Gdy komputery nie działają: Jak zarządzać ryzykiem IT?

Światowa awaria systemów Microsoft sparaliżowała na kilka godzin działalność firm, lotnisk, ale także szpitali. Tak poważne usterki są rzadkością, ale istnieje wiele innych scenariuszy, gdy dostęp do komputera zostaje zablokowany. Jak się do nich przygotować?

Niebieski ekran śmierci

Kiedy w lipcu na ekranach komputerów pojawiła się niebieska tablica z informacją o błędzie, pracownicy poszkodowanych szpitali w jednej chwili stracili dostęp do elektronicznych kartotek pacjentów. Konieczne okazało odwołanie planowanych zabiegów i wizyt. Nawet jeśli problem szybko usunięto, doprowadził do zakłóceń w usługach, które nie mogą czekać na realizację. Wśród nich są usługi medyczne.

Niebieski ekran śmierci (ang. BSOD, Blue Screen of Death) systemu operacyjnego Windows nie jest sytuacją rzadką. Może się pojawić m.in. w wyniku błędu dysku twardego, korzystania z nieaktualnych wersji systemu, działania złośliwego oprogramowania. Światowy paraliż informatyczny pokazuje, że błędy systemów IT zdarzają się nawet największym dostawcom IT. Tak samo mogą dotyczyć systemów IT do prowadzenia elektronicznej dokumentacji medycznej. Zresztą lista scenariuszy, w wyniku których nagle komputer odmawia posłuszeństwa, jest długa: atak cybernetyczny, zalanie klawiatury, brak zasilania itd.

Odkąd placówki medyczne w coraz większym stopniu polegają na systemach IT różnych dostawców, konieczne jest opracowanie procedur reagowania na wypadek ich awarii. Brak dostępu do danych nawet przez kilkadziesiąt minut powoduje, że np. nie można sprawdzić wyników badań laboratoryjnych i zdjęć diagnostyki obrazowej pacjenta, który ma zaplanowaną operację.

Co zrobić w takiej sytuacji? Kluczowe są dwa elementy: strategia ograniczania ryzyka wystąpienia awarii i jej skutków oraz plan utrzymania ciągłości operacyjnej.

Zarządzanie ryzykiem w placówce medycznej

Podobnie jak w przypadku cyberbezpieczeństwa, placówki medyczne muszą mieć plan na wypadek wystąpienia zakłóceń IT. Pierwszym krokiem jest przygotowanie listy krytycznych systemów IT, przeprowadzenie oceny ryzyka i potencjalnych zakłóceń. Na tej podstawie opracowywane są plany reagowania.

Gotowość na sytuacje kryzysowe zaczyna się już w momencie wyboru dostawcy IT. Firma posiadająca duże zaplecze serwisowe, nawet jeśli droższa, zapewnia w dłuższej perspektywie lepszą obsługę. Zawierając umowę serwisową na system, trzeba dobrze przemyśleć scedowanie konserwacji oprogramowania na dostawcę, przewidując m.in. czasy reakcji w przypadku błędów. Eksperci radzą, aby skupić się na awariach krytycznych, które prowadzą do blokady bieżącej działalności. Mniejsze problemy, np. powodujące kłopot z zapisaniem danych, może z reguły rozwiązać informatyk.

Dobry serwis nie jest tani, bo działa tak samo jak porządne ubezpieczenie. Być może nigdy nie będzie potrzebny, ale daje gwarancję, że placówka jest gotowa na każdą ewentualność.

Ciągłość działania

Komputery nie działają i co teraz? Placówka musi mieć opracowany dokument z instrukcjami, co robić w takiej sytuacji. Podczas gdy dział IT pracuje nad przywróceniem pracy oprogramowania, pracownicy postępują zgodnie z planem awaryjnym.

Obejmuje on np. rejestrowanie danych przez lekarzy i pielęgniarki na papierze według określonej procedury. Niektóre placówki mają w zwyczaju drukowanie listy umówionych pacjentów na dany dzień, co jest dmuchaniem na zimne. Gdy system zawiedzie, rejestracja może szybko zadzwonić do pacjentów i przesunąć wizyty. Do tego dochodzą alternatywne metody świadczenia opieki jak przekierowanie pacjentów pilnych do innych podmiotów działających w okolicy.

Zasadą nr 1 jest zapewnienie szybkiego dostępu do kopii danych. I tutaj kłania się wykonywana w czasie rzeczywistym kopia w chmurze. Dzięki niej, można bez problemu uzyskać dostęp do danych sprzed awarii i kontynuować obsługę krytycznych przypadków, zanim przywrócony zostanie system na wszystkich stacjach roboczych. Kopia w chmurze jest też bezcenną pomocą w przypadku ataków hakerów.

Takie procedury nie mogą leżeć zakurzone w szufladzie, ale powinny być regularnie ćwiczone. W ciągłości działania mówi się o tzw. bezpiecznikach. Są nimi kopie zapasowe, umowy serwisowe, procedury obsługi pacjenta bez systemu IT. Każdy musi wiedzieć, co robić, aby w krytycznej sytuacji uniknąć chaosu. Bez bezpieczników, placówka medyczna ryzykuje bezpieczeństwem pacjentów, ogromnym stresem personelu a nawet konsekwencjami prawno-finansowymi.

Zarządzanie dostawcami

Dobre partnerstwo z dostawcą IT może okazać się bezcenne nie tylko gdy dojdzie do awarii, ale w wielu innych przypadkach: gdy raport do NFZ wraca z błędem, gdy Ministerstwo Zdrowia albo NFZ wprowadzają nowe reguły rozliczeń, które muszą na czas zostać zaimplementowane w systemie, albo po prostu gdy podmiot potrzebuje zmian w niektórych ustawieniach systemu.

Mówi się o tzw. due dilligence (należyta staranność) – zamiast tylko skupiać się na funkcjonalności systemu IT i jego zgodności z przepisami (np. RODO, integracja z P1), placówka medyczna przeprowadza dogłębną analizę dostawcy IT. Przykładowe pytania stawiane w procesie audytu to:

• Jaki ma potencjał kadrowy do wprowadzania na czas aktualizacji w systemach?
• Jaką reputacją się cieszy?
• Czy posiada lokalny punkt serwisowy?
• Jaka jest jej kondycja finansowa i perspektywy działalności na kolejne lata?
• Czy gwarantuje wprowadzanie nowości informatycznych, które zapewnią nie tylko zgodność z wymaganiami administracyjnymi, ale także np. wymaganiami pacjentów i pracowników?

W ograniczaniu ryzyka należy też rozważyć wdrożenie rozwiązań typu SaaS (ang. Software as a Service, oprogramowanie jako usług). Zamiast systemu zainstalowanego lokalnie na komputerze, użytkownicy logują się do aplikacji dostępnej w chmurze. Na takiej zasadzie działa np. Microsoft Office 365 albo oprogramowanie dla przychodni Mediporta (KAMSOFT). Brak instalacji powoduje, że odpadają błędy użytkownika związane z np. konfliktami na poziomie oprogramowania i sprzętu. Jeśli komputer ulegnie awarii, wystarczy tablet albo inny komputer, aby bez przeszkód kontynuować pracę.

Szkolenie i gotowość wewnętrzna

Dobry plan awaryjny pozwoli złagodzić negatywne skutki najpoważniejszej awarii. I nawet jeśli te zdarzają się rzadko, nie można ich wykluczyć. Aby plan zadziałał, pracownicy muszą go znać. Szkolenia można przeprowadzać przy okazji szkoleń z cyberbezpieczeństwa, bo duża część procedur się pokrywa – efekt ataku cybernetycznego albo awarii systemu IT jest ten sam, czyli blokada dostępu do komputerów i danych.

Dział IT, który odpowiada za płynność działania infrastruktury IT, musi na czas informować pracowników o zakłóceniach, czasie potrzebnym na usunięcie awarii, możliwych sposobach obejścia błędu, tymczasowych metodach rejestracji danych itd. Jeśli placówka oferuje usługi e-zdrowia dla swoich pacjentów, jak np. e-rezerwacja wizyt albo dostęp do wyników badań, trzeba przygotować z góry komunikaty wyświetlane podczas próby korzystania z takich e-serwisów. Awaria jest też testem na to, jak placówka medyczna jest dojrzała cyfrowo. Dobry dział IT czuwa na bieżąco nad płynnością działania sprzętu i programu oraz reaguje, jak tylko pojawi się problem. Oszczędzanie na tym elemencie, podobnie jak na umowie serwisowej, może w dłuższej perspektywie być ryzykownym posunięciem.

Czytaj także: Cyberatak w UK sparaliżował szpitale. Jak się zabezpieczyć?