Η παγκόσμια βλάβη ΤΠ του 2024: 5 μαθήματα για την υγειονομική περίθαλψη

Τι συνέβη

Μια ελαττωματική ενημέρωση του λογισμικού ασφαλείας του προμηθευτή CrowdStrike προκάλεσε τη διαβόητη μπλε οθόνη (Blue Screen of Death) σε αναρίθμητους υπολογιστές Windows. Παγκοσμίως αποδιοργανώθηκαν κλάδοι όπως η αεροπορία, οι τράπεζες, τα μέσα ενημέρωσης και η υγειονομική περίθαλψη. Στις Κάτω Χώρες επλήγησαν μεταξύ άλλων τα νοσοκομεία Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) και Slingeland (Doetinchem). Χειρουργεία αναβλήθηκαν και ορισμένες τοποθεσίες δεν δέχονταν προσωρινά νέους ασθενείς. Δεν επρόκειτο ρητά για κυβερνοεπίθεση, αλλά για σφάλμα σε μια ενημέρωση· η αποκατάσταση απαιτούσε χειροκίνητη εργασία ανά σύστημα.

Μάθημα 1: Η φροντίδα συνεχίζεται, ακόμη και στο χαρτί

Όταν τεθεί εκτός λειτουργίας ο φάκελος του ασθενή, η μονάδα φαρμακευτικής αγωγής ή ο προγραμματισμός, η φροντίδα πρέπει παρ' όλα αυτά να συνεχιστεί. Αυτό απαιτεί δοκιμασμένες διαδικασίες έκτακτης ανάγκης: εργασία με έντυπες λίστες χορήγησης, διπλό έλεγχο σε φαρμακευτική αγωγή υψηλού κινδύνου και σαφείς συμφωνίες για το ποιος κάνει τι. Εξασκηθείτε σε αυτές τις διαδικασίες έκτακτης ανάγκης περιοδικά. Στην πράξη αποδεικνύεται ότι οι εργαζόμενοι που σπάνια τις χρησιμοποιούν χάνουν πολύτιμο χρόνο σε μια πραγματική διακοπή. Μια σύντομη, σαφής κάρτα οδηγιών ανά τμήμα βοηθά τρομερά.

Μάθημα 2: Ενημερώστε τους εργαζομένους, ακόμη και εκτός των συστημάτων

Όταν τα συνήθη συστήματα είναι εκτός λειτουργίας, δεν μπορείτε να προσεγγίσετε τους εργαζομένους μέσω αυτών. Σκεφτείτε εκ των προτέρων εναλλακτικές διαδρομές.

• Μια κεντρική, σύντομη οδηγία: τι δεν λειτουργεί, ποια διαδικασία έκτακτης ανάγκης ισχύει, πού βρίσκεται η τελευταία κατάσταση.
• Δυνατότητα επικοινωνίας μέσω εναλλακτικών καναλιών (τηλέφωνο, SMS, μια κλειστή σελίδα).
• Σαφήνεια για τις προτεραιότητες: ποια φροντίδα και ποια τμήματα προηγούνται.
• Μετάδοση ηρεμίας: εργαζόμενοι που ξέρουν τι να κάνουν κρατούν επίσης ήρεμους τους ασθενείς και τις οικογένειες.

Μάθημα 3: Καθησυχάστε οικογένειες και ασθενείς

Οι αναβληθείσες επεμβάσεις και οι κλειστές πόρτες προκαλούν ανησυχία σε ασθενείς και οικογένειες. Να είστε προνοητικοί εδώ: εξηγήστε τι συμβαίνει, τι σημαίνει για το ραντεβού τους και πότε θα υπάρξουν περισσότερα νέα. Ένα ειλικρινές, ανθρώπινο μήνυμα αποτρέπει περιττά τηλεφωνήματα και δυσπιστία. Φροντίστε ώστε οι πληροφορίες στον ιστότοπο, στο γκισέ και στο τηλέφωνο να είναι ταυτόσημες.

Μάθημα 4: Γνωρίστε την εξάρτησή σας από τους προμηθευτές

Η βλάβη δεν προήλθε από μέσα, αλλά από έναν εξωτερικό προμηθευτή λογισμικού. Αυτό δείχνει πόσο εξαρτημένη είναι η σύγχρονη υγειονομική περίθαλψη από την ψηφιακή αλυσίδα: έναν προμηθευτή ηλεκτρονικού φακέλου ασθενή, μια εταιρεία λογισμικού, μια υπηρεσία cloud. Χαρτογραφήστε αυτές τις εξαρτήσεις (ποιο σύστημα εξαρτάται από ποιον προμηθευτή) και καθορίστε τι κάνετε αν ένας προμηθευτής τεθεί εκτός λειτουργίας. Κάντε συμφωνίες για τους χρόνους αποκατάστασης και κρατήστε μια εφεδρική λύση στο ράφι.

Μάθημα 5: Γνωρίστε τα πρότυπα και τις υποχρεώσεις αναφοράς σας

Οι φορείς υγείας λειτουργούν υπό το NEN 7510 (ασφάλεια πληροφοριών) και τον GDPR. Αν κινδυνεύει η ασφάλεια των ασθενών, μπορεί να πρόκειται για συμβάν που το αναφέρετε εντός τριών εργάσιμων ημερών στην Επιθεώρηση Υγείας και Νεολαίας (IGJ) βάσει του Wkkgz. Αν εμπλέκονται προσωπικά δεδομένα, ισχύει η υποχρέωση αναφοράς παραβίασης δεδομένων (72 ώρες) στην Αρχή Προστασίας Προσωπικών Δεδομένων. Οι πάροχοι υγείας υπάγονται επιπλέον όλο και συχνότερα στον νόμο για την κυβερνοασφάλεια (NIS2), με υποχρέωση αναφοράς για σημαντικά περιστατικά. Κατά τη διάρκεια της κρίσης καταγράψτε ποιες αναφορές έγιναν πότε και προς ποιον.

Πώς βοηθά εδώ το CrisisRadar

Το CrisisRadar φέρνει τη διοίκηση, τη διεύθυνση φροντίδας, το τμήμα ΤΠ και την εκπροσώπηση σε μια κοινή εικόνα κρίσης. Καταγράφετε γεγονότα με την πηγή τους, μοιράζεστε σαφείς οδηγίες έκτακτης ανάγκης με τους εργαζομένους, συντάσσετε ένα καθησυχαστικό μήνυμα για τις οικογένειες και διασφαλίζετε τη συνέχεια της φροντίδας. Οι χρονομετρητές υποχρεώσεων αναφοράς παρακολουθούν τις προθεσμίες για την IGJ και την Αρχή Προστασίας Προσωπικών Δεδομένων. Θέλετε να δείτε πώς μοιάζει βήμα προς βήμα μέσα στην πλατφόρμα μια διακοπή ΤΠ στην υγειονομική περίθαλψη; Δείτε τότε τη σχετική μελέτη περίπτωσης.

Stappenplan

Veelgestelde vragen

Ήταν η βλάβη CrowdStrike κυβερνοεπίθεση;

Όχι. Η βλάβη της 19ης Ιουλίου 2024 προήλθε από μια εσφαλμένη ενημέρωση λογισμικού του προμηθευτή CrowdStrike, όχι από επίθεση. Παρ' όλα αυτά κατέρριψε παγκοσμίως συστήματα Windows, και σε νοσοκομεία, γεγονός που υπογραμμίζει τη σημασία καλών διαδικασιών έκτακτης ανάγκης.

Πώς συνεχίζεται η φροντίδα όταν τα συστήματα είναι εκτός λειτουργίας;

Με δοκιμασμένες διαδικασίες έκτακτης ανάγκης: εργασία με έντυπες λίστες χορήγησης, διπλό έλεγχο σε φαρμακευτική αγωγή υψηλού κινδύνου και σαφείς συμφωνίες για προτεραιότητες και ρόλους. Εξασκηθείτε σε αυτές τις διαδικασίες περιοδικά, ώστε να τις έχετε στα δάχτυλα.

Ποια υποχρέωση αναφοράς ισχύει σε μια διακοπή ΤΠ στην υγεία;

Αν κινδυνεύει η ασφάλεια των ασθενών, αναφέρετε ένα συμβάν εντός τριών εργάσιμων ημερών στην IGJ (Wkkgz). Αν εμπλέκονται προσωπικά δεδομένα, ισχύει η αναφορά παραβίασης δεδομένων εντός 72 ωρών στην Αρχή Προστασίας Προσωπικών Δεδομένων. Συχνά ισχύει επίσης ο νόμος για την κυβερνοασφάλεια (NIS2).