Celosvetový výpadok IT v roku 2024: 5 ponaučení pre zdravotníctvo

Čo sa stalo

Chybná aktualizácia bezpečnostného softvéru dodávateľa CrowdStrike spôsobila na nespočetných počítačoch s Windowsom neblaho známu modrú obrazovku (Blue Screen of Death). Celosvetovo sa narušila prevádzka v sektoroch ako letectvo, bankovníctvo, médiá a zdravotníctvo. V Holandsku boli zasiahnuté okrem iného nemocnice Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) a Slingeland (Doetinchem). Operácie sa odkladali a niektoré pracoviská dočasne neprijímali nových pacientov. Rozhodne nešlo o kybernetický útok, ale o chybu v aktualizácii; obnova si na každom systéme vyžadovala manuálnu prácu.

Ponaučenie 1: Starostlivosť pokračuje, aj na papieri

Keď vypadne zdravotná dokumentácia pacienta, modul na podávanie liekov alebo plánovanie, starostlivosť musí napriek tomu pokračovať. To si vyžaduje overené núdzové postupy: prácu s papierovými zoznamami na podávanie liekov, dvojitú kontrolu pri rizikových liekoch a jasné dohody o tom, kto čo robí. Tieto núdzové postupy pravidelne nacvičujte. Prax ukazuje, že zamestnanci, ktorí ich používajú len zriedka, počas skutočného výpadku strácajú cenný čas. Krátka, jasná inštrukčná karta pre každé oddelenie nesmierne pomáha.

Ponaučenie 2: Informujte zamestnancov, aj mimo systémov

Keď bežné systémy nefungujú, nemôžete zamestnancov zastihnúť cez tieto systémy. Vopred premyslite alternatívne cesty.

• Centrálna, stručná inštrukcia: čo nefunguje, ktorý núdzový postup platí, kde je najnovší stav.
• Dostupnosť cez alternatívne kanály (telefón, SMS, uzavretá stránka).
• Jasnosť v prioritách: ktorá starostlivosť a ktoré oddelenia majú prednosť.
• Vyžarovať pokoj: zamestnanci, ktorí vedia, čo robiť, udržia v pokoji aj pacientov a rodinu.

Ponaučenie 3: Upokojte rodinu a pacientov

Odložené operácie a zatvorené dvere vyvolávajú nepokoj u pacientov a ich rodín. Buďte proaktívni: vysvetlite, čo sa deje, čo to znamená pre ich termín a kedy budú ďalšie informácie. Úprimná, ľudská správa predchádza zbytočným telefonátom a nedôvere. Dbajte na to, aby informácie na webovej stránke, na recepcii a na telefóne boli totožné.

Ponaučenie 4: Poznajte svoju závislosť od dodávateľov

Výpadok neprišiel zvnútra, ale od externého dodávateľa softvéru. Ukazuje to, aké závislé je moderné zdravotníctvo od digitálneho reťazca: dodávateľ elektronickej zdravotnej dokumentácie, softvérová firma, cloudová služba. Zmapujte tieto závislosti (ktorý systém závisí od ktorého dodávateľa) a stanovte, čo urobíte, keď dodávateľ vypadne. Dohodnite si časy obnovy a majte pripravenú záložnú možnosť.

Ponaučenie 5: Poznajte svoje normy a oznamovacie povinnosti

Zdravotnícke zariadenia pracujú podľa normy NEN 7510 (informačná bezpečnosť) a nariadenia GDPR. Ak je ohrozená bezpečnosť pacienta, môže ísť o závažnú udalosť, ktorú do troch pracovných dní nahlásite inšpekcii zdravotníctva a mládeže Inspectie Gezondheidszorg en Jeugd (IGJ) podľa zákona Wkkgz. Ak sú dotknuté osobné údaje, platí povinnosť nahlásiť porušenie ochrany údajov (do 72 hodín) úradu na ochranu osobných údajov Autoriteit Persoonsgegevens. Poskytovatelia zdravotnej starostlivosti navyše čoraz častejšie spadajú pod zákon o kybernetickej bezpečnosti (NIS2), s povinnosťou nahlásiť významné incidenty. Počas krízy zaznamenajte, ktoré hlásenia sa kedy a komu podali.

Ako pri tom pomáha CrisisRadar

CrisisRadar spája vedenie, manažment zdravotnej starostlivosti, IT a komunikáciu do spoločného krízového obrazu. Zaznamenávate fakty aj so zdrojom, zdieľate jasné núdzové pokyny so zamestnancami, pripravíte upokojujúcu správu pre rodiny a strážite kontinuitu starostlivosti. Časovače oznamovacích povinností strážia lehoty voči IGJ a úradu Autoriteit Persoonsgegevens. Chcete vidieť, ako výpadok IT v zdravotníctve vyzerá v platforme krok za krokom? Pozrite si súvisiacu prípadovú situáciu.

Stappenplan

Veelgestelde vragen

Bol výpadok CrowdStrike kybernetický útok?

Nie. Výpadok z 19. júla 2024 spôsobila chybná softvérová aktualizácia dodávateľa CrowdStrike, nie útok. Napriek tomu celosvetovo vyradil systémy Windows, aj v nemocniciach, čo podčiarkuje význam dobrých núdzových postupov.

Ako pokračuje starostlivosť, keď systémy vypadnú?

Vďaka overeným núdzovým postupom: práca s papierovými zoznamami na podávanie liekov, dvojitá kontrola pri rizikových liekoch a jasné dohody o prioritách a úlohách. Tieto postupy pravidelne nacvičujte, aby ich mal personál v malíčku.

Aká oznamovacia povinnosť platí pri výpadku IT v zdravotníctve?

Ak je ohrozená bezpečnosť pacienta, závažnú udalosť nahlásite do troch pracovných dní inšpekcii IGJ (zákon Wkkgz). Ak sú dotknuté osobné údaje, platí nahlásenie porušenia ochrany údajov do 72 hodín úradu Autoriteit Persoonsgegevens. Často platí aj zákon o kybernetickej bezpečnosti (NIS2).