2024. aasta üleilmne IT-rike: 5 õppetundi tervishoiule

Mis juhtus

Tarnija CrowdStrike'i turvatarkvara defektne uuendus tekitas kurikuulsa sinise ekraani (Blue Screen of Death) lugematutel Windowsi arvutitel. Üleilmselt sattusid häiritud sektorid nagu lennundus, pangandus, meedia ja tervishoid. Madalmaades said muu hulgas pihta Treanti (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) ja Slingelandi (Doetinchem) haiglad. Operatsioone lükati edasi ja mõned asukohad ei võtnud ajutiselt uusi patsiente vastu. Rõhutatult ei olnud tegu küberrünnakuga, vaid veaga uuenduses; taastamine nõudis igas süsteemis käsitsi tööd.

Õppetund 1: Ravi jätkub, ka paberil

Kui patsiendidokument, ravimimoodul või ajakava ära langeb, peab ravi ikkagi jätkuma. See nõuab läbiproovitud hädaprotseduure: töö paberil ravimimanustamislehtedega, topeltkontroll riskantsete ravimite puhul ja selged kokkulepped selle üle, kes mida teeb. Harjutage neid hädaprotseduure perioodiliselt. Praktikas selgub, et töötajad, kes nendega harva kokku puutuvad, kaotavad tegeliku katkestuse ajal väärtuslikku aega. Lühike, selge juhendkaart iga osakonna kohta aitab tohutult.

Õppetund 2: Teavitage töötajaid, ka süsteemidest möödaminnes

Kui tavasüsteemid on maas, ei saa te töötajaid nende süsteemide kaudu kätte. Mõelge eelnevalt läbi alternatiivsed marsruudid.

• Keskne, lühike juhend: mis ei tööta, milline hädaprotseduur kehtib, kus on viimane seis.
• Kättesaadavus alternatiivsete kanalite kaudu (telefon, SMS, suletud leht).
• Selgus prioriteetide osas: milline ravi ja millised osakonnad on eelistatud.
• Rahu kiirgamine: töötajad, kes teavad, mida teha, hoiavad rahulikuna ka patsiendid ja pered.

Õppetund 3: Rahustage pered ja patsiendid

Edasilükatud operatsioonid ja suletud uksed tekitavad patsientide ja perede seas ärevust. Olge selles ennetav: selgitage, mis toimub, mida see nende vastuvõtu jaoks tähendab ja millal on rohkem uudiseid. Aus, inimlik sõnum väldib tarbetuid telefonikõnesid ja usaldamatust. Tagage, et info veebisaidil, letis ja telefonis oleks ühesugune.

Õppetund 4: Tundke oma sõltuvust tarnijatest

Rike ei tulnud seestpoolt, vaid välisest tarkvaratarnijast. See näitab, kui sõltuv on kaasaegne tervishoid digitaalsest ahelast: EPJ-tarnija, tarkvarafirma, pilveteenus. Kaardistage need sõltuvused (milline süsteem millisest tarnijast sõltub) ja määrake kindlaks, mida teete, kui tarnija ära langeb. Leppige kokku taasteajad ja hoidke varulahendus käepärast.

Õppetund 5: Tundke oma standardeid ja teavitamiskohustusi

Tervishoiuasutused töötavad NEN 7510 (infoturve) ja isikuandmete kaitse üldmääruse (GDPR) alusel. Kui patsiendiohutus on ohus, võib olla tegu ohujuhtumiga, millest teavitate kolme tööpäeva jooksul Tervishoiu ja Nooruse Inspektsiooni (IGJ) Wkkgz-seaduse alusel. Kui asjaga on seotud isikuandmed, kehtib andmelekke teavitamiskohustus (72 tundi) andmekaitseasutusele (Autoriteit Persoonsgegevens). Tervishoiuteenuse osutajad kuuluvad lisaks üha sagedamini küberturvalisuse seaduse (NIS2) alla, koos teavitamiskohustusega oluliste intsidentide korral. Dokumenteerige kriisi ajal, millised teated millal ja kellele esitati.

Kuidas CrisisRadar siin aitab

CrisisRadar toob juhatuse, ravijuhtimise, IKT ja pressiesinduse kokku ühisesse kriisipilti. Te fikseerite faktid koos allikaga, jagate töötajatega selgeid hädajuhiseid, koostate peredele rahustava sõnumi ja valvate tervishoiu toimepidevust. Teavitamiskohustuse taimerid jälgivad IGJ ja andmekaitseasutuse tähtaegu. Kas soovite näha, kuidas IKT-katkestus tervishoius platvormil samm-sammult välja näeb? Vaadake siis vastavat praktilist olukorda.

Stappenplan

Veelgestelde vragen

Kas CrowdStrike'i rike oli küberrünnak?

Ei. 19. juuli 2024 rike tulenes tarnija CrowdStrike'i vigasest tarkvarauuendusest, mitte rünnakust. Ometi halvas see üleilmselt Windowsi süsteemid, ka haiglates, mis rõhutab heade hädaprotseduuride tähtsust.

Kuidas jätkub ravi, kui süsteemid ära langevad?

Läbiproovitud hädaprotseduuridega: töö paberil ravimimanustamislehtedega, topeltkontroll riskantsete ravimite puhul ja selged kokkulepped prioriteetide ja rollide osas. Harjutage neid protseduure perioodiliselt, nii et need oleksid selgeks õpitud.

Milline teavitamiskohustus kehtib IKT-katkestuse korral tervishoius?

Kui patsiendiohutus on ohus, teavitate ohujuhtumist kolme tööpäeva jooksul IGJ-d (Wkkgz). Kui asjaga on seotud isikuandmed, kehtib andmelekke teavitamine 72 tunni jooksul andmekaitseasutusele (Autoriteit Persoonsgegevens). Sageli kehtib ka küberturvalisuse seadus (NIS2).