Celosvětový výpadek IT v roce 2024: 5 ponaučení pro zdravotnictví

Co se stalo

Vadná aktualizace bezpečnostního softwaru dodavatele CrowdStrike způsobila nechvalně známou modrou obrazovku (Blue Screen of Death) na nespočtu počítačů s Windows. Celosvětově se rozhodily sektory jako letectví, bankovnictví, média a zdravotnictví. V Nizozemsku byly zasaženy mimo jiné nemocnice Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) a Slingeland (Doetinchem). Operace se odkládaly a některá pracoviště dočasně nepřijímala nové pacienty. Výslovně nešlo o kybernetický útok, ale o chybu v aktualizaci; náprava si vyžádala ruční práci na každém systému zvlášť.

Ponaučení 1: Péče pokračuje, i na papíře

Když vypadne zdravotnická dokumentace, medikační modul nebo plánování, péče musí přesto pokračovat. To vyžaduje prověřené nouzové postupy: práci s papírovými aplikačními listy, dvojitou kontrolu u rizikové medikace a jasné dohody, kdo co dělá. Tyto nouzové postupy pravidelně nacvičujte. V praxi se ukazuje, že zaměstnanci, kteří s nimi pracují jen zřídka, při skutečném výpadku ztrácejí drahocenný čas. Krátká, jasná instrukční kartička pro každé oddělení nesmírně pomůže.

Ponaučení 2: Informujte zaměstnance i mimo systémy

Když běžné systémy vypadnou, nemůžete zaměstnance přes tyto systémy zastihnout. Předem promyslete náhradní cesty.

• Centrální, krátká instrukce: co nefunguje, jaký nouzový postup platí, kde je poslední stav.
• Dostupnost přes náhradní kanály (telefon, SMS, uzavřená stránka).
• Jasno v prioritách: která péče a která oddělení mají přednost.
• Vyzařovat klid: zaměstnanci, kteří vědí, co dělat, udrží v klidu i pacienty a rodinu.

Ponaučení 3: Uklidněte rodinu a pacienty

Odložené operace a zavřené dveře vyvolávají neklid u pacientů a rodiny. Buďte proto proaktivní: vysvětlete, co se děje, co to znamená pro jejich termín a kdy budou další zprávy. Upřímné, lidské sdělení předchází zbytečným telefonátům a nedůvěře. Zajistěte, aby informace na webu, u přepážky a na telefonu byly totožné.

Ponaučení 4: Znejte svou závislost na dodavatelích

Výpadek nepřišel zevnitř, ale od externího dodavatele softwaru. To ukazuje, jak závislé je moderní zdravotnictví na digitálním řetězci: dodavatel elektronické dokumentace, softwarová firma, cloudová služba. Tyto závislosti si zmapujte (který systém závisí na kterém dodavateli) a stanovte, co uděláte, když dodavatel vypadne. Domluvte si lhůty na obnovu a mějte v záloze záložní řešení.

Ponaučení 5: Znejte své normy a oznamovací povinnosti

Zdravotnická zařízení pracují podle normy NEN 7510 (informační bezpečnost) a GDPR. Ohrozí-li se bezpečnost pacientů, může jít o mimořádnou událost, kterou do tří pracovních dnů oznamujete Inspekci zdravotní péče a mládeže (IGJ) podle zákona Wkkgz. Jsou-li dotčeny osobní údaje, platí oznamovací povinnost při úniku dat (72 hodin) vůči nizozemskému Úřadu pro ochranu osobních údajů (Autoriteit Persoonsgegevens). Poskytovatelé péče kromě toho stále častěji spadají pod zákon o kybernetické bezpečnosti (NIS2), s oznamovací povinností významných incidentů. Během krize zaznamenávejte, která oznámení byla kdy a komu podána.

Jak vám s tím CrisisRadar pomůže

CrisisRadar propojí vedení, zdravotnický management, IT a mluvčí do sdíleného krizového obrazu. Zaznamenáváte fakta se zdrojem, sdílíte se zaměstnanci srozumitelné nouzové instrukce, sestavíte uklidňující sdělení pro rodinu a hlídáte kontinuitu péče. Časovače oznamovacích povinností hlídají lhůty vůči IGJ a Úřadu pro ochranu osobních údajů. Chcete vidět, jak výpadek IT ve zdravotnictví vypadá krok za krokem v platformě? Podívejte se na související případovou situaci.

Stappenplan

Veelgestelde vragen

Byl výpadek CrowdStrike kybernetickým útokem?

Ne. Výpadek z 19. července 2024 způsobila vadná softwarová aktualizace dodavatele CrowdStrike, nikoli útok. Přesto ochromila celosvětově systémy Windows, i v nemocnicích, což podtrhuje význam dobrých nouzových postupů.

Jak péče pokračuje, když vypadnou systémy?

S prověřenými nouzovými postupy: prací s papírovými aplikačními listy, dvojitou kontrolou u rizikové medikace a jasnými dohodami o prioritách a rolích. Tyto postupy pravidelně nacvičujte, aby je měl personál v malíčku.

Jaká oznamovací povinnost platí při výpadku IT ve zdravotnictví?

Ohrozí-li se bezpečnost pacientů, oznamujete mimořádnou událost do tří pracovních dnů IGJ (podle Wkkgz). Jsou-li dotčeny osobní údaje, platí oznámení úniku dat do 72 hodin vůči Úřadu pro ochranu osobních údajů. Často platí i zákon o kybernetické bezpečnosti (NIS2).