Pwnc 3.9 — Parhad Busnes ac Adfer ar ôl Trychineb

Ym maes iechyd a gofal, mae toriad mawr yn y system yn ddigwyddiad diogelwch cleifion cyn iddo fod yn broblem TG, felly mae eich gallu i barhau i ddarparu gofal tra bo system i lawr — ac i'w hadfer yn llawn ac yn gyflym — yn allu clinigol ac yn allu ymddiriedaeth y cyhoedd craidd, nid troednodyn technegol.

Pam mae hyn yn bwysig ym maes iechyd a gofal#

Nid yw gofal yn stopio pan fydd y dechnoleg yn stopio. Pan fydd cofnod cleifion electronig, platfform e-ragnodi, neu system canlyniadau labordy yn methu ar draws ysbyty, nid yw clinigwyr yn cael oedi triniaeth tra bo peirianwyr yn gweithio. Rhaid iddynt barhau i weld cleifion, rhagnodi meddyginiaethau, a gwneud penderfyniadau — yn aml heb y rhybuddion alergedd, gwiriadau dos a hanes blaenorol y mae'r system a fethodd fel arfer yn eu darparu. Dyna pam nad yw toriad yn cael ei fesur mewn oriau o amser segur a chredydau gwasanaeth yn unig; fe'i mesurir mewn diagnosisau a oedwyd, rhyngweithiadau a gollwyd, llawdriniaethau wedi'u canslo, a'r risg ychwanegol a gludir gan bob clinigydd sy'n gweithio'n ddall. Parhad busnes yw'r ddisgyblaeth o sicrhau, pan fydd y gwaethaf yn digwydd, fod gofal yn aros mor ddiogel ag y gall fod.

Mae'r polion yn genedlaethol ac wedi'u dogfennu'n dda. Tarfodd ymosodiad ransomware WannaCry yn 2017 ar tua thraean o ymddiriedolaethau'r GIG yn Lloegr, gorfododd ganslo miloedd o apwyntiadau a llawdriniaethau, dargyfeirio ambiwlansys, a chloi staff allan o'r union ddyfeisiau — gan gynnwys rhywfaint o offer delweddu a phatholeg — yr oedd eu hangen arnynt i drin pobl. Costiodd amcangyfrif o £92 miliwn i'r GIG ac, yn bwysicach, dangosodd fod ymosodiad seiber ar seilwaith iechyd yn glanio fel argyfwng clinigol, nid dim ond digwyddiad diogelwch data. Ers hynny, mae gwydnwch wedi symud o'r ystafell weinyddion i fwrdd y bwrdd, ac yn gywir felly.

Mae'r pwnc hwn yn ymestyn disgyblaeth weithredol Pwnc 3.8 — Rheoli Gwasanaethau a Gweithrediadau Byw, ond yn symud y ffocws o redeg bob dydd i darfu mawr: y tân, y llifogydd, yr ymosodiad seiber, cwymp cyflenwr, neu doriad rhanbarthol sy'n bygwth cymryd gwasanaeth hanfodol i lawr am oriau neu ddyddiau. Mae'n cysylltu'n dynn â Phwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch (oherwydd bod adfer ar ôl ransomware bellach yn senario parhad canolog), â Phwnc 4.0 — Pensaernïaeth Dechnegol, y Cwmwl a Systemau Etifeddol (oherwydd bod gwydnwch yn cael ei ddylunio i mewn, nid ei ychwanegu ar y funud olaf), ac â Phwnc 6.4 — Llywodraethiant a Sicrwydd (oherwydd bod rhaid i rywun fod yn berchen ar y cynllun, ei brofi, a bod yn atebol amdano). Os gwnewch hyn yn iawn, mae tarfu yn dod yn ddiwrnod gwael; os gwnewch ef yn anghywir, mae'n dod yn ymchwiliad cyhoeddus.

Cysyniadau craidd#

Parhad busnes ac adfer ar ôl trychineb. Cynllunio parhad busnes (BCP) yw'r gallu i barhau i ddarparu cynhyrchion neu wasanaethau — yn eich achos chi, gofal diogel — ar lefelau derbyniol a bennwyd ymlaen llaw yn ystod ac ar ôl digwyddiad tarfu. Adfer ar ôl trychineb TG (DR) yw'r is-set dechnegol, gulach sy'n ymwneud ag adfer y systemau, y data a'r seilwaith sy'n sail i'r gwasanaethau hynny. Parhad busnes yw'r addewid ehangach ("mae cleifion yn parhau i gael eu trin"); adfer ar ôl trychineb yw un o'r moddion ("mae'r system canlyniadau yn ôl o fewn pedair awr"). Mae angen y ddau arnoch, ac ni ddylech ddrysu gweinydd wedi'i adfer â gwasanaeth wedi'i adfer.

Rheoli parhad busnes a dadansoddi effaith busnes. Mae rheoli parhad busnes (BCM) yn broses reoli barhaus — nid dogfen un-tro — sy'n nodi bygythiadau ac yn adeiladu gwydnwch sefydliadol. Ei sylfaen yw'r dadansoddiad effaith busnes (BIA): asesiad strwythuredig o bob gwasanaeth sy'n gofyn pa mor gyflym y mae ei golli yn achosi niwed annerbyniol, beth mae'n dibynnu arno, a faint ymhellach yn ôl mewn amser y gallwch fforddio colli data. Y BIA yw lle mae barn glinigol yn dod i mewn i beirianneg: rhaid i glinigwyr, nid dim ond technolegwyr, ddiffinio beth mae "annerbyniol" yn ei olygu ar gyfer system famolaeth o'i gymharu ag intranet staff.

Amcan amser adfer ac amcan pwynt adfer. Mae dau rif yn angori pob cynllun adfer. Yr amcan amser adfer (RTO) yw'r amser mwyaf derbyniol i adfer gwasanaeth ar ôl methiant. Yr amcan pwynt adfer (RPO) yw'r swm mwyaf derbyniol o ddata a gollir, wedi'i fynegi fel amser — mae RPO o bymtheg munud yn golygu y gallwch oddef colli'r pymtheg munud olaf o gofnodion ar y mwyaf. I system glinigol hanfodol gall y rhain fod yn funudau; i warws adrodd gallant fod yn ddyddiau. Eu gosod yn onest, fesul gwasanaeth, yw'r penderfyniad parhad mwyaf defnyddiol y byddwch yn ei wneud.

Copïau wrth gefn ac adfer wedi'i brofi. Copi wrth gefn yw copi o ddata a gedwir mewn man arall fel y gellir adfer y gwreiddiol ar ôl colled. Llinell sylfaen y diwydiant yw'r rheol 3-2-1: tri chopi, ar ddau fath o gyfrwng, gydag un yn cael ei ddal oddi ar y safle (ac, yn oes ransomware, un wedi'i ddal yn ddigyfnewid neu all-lein). Yn hollbwysig, gobaith yw copi wrth gefn nad ydych erioed wedi'i adfer, nid rheolaeth. Mae ransomware yn rheolaidd yn amgryptio copïau wrth gefn y gellir eu cyrraedd o'r rhwydwaith, ac mae adferiadau heb eu profi yn rheolaidd yn methu ar y diwrnod. Y ddisgyblaeth yw nid "a ydym yn gwneud copi wrth gefn?" ond "pryd wnaethom ni adfer yn llwyddiannus ddiwethaf, o'r dechrau i'r diwedd, a faint o amser a gymerodd?"

Argaeledd uchel, diswyddiad, a throsglwyddo methiant. Mae argaeledd uchel (HA) yn briodwedd ddylunio sy'n cadw system i redeg drwy fethiant cydran, a fesurir fel arfer mewn "nawiau" o amser gweithredol. Fe'i cyflawnir drwy ddiswyddiad — dyblygu bwriadol cydrannau hanfodol — a throsglwyddo methiant, y newid awtomatig i gydran neu safle wrth gefn pan fydd y prif un yn methu. Mae argaeledd uchel yn lleihau amlder toriadau; mae adfer ar ôl trychineb yn ymdrin â'r rhai sy'n mynd drwodd. Maent yn gyflenwol, nid yn ddewisiadau amgen, ac mae eu drysu yn gadael bylchau peryglus.

Pwyntiau methiant unigol a dibyniaethau hanfodol. Pwynt methiant unigol (SPOF) yw unrhyw gydran y mae ei methiant yn atal y gwasanaeth cyfan — un ddolen rwydwaith, un gwasanaeth dilysu, un cyflenwr, un gronfa ddata, neu un person sy'n unig yn gwybod sut mae rhywbeth yn gweithio. Mapio SPOFs a dibyniaethau hanfodol (y gwasanaethau i fyny'r afon a'r trydydd partïon y mae eich gwasanaeth yn dibynnu arnynt yn dawel) yw calon ddadansoddol gwydnwch. Mewn TG iechyd modern, anaml y mae dibyniaethau'n lleol: gall gwasanaeth mewngofnodi sengl, cysylltiad asgwrn cefn cenedlaethol, neu ranbarth cwmwl gymryd llawer o systemau i lawr ar unwaith.

Gweithdrefnau amser segur clinigol a pharhad busnes. Mae gan iechyd a gofal reolaeth neilltuol nad oes gan TG generig mohoni: y weithdrefn amser segur glinigol, dewis arall diogel, wedi'i ymarfer — papur fel arfer — ar gyfer darparu gofal pan nad yw system ddigidol ar gael, ynghyd â'r broses ail-gofnodi ar gyfer cysoni'r cofnod papur hwnnw yn ôl i'r system pan ddychwel. Dyma barhad busnes wedi'i wneud yn goncrid wrth erchwyn y gwely, a dyma lle mae cynlluniau parhad amlaf yn cwrdd â realiti.

Ransomware ac adfer seiber. Mae ransomware yn amgryptio eich data ac yn mynnu taliad, ac mae wedi dod yn fygythiad parhad diffiniol i systemau iechyd. Ymosodiad ransomware WannaCry 2017 yw'r achos cyfeirio: dyna pam mae adfer seiber — ynysu, ailadeiladu o gopïau wrth gefn glân, a dilysu cywirdeb cyn ailgysylltu — bellach yn senario o'r radd flaenaf ym mhob cynllun difrifol.

Y safon parhad. ISO 22301 yw'r safon ryngwladol ar gyfer systemau rheoli parhad busnes. Mae'n darparu strwythur cydnabyddedig — cyd-destun, arweinyddiaeth, cynllunio, cymorth, gweithrediad, gwerthuso, gwella — ar gyfer adeiladu ac archwilio gallu parhad, ac mae'n asgwrn cefn defnyddiol p'un a ydych yn ceisio ardystiad ffurfiol ai peidio.

Arferion gorau#

1. Dechreuwch o ddadansoddiad effaith busnes sy'n eiddo i glinigwyr, nid TG yn unig. Graddiwch bob gwasanaeth yn ôl y niwed clinigol a achosir pan fydd yn methu ac yn ôl pa mor gyflym y mae'r niwed hwnnw'n dod yn annioddefol, yna neilltuwch RTO ac RPO penodol i bob un. Gwnewch hyn gyda'r clinigwyr a'r rheolwyr gweithredol sy'n dwyn y canlyniadau, oherwydd cwestiwn gofal yw "pa mor hir y gallwn redeg heb hyn yn ddiogel?", nid un seilwaith. Yr allbwn yw rhestr flaenoriaethedig sy'n dweud wrthych ble i wario eich cyllideb gwydnwch gyfyngedig yn gyntaf.

2. Dyluniwch wydnwch sy'n gymesur â hanfodoldeb. Cydweddwch y peirianneg â'r effaith: mae systemau sy'n hanfodol i genhadaeth (yr adran achosion brys, gweinyddu cleifion, e-ragnodi) yn gwarantu argaeledd uchel, diswyddiad daearyddol a throsglwyddo methiant awtomatig; gall systemau llai hanfodol dderbyn adfer hirach a chopïau wrth gefn symlach. Gwrthsefwch danbeiriannu systemau hanfodol a gor-addurno rhai dibwys. Rhaid dylunio pensaernïaeth a pharhad gyda'i gilydd (gweler Pwnc 4.0 — Pensaernïaeth Dechnegol, y Cwmwl a Systemau Etifeddol), oherwydd ni allwch ychwanegu gwydnwch ar y funud olaf at ddyluniad bregus wedi hynny.

3. Chwiliwch am bwyntiau methiant unigol a dibyniaethau cudd. Mapiwch yn systematig ddibyniaethau pob gwasanaeth hanfodol — rhwydwaith, dilysu, DNS, cysylltiadau cenedlaethol, pŵer, oeri, cyflenwyr allweddol, a phobl allweddol — a nodwch ble mae un methiant yn rhaeadru. Rhowch sylw arbennig i wasanaethau a rennir fel mewngofnodi sengl neu injan integreiddio gyffredin, y mae ei methiant yn cymryd llawer o systemau i lawr ar unwaith. Dibyniaeth nad ydych wedi'i mapio yw dibyniaeth y byddwch yn ei darganfod yn ystod y toriad.

4. Gwnewch gopi wrth gefn i oroesi ransomware, a phrofwch adferiadau drwy eu profi. Dilynwch y rheol 3-2-1 a chadwch o leiaf un copi wrth gefn yn ddigyfnewid neu'n gorfforol all-lein, fel na all ymosodwr sy'n cyrraedd eich rhwydwaith amgryptio eich llinell amddiffyn olaf. Yna profwch adferiadau yn ôl amserlen, gan eu hamseru yn erbyn eich RTO a dilysu cywirdeb data yn erbyn eich RPO — mae adfer sy'n cymryd dau ddiwrnod yn erbyn amcan o bedair awr yn rheolaeth a fethodd nad ydych wedi sylwi arni eto. Trinwch "adferiad llawn llwyddiannus diwethaf" fel metrig rydych yn ei adrodd, nid tasg rydych yn tybio ei bod wedi'i gwneud.

5. Ysgrifennwch, adnoddwch ac ymarferwch weithdrefnau amser segur clinigol. Ar gyfer pob system glinigol hanfodol, cynhaliwch ddewis papur (neu all-lein) wedi'i brofi sy'n gadael i staff barhau i ddarparu gofal diogel yn ystod toriad, ynghyd â phroses glir ar gyfer ail-gofnodi'r data hwnnw wedyn heb golled na dyblygu. Storiwch ffurflenni amser segur lle gellir eu cyrraedd pan fo'r rhwydwaith a'r argraffwyr hefyd i lawr. Ymarferwch hwy gyda staff rheng flaen, oherwydd ni fydd gweithdrefn sy'n byw mewn ffolder yn unig yn cael ei chanfod, ei deall na'i hymddiried am 3 y bore yn ystod argyfwng.

6. Cynhaliwch gynllun adfer ar ôl trychineb â throsglwyddo methiant safle go iawn. Dogfennwch, ar gyfer pob system hanfodol, yn union sut mae'n adfer: beth sy'n rhedeg ble, ym mha drefn, pwy sy'n penderfynu ei weithredu, a sut rydych yn trosglwyddo'n ôl wedyn. Lle mae'r effaith yn cyfiawnhau, rhedwch safle adfer neu ranbarth cwmwl gwirioneddol ar wahân a phrofwch y gallwch newid iddo — mae trefn adfer yn bwysig, oherwydd mae gan systemau ddibyniaethau sy'n pennu'r drefn. Mae safle DR heb ei brofi yn dybiaeth ddrud.

7. Ymarferwch y cynllun; cynllun na chafodd ei brofi erioed yw cynllun sy'n methu. Cynhaliwch ymarferion rheolaidd ar draws sbectrwm: tywys drwy senarios ar fwrdd, profion trosglwyddo methiant technegol, ac efelychiadau byw llawn achlysurol gan gynnwys y dewis clinigol. Mae ymarferion yn dangos y bylchau — y rhestr cysylltiadau sydd wedi dyddio, y cam adfer sydd angen cyfrinair nad oes gan neb, y dybiaeth bod staff yn gwybod y broses bapur — tra bo'n ddiogel eu canfod. Cofnodwch y gwersi, trwsiwch hwy, ac ailbrofwch; theatr yw ymarfer heb ddilyniant.

8. Estynnwch barhad i'ch cyflenwyr a'ch cwmwl. Dim ond mor gryf â'r trydydd partïon y mae eich gwasanaethau hanfodol yn dibynnu arnynt yw eich gwydnwch, felly gwnewch barhad yn fater cytundebol a sicrwydd: mynnwch fod cyflenwyr yn dangos tystiolaeth o'u RTO/RPO eu hunain, profi DR, ac adfer seiber, a deallwch fodel cyfrifoldeb a rennir eich darparwr cwmwl — mae parthau argaeledd a rhanbarthau yn amddiffyn rhag rhai methiannau ond nid rhag camgyfluniad neu beryglu cyfrif yr ydych chi'n berchen arno. Cynlluniwch ar gyfer methiant cyflenwr ei hun, gan gynnwys y senario lle mai cyflenwr allweddol yw'r un a gaiff ei daro gan ransomware (gweler Pwnc 6.3 — Caffael a Masnachol).

9. Mabwysiadwch safon gydnabyddedig a rhowch barhad dan lywodraethiant. Defnyddiwch ISO 22301 fel asgwrn cefn strwythuredig a chanllawiau'r GIG a chenedlaethol fel y trosiad sector, a rhowch atebolrwydd dros barhad busnes i weithrediaeth a enwir, yn adrodd i'r bwrdd. Mae parhad nad oes neb yn berchen arno, yn ei ariannu nac yn ei adolygu yn dirywio'n dawel nes bod y digwyddiad yn ei ddatgelu. Gwifrwch ef i'ch fframwaith sicrwydd (gweler Pwnc 6.4 — Llywodraethiant a Sicrwydd) fel bod cynlluniau'n cael eu cynnal, eu profi a'u gwella fel mater o drefn, nid eu hailddarganfod mewn argyfwng.

Cwestiynau i'w trafod gyda'ch tîm#

1. Ar gyfer pob un o'n systemau clinigol hanfodol, pa RTO ac RPO rydym wedi cytuno arnynt mewn gwirionedd gyda chlinigwyr — ac a allwn eu bodloni ar hyn o bryd? Mae'r cwestiwn hwn yn gorfodi'r bwlch rhwng dyhead a gallu i'r amlwg. Nid yw llawer o sefydliadau erioed wedi gosod amcanion adfer penodol, neu fe'u gosodwyd yn TG heb fewnbwn clinigol, felly mae'r amser segur "derbyniol" yn syml beth bynnag y mae'r bensaernïaeth bresennol yn ei ddarparu. Trafodwch ble mae angen clinigol (munudau ar gyfer system argyfwng) yn gwrthdaro â'r hyn y gall eich copïau wrth gefn a'ch DR ei gyflawni mewn gwirionedd (efallai diwrnod), oherwydd mae'r bwlch hwnnw'n risg glinigol heb ei rheoli rydych yn ei chario p'un a ydych yn ei henwi ai peidio. Edrychwch yn goncrid ar eich adferiad go iawn neu wedi'i brofi diwethaf: faint o amser a gymerodd, faint o ddata y byddech wedi'i golli, a phwy a lofnododd fod hyn yn ddiogel? Mae ateb da, gonest yn enwi rhifau penodol fesul system, yn cyfaddef ble na allwch eu bodloni eto, ac yn troi pob bwlch yn weithred a ariennir yn hytrach na distawrwydd cyfforddus.

2. Pe bai ransomware yn amgryptio ein systemau craidd a'n copïau wrth gefn heno, sut y byddem yn cadw cleifion yn ddiogel yfory — a pha mor hir tan y byddwn wedi adfer yn llawn? Dyma'r senario sydd wedi taro systemau iechyd go iawn, felly mae'n haeddu taith gonest, ddigyfaddawd yn hytrach na sicrwydd. Archwiliwch y ddau hanner yn onest: y parhad clinigol uniongyrchol (a yw'r gweithdrefnau amser segur wedi'u hymarfer, eu hadnoddi a'u hymddiried yn ddigon i redeg ysbyty cyfan ar bapur am ddyddiau?) a'r adferiad technegol (a yw copïau wrth gefn yn ddigyfnewid ac all-lein, a ydych wedi profi ailadeiladu o gopïau glân, ac a ydych yn gwybod y drefn adfer?). Codwch y dibyniaethau anghyfforddus — os yw mewngofnodi sengl, yr injan integreiddio, neu gyflenwr allweddol i lawr, faint arall sy'n syrthio gydag ef? Ystyriwch pwy sy'n datgan y digwyddiad mawr, pwy sy'n siarad â staff, cleifion a'r cyfryngau, a phwy sy'n penderfynu bod system yn ddiogel i'w hailgysylltu. Mae ateb cryf yn disgrifio cynllun wedi'i ymarfer â rolau a enwir ac adferiadau wedi'u profi; mae un gwan yn tybio bod y copïau wrth gefn yn iawn ac y bydd y broses bapur yn gweithio'n syml.

3. Pryd wnaethom ni brofi ein cynlluniau parhad ac adfer ar ôl trychineb o'r dechrau i'r diwedd ddiwethaf, a beth ddysgon ni? Pwrpas hyn yw gwahaniaethu rhwng gallu byw a dogfen silff. Mae cynllun nad yw wedi'i ymarfer heb ei brofi, ac mae cynlluniau heb eu profi yn rheolaidd yn methu wrth gwrdd â realiti — mae'r rhestr cysylltiadau wedi dyddio, mae'r cam adfer angen manylion mewngofnodi nad oes gan neb, mae'r ffurflenni amser segur yn cael eu storio ar y system sydd i lawr. Trafodwch yr ystod o ymarfer rydych yn ei wneud mewn gwirionedd: senarios ar fwrdd, profion trosglwyddo methiant technegol, ac efelychiadau llawn sy'n cynnwys y dewis clinigol rheng flaen, nid dim ond adfer y gweinydd. Archwiliwch a gafodd gwersi o ddigwyddiadau ac ymarferion yn y gorffennol eu trwsio a'u hailbrofi mewn gwirionedd, neu eu logio a'u hanghofio. Mae ateb da yn dangos calendr ymarferion rheolaidd, tystiolaeth o fylchau a ganfuwyd ac a gaewyd, a gonestrwydd ynghylch pa rannau o'r cynllun sy'n dal heb eu profi.

4. Pa un o'n dibyniaethau hanfodol nad ydym yn eu rheoli — a beth yw ein cynllun ar gyfer y diwrnod y bydd un ohonynt yn methu? Anaml y mae TG iechyd modern yn methu ar ei phen ei hun; mae'n methu drwy'r gwasanaethau a'r cyflenwyr oddi tani. Gwthiwch y tîm heibio'r systemau rydych yn berchen arnynt at y rhai yr ydych ond yn dibynnu arnynt: y cysylltiad asgwrn cefn cenedlaethol, y darparwr mewngofnodi sengl, y rhanbarth cwmwl, yr injan integreiddio, y ganolfan ddata allanol, y partner gwasanaeth a reolir sy'n dal yr allweddi i adfer. Ar gyfer pob un, gofynnwch beth sy'n digwydd i ofal os yw'n diflannu am ddiwrnod, a yw'r contract yn rhwymo'r trydydd parti i amcan adfer sy'n cyfateb i'ch angen clinigol, ac a ydych erioed wedi gweld tystiolaeth o'u profi DR yn hytrach na pharagraff calonogol mewn tendr. Y gwir anghyfforddus yw y gallwch gario risg weddilliol nad ydych erioed wedi'i phrisio, oherwydd bod y methiant yn eistedd yn stad rhywun arall. Mae ateb gonest yn enwi dibyniaethau allanol penodol pob gwasanaeth hanfodol, yn datgan pa rai sydd wedi'u sicrhau'n gytundebol a pha rai a ymddiriedir ynddynt yn unig, ac yn nodi dewis wrth gefn — hyd yn oed un â llaw — ar gyfer y dibyniaethau na allwch eu gwneud yn wydn.

5. Pan fydd digwyddiad mawr yn taro, pwy sy'n penderfynu beth, pwy sy'n cyfathrebu wrth bwy, ac a yw pawb yn gwybod eu rôl cyn y diwrnod? Mae parhad cymaint yn ymwneud â gorchymyn a chyfathrebu ag y mae â chopïau wrth gefn, a dyma lle mae cynlluniau wedi'u hymarfer ac anhrefn byrfyfyr yn gwahaniaethu. Gweithiwch drwy'r coreograffi dynol: pwy sydd â'r awdurdod i ddatgan digwyddiad mawr a gweithredu'r cynllun, pwy sy'n rhedeg yr ymateb gweithredol, pwy sy'n penderfynu bod system yn ddiogel i'w hailgysylltu, a phwy sy'n siarad â staff, cleifion, y wasg, rheoleiddwyr, ac — mewn ymosodiad seiber — gorfodi'r gyfraith. Ystyriwch fethiant eich offer eich hun yn ystod y digwyddiad, oherwydd gall y toriad gymryd i lawr yr e-bost, y cyfeiriadur ffôn neu'r intranet y byddech fel arfer yn eu defnyddio i gydgysylltu. Codwch y tensiwn rhwng symud yn gyflym a symud yn ddiogel, a'r polion o ran enw da o gael y neges gyhoeddus yn anghywir. Mae ateb cryf yn pwyntio at strwythur gorchymyn digwyddiad wedi'i brofi â rolau a enwir a dirprwyedig, sianeli cyfathrebu y tu allan i'r band, a thempledi negeseuon y cytunwyd arnynt ymlaen llaw; mae un gwan yn tybio y bydd y bobl iawn yn ymgynnull yn syml ac yn gwybod beth i'w wneud.

6. Sut rydym yn ariannu, yn bod yn berchen ar ac yn cadw parhad yn fyw pan nad oes dim wedi mynd o'i le ers dwy flynedd? Mae gwydnwch yn dirywio'n dawel yn y bwlch rhwng digwyddiadau, ac mae'r cwestiwn hwn yn wynebu'r ddisgyblaeth sefydliadol sy'n ei atal rhag pydru. Mae parhad yn cystadlu am arian a sylw yn erbyn blaenoriaethau clinigol a digidol gweladwy, brys, ac mae'r sefydliad anaeddfed-a-lwcus yn edrych yn union fel yr un aeddfed hyd at y diwrnod nad yw. Trafodwch pwy sy'n berchen ar barhad mewn gwirionedd ar lefel weithredol, a oes ganddo linell a ariennir yn hytrach nag ewyllys da a fenthycwyd, a sut mae cynlluniau, mapiau dibyniaethau a rhestrau cysylltiadau yn cael eu cadw'n gyfredol wrth i systemau a staff newid. Gofynnwch beth mae'r bwrdd yn ei weld mewn gwirionedd — sicrwydd wedi'i brofi a bylchau gonest, ynteu sgôr werdd a dogfen wedi'i ffeilio. Mae ateb da yn disgrifio atebolrwydd a enwir, cyllideb a chalendr ymarferion cylchol, a rhythm llywodraethiant sy'n trin parhad a gynhelir ac a brofir fel mater o drefn yn hytrach na rhywbeth a ailddarganfyddir yn yr argyfwng nesaf.

Yn ymarferol: enghraifft iechyd a gofal#

Mae Ymddiriedolaeth Sefydledig y GIG Meadowvale yn rhedeg ysbyty acíwt 600 gwely. Fore dydd Mawrth, mae staff yn cyrraedd i ganfod eu cofnod cleifion electronig (EPR), eu systemau patholeg a'u systemau radioleg wedi'u cloi gan nodyn pridwerth; roedd yr ymosodwyr wedi mynd i mewn drwy gyfrif mynediad o bell cyflenwr ddeg diwrnod ynghynt. Mae'r prif swyddog gwybodaeth yn datgan digwyddiad mawr o fewn yr awr, ac mae cynllun parhad busnes yr ymddiriedolaeth yn cael ei weithredu.

Gan fod yr ymddiriedolaeth wedi gwneud ei dadansoddiad effaith busnes, roedd yn gwybod mai'r EPR a phatholeg oedd ei systemau mwyaf hanfodol, gydag amcanion adfer y cytunwyd arnynt, tra bod ei gweithdrefnau amser segur wedi'u hymarfer yn yr hydref blaenorol. Mae wardiau'n newid i siartiau cyffuriau papur a ffurflenni arsylwi wedi'u hargraffu ymlaen llaw — wedi'u storio'n fwriadol mewn cypyrddau ffisegol ar bob ward, nid ar yriant a rennir — ac mae'r adran achosion brys yn dychwelyd i'w llwybr papur. Caiff llawdriniaethau dewisol yr wythnos eu gohirio a'u cyfleu i gleifion; dargyfeirir ambiwlansys o'r cyfnodau prysuraf. Mae gofal yn parhau, wedi'i ddirywio ond yn ddiogel, oherwydd bod staff wedi ymarfer gweithio fel hyn.

Mae adfer yn anoddach nag adfer ffeiliau. Mae'r tîm diogelwch yn ynysu'r rhwydwaith i atal y lledaenu, yna'n ailadeiladu systemau hanfodol o gopïau wrth gefn digyfnewid a gedwir all-lein — copïau na allai'r ymosodwyr eu cyrraedd. Roedd y copïau wrth gefn hynny wedi'u profi bob chwarter, felly roedd y tîm yn gwybod bod y broses yn gweithio a thua faint o amser y cymerai; mae'r EPR yn ôl o fewn ei RTO o wyth awr, er bod patholeg, â dibyniaethau mwy cymhleth, yn cymryd dau ddiwrnod. Mae'r RPO o bymtheg munud yn golygu mai dim ond ffenestr fer o ddata a gollwyd, ac mae staff yn cysoni'r cofnodion papur yn ôl i'r system o dan broses ail-gofnodi reoledig, gan ddwbl-wirio meddyginiaethau a chanlyniadau.

Yn yr ôl-drafodaeth, mae'r ymddiriedolaeth yn canfod bylchau go iawn: roedd mewngofnodi sengl yn bwynt methiant unigol a oedodd fynediad clinigwyr yn ystod yr adfer, ac nid oedd mynediad o bell y cyflenwr wedi'i gwmpasu gan sicrwydd parhad yr ymddiriedolaeth ei hun. Mae'r ddau'n mynd ar gofrestr risg y bwrdd â pherchnogion a dyddiadau, ac mae'r ymarfer llawn nesaf wedi'i drefnu. Roedd yn wythnos wael — ond nid trychineb, oherwydd bod y cynllun yn bodoli, wedi'i adnoddi, ac wedi'i brofi.

Golwg drwy wahanol sectorau#

Busnes newydd#

Anaml y mae gan fusnes newydd iechyd digidol ganolfan ddata sbâr, felly mae ei strategaeth barhad yn pwyso bron yn gyfan gwbl ar wydnwch cwmwl-frodorol a chopïau wrth gefn disgybledig. Defnyddiwch wasanaethau a reolir ag argaeledd uchel adeiledig ar draws parthau argaeledd, awtomeiddiwch gopïau wrth gefn â chopïau digyfnewid, oddi ar y cyfrif i oroesi ransomware a chyfrif cwmwl a beryglwyd, ac ymarferwch adfer i amgylchedd glân mewn gwirionedd. Bydd eich cwsmeriaid — ymddiriedolaethau'r GIG a systemau gofal integredig — yn mynnu fwyfwy dystiolaeth o RTO, RPO a phrofi DR drwy fframweithiau fel DTAC a sicrwydd cyflenwyr, felly trinwch barhad fel ased gwerthu, nid gorbenion. Y risg fodolaethol i gyflenwr bach yw bod un digwyddiad, neu'r sylfaenydd sy'n unig yn deall y defnyddio, yn dod yn bwynt methiant unigol i chi.

Busnes bach#

Mae darparwr bach sefydledig — practis meddyg teulu, fferyllfa gymunedol, cartref gofal, asiantaeth gofal cartref, neu glinig un safle — yn cario'r un ddyletswydd i gadw cleifion yn ddiogel drwy doriad ag ymddiriedolaeth fawr, ond â chleifion go iawn, arian parod tenau, ac yn aml dim staff TG pwrpasol o gwbl. Mae parhad yma'n bragmatig yn fwriadol: gwybod pa un neu ddwy system (y cofnod clinigol, y system ddosbarthu neu eMAR) a fyddai'n atal gofal diogel pe baent yn methu, mynnu bod eich cyflenwr systemau yn dangos tystiolaeth o'i gopïau wrth gefn, RTO ac RPO ei hun, a chadw pecyn amser segur syml, wedi'i argraffu — siartiau cyffuriau papur, rhifau ffôn allweddol, rhestrau cleifion diweddar — lle gall staff ei gyrraedd pan fo'r sgriniau'n dywyll. Oherwydd mai rheolwr practis unigol neu gontractwr TG unigol yn aml yw'r unig un sy'n deall y trefniant, ysgrifennwch y camau adfer i lawr a gwnewch yn siŵr y gall ail berson eu dilyn. Ransomware a llinell band eang doredig yw'r bygythiadau bob dydd, felly mae copi wrth gefn all-lein neu ddigyfnewid a ffordd wrth gefn o weithio yn bwysicach nag unrhyw safle DR cywrain na allwch ei fforddio neu ei redeg.

Menter fawr#

Mae gan ymddiriedolaeth fawr y GIG, system gofal integredig, neu gyflenwr technoleg iechyd mawr stad eang, ryngddibynnol lle mae'r broblem anoddaf yn ymwneud â mapio dibyniaethau a gwasanaethau a rennir, nid unrhyw un system. Buddsoddwch mewn rhaglen BCM ffurfiol sy'n cyd-fynd ag ISO 22301, map dibyniaethau a gynhelir, safleoedd neu ranbarthau DR ar gyfer systemau hanfodol, a chalendr treigl o ymarferion sy'n cynnwys y dewis clinigol. Mae'r raddfa'n golygu bod SPOFs yn aml yn wasanaethau a rennir — hunaniaeth, peiriannau integreiddio, creiddiau rhwydwaith — y mae eu methiant yn rhaeadru ar draws dwsinau o systemau. Llywodraethiant yw'r cyfyngiad rhwymol: gyda llawer o dimau a chyflenwyr, dim ond os yw gweithrediaeth a enwir yn berchen arno ac mae'r bwrdd yn adolygu sicrwydd wedi'i brofi, nid cynlluniau papur, y mae parhad yn dal.

Llywodraeth#

Rhaid i gorff cenedlaethol — GIG Lloegr, adran iechyd ddatganoledig, neu UKHSA — feddwl am wydnwch ar raddfa poblogaeth a systemig, lle mae methiant gwasanaeth cenedlaethol neu gyflenwr a ddefnyddir yn eang yn ddigwyddiad parhad i'r sector cyfan ei hun. Gosodwch safonau a disgwyliadau (amcanion adfer, adfer seiber, ymarfer gorfodol), ariannwch alluoedd amddiffynnol a rennir, a chydgysylltwch ymateb y sector cyfan i ddigwyddiadau mawr fel ymgyrch ransomware genedlaethol. Ail-luniodd ymateb WannaCry bolisi cenedlaethol yn union oherwydd bod yr effaith wedi croesi cannoedd o sefydliadau ar unwaith, gan ddatgelu gwendidau cyffredin. Mae atebolrwydd yma'n gyhoeddus ac yn seneddol, felly mae tryloywder ynghylch risgiau hysbys, ac adrodd gonest ar barodrwydd, cyn bwysiced â'r rheolaethau technegol eu hunain.

Ffyrdd cyffredin o fethu#

• Copïau wrth gefn nad ydynt erioed wedi'u hadfer. Drysu "rydym yn gwneud copi wrth gefn bob nos" â "gallwn adfer." Mae adferiadau heb eu profi yn rheolaidd yn methu neu'n chwythu'r RTO; mesurwch ac adroddwch adferiadau llwyddiannus o'r dechrau i'r diwedd, nid cwblhau copïau wrth gefn.
• Copïau wrth gefn y gall ransomware eu cyrraedd. Cadw pob copi wrth gefn ar-lein ac wedi'i gysylltu â'r rhwydwaith, fel bod ymosodwr yn eu hamgryptio ynghyd â chynhyrchu. Daliwch o leiaf un copi digyfnewid neu all-lein.
• DR sy'n amddiffyn gweinyddion, nid gwasanaethau. Adfer cronfa ddata ond nid y dibyniaethau, yr integreiddiadau a'r mynediad sy'n ei gwneud yn wasanaeth clinigol defnyddiadwy. Adferwch a phrofwch wasanaethau cyfan, yn nhrefn dibyniaeth.
• Gweithdrefnau amser segur sy'n bodoli ar bapur yn unig am bapur. Cynlluniau wrth gefn na chânt eu hymarfer byth, a gaiff eu storio ar y system sy'n methu, neu sy'n anhysbys i staff rheng flaen. Ymarferwch hwy lle mae gofal yn digwydd mewn gwirionedd.
• Dibyniaethau heb eu mapio a SPOFs a rennir. Darganfod yn ystod y toriad fod mewngofnodi sengl, DNS, neu un cyflenwr yn sail i bopeth. Mapiwch ddibyniaethau cyn y digwyddiad, nid yn ystod.
• Cynllun a ysgrifennwyd ar gyfer yr archwilydd, byth wedi'i ymarfer. Parhad fel dogfen gydymffurfiaeth sy'n dirywio heb ei phrofi tan y diwrnod y mae ei hangen. Cynllun na chafodd ei brofi erioed yw cynllun sy'n methu.
• Anwybyddu parhad cyflenwyr a'r cwmwl. Tybio bod eich trydydd partïon yn wydn heb dystiolaeth, ac anghofio'r model cyfrifoldeb a rennir. Gwnewch barhad yn gytundebol ac yn sicr.

Model aeddfedrwydd#

Rhestr wirio#

• Mae dadansoddiad effaith busnes, dan berchnogaeth ar y cyd â chlinigwyr, yn graddio pob gwasanaeth ac yn gosod RTO ac RPO penodol ar gyfer pob system hanfodol.
• Mae gan systemau hanfodol argaeledd uchel a diswyddiad sy'n gymesur â'u hanfodoldeb clinigol.
• Mae pwyntiau methiant unigol a dibyniaethau hanfodol (gan gynnwys gwasanaethau a rennir a chyflenwyr) wedi'u mapio a'u lliniaru.
• Mae copïau wrth gefn yn dilyn y rheol 3-2-1 gydag o leiaf un copi digyfnewid neu all-lein na all ransomware ei gyrraedd.
• Caiff adferiadau eu profi yn ôl amserlen a'u hamseru yn erbyn RTO/RPO, gyda "adferiad llwyddiannus diwethaf" yn cael ei adrodd fel metrig.
• Mae gan bob system glinigol hanfodol weithdrefn amser segur wedi'i hymarfer a phroses ail-gofnodi data reoledig.
• Mae cynllun adfer ar ôl trychineb yn diffinio camau adfer, trefn, awdurdod penderfynu a throsglwyddo'n ôl, ac mae'r safle/rhanbarth DR wedi'i brofi.
• Mae senario adfer seiber (ynysu, ailadeiladu o gopïau wrth gefn glân, dilysu, ailgysylltu) wedi'i ddogfennu a'i ymarfer.
• Mae parhad cyflenwyr a'r cwmwl yn ofynnol yn gytundebol, wedi'i ddangos gan dystiolaeth ac wedi'i sicrhau, gan gynnwys y model cyfrifoldeb a rennir.
• Mae parhad yn cyd-fynd ag ISO 22301, dan berchnogaeth gweithrediaeth a enwir, wedi'i ymarfer ar galendr, ac yn cael ei adrodd i'r bwrdd.

Prif ffynonellau#

• NHS England — Business Continuity Management Toolkit and Emergency Preparedness, Resilience and Response (EPRR) Framework and Core Standards.
• National Cyber Security Centre (NCSC) — guidance on offline/immutable backups, ransomware mitigation, and incident response.
• ISO 22301:2019 — Security and resilience — Business continuity management systems — Requirements (International Organization for Standardization).
• ISO/IEC 27031 — Guidelines for information and communication technology readiness for business continuity.
• Business Continuity Institute (BCI) — Good Practice Guidelines.
• National Audit Office — Investigation: WannaCry cyber attack and the NHS (2017) and Department of Health lessons-learned review.
• NHS England / Data Security and Protection Toolkit (DSPT) — data security standards including business continuity and incident response.
• GOV.UK Service Manual — resilience, monitoring, and recovery guidance for live services.

Cyfeiriadau#

1. Business continuity planning — Wikipedia — https://en.wikipedia.org/wiki/Business_continuity_planning
2. IT disaster recovery — Wikipedia — https://en.wikipedia.org/wiki/IT_disaster_recovery
3. ISO 22301 — Wikipedia — https://en.wikipedia.org/wiki/ISO_22301
4. Backup — Wikipedia — https://en.wikipedia.org/wiki/Backup
5. High availability — Wikipedia — https://en.wikipedia.org/wiki/High_availability
6. Redundancy (engineering) — Wikipedia — https://en.wikipedia.org/wiki/Redundancy_(engineering)
7. Failover — Wikipedia — https://en.wikipedia.org/wiki/Failover
8. Single point of failure — Wikipedia — https://en.wikipedia.org/wiki/Single_point_of_failure
9. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
10. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
11. ISO 22301:2019 Security and resilience — Business continuity management systems — Requirements — International Organization for Standardization — https://www.iso.org/standard/75106.html
12. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
13. Emergency Preparedness, Resilience and Response (EPRR) — NHS England — https://www.england.nhs.uk/ourwork/eprr/
14. Offline backups in an online world — National Cyber Security Centre — https://www.ncsc.gov.uk/blog-post/offline-backups-in-an-online-world
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/