Vuoden 2024 maailmanlaajuinen IT-häiriö: viisi oppia terveydenhuollolle

Mitä tapahtui

Toimittaja CrowdStriken tietoturvaohjelmiston viallinen päivitys aiheutti pahamaineisen sinisen ruudun (Blue Screen of Death) lukemattomissa Windows-tietokoneissa. Maailmanlaajuisesti häiriintyivät muun muassa ilmailu, pankit, media ja terveydenhuolto. Alankomaissa kärsivät muun muassa Treantin sairaalat (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) ja Slingeland (Doetinchem). Leikkauksia lykättiin ja jotkin toimipaikat eivät väliaikaisesti ottaneet vastaan uusia potilaita. Kyse ei nimenomaan ollut kyberhyökkäyksestä vaan päivityksen virheestä; palautuminen vaati jokaisen järjestelmän kohdalla manuaalista työtä.

Oppi 1: Hoito jatkuu, myös paperilla

Jos potilastietojärjestelmä, lääkitysmoduuli tai suunnittelu kaatuu, hoidon on silti jatkuttava. Se edellyttää koeteltuja hätämenettelyjä: paperisten antokirjausten käyttöä, kaksoistarkistusta riskialttiin lääkityksen yhteydessä ja selkeitä sopimuksia siitä, kuka tekee mitä. Harjoittele näitä hätämenettelyjä säännöllisesti. Käytännössä osoittautuu, että työntekijät, jotka käyttävät niitä harvoin, menettävät todellisen katkon aikana kallista aikaa. Lyhyt, selkeä ohjekortti osastoa kohden auttaa valtavasti.

Oppi 2: Tiedota työntekijöille, myös järjestelmien ulkopuolella

Jos tavanomaiset järjestelmät ovat nurin, et voi tavoittaa työntekijöitä niiden kautta. Mieti etukäteen vaihtoehtoiset reitit.

• Keskitetty, lyhyt ohje: mikä ei toimi, mikä hätämenettely on voimassa ja mistä löytyy viimeisin tilanne.
• Tavoitettavuus vaihtoehtoisten kanavien kautta (puhelin, tekstiviesti, suljettu sivu).
• Selkeys prioriteeteista: mikä hoito ja mitkä osastot menevät etusijalle.
• Rauhallisuuden välittäminen: työntekijät, jotka tietävät mitä tehdä, pitävät myös potilaat ja omaiset rauhallisina.

Oppi 3: Rauhoita omaisia ja potilaita

Lykätyt leikkaukset ja suljetut ovet aiheuttavat levottomuutta potilaissa ja omaisissa. Ole tässä ennakoiva: selitä, mistä on kyse, mitä se merkitsee heidän ajanvaraukselleen ja milloin on lisää uutisia. Rehellinen, inhimillinen viesti estää tarpeettomat puhelut ja epäluottamuksen. Huolehdi, että tieto verkkosivulla, vastaanotossa ja puhelimessa on yhdenmukainen.

Oppi 4: Tunne riippuvuutesi toimittajista

Häiriö ei tullut sisältä vaan ulkoiselta ohjelmistotoimittajalta. Se osoittaa, kuinka riippuvainen moderni terveydenhuolto on digitaalisesta ketjusta: potilastietojärjestelmän toimittaja, ohjelmistokumppani, pilvipalvelu. Kartoita nämä riippuvuudet (mikä järjestelmä riippuu mistäkin toimittajasta) ja kirjaa, mitä teet, jos toimittaja kaatuu. Sovi palautumisajoista ja pidä varasuunnitelma valmiina.

Oppi 5: Tunne standardisi ja ilmoitusvelvollisuutesi

Terveydenhuollon organisaatiot toimivat NEN 7510 -standardin (tietoturva) ja GDPR:n mukaisesti. Jos potilasturvallisuus vaarantuu, kyseessä voi olla vaaratapahtuma, josta ilmoitat kolmen työpäivän kuluessa terveydenhuollon ja nuorison tarkastusvirastolle (Inspectie Gezondheidszorg en Jeugd, IGJ) Wkkgz-lain nojalla. Jos mukana on henkilötietoja, sovelletaan tietoturvaloukkauksen ilmoitusvelvollisuutta (72 tuntia) tietosuojaviranomaiselle (Autoriteit Persoonsgegevens). Terveydenhuollon tarjoajat kuuluvat lisäksi yhä useammin kyberturvallisuuslain (NIS2) piiriin, ja niillä on velvollisuus ilmoittaa merkittävistä poikkeamista. Kirjaa kriisin aikana ylös, mitkä ilmoitukset on tehty milloin ja kenelle.

Miten CrisisRadar auttaa tässä

CrisisRadar kokoaa johdon, hoidon johdon, ICT:n ja tiedotuksen yhteiseen tilannekuvaan. Kirjaat tosiasiat lähteineen, jaat työntekijöille selkeät hätäohjeet, laadit rauhoittavan viestin omaisille ja valvot hoidon jatkuvuutta. Ilmoitusajastimet valvovat IGJ:n ja tietosuojaviranomaisen (Autoriteit Persoonsgegevens) määräaikoja. Haluatko nähdä, miltä terveydenhuollon ICT-katko näyttää vaihe vaiheelta alustassa? Tutustu silloin siihen liittyvään harjoitustilanteeseen.

Stappenplan

Veelgestelde vragen

Oliko CrowdStrike-häiriö kyberhyökkäys?

Ei. 19. heinäkuuta 2024 sattunut häiriö johtui toimittaja CrowdStriken virheellisestä ohjelmistopäivityksestä, ei hyökkäyksestä. Silti se lamautti Windows-järjestelmiä maailmanlaajuisesti, myös sairaaloissa, mikä korostaa hyvien hätämenettelyjen merkitystä.

Miten hoito jatkuu, jos järjestelmät kaatuvat?

Koetelluilla hätämenettelyillä: paperiset antokirjaukset, kaksoistarkistus riskialttiin lääkityksen yhteydessä ja selkeät sopimukset prioriteeteista ja rooleista. Harjoittele näitä menettelyjä säännöllisesti, jotta ne ovat selkärangassa.

Mikä ilmoitusvelvollisuus koskee terveydenhuollon ICT-katkoa?

Jos potilasturvallisuus vaarantuu, ilmoitat vaaratapahtumasta kolmen työpäivän kuluessa IGJ:lle (Wkkgz). Jos mukana on henkilötietoja, sovelletaan tietoturvaloukkauksen ilmoitusta 72 tunnin kuluessa tietosuojaviranomaiselle (Autoriteit Persoonsgegevens). Usein sovelletaan myös kyberturvallisuuslakia (NIS2).