A 2024-es világméretű IT-üzemzavar: 5 tanulság az egészségügynek

Mi történt

A CrowdStrike beszállító biztonsági szoftverének hibás frissítése számtalan Windows-számítógépen okozta a hírhedt kék halált (Blue Screen of Death). Világszerte megbénultak olyan ágazatok, mint a légi közlekedés, a bankok, a média és az egészségügy. Hollandiában többek között a Treant (Emmen, Hoogeveen, Stadskanaal), a Nij Smellinghe (Drachten) és a Slingeland (Doetinchem) kórházai szenvedték el a hatásokat. Műtéteket halasztottak el, egyes telephelyek pedig átmenetileg nem fogadtak új betegeket. Kifejezetten nem kibertámadásról volt szó, hanem egy frissítés hibájáról; a helyreállítás rendszerenként kézi munkát igényelt.

1. tanulság: Az ellátás papíron is folytatódik

Ha kiesik a betegdokumentáció, a gyógyszermodul vagy az ütemezés, az ellátásnak akkor is folytatódnia kell. Ez bevált vészhelyzeti eljárásokat kíván: munka papír alapú beadási listákkal, kettős ellenőrzés a kockázatos gyógyszereknél, és világos megállapodások arról, ki mit csinál. Gyakorolja ezeket a vészhelyzeti eljárásokat rendszeresen. A gyakorlatban kiderül, hogy azok a munkatársak, akik ritkán dolgoznak velük, egy valódi kiesés során értékes időt veszítenek. Egy rövid, világos utasításkártya osztályonként rendkívül sokat segít.

2. tanulság: Tájékoztassa a munkatársakat a rendszereken kívül is

Ha a szokásos rendszerek leállnak, a munkatársakat nem érheti el ezeken a rendszereken keresztül. Gondolja át előre az alternatív útvonalakat.

• Egy központi, rövid utasítás: mi nem működik, melyik vészhelyzeti eljárás érvényes, hol található a legfrissebb állás.
• Elérhetőség alternatív csatornákon (telefon, SMS, egy zárt oldal).
• Egyértelműség a prioritásokról: melyik ellátás és melyik osztály élvez elsőbbséget.
• Nyugalom sugárzása: a munkatársak, akik tudják, mit kell tenni, a betegeket és a hozzátartozókat is nyugton tartják.

3. tanulság: Nyugtassa meg a hozzátartozókat és a betegeket

Az elhalasztott műtétek és a zárt ajtók nyugtalanságot keltenek a betegek és a hozzátartozók körében. Legyen ebben proaktív: magyarázza el, mi történik, mit jelent ez az időpontjukra nézve, és mikor lesz több hír. Egy őszinte, emberi üzenet megelőzi a felesleges telefonhívásokat és a bizalmatlanságot. Gondoskodjon arról, hogy a weboldalon, a pultnál és a telefonnál azonos legyen az információ.

4. tanulság: Ismerje a beszállítóktól való függőségét

Az üzemzavar nem belülről jött, hanem egy külső szoftverbeszállítótól. Ez megmutatja, mennyire függ a modern egészségügy a digitális lánctól: egy betegdokumentációs (ecd) beszállítótól, egy szoftvercégtől, egy felhőszolgáltatástól. Térképezze fel ezeket a függőségeket (melyik rendszer melyik beszállítótól függ), és rögzítse, mit tesz, ha egy beszállító kiesik. Kössön megállapodásokat a helyreállítási időkről, és tartson kéznél egy tartalék megoldást.

5. tanulság: Ismerje a szabványait és bejelentési kötelezettségeit

Az egészségügyi intézmények a NEN 7510 (információbiztonság) és a GDPR szerint működnek. Ha a betegbiztonság veszélybe kerül, vészhelyzetről lehet szó, amelyet három munkanapon belül jelent be az egészségügyi és ifjúsági felügyeletnek (Inspectie Gezondheidszorg en Jeugd, IGJ) a Wkkgz alapján. Ha személyes adatok is érintettek, akkor érvényes az adatvédelmi incidens bejelentési kötelezettsége (72 óra) az Autoriteit Persoonsgegevens (holland adatvédelmi hatóság) felé. Az egészségügyi szolgáltatók emellett egyre gyakrabban a kiberbiztonsági törvény (NIS2) hatálya alá esnek, jelentős incidensek bejelentési kötelezettségével. A válság során rögzítse, mely bejelentéseket mikor és kihez tettek.

Hogyan segít ebben a CrisisRadar

A CrisisRadar közös helyzetképbe hozza össze a vezetőséget, az ellátásmenedzsmentet, az informatikát és a szóvivőséget. A tényeket forrással együtt rögzíti, világos vészhelyzeti utasításokat oszt meg a munkatársakkal, megnyugtató üzenetet állít össze a hozzátartozóknak, és őrködik az ellátás folytonossága felett. A bejelentési határidőket számlálók figyelik az IGJ és az Autoriteit Persoonsgegevens felé. Szeretné látni, hogyan néz ki lépésről lépésre egy IT-kiesés az egészségügyben a platformon? Akkor tekintse meg a kapcsolódó gyakorlati helyzetet.

Stappenplan

Veelgestelde vragen

Kibertámadás volt a CrowdStrike-üzemzavar?

Nem. A 2024. július 19-i üzemzavart a CrowdStrike beszállító egy hibás szoftverfrissítése okozta, nem egy támadás. Mégis világszerte megbénította a Windows-rendszereket, kórházakban is, ami aláhúzza a jó vészhelyzeti eljárások fontosságát.

Hogyan folytatódhat az ellátás, ha a rendszerek kiesnek?

Bevált vészhelyzeti eljárásokkal: munka papír alapú beadási listákkal, kettős ellenőrzés a kockázatos gyógyszereknél, és világos megállapodások a prioritásokról és a szerepekről. Gyakorolja ezeket az eljárásokat rendszeresen, hogy a kézben legyenek.

Milyen bejelentési kötelezettség vonatkozik egy IT-kiesésre az egészségügyben?

Ha a betegbiztonság veszélybe kerül, egy vészhelyzetet három munkanapon belül jelent be az IGJ-nek (Wkkgz). Ha személyes adatok is érintettek, akkor az adatvédelmi incidenst 72 órán belül kell bejelenteni az Autoriteit Persoonsgegevens felé. Gyakran a kiberbiztonsági törvény (NIS2) is érvényes.