Глобальний ІТ-збій 2024 року: 5 уроків для сфери охорони здоров'я

Що сталося

Несправне оновлення захисного програмного забезпечення постачальника CrowdStrike спричинило горезвісний синій екран (Blue Screen of Death) на безлічі комп'ютерів з Windows. По всьому світу було дезорганізовано такі сектори, як авіація, банки, медіа та охорона здоров'я. У Нідерландах постраждали, зокрема, лікарні Treant (Emmen, Hoogeveen, Stadskanaal), Nij Smellinghe (Drachten) та Slingeland (Doetinchem). Операції відкладали, а деякі відділення тимчасово не приймали нових пацієнтів. Ішлося виразно не про кібератаку, а про помилку в оновленні; відновлення кожної системи потребувало ручної роботи.

Урок 1: Медична допомога триває — навіть на папері

Якщо відмовляють медична картка, модуль медикаментів або планування, медична допомога все одно має тривати. Це потребує перевірених аварійних процедур: роботи з паперовими листками призначень, подвійного контролю ризикованих медикаментів і чітких домовленостей про те, хто що робить. Відпрацьовуйте ці аварійні процедури періодично. На практиці виявляється, що працівники, які рідко з ними працюють, під час справжньої відмови втрачають дорогоцінний час. Коротка, зрозуміла інструкційна картка для кожного відділення допомагає надзвичайно.

Урок 2: Інформуйте працівників — зокрема й поза системами

Коли звичайні системи не працюють, ви не можете зв'язатися з працівниками через ці системи. Заздалегідь продумайте альтернативні шляхи.

• Централізована коротка інструкція: що не працює, яка аварійна процедура діє, де дивитися останній стан.
• Доступність через альтернативні канали (телефон, SMS, закрита сторінка).
• Чіткість щодо пріоритетів: яка допомога та які відділення мають перевагу.
• Випромінюйте спокій: працівники, які знають, що робити, також заспокоюють пацієнтів і рідних.

Урок 3: Заспокоюйте рідних і пацієнтів

Відкладені операції та зачинені двері викликають тривогу в пацієнтів і рідних. Будьте в цьому проактивними: поясніть, що відбувається, що це означає для їхнього візиту і коли буде більше новин. Чесне, людяне повідомлення запобігає зайвим дзвінкам і недовірі. Подбайте про те, щоб інформація на вебсайті, на стійці та по телефону була однаковою.

Урок 4: Знайте свою залежність від постачальників

Збій стався не зсередини, а від зовнішнього постачальника програмного забезпечення. Це показує, наскільки сучасна медицина залежить від цифрового ланцюга: постачальника ECD, розробника ПЗ, хмарного сервісу. Складіть карту цих залежностей (яка система від якого постачальника залежить) і закріпіть, що ви робитимете, якщо постачальник відмовить. Домовляйтеся про строки відновлення й тримайте напоготові запасний варіант.

Урок 5: Знайте свої стандарти та обов'язки повідомлення

Заклади охорони здоров'я працюють за стандартом NEN 7510 (інформаційна безпека) та AVG (нідерландським аналогом GDPR). Якщо під загрозою безпека пацієнтів, це може бути надзвичайною подією, про яку ви повідомляєте протягом трьох робочих днів Інспекцію охорони здоров'я та у справах молоді (IGJ) згідно із законом Wkkgz. Якщо задіяно персональні дані, діє обов'язок повідомити про витік даних (72 години) Управління із захисту персональних даних. Крім того, надавачі медичних послуг дедалі частіше підпадають під Закон про кібербезпеку (NIS2) з обов'язком повідомляти про значні інциденти. Під час кризи фіксуйте, які повідомлення, коли й кому було подано.

Як у цьому допомагає CrisisRadar

CrisisRadar об'єднує керівництво, медичний менеджмент, ІКТ та речника у спільній картині кризи. Ви фіксуєте факти із зазначенням джерела, надаєте працівникам зрозумілі аварійні інструкції, складаєте заспокійливе повідомлення для рідних і забезпечуєте безперервність медичної допомоги. Таймери обов'язкового повідомлення відстежують строки для IGJ та Управління із захисту персональних даних. Хочете побачити, як ІКТ-відмова у сфері охорони здоров'я крок за кроком виглядає на платформі? Тоді перегляньте відповідний практичний сценарій.

Stappenplan

Veelgestelde vragen

Чи був збій CrowdStrike кібератакою?

Ні. Збій 19 липня 2024 року стався через помилкове оновлення програмного забезпечення постачальника CrowdStrike, а не через атаку. Проте він вивів з ладу системи Windows по всьому світу, зокрема й у лікарнях, що підкреслює важливість належних аварійних процедур.

Як забезпечити безперервність медичної допомоги, коли системи відмовляють?

Завдяки перевіреним аварійним процедурам: роботі з паперовими листками призначень, подвійному контролю ризикованих медикаментів і чітким домовленостям про пріоритети та ролі. Відпрацьовуйте ці процедури періодично, щоб вони були доведені до автоматизму.

Який обов'язок повідомлення діє під час ІКТ-відмови у сфері охорони здоров'я?

Якщо під загрозою безпека пацієнтів, ви повідомляєте про надзвичайну подію протягом трьох робочих днів IGJ (Wkkgz). Якщо задіяно персональні дані, діє повідомлення про витік даних протягом 72 годин Управлінню із захисту персональних даних. Часто діє також Закон про кібербезпеку (NIS2).