Avaria IT mondială din 2024: 5 lecții pentru sănătate

Ce s-a întâmplat

O actualizare defectuoasă a software-ului de securitate al furnizorului CrowdStrike a provocat faimosul ecran albastru (Blue Screen of Death) pe nenumărate calculatoare Windows. La nivel mondial au fost date peste cap sectoare precum aviația, băncile, media și sănătatea. În Țările de Jos au fost afectate, printre altele, spitalele Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) și Slingeland (Doetinchem). Operațiile au fost amânate, iar unele locații nu au mai primit temporar pacienți noi. Nu a fost nicidecum vorba de un atac cibernetic, ci de o eroare într-o actualizare; refacerea a necesitat lucru manual la fiecare sistem în parte.

Lecția 1: Îngrijirea continuă, chiar și pe hârtie

Dacă dosarul pacientului, modulul de medicație sau planificarea cedează, îngrijirea trebuie totuși să continue. Aceasta necesită proceduri de urgență testate: lucrul cu liste de administrare pe hârtie, dublă verificare la medicația cu risc și înțelegeri clare despre cine ce face. Exersați periodic aceste proceduri de urgență. În practică se dovedește că angajații care lucrează rar cu ele pierd timp prețios la o cădere reală. O fișă de instrucțiuni scurtă și clară pentru fiecare secție ajută enorm.

Lecția 2: Informați angajații, inclusiv pe căi din afara sistemelor

Dacă sistemele obișnuite sunt căzute, nu puteți ajunge la angajați prin acele sisteme. Gândiți-vă din timp la rute alternative.

• O instrucțiune centrală, scurtă: ce nu funcționează, ce procedură de urgență se aplică, unde se află ultima situație.
• Accesibilitate prin canale alternative (telefon, sms, o pagină cu acces restricționat).
• Claritate privind prioritățile: ce îngrijire și ce secții au întâietate.
• Emanați calm: angajații care știu ce au de făcut liniștesc și pacienții și familia.

Lecția 3: Liniștiți familia și pacienții

Operațiile amânate și ușile închise duc la neliniște în rândul pacienților și familiei. Fiți proactivi în acest sens: explicați ce se întâmplă, ce înseamnă asta pentru programarea lor și când vor fi mai multe vești. Un mesaj sincer și uman previne telefoanele inutile și neîncrederea. Asigurați-vă că informația de pe site, de la ghișeu și de la telefon este identică.

Lecția 4: Cunoașteți-vă dependența de furnizori

Avaria nu a venit din interior, ci de la un furnizor extern de software. Aceasta arată cât de dependentă este îngrijirea modernă de lanțul digital: un furnizor de dosar electronic, o firmă de software, un serviciu cloud. Cartografiați aceste dependențe (ce sistem depinde de ce furnizor) și consemnați ce faceți dacă un furnizor cedează. Stabiliți înțelegeri privind timpii de refacere și țineți la îndemână o soluție de rezervă.

Lecția 5: Cunoașteți-vă normele și obligațiile de notificare

Instituțiile de sănătate lucrează conform NEN 7510 (securitatea informației) și GDPR. Dacă siguranța pacientului este periclitată, poate fi vorba de o calamitate pe care o notificați în trei zile lucrătoare la Inspecția pentru Sănătate și Tineret (IGJ) conform Wkkgz. Dacă sunt implicate date cu caracter personal, se aplică obligația de notificare a încălcărilor de securitate (72 de ore) la Autoritatea pentru Protecția Datelor. În plus, furnizorii de servicii de sănătate intră tot mai des sub Legea privind securitatea cibernetică (NIS2), cu obligația de a notifica incidentele semnificative. În timpul crizei, consemnați ce notificări au fost făcute, când și către cine.

Cum vă ajută CrisisRadar

CrisisRadar aduce conducerea, managementul îngrijirii, IT-ul și comunicarea publică într-o imagine de criză comună. Consemnați faptele cu sursă, împărtășiți instrucțiuni de urgență clare cu angajații, formulați un mesaj liniștitor pentru familie și supravegheați continuitatea îngrijirii. Cronometrele obligațiilor de notificare urmăresc termenele pentru IGJ și Autoritatea pentru Protecția Datelor. Doriți să vedeți cum arată, pas cu pas, o cădere IT în sănătate în platformă? Consultați atunci situația practică aferentă.

Stappenplan

Veelgestelde vragen

A fost avaria CrowdStrike un atac cibernetic?

Nu. Avaria din 19 iulie 2024 a fost cauzată de o actualizare software eronată a furnizorului CrowdStrike, nu de un atac. Totuși, aceasta a paralizat la nivel mondial sisteme Windows, inclusiv în spitale, ceea ce subliniază importanța unor proceduri de urgență bune.

Cum continuă îngrijirea dacă sistemele cedează?

Cu proceduri de urgență testate: lucrul cu liste de administrare pe hârtie, dublă verificare la medicația cu risc și înțelegeri clare privind prioritățile și rolurile. Exersați periodic aceste proceduri, ca să le aveți bine însușite.

Ce obligație de notificare se aplică la o cădere IT în sănătate?

Dacă siguranța pacientului este periclitată, notificați o calamitate în trei zile lucrătoare la IGJ (Wkkgz). Dacă sunt implicate date cu caracter personal, se aplică notificarea încălcării în 72 de ore la Autoritatea pentru Protecția Datelor. Adesea se aplică și Legea privind securitatea cibernetică (NIS2).