Svetovna IT-motnja leta 2024: 5 naukov za zdravstvo

Kaj se je zgodilo

Okvarjena posodobitev varnostne programske opreme dobavitelja CrowdStrike je na neštetih računalnikih Windows povzročila razvpiti modri zaslon (Blue Screen of Death). Po vsem svetu so se znašli v težavah sektorji, kot so letalstvo, banke, mediji in zdravstvo. Na Nizozemskem so bile prizadete med drugim bolnišnice skupine Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) in Slingeland (Doetinchem). Operacije so preložili, nekatere lokacije pa so začasno prenehale sprejemati nove paciente. Izrecno ni šlo za kibernetski napad, temveč za napako v posodobitvi; obnovitev je pri vsakem sistemu zahtevala ročno delo.

Nauk 1: Oskrba se nadaljuje, tudi na papirju

Ko odpovedo zdravstveni karton pacienta, modul za zdravila ali razpored, mora oskrba vseeno teči naprej. To zahteva preizkušene izredne postopke: delo s papirnimi listi za dajanje zdravil, dvojno preverjanje pri tveganih zdravilih in jasne dogovore o tem, kdo kaj počne. Te izredne postopke redno vadite. V praksi se pokaže, da zaposleni, ki jih redko uporabljajo, med resničnim izpadom izgubljajo dragoceni čas. Kratka, jasna kartica z navodili za vsak oddelek zelo pomaga.

Nauk 2: Obveščajte zaposlene tudi mimo sistemov

Ko običajni sistemi ne delujejo, zaposlenih prek njih ne morete doseči. Vnaprej razmislite o nadomestnih poteh.

• Osrednje, kratko navodilo: kaj ne deluje, kateri izredni postopek velja, kje je zadnje stanje.
• Dosegljivost prek nadomestnih kanalov (telefon, SMS, zaprta stran).
• Jasnost glede prednostnih nalog: katera oskrba in kateri oddelki imajo prednost.
• Izžarevanje mirnosti: zaposleni, ki vedo, kaj storiti, pomirjajo tudi paciente in svojce.

Nauk 3: Pomirite svojce in paciente

Preložene operacije in zaprta vrata sprožijo nemir pri pacientih in svojcih. Bodite pri tem proaktivni: pojasnite, kaj se dogaja, kaj to pomeni za njihov termin in kdaj bo več novic. Iskreno, človeško sporočilo prepreči nepotrebne telefonske klice in nezaupanje. Poskrbite, da so informacije na spletni strani, na okencu in po telefonu enake.

Nauk 4: Poznajte svojo odvisnost od dobaviteljev

Motnja ni prišla od znotraj, temveč od zunanjega dobavitelja programske opreme. To kaže, kako odvisno je sodobno zdravstvo od digitalne verige: od dobavitelja elektronskega zdravstvenega kartona, ponudnika programske opreme, storitve v oblaku. Te odvisnosti popišite (kateri sistem je odvisen od katerega dobavitelja) in določite, kaj boste storili, če dobavitelj odpove. Dogovorite se o časih obnovitve in imejte pripravljeno nadomestno možnost.

Nauk 5: Poznajte svoje standarde in obveznosti poročanja

Zdravstvene ustanove delujejo po standardu NEN 7510 (informacijska varnost) in po AVG (splošni uredbi o varstvu podatkov, GDPR). Če je ogrožena varnost pacientov, lahko gre za izredni dogodek, ki ga v treh delovnih dneh prijavite pristojni zdravstveni inšpekciji (IGJ) na podlagi zakona Wkkgz. Če so vpleteni osebni podatki, velja obveznost prijave kršitve varstva podatkov (72 ur) organu za varstvo podatkov (Autoriteit Persoonsgegevens). Ponudniki zdravstvenih storitev poleg tega vse pogosteje spadajo pod zakon o kibernetski varnosti (NIS2), z obveznostjo poročanja o pomembnih incidentih. Med krizo beležite, katere prijave so bile opravljene, kdaj in pri kom.

Kako pri tem pomaga CrisisRadar

CrisisRadar poveže upravo, vodstvo oskrbe, IT in odnose z javnostmi v skupno krizno sliko. Dejstva z virom zabeležite, z zaposlenimi delite jasna izredna navodila, sestavite pomirjujoče sporočilo za svojce in bdite nad neprekinjenostjo oskrbe. Časovniki obveznosti poročanja bdijo nad roki za inšpekcijo (IGJ) in organ za varstvo podatkov. Želite videti, kako izpad IT v zdravstvu korak za korakom izgleda na platformi? Oglejte si pripadajočo situacijo iz prakse.

Stappenplan

Veelgestelde vragen

Je bila motnja CrowdStrike kibernetski napad?

Ne. Motnja z dne 19. julija 2024 je nastala zaradi napačne posodobitve programske opreme dobavitelja CrowdStrike, ne zaradi napada. Kljub temu je po vsem svetu ohromila sisteme Windows, tudi v bolnišnicah, kar poudarja pomen dobrih izrednih postopkov.

Kako se oskrba nadaljuje ob izpadu sistemov?

S preizkušenimi izrednimi postopki: delo s papirnimi listi za dajanje zdravil, dvojno preverjanje pri tveganih zdravilih ter jasni dogovori o prednostnih nalogah in vlogah. Te postopke redno vadite, da so v mišicah.

Katera obveznost poročanja velja ob izpadu IT v zdravstvu?

Če je ogrožena varnost pacientov, izredni dogodek v treh delovnih dneh prijavite zdravstveni inšpekciji (IGJ, zakon Wkkgz). Če so vpleteni osebni podatki, velja prijava kršitve v 72 urah organu za varstvo podatkov (Autoriteit Persoonsgegevens). Pogosto velja tudi zakon o kibernetski varnosti (NIS2).