A falha informática mundial de 2024: 5 lições para os cuidados de saúde

O que aconteceu

Uma atualização defeituosa do software de segurança do fornecedor CrowdStrike provocou o famigerado ecrã azul (Blue Screen of Death) em inúmeros computadores Windows. Em todo o mundo, setores como a aviação, a banca, os meios de comunicação e os cuidados de saúde foram perturbados.

Nos Países Baixos, foram afetados, entre outros, os hospitais da Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) e Slingeland (Doetinchem). As cirurgias foram adiadas e alguns locais deixaram temporariamente de aceitar novos doentes. Não se tratou, de forma alguma, de um ciberataque, mas de um erro numa atualização; a recuperação exigiu trabalho manual em cada sistema.

Lição 1: Os cuidados continuam, mesmo em papel

Quando o processo do cliente, o módulo de medicação ou o planeamento falham, os cuidados têm mesmo de continuar. Isso exige procedimentos de emergência comprovados: trabalhar com listas de administração em papel, dupla verificação na medicação de risco e acordos claros sobre quem faz o quê.

Treine estes procedimentos de emergência periodicamente. Na prática, verifica-se que os colaboradores que raramente os utilizam perdem tempo precioso durante uma falha real. Um cartão de instruções curto e claro por serviço ajuda enormemente.

Lição 2: Informe os colaboradores, também fora dos sistemas

Quando os sistemas habituais estão em baixo, não é possível contactar os colaboradores através desses sistemas. Pense antecipadamente em vias alternativas.

• Uma instrução central e breve: o que não funciona, qual o procedimento de emergência em vigor e onde encontrar a situação mais recente.
• Contactabilidade através de canais alternativos (telefone, SMS, uma página reservada).
• Clareza sobre as prioridades: que cuidados e que serviços têm precedência.
• Transmitir tranquilidade: colaboradores que sabem o que fazer também mantêm doentes e familiares calmos.

Lição 3: Tranquilize familiares e doentes

As cirurgias adiadas e as portas fechadas geram inquietação entre doentes e familiares. Seja proativo: explique o que se passa, o que isso significa para a sua consulta e quando haverá mais informações.

Uma mensagem honesta e humana evita telefonemas desnecessários e desconfiança. Assegure que a informação no sítio web, no balcão e ao telefone seja idêntica.

Lição 4: Conheça a sua dependência dos fornecedores

A falha não teve origem interna, mas num fornecedor externo de software. Isso mostra o quanto os cuidados de saúde modernos dependem da cadeia digital: um fornecedor de ECD, uma empresa de software, um serviço de nuvem.

Mapeie estas dependências (que sistema depende de que fornecedor) e defina o que fazer se um fornecedor falhar. Estabeleça acordos sobre tempos de recuperação e mantenha uma opção de recurso à mão.

Lição 5: Conheça as suas normas e obrigações de notificação

As instituições de saúde regem-se pela NEN 7510 (segurança da informação) e pelo RGPD. Se a segurança do doente estiver em risco, pode tratar-se de uma calamidade que deve ser notificada no prazo de três dias úteis à Inspectie Gezondheidszorg en Jeugd (IGJ) ao abrigo da Wkkgz. Se estiverem envolvidos dados pessoais, aplica-se a obrigação de notificação de violação de dados (72 horas) à Autoriteit Persoonsgegevens.

Além disso, os prestadores de cuidados de saúde estão cada vez mais abrangidos pela Lei de Cibersegurança (NIS2), com obrigação de notificar incidentes significativos. Registe, durante a crise, que notificações foram feitas, quando e a quem.

Como o CrisisRadar ajuda nisto

O CrisisRadar reúne a administração, a gestão dos cuidados, as TI e a assessoria de imprensa num quadro de crise partilhado. Regista os factos com a respetiva fonte, partilha instruções de emergência claras com os colaboradores, elabora uma mensagem tranquilizadora para os familiares e vela pela continuidade dos cuidados. Os temporizadores das obrigações de notificação controlam os prazos para a IGJ e a Autoriteit Persoonsgegevens.

Quer ver como uma falha informática nos cuidados de saúde se apresenta, passo a passo, na plataforma? Consulte então a situação prática correspondente.

Stappenplan

Veelgestelde vragen

A falha da CrowdStrike foi um ciberataque?

Não. A falha de 19 de julho de 2024 deveu-se a uma atualização de software incorreta do fornecedor CrowdStrike, e não a um ataque. Ainda assim, paralisou sistemas Windows em todo o mundo, incluindo em hospitais, o que sublinha a importância de bons procedimentos de emergência.

Como é que os cuidados continuam quando os sistemas falham?

Com procedimentos de emergência comprovados: trabalhar com listas de administração em papel, dupla verificação na medicação de risco e acordos claros sobre prioridades e funções. Treine estes procedimentos periodicamente, para que fiquem automatizados.

Que obrigação de notificação se aplica a uma falha informática nos cuidados de saúde?

Se a segurança do doente estiver em risco, deve notificar uma calamidade no prazo de três dias úteis à IGJ (Wkkgz). Se estiverem envolvidos dados pessoais, aplica-se a notificação de violação de dados no prazo de 72 horas à Autoriteit Persoonsgegevens. Muitas vezes aplica-se também a Lei de Cibersegurança (NIS2).