Svjetski IT kvar iz 2024.: 5 pouka za zdravstvo

Što se dogodilo

Neispravna nadogradnja sigurnosnog softvera dobavljača CrowdStrike izazvala je zloglasni plavi ekran (Blue Screen of Death) na nebrojenim Windows računalima. Diljem svijeta poremećeni su sektori poput zrakoplovstva, banaka, medija i zdravstva. U Nizozemskoj su, među ostalim, pogođene bolnice Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) i Slingeland (Doetinchem). Operacije su odgađane, a neke lokacije privremeno nisu primale nove pacijente. Naglašeno nije bila riječ o kibernapadu, nego o pogrešci u nadogradnji; oporavak je za svaki sustav iziskivao ručni rad.

Pouka 1: Skrb se nastavlja, pa i na papiru

Ako ispadnu karton pacijenta, modul za lijekove ili raspored, skrb ipak mora teći dalje. To iziskuje provjerene postupke u nuždi: rad s papirnatim listama primjene lijekova, dvostruku provjeru kod rizičnih lijekova i jasne dogovore o tome tko što radi. Uvježbavajte te postupke u nuždi periodično. U praksi se pokazuje da djelatnici koji ih rijetko primjenjuju tijekom stvarnog ispada gube dragocjeno vrijeme. Kratka, jasna uputna kartica po odjelu golem je oslonac.

Pouka 2: Obavijestite djelatnike i izvan sustava

Ako uobičajeni sustavi padnu, djelatnike ne možete dosegnuti preko tih sustava. Unaprijed promislite o alternativnim putovima.

• Središnja, kratka uputa: što ne radi, koji postupak u nuždi vrijedi, gdje je najnovije stanje.
• Dostupnost preko alternativnih kanala (telefon, SMS, zatvorena stranica).
• Jasnoća oko prioriteta: koja skrb i koji odjeli imaju prednost.
• Zračenje smirenosti: djelatnici koji znaju što treba činiti smiruju i pacijente i obitelj.

Pouka 3: Umirite obitelj i pacijente

Odgođene operacije i zatvorena vrata izazivaju nemir kod pacijenata i obitelji. Budite proaktivni: objasnite što se događa, što to znači za njihov termin i kada slijede nove vijesti. Iskrena, ljudska poruka sprječava nepotrebne pozive i nepovjerenje. Pobrinite se da informacije na web-stranici, na šalteru i na telefonu budu istovjetne.

Pouka 4: Poznajte svoju ovisnost o dobavljačima

Kvar nije došao iznutra, nego od vanjskog dobavljača softvera. To pokazuje koliko moderno zdravstvo ovisi o digitalnom lancu: dobavljaču ECD-a, softverskoj tvrtki, oblačnoj usluzi. Popišite te ovisnosti (koji sustav ovisi o kojem dobavljaču) i utvrdite što ćete učiniti ako dobavljač zakaže. Dogovorite rokove oporavka i držite rezervnu opciju u pripremi.

Pouka 5: Poznajte svoje norme i obveze prijave

Zdravstvene ustanove rade prema normi NEN 7510 (informacijska sigurnost) i GDPR-u. Ako je ugrožena sigurnost pacijenata, može biti riječ o ozbiljnom štetnom događaju (calamiteit) koji u roku od tri radna dana prijavljujete Inspektoratu za zdravstvo i mlade (IGJ) prema Zakonu Wkkgz. Ako su uključeni osobni podaci, vrijedi obveza prijave povrede podataka (72 sata) nizozemskom Tijelu za zaštitu osobnih podataka (Autoriteit Persoonsgegevens). Pružatelji zdravstvene skrbi uz to sve češće potpadaju pod Zakon o kibernetičkoj sigurnosti (NIS2), uz obvezu prijave značajnih incidenata. Tijekom krize bilježite koje su prijave, kada i kome podnesene.

Kako tu pomaže CrisisRadar

CrisisRadar okuplja upravu, menadžment skrbi, ICT i glasnogovornika u zajedničkoj slici krize. Bilježite činjenice s izvorom, dijelite jasne upute za nuždu s djelatnicima, sastavljate umirujuću poruku za obitelj i pazite na neprekidnost skrbi. Brojači obveza prijave prate rokove za IGJ i Autoriteit Persoonsgegevens. Želite li vidjeti kako ispad ICT-a u zdravstvu korak po korak izgleda u platformi? Pogledajte pripadajući scenarij.

Stappenplan

Veelgestelde vragen

Je li kvar CrowdStrikea bio kibernapad?

Ne. Kvar od 19. srpnja 2024. nastao je zbog pogrešne softverske nadogradnje dobavljača CrowdStrike, a ne zbog napada. Ipak je diljem svijeta srušio Windows sustave, i u bolnicama, što naglašava važnost dobrih postupaka u nuždi.

Kako skrb teče dalje kad sustavi ispadnu?

Uz provjerene postupke u nuždi: rad s papirnatim listama primjene lijekova, dvostruku provjeru kod rizičnih lijekova te jasne dogovore o prioritetima i ulogama. Uvježbavajte te postupke periodično, da uđu u naviku.

Koja obveza prijave vrijedi pri ispadu ICT-a u zdravstvu?

Ako je ugrožena sigurnost pacijenata, ozbiljan štetni događaj prijavljujete u roku od tri radna dana IGJ-u (Zakon Wkkgz). Ako su uključeni osobni podaci, vrijedi prijava povrede podataka u roku od 72 sata Tijelu za zaštitu osobnih podataka (Autoriteit Persoonsgegevens). Često vrijedi i Zakon o kibernetičkoj sigurnosti (NIS2).