personnel a également dû prendre en charge le surcroît de travail lié aux procédures qui s’effectuent normalement par voie électronique.

Déroulement de la panne

Selon le compte rendu de Synapxe, l’incident a commencé vers 7 h 10 le 13 octobre. Les services ont commencé à être rétablis progressivement vers 15 h, et tous ceux qui avaient été touchés l’étaient à nouveau à 16 h 37. Entre le début signalé et le rétablissement complet, il s’est écoulé neuf heures et vingt-sept minutes, ce qui correspond à la durée arrondie de neuf heures et demie.

• 13 octobre, vers 7 h 10 : un problème technique touchant la connectivité réseau commence à perturber les services dans les trois pôles de santé publics.
• 13 octobre, vers 15 h : les services touchés commencent à être progressivement rétablis.
• 13 octobre, 16 h 37 : tous les services touchés sont rétablis, selon Synapxe.
• 13 octobre, vers 17 h 40 : Synapxe publie un nouveau communiqué confirmant le rétablissement.
• 3 novembre : des députés doivent interroger le gouvernement sur la panne, ses conséquences pour les patients et la fiabilité des dispositifs de secours.

Synapxe a d’abord évoqué un problème technique affectant la connectivité réseau et indiqué qu’aucun élément ne laissait penser à un incident de cybersécurité, dans l’attente des conclusions de l’enquête. Celles-ci ont ensuite désigné la mise à jour de sécurité omise comme cause de la panne et confirmé que les données des patients n’avaient été ni compromises ni perdues.

Pourquoi un seul service DNS a eu autant d’importance

Un service DNS aide les systèmes informatiques à localiser les applications et à s’y connecter. Il fonctionne comme un annuaire : un système demande où trouver un service et le DNS lui fournit les informations nécessaires pour y accéder. Lorsque cet annuaire partagé ne fonctionne plus correctement, plusieurs applications pourtant distinctes peuvent devenir difficiles, voire impossibles, à utiliser.

La mise à jour de sécurité obligatoire concernait le DNS partagé. Comme le prestataire ne l’avait pas effectuée avant la modification mondiale programmée, une dépendance technique utilisée dans l’ensemble du système de santé public est devenue le point de défaillance.

Tan a indiqué que la modification était connue à l’avance. La défaillance opérationnelle centrale tient donc au fait que les préparatifs nécessaires n’ont pas été menés à terme avant une modification prévue. Assurer le suivi d’une consigne ne suffit pas : il faut aussi vérifier que le travail a effectivement été réalisé.

Les mesures correctives du gouvernement comprennent un suivi et une vérification renforcés des changements techniques critiques. Concrètement, l’organisation responsable d’un système doit disposer d’un moyen fiable de confirmer l’application d’une mise à jour obligatoire avant l’entrée en vigueur de la modification qu’elle prépare.

Pourquoi deux centres de données n’ont pas suffi

Les systèmes de santé publics disposaient d’une infrastructure de secours, notamment de deux centres de données. Ces dispositifs permettent de déplacer les services lorsqu’un site ou une partie de son infrastructure devient indisponible. Dans cet incident, toutefois, les deux centres dépendaient du même service DNS et de la même configuration de sécurité.

Le basculement vers l’autre site aurait donc ramené les systèmes au même problème non résolu. Le second site offrait un autre lieu pour faire fonctionner les services, mais la dépendance partagée l’empêchait de constituer une solution de secours efficace face à cette défaillance particulière.

Le gouvernement s’attaque aux dépendances partagées et améliore les dispositifs de reprise dans le cadre de sa réponse. La question concrète est de savoir si un système de secours peut fonctionner lorsqu’un service dont dépendent à la fois les systèmes principaux et de secours tombe en panne.

Le député désigné Haresh Singaraju a demandé si les systèmes disposaient d’un secours indépendant, dans quel délai les services étaient censés être rétablis et si cet objectif avait été atteint. La députée Joan Pereira a également demandé pourquoi l’infrastructure de secours n’avait pas empêché la panne et sollicité des chiffres sur le nombre de patients touchés.

Synapxe reste responsable

Synapxe examine les obligations contractuelles du prestataire et prendra les mesures appropriées si un manquement est établi. Tan a déclaré que l’agence restait responsable de la résilience de ses systèmes critiques, quel que soit le recours à des prestataires extérieurs.

La responsabilité du prestataire, chargé d’effectuer la mise à jour, et celle de Synapxe, qui doit assurer la fiabilité des systèmes de santé, font toutes deux partie de la réponse. Confier une tâche technique à une autre organisation ne décharge pas l’agence de sa responsabilité de superviser les systèmes dont dépendent les hôpitaux, les cliniques et les patients.

L’identité du prestataire, l’existence d’une éventuelle pénalité contractuelle et le calendrier des mesures correctives n’ont pas été précisés. La députée Cassandra Lee a demandé une mise à jour de l’enquête et des mesures destinées à réduire le risque d’une nouvelle interruption.

Synapxe a nommé un groupe d’experts issus d’organisations aux profils d’ingénierie similaires. Il est chargé d’examiner les conclusions de l’enquête et les mesures correctives proposées, ainsi que de déterminer quelles améliorations supplémentaires pourraient être apportées. Le ministère de la Santé supervisera les mesures correctives et en vérifiera l’efficacité.

Un diagnostic plus rapide au cœur du plan de rétablissement

Les systèmes de surveillance ont détecté une activité anormale pendant l’incident, mais il a fallu du temps pour identifier le problème sous-jacent et rétablir les services en toute sécurité. Repérer une anomalie et déterminer précisément ce qu’il faut réparer sont deux étapes distinctes d’une intervention.

Synapxe renforce la surveillance et le diagnostic des pannes afin d’accélérer le rétablissement. Pour un système desservant plusieurs pôles de santé, l’enjeu consiste notamment à remonter jusqu’aux problèmes touchant les services partagés, plutôt qu’à examiner chaque application affectée isolément.

Dans son communiqué publié après le rétablissement des services, Synapxe a évoqué l’expérience des patients et des visiteurs ainsi que le travail mené avec les établissements de santé :

Pendant la panne, les patients et les visiteurs de certains établissements de santé publics ont connu des temps d’attente plus longs pour certains services.

« Nos équipes ont travaillé en étroite collaboration avec les pôles de santé publics pour rétablir les services touchés dans les meilleurs délais.

Les horaires de rétablissement montrent que celui-ci s’est fait par étapes. Certains services ont recommencé à fonctionner vers 15 h, soit plus d’une heure et demie avant le rétablissement de tous les services touchés. Le personnel a donc dû gérer une période durant laquelle le retour à la normale s’est fait de manière inégale.

Assurer la continuité des soins en cas de panne

Les établissements de santé ont maintenu les soins essentiels en mobilisant du personnel supplémentaire, en utilisant certains dossiers en lecture seule et en recourant à des procédures manuelles. Tan a indiqué qu’aucun incident lié à la sécurité des patients et imputable à la panne n’avait été signalé, alors même que des patients subissaient des retards et que des milliers de rendez-vous étaient reprogrammés.

Le gouvernement prévoit de renforcer les dispositifs de fonctionnement en mode dégradé, la préparation du personnel et les exercices réguliers, notamment ceux portant sur les pannes partielles. Une panne partielle peut laisser certaines applications accessibles tandis que d’autres restent indisponibles. Le personnel doit alors déterminer quels processus peuvent se poursuivre normalement et lesquels nécessitent une solution de remplacement.

La réponse repose désormais sur trois objectifs liés : éviter une nouvelle panne en améliorant le contrôle des changements techniques, limiter l’étendue des défaillances en s’attaquant aux dépendances partagées et maintenir les soins grâce à une meilleure préparation opérationnelle.

Pour les patients, la réussite se traduirait par moins de rendez-vous annulés ou retardés en cas de problème technique. Pour les professionnels de santé, elle signifierait un accès fiable aux informations essentielles et des procédures adaptées en cas de panne. Tan a déclaré que les technologies de santé devaient devenir plus fiables, tout en permettant au personnel de continuer à soigner les patients en toute sécurité lorsque les systèmes tombent en panne.

À retenir

• Une mise à jour de sécurité omise a provoqué la panne du 13 octobre dans les trois pôles de santé publics de Singapour.
• Environ 4 000 consultations externes ont été reprogrammées et certains patients ont attendu jusqu’à deux heures.
• Les services ont été perturbés à partir de 7 h 10 environ et tous étaient rétablis à 16 h 37.
• Les deux centres de données dépendaient du même service DNS et de la même configuration de sécurité, ce qui a empêché un basculement efficace vers l’infrastructure de secours.
• Aucun incident lié à la sécurité des patients et imputable à la panne n’a été signalé, et les enquêteurs n’ont constaté ni cyberattaque ni perte de données patients.
• Synapxe examine les obligations du prestataire, tandis que le ministère de la Santé supervisera les mesures correctives et en vérifiera l’efficacité.