Вот новый стандарт киберустойчивости для медицинских учреждений.
Ваши системы вышли из строя. Пациентам по-прежнему требуется помощь. Сможете ли вы справляться с ситуацией в течение тридцати дней? Не уикенда. Не недели. Тридцати полных дней. The Joint Commission и Американская медицинская ассоциация (AMA) заявляют: это больше не просто рекомендация регулятора. Это минимальное операционное требование.
Большинство CIO не планировали на такой сценарий.
Они были заняты борьбой с текущим хаосом. Утечки данных уже сжигают деньги — средняя стоимость инцидента в здравоохранении достигает 7,42 миллиона долларов, и это еще только прямые потери от кражи данных. Настоящее кровотечение происходит из-за простоев. Ручной биллинг дает сбои. Доходы исчезают. Пациенты не могут попасть в отделения экстренной помощи, потому что «цифровые ворота» заперты.
С чего же начать? С программы Готовности к киберустойчивости (Cyber Resilience Readiness, CRR).
Она начинается с бесплатной самооценки. Она прямолинейна. Она задает один главный вопрос: способна ли ваша организация действительно обеспечивать безопасную помощь, если технологии откажут? Опрос охватывает много аспектов, но есть четыре области, которые имеют наибольшее значение. Если вы упустите их, остальное будет лишь шумом.
Разобщенность убивает готовность
Самооценка затрагивает болезненные точки в этом вопросе. Клинические команды, бизнес-операции, управление чрезвычайными ситуациями — все они находятся в отдельных зданиях. Или на разных этажах. Или в разных чатах.
Обычно ИТ-отдел отвечает за восстановление приложений. Управление чрезвычайными ситуациями руководит реагированием на инциденты. Клиническое руководство отвечает за безопасность пациентов. Они не общаются, пока не зазвонят тревоги.
Так устойчивость не работает.
CIO должны снести эти стены до наступления кризиса. Эти департаменты должны взаимодействовать проактивно. Не когда на экране появится записка с требованием выкупа. Прямо сейчас.
Совет директоров — это не зрительный зал
Понимает ли совет директоров, что именно находится под угрозой?
Самооценка CRR расследует это. Как часто вы информируете их? Знают ли они разницу между непрерывностью клинических процессов и непрерывностью бизнеса? Они связаны, конечно, но это не одно и то же.
Умный CIO не просто отчитывается о времени безотказной работы ИТ-систем. Он напрямую связывает киберриски с безопасностью пациентов и финансовой результативностью. Хотите, чтобы совет директоров всерьез озаботился устойчивостью? Свяжите это с их репутацией и доходом.
Соответствие требованиям — это чек-лист. Устойчивость — это решение.
Бумажные планы не выдерживают контакта с реальностью
Значение имеет тестирование. Не ежегодное упражнение, где все сидят в конференц-зале и кивают головой. Реальное тестирование. Во все смены. По всем линиям обслуживания.
Эффективные учения растягиваются во времени. Смоделируйте тридцатидневный блэкаут. Пусть наблюдают старшие руководители. Затем — и это ключевой момент — действуйте по результатам.
Если вы проигнорируете итоги учений, вы потратили время впустую.
Больницы выживают после атак благодаря интуиции персонала. Интуиции, которую вы формируете, позволяя сотрудникам многократно ошибаться в безопасной среде.
Вы не можете защитить то, что не видите
Вот запутанная реальность: ни одно отдельное подразделение не владеет полным перечнем всего, что подключено к сети.
Мы говорим о десятилетиях накопленных технологий. Биомедицинские устройства. IoT-датчики. Системы управления зданием. Устаревшее программное обеспечение. Для большинства больниц инвентаризация — это черная дыра.
CIO должен интегрировать все это. Видимость активов, классификация данных, риски поставщиков — все это должно базироваться на одной модели. Речь идет не только о серверах в подвале. Это МРТ-аппарат, инфузионный насос, устройство, управляющее системой вентиляции, которое никто не помнит, что подключил десять лет назад.
Соотнесите все активы с клиническими рисками. Если вы не знаете о существовании актива, вы не можете его защитить.
Путь вперед
Самооценка CRR не даст вам балла. Она не засчитает и не не засчитает вас. Она выявляет пробелы.
Теперь вам нужно решить. Кому нужно об этом услышать? Что сломается первым? Как быстро мы можем это исправить? Эти выбора определяют вашу культуру.
Что делать дальше?
Создавайте планы обеспечения непрерывности бизнеса, исходя из наихудшего сценария. Мы говорим о неделях простоя, а не о часах. Проводите настольные учения на 3-й, 10-й и 30-й день полного отключения. Практикуйте ручные рабочие процессы. Привыкайте персонал к работе без экранов.
Забудьте о попытках мгновенного восстановления каждой системы. Сосредоточьтесь на MVP-восстановлении после катастрофы (Minimum Viable Product). Минимально жизнеспособный продукт, который держит свет включенным и пациентов в безопасности. Это проще. Это быстрее. Полные резервные копии дороги и сложны; скорость дешева, если у вас есть план.
Цель — быстрое восстановление до безопасного, минимального уровня. Не идеальное восстановление. Просто безопасность.
Совместите эту оценку с реальной стратегией MVP. Руководителям здравоохранения нужно действовать прямо сейчас. Оценивать. Исправлять. Готовиться.
Потому что однажды сеть замолчит. И вам придется продолжать заботиться о пациентах.
