2024'ün dünya çapındaki BT arızası: sağlık için 5 ders

Ne oldu

CrowdStrike tedarikçisinin güvenlik yazılımının bozuk bir güncellemesi, sayısız Windows bilgisayarında meşhur mavi ekrana (Blue Screen of Death) yol açtı. Dünya çapında havacılık, bankacılık, medya ve sağlık gibi sektörlerin düzeni bozuldu. Hollanda'da diğerlerinin yanı sıra Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) ve Slingeland (Doetinchem) hastaneleri etkilendi. Ameliyatlar ertelendi ve bazı lokasyonlar geçici olarak yeni hasta kabul etmedi. Bu kesinlikle bir siber saldırı değil, bir güncellemedeki hataydı; onarım her sistem için elle yapılan çalışma gerektirdi.

Ders 1: Bakım, kâğıt üzerinde de olsa devam eder

Hasta dosyası, ilaç modülü ya da planlama devre dışı kalsa da bakımın yine de devam etmesi gerekir. Bu, denenmiş acil durum prosedürleri gerektirir: kâğıt ilaç uygulama listeleriyle çalışmak, riskli ilaçlarda çift kontrol ve kimin ne yapacağına dair net anlaşmalar. Bu acil durum prosedürlerini düzenli olarak prova edin. Uygulamada, bunlarla nadiren çalışan personelin gerçek bir kesinti sırasında değerli zaman kaybettiği görülüyor. Her bölüm için kısa ve net bir yönerge kartı çok işe yarar.

Ders 2: Çalışanları sistemler dışından da bilgilendirin

Olağan sistemler çöktüğünde çalışanlara o sistemler üzerinden ulaşamazsınız. Alternatif yolları önceden düşünün.

• Merkezî, kısa bir yönerge: neyin çalışmadığı, hangi acil durum prosedürünün geçerli olduğu, en son durumun nerede bulunduğu.
• Alternatif kanallar üzerinden erişilebilirlik (telefon, SMS, kapalı bir sayfa).
• Önceliklerde netlik: hangi bakımın ve hangi bölümlerin önce geleceği.
• Sükûnet yaymak: ne yapacağını bilen çalışanlar, hasta ve aileleri de sakin tutar.

Ders 3: Aileleri ve hastaları rahatlatın

Ertelenen ameliyatlar ve kapalı kapılar, hasta ve ailelerde huzursuzluğa yol açar. Bu konuda proaktif olun: ne olduğunu, bunun randevuları için ne anlama geldiğini ve ne zaman daha fazla haber olacağını anlatın. Dürüst, insani bir mesaj gereksiz telefonları ve güvensizliği önler. Bilginin web sitesinde, gişede ve telefonda aynı olmasını sağlayın.

Ders 4: Tedarikçilere olan bağımlılığınızı bilin

Arıza içeriden değil, dış bir yazılım tedarikçisinden geldi. Bu, modern sağlığın dijital zincire ne kadar bağımlı olduğunu gösteriyor: bir EPD tedarikçisi, bir yazılım tarafı, bir bulut hizmeti. Bu bağımlılıkları haritalandırın (hangi sistem hangi tedarikçiye bağlı) ve bir tedarikçi devre dışı kaldığında ne yapacağınızı belirleyin. Onarım süreleri konusunda anlaşmalar yapın ve elinizde bir yedek seçenek bulundurun.

Ders 5: Standartlarınızı ve bildirim yükümlülüklerinizi bilin

Sağlık kuruluşları NEN 7510 (bilgi güvenliği) ve AVG kapsamında çalışır. Hasta güvenliği tehlikeye giriyorsa, Wkkgz kapsamında üç iş günü içinde Sağlık ve Gençlik Denetim Kurumu'na (IGJ) bildireceğiniz bir kalamite söz konusu olabilir. Kişisel veriler söz konusuysa Kişisel Verileri Koruma Kurumu'na (Autoriteit Persoonsgegevens) 72 saatlik veri ihlali bildirim yükümlülüğü geçerlidir. Sağlık hizmeti sunucuları ayrıca giderek daha sık Siber Güvenlik Yasası (NIS2) kapsamına giriyor ve önemli olaylar için bildirim yükümlülüğü taşıyor. Kriz sırasında hangi bildirimlerin ne zaman ve kime yapıldığını kayıt altına alın.

CrisisRadar bu konuda nasıl yardımcı olur

CrisisRadar; yönetim kurulunu, sağlık yönetimini, BT'yi ve sözcülüğü paylaşılan bir kriz tablosunda bir araya getirir. Gerçekleri kaynağıyla kayıt altına alır, çalışanlarla net acil durum yönergelerini paylaşır, aileler için güven verici bir mesaj hazırlar ve bakımın sürekliliğini gözetirsiniz. Bildirim yükümlülüğü sayaçları, IGJ ve Kişisel Verileri Koruma Kurumu için süreleri takip eder. Sağlıkta bir BT kesintisinin platformda adım adım nasıl göründüğünü görmek ister misiniz? O hâlde ilgili uygulama senaryosunu inceleyin.

Stappenplan

Veelgestelde vragen

CrowdStrike arızası bir siber saldırı mıydı?

Hayır. 19 Temmuz 2024 arızası, bir saldırıdan değil, CrowdStrike tedarikçisinin hatalı bir yazılım güncellemesinden kaynaklandı. Yine de dünya çapında Windows sistemlerini, hastaneler dâhil, felç etti; bu da iyi acil durum prosedürlerinin önemini vurguluyor.

Sistemler devre dışı kaldığında bakım nasıl devam eder?

Denenmiş acil durum prosedürleriyle: kâğıt ilaç uygulama listeleriyle çalışmak, riskli ilaçlarda çift kontrol ve öncelikler ile roller konusunda net anlaşmalar. Bu prosedürleri düzenli olarak prova edin ki refleks hâline gelsinler.

Sağlıkta bir BT kesintisinde hangi bildirim yükümlülüğü geçerlidir?

Hasta güvenliği tehlikeye giriyorsa, bir kalamiteyi üç iş günü içinde IGJ'ye (Wkkgz) bildirirsiniz. Kişisel veriler söz konusuysa, 72 saat içinde Kişisel Verileri Koruma Kurumu'na veri ihlali bildirimi geçerlidir. Çoğu zaman Siber Güvenlik Yasası (NIS2) de geçerlidir.