주제 3.10 — 비상 대비, 회복탄력성 및 대응

비상 대비, 회복탄력성 및 대응(EPRR)은 있으면 좋은 것이 아니라 법정 의무이며, 현대 보건 시스템에서 디지털과 데이터 차원은 이제 최전선의 일부이므로, 기술을 임상의와 나란히 계획하고, 훈련하고, 연습하고, 지휘해야 한다.

보건·돌봄에서 이것이 중요한 이유#

테러 공격, 화학물질 유출, 폭염, 독감 급증, 모든 임상의를 전자 환자 기록에서 차단하는 사이버 공격 같은 중대 사건이 일어날 때, 보건·돌봄 시스템은 주변 모든 것이 혼란에 빠진 가운데서도 계속 기능할 것으로 기대된다. 그 기대는 법에 쓰여 있다. Civil Contingencies Act 2004에 따라 NHS 기관과 그 파트너는 위험을 평가하고, 계획을 유지하고, 대응할 수 있어야 하는 구체적 의무를 진다. 비상 대비, 회복탄력성 및 대응은 NHS가 그 의무를 충족하는 방식을 가리키는 포괄 용어다. 이는 일반적인 서비스 관리와 같지 않으며, 주제 3.9 — 업무 연속성 및 재해 복구에서 다룬 IT 중심의 재해 복구보다 넓다.

이것이 보건·돌봄에서 거의 다른 어느 곳보다 중요한 이유는 실패가 즉각적인 인명 비용을 치르기 때문이다. 슈퍼마켓의 계산대 시스템이 실패하면 판매가 멈춘다. 대량 사상자 사건 중에 병원의 임상 시스템이 실패하면, 원래라면 살았을 사람이 죽을 수 있다. 디지털 서비스는 이제 임상 업무 — 검사 오더, 처방, 알레르기 확인, 영상 보기, 환자 퇴원 — 에 깊이 엮여 있어, 기술 장애는 임상 안전 사건이며 생명에 대한 다른 어떤 위협과도 같은 진지함으로 다뤄야 한다. 그래서 이 책의 "일하는 방식" 명제가 여기서 가장 날카롭다. 대비는 임상 안전, 형평성, 대중 신뢰의 문제다.

비상 상황은 불평등도 드러낸다. 평소 서비스가 실패할 때 가장 대처하기 어려운 사람들 — 교통수단이 없는 사람, 영어를 하지 못하는 사람, 돈이 없는 사람, 돌봄 제공자가 없는 사람, 장기 질환이 있는 사람 — 이 바로 비상 계획이 가장 먼저 보호해야 하는 사람들이다. 이들을 조용히 뒤에 남겨 두는 대응은 지휘 구조가 아무리 매끈해 보여도 성공한 대응이 아니다. 잘 대비하고 정직하게 연습하는 것이 실제 위기가 파괴될 때까지 시험할 대중의 신뢰를 얻는 방법이다.

핵심 개념#

비상 관리는 공동체가 위해 요인에 취약한 정도를 줄이고 위해 요인이 일어날 때 대응을 조율하는 학문이다. 관례적으로 예상, 평가, 예방, 대비, 대응, 복구의 순환으로 기술되며, 보건 시스템은 위기 중에만이 아니라 이 순환을 지속적으로 운영한다. EPRR은 NHS가 이를 표현하는 방식이다.

Civil Contingencies Act 2004는 법적 뼈대다. 이 법은 대응 기관을 두 그룹으로 나눈다. 카테고리 1 대응 기관은 응급 서비스, NHS 트러스트와 위원회, 통합 돌봄 위원회, UK Health Security Agency, 지방정부처럼 대응의 핵심에 있는 기관이며, 위험 평가, 비상 계획, 업무 연속성, 정보 공유, 대중 경보라는 전체 의무를 진다. 카테고리 2 대응 기관은 공공 설비, 운송 사업자, 통신 회사 등으로 "협력 기관"이며 주로 정보를 공유하고 카테고리 1 대응 기관과 협력하는 더 가벼운 의무를 진다. 어느 쪽인지, 어떤 의무가 붙는지 아는 것이 다른 모든 것의 출발점이다.

대응 기관은 경찰 관할 구역별로 만들어지는 다기관 파트너십인 지역 회복탄력성 포럼(LRF)을 통해 조율한다. LRF는 NHS, 지방정부, 경찰, 소방, 구급차 등이 함께 계획하는 곳이며, 지역사회 위험 등록부, 곧 팬데믹 인플루엔자에서 홍수, 산업 사고에 이르기까지 조율된 대응이 필요할 가능성이 가장 높은 지역 위해 요인에 대한 공유되고 공표된 평가를 유지한다. 등록부는 위험 평가의 실제 사례다. 위해 요인을 식별하고, 가능성과 영향을 판단하고, 무엇을 계획할지 결정한다.

사건은 규모에 대한 공통 언어를 모두가 갖도록 분류된다. 업무 연속성 사건은 서비스 제공 능력을 방해하지만 원칙적으로 자체 계획으로 관리할 수 있다. **중대 사건(critical incident)**은 더 심각하다. 중단 수준이 조직의 안전한 돌봄 제공 능력을 위협하고 특별 조치가 필요하다. **대형 사건(major incident)**은 규모나 성격이 하나 이상의 응급 서비스와 보통 더 넓은 시스템의 특별한 조치를 요구하는 사건이며, 대량 사상자 사건이 전형이다. 사건을 선언하면 자원, 권한, 상호 지원이 풀리므로 임계값이 중요하다.

지휘는 전략-전술-운영이라고도 하는 골드–실버–브론즈 지휘 구조를 통해 이루어진다. **골드(전략)**는 목표를 설정하고 큰 결정을 소유하며, **실버(전술)**는 이를 충족하기 위해 자원을 어떻게 배치할지 결정하고, **브론즈(운영)**는 실무 과업을 수행한다. 이 구조는 한 번도 함께 일해 본 적 없는 기관들이 당일에 단일 지휘 체계에 끼어들 수 있도록 의도적으로 범용적이다.

세 가지 개념이 그림을 완성한다. **서지(surge)**는 병상, 직원, 산소, 컴퓨팅 같은 역량을 일시적으로 정상 한도를 넘어 빠르게 확장하는 능력이다. 트리아지는 필요가 역량을 넘을 때 사상자의 우선순위를 정하는 과정이며, 대량 사상자 트리아지 체계는 바로 최악의 날을 위해 존재한다. 상호 지원은 한 대응 기관이 압도당할 때 조직 경계를 넘어 직원, 장비, 역량을 빌려주는 합의다. 그리고 팬데믹 — 넓은 지역에 퍼지는 감염병 발생 — 은 대부분의 보건 시스템이 이제 명시적으로 대비하는 상시 최악의 경우이며, 영국의 COVID-19 팬데믹에서 호되게 배운 바가 반영된다.

모범 사례#

1. 대형 기술 장애와 사이버 공격을 그 자체로 대형 사건으로 다루라. 임상 시스템을 무력화하는 랜섬웨어 공격은 서비스 데스크가 조용히 처리할 단순한 "IT 문제"가 아니라 조직 전체에 걸친 환자 안전의 위협이다. 사이버 및 디지털 인시던트 대응을 조직이 버스 사고에 쓰는 같은 골드–실버–브론즈 지휘 구조에 연결하고, 디지털 인시던트가 공식 중대 또는 대형 사건으로 상향되는 때에 대한 정의된 촉발 조건을 두라. 2017년 WannaCry 공격은 하나의 악성코드가 몇 시간 안에 수십 개 트러스트로 번질 수 있음을 보여 주었다. 이를 막는 통제는 주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안을, 통제가 실패했을 때 대응을 지휘하는 방법은 이 주제를 보라.

2. 계획-훈련-연습 순환을 집요하게, 진심으로 운영하라. 시험된 적 없는 계획은 가설이다. NHS EPRR은 소통 시험, 도상 훈련, 전체 라이브 훈련으로 이루어진 순환 훈련 프로그램을 요구하며, 이를 일정에 넣고, 자원을 대고, 고위 리더의 불참을 그것이 가진 위험 신호로 다루어야 한다. 결정적으로, 디지털과 데이터 팀을 포함하라. 병동의 화재만이 아니라 전자 환자 기록의 상실, 네트워크의 상실, 주 데이터센터의 상실을 연습하라.

3. 종이와 다운타임 대비책을 의도적으로 설계하고 연습하라. 모든 핵심 임상 시스템에는 사용할 수 없을 때의 문서화되고 연습된 업무 방식이 필요하다. 다운타임 양식, 인쇄된 약물 차트, 기록의 읽기 전용 "업무 연속성" 사본, 시스템이 돌아오면 데이터를 대조하는 알려진 프로세스다. 이런 대비책은 소리 없이 부패한다. 양식은 낡고, 절차를 알던 직원은 떠나며, 필요한 날 프린터에는 토너가 없다. 라이브 시스템을 감사하는 만큼 세심하게 이를 감사하고, 이 업무를 주제 3.9 — 업무 연속성 및 재해 복구의 복구 시간 목표에 명시적으로 연결하라.

4. 다른 모든 것이 실패할 때도 지휘-통제 소통이 작동하게 유지하라. 실제 사건에서는 평소의 이메일과 전화가, 특히 사이버 공격에서, 실패한 것의 일부일 수 있다. 공격받는 네트워크에 의존하지 않고 골드 지휘를 소집하는 방법인 대역 외 소통을 유지하고, 최신 상태의 오프라인 호출 목록과 일선 직원에게 닿는 회복탄력적인 방법을 갖추라. 훈련 중에 이 채널을 시험하라. 인시던트 브리지가 랜섬웨어가 방금 암호화한 같은 싱글 사인온에 의존한다는 발견은 새벽 3시가 아니라 연습에서 하고 싶은 발견이다.

5. 위기 전에 위기를 위한 정보 거버넌스 규칙에 미리 합의하라. 비상 상황에서는 병원 간, 공중보건 기관, 상호 지원 파트너와 데이터를 빠르게 공유해야 하며, 직원은 그것이 허용됨을 알아야 한다. 정보보호책임자 및 Caldicott Guardian과 함께 비상 시 적용되는 적법 근거와 상시 정보 공유 협약을 미리 마련하여, 임상의가 불확실성에 얼어붙지 않고 생명을 구하는 데 필요한 것을 공유하게 하라. 비상 시 데이터 공유 결정의 기록을 유지하는 것은 이후 환자와 직원 모두를 보호한다(주제 1.8 — 데이터 윤리, 동의 및 대중의 신뢰 참조).

6. 병동만이 아니라 디지털 서비스에도 서지를 구축하라. 예약, 트리아지, 증상 확인기, 예방접종 시스템 같은 인구 대면 디지털 서비스는 비상 중에 평소의 열 배, 백 배의 수요 급증을 맞을 수 있고, 그때가 가장 중요한 때다. 현실적인 서지 시나리오에 대해 부하 테스트를 하고, 클라우드 역량을 빠르게 확장하는 방법에 합의하며, 핵심 기능이 살아남도록 무엇을 우아하게 저하시킬지 미리 결정하라. 유지되는 대기열이 겁먹은 대중의 무게에 붕괴하는 웹사이트보다 낫다.

7. 디지털과 데이터 전문성을 위험 평가와 지역사회 위험 등록부에 투입하라. LRF에 대한 조직의 기여에는 디지털 및 사이버 위험, 단일 장애점, 국가 시스템과 공급업체에 대한 의존성에 대한 분명한 시각이 포함되어야 한다. 위험 등록부가 "IT 실패"를 하나의 모호한 줄로 다루는 경우가 너무 많다. 이를 쪼개고, 수량화하고, 지역 네트워크나 클라우드 장애가 이제 믿을 만한 대규모 중단 사건임을 LRF가 이해하게 하라. 이는 주제 6.4 — 거버넌스 및 보증에서 기술한 거버넌스와 보증 순환의 일부다.

8. 모든 훈련과 모든 실제 사건에서 공개적으로 배우라. 훈련의 가치는 사후 보고에 있고, 실제 사건의 가치는 그에 이어지는 구조화된 교훈에 있다. 일어난 일을 비난 없이 기록하고, 조치를 완료까지 추적하며, 어려운 부분은 다음 사건이 같은 틈을 발견하기 전에 실제로 이를 종결하는 것이다. LRF와 국가 채널을 통해 시스템 전반에 학습을 공유하라. 회복탄력적인 네트워크의 요점은 어떤 조직도 같은 고통스러운 교훈을 두 번 배울 필요가 없다는 것이기 때문이다.

9. 대응 중과 대응 후에 직원을 돌보라. 회복탄력성은 기술적인 것만이 아니다. 지치고, 겁먹고, 도덕적으로 상처 입은 인력은 긴 비상을 버틸 수 없다. 팬데믹 같은 장기 사건 중의 교대 패턴, 휴식, 심리적 응급 처치, 복지를 계획하고, 도움을 요청하는 것을 정당하게 만들라. COVID-19에서 가장 잘 회복한 조직은 흔히 체력을 무한하다고 취급하지 않고 직원의 안녕을 의도적으로 보호한 곳이었다.

팀과 논의할 질문#

1. 디지털 또는 사이버 문제가 정확히 언제 "서비스 인시던트"를 멈추고 선언된 중대 또는 대형 사건이 되며 — 일요일 새벽 2시에 그 판단을 내릴 권한이 누구에게 있는가? 이 질문은 주제 3.8 — 서비스 관리 및 라이브 운영의 일상적 서비스 관리와 법정 EPRR 기구 사이의 이음새를 시험하게 한다. 긴장은 과잉 상향(늑대가 나타났다고 외침, 지휘 구조를 지치게 함)과 과소 상향(그것이 해당되는지 논쟁하는 동안 랜섬웨어 공격이 몇 시간 동안 퍼지게 둠) 사이에 있다. 좋은 답은 명시적이고 관찰 가능한 촉발 조건 — 예를 들어 여러 사업장에 걸친 전자 환자 기록의 상실이나 임상 시스템에서 확인된 악성코드 — 을 명명하고, 업무 시간을 기다리지 않고 선언할 권한이 있는 대기 근무 역할을 명명한다. 그 순번에 누가 있는지, 훈련을 받았는지, 정상 네트워크가 다운되었을 때 골드 지휘를 소집할 수 있는지 논의하라. 최근의 아차 사고를 따라가 보며 제때 상향했을지 정직하게 물어보는 것을 고려하라. 최고의 답은 하향도 다룬다. 비상이 끝났다고 어떻게 결정하고 일상 업무로 돌아가는가.

2. 주 임상 시스템이 72시간 동안 어두워진다면 우리는 실제로 무엇을 할 것이며 — 이를 입증한 적이 있는가, 아니면 믿을 뿐인가? 이는 선반 위의 계획과 병동의 현실 사이의 간극에 관한 질문이다. 드러낼 상충 관계는 투자다. 다운타임 절차를 유지하고 연습하는 데는 다른 곳에 쓸 수 있는 돈과 임상 시간이 들고, 조용히 썩게 두기가 쉽다. 강한 답은 진정으로 연습된 것과 단지 적혀 있는 것을 구별하고, 첫 한 시간, 첫 교대, 둘째 날에 대해 구체적이다. 시간이 지나며 문제가 바뀌기 때문이다. 사흘치 종이 기록을 시스템에 대조해 넣는 일은 그 자체로 주요 업무다. 관리자만이 아니라 일선 직원이 대비책을 아는지, 최근 입사자가 본 적이 있는지 파고들라. 통제하지 못하는 국가 인프라와 공급업체에 대한 의존성을 포함한 단일 장애점에 대한 정직함을 찾으라. 가장 성숙한 팀은 대비책이 유지된 실제 훈련이나 실제 장애와, 이후 종결한 교훈을 가리킬 수 있다.

3. 우리의 비상 대응이 도달하기 가장 어려운 사람들을 조용히 뒤에 남기지 않고 보호하게 하려면 어떻게 하는가? 비상 상황은 기존 불평등을 증폭하고, 디지털 대응은 이를 악화시킬 수 있다. 온라인 전용 예약 시스템, 영어로만 된 경보, 스마트폰과 데이터를 가정하는 앱은 가장 위험한 바로 그 사람들을 배제할 수 있다. 긴장은 디지털 채널이 제공하는 속도와 규모 대 형평성이 요구하는 도달 범위 사이에 있으며, 공짜 점심은 없다. 병렬로 운영되는 비디지털 경로가 필요하고, 그것은 더 비용이 든다. 좋은 답은 지역사회 위험 등록부에 연결하여 주어진 위해 요인이 어떤 취약 집단을 위협하는지 묻고, 대응이 그들에게 닿는지 점검한다. 지원형 디지털 경로, 번역된 자료, 집 밖으로 나오지 못하거나, 디지털에서 배제되거나, 지원이 없는 사람들에게 닿는 방법을 생각하라(주제 1.9 — 디지털 포용성 및 접근성 참조). 몇 달 뒤의 검토가 아니라 사건 중에 그들을 실패시키고 있음을 어떻게 알지 논의하라. 정직한 답은 현재 계획이 가장 약한 곳을 인정하고, 관련 지역사회와 함께 시험하겠다고 약속한다.

4. 우리가 실제로 통제하지 못하는 핵심 디지털 의존성은 무엇이며 — 실패가 우리 상류에 있을 때의 계획은 무엇인가? 현대 보건·돌봄은 국가 시스템, 클라우드 리전, 연결 제공자, 소수의 지배적 공급업체 위에서 돌아가므로, 회복탄력성의 상당 부분이 다른 사람의 손에 있다. 불편한 긴장은 법정 의무와 임상 안전의 결과는 우리가 지지만, 단일 장애점은 공급업체의 데이터센터나 검사할 수 없는 공유 국가 서비스일 수 있다는 점이다. 강한 답은 이러한 의존성을 명시적으로 지도로 그린다. 어느 시스템이 어디에 호스팅되는지, 어느 공급업체가 어떤 임상 기능을 떠받치는지, 집중 위험으로 하나의 장애가 여러 서비스를 한꺼번에 무너뜨리는 곳이 어디인지를 보고, "IT 실패"를 위험 등록부의 하나의 모호한 줄로 남겨 두지 않는다. 계약상의 복구 약속, 공급업체 자체가 공격의 피해자일 때 무슨 일이 일어나는지, 지역 클라우드 장애가 이제 믿을 만한 대규모 중단 사건으로 다루어지는지 어려운 질문을 던진다. 이러한 상류 위험이 LRF와 이사회에 드러나는지, 영향을 줄 수 없는 의존성에 대한 상호 지원이나 수작업 대비책이 있는지 파고들라. 정직한 답은 대개 일부 위험은 제거할 수 없고 완화할 수만 있음을 인정하며, 어느 것을 의식적으로 수용하는지 명시적이다.

5. 우리 훈련은 진실을 말해 주는가, 그리고 배운 교훈이 다음 사건 전에 실제로 무언가를 바꾸는가? 훈련 프로그램은 연극이 될 수 있다. 모두가 성공할 줄 아는 대본 있는 도상 훈련에 후배들이 참석하고 고위 리더들은 불참 사과를 보내며, 깔끔한 보고서와 아무도 종결하지 않는 조치 목록을 낳는다. 긴장은 편안하고 안심시키는 훈련 대 안전하게 실패할 만큼 현실적인 훈련 사이에 있으며, 후자만이 무언가를 가르친다. 좋은 답은 EPR 상실, 네트워크 상실, 공급업체 랜섬웨어 공격처럼 진정으로 어려운 시나리오를 실제로 교대 근무를 설 사람들과 연습하는지, 고위 참석이 선택이 아니라 의무로 다루어지는지 본다. 사후 보고 문화에 대해 솔직하다. 교훈이 비난 없이 기록되고, 완료까지 추적되고, 종결이 확인되는가, 아니면 같은 틈이 사건마다 되풀이되는가? 한 훈련이나 실제 사건의 교훈이 계획, 순번, 통제를 눈에 띄게 바꾼 증거를 찾으라. 가장 성숙한 팀은 연습에서 의도적으로 드러내 환자를 해치기 전에 고친 실패를 명명할 수 있다.

6. 몇 시간이 아니라 몇 주 동안 지속되는 대응 내내 직원을 어떻게 유지하고 보호할 것인가? 많은 비상 계획은 암묵적으로 날카롭고 짧은 충격을 가정하지만, 보건 시스템을 가장 세게 시험하는 사건 — 팬데믹, 장기 사이버 복구, 긴 한파 서지 — 은 몇 주 또는 몇 달 동안 이어지며 인간의 체력은 무한하지 않다. 상충 관계는 실재한다. 휴식과 복지를 위해 사람들을 교대시키면 수요가 정점인 바로 그 순간에 가용 시간이 줄어들고, 의욕 있는 사람들이 무너질 때까지 기대고 싶은 유혹이 있다. 강한 답은 처음부터 교대 패턴, 인수인계, 휴식, 심리적 응급 처치, 복지를 계획하고, 탈진을 헌신으로 취급하는 대신 직원이 도움을 요청하는 것을 정당하게 만든다. 소수이고 전문화되어 있어서 교대 없이 며칠 동안 복구를 짊어지는 경우가 많은 디지털과 데이터 팀도 고려한다. 긴 사건 중에 소진, 도덕적 상처, 이탈을 어떻게 포착할지, 지휘 구조에서 인력 복지를 누가 소유하는지 논의하라. COVID-19를 가장 잘 헤쳐 나온 조직은 흔히 직원을 의도적으로 보호한 곳이었고, 정직한 답은 현재 계획이 그렇게 하는지 영웅적 행위를 바랄 뿐인지 인정한다.

실제 사례: 보건·돌봄 예시#

Meadowford는 중간 규모 도시와 농촌 배후지를 아우르는 가상의 통합 돌봄 시스템이다. 비 오는 2월 아침, 급성기 트러스트의 전자 환자 기록 — 국가 공급업체가 호스팅하고 이웃 두 트러스트와 공유됨 — 이 오류를 내기 시작하더니 완전히 실패한다. 20분 안에 공급업체가 랜섬웨어 공격을 확인한다. 임상의들은 세 병원과 연결된 지역사회 서비스 전반에서 약물, 알레르기, 결과, 돌봄 계획을 더는 볼 수 없다.

트러스트의 대기 근무 이사는 미리 합의된 촉발 조건 — "여러 사업장에 걸친 EPR의 상실" — 을 사용해 중대 사건을 선언하고, 규모가 분명해지자 대형 사건으로 상향한다. 골드 지휘는 영향받은 싱글 사인온을 거치는 평소의 Teams 호출이 아니라, 인쇄된 호출 목록을 사용해 별도 플랫폼에서 연습한 대역 외 브리지로 소집된다. 실버 지휘는 다운타임 절차를 가동한다. 종이 약물 차트, 다운타임 요청 양식, 그리고 주제 3.9의 복구 목표에 따라 설계된 대로 바로 이 시나리오를 위해 분리된 환경에 복제해 둔 읽기 전용 "비상 개방(break-glass)" 기록 사본이다.

사이버 및 임상 안전 책임자들이 병행해 일한다. 최고 임상 정보 책임자는 임상 안전 케이스를 열어 장애를 위해 요인으로 다루고, 놓친 알레르기, 중복 용량, 사라진 결과 같은 구체적 위험을 각각의 완화책과 함께 추적한다(주제 1.6 — 임상 안전 및 위험 관리 참조). Caldicott Guardian과 정보보호책임자는 미리 합의된 비상 시 정보 공유 입장을 확인하여, 임상의가 적법성을 망설이지 않고 이웃 사업장에 전화해 핵심 환자 정보를 얻을 수 있게 하고, 그런 모든 결정은 기록된다.

한편 지역 회복탄력성 포럼에 통보되고 상호 지원이 흐른다. 이웃 ICS가 종이 처방 관리를 돕도록 약제 직원을 빌려주고, NHS England 지역 EPRR 팀이 National Cyber Security Centre와 조율한다. 서지 역량을 만들려고 선택 진료가 중단된다. 지역사회 위험 등록부가 이미 지역 임상 시스템 장애를 믿을 만한 시나리오로 표시해 두었기 때문에 대응 매뉴얼이 있었다. 시스템은 나흘에 걸쳐 깨끗한 백업에서 복구된다. 가장 어려운 일은 그 이후에 온다. 나흘치 종이를 기록으로 대조해 넣는 일, 그리고 비난 없는 구조화된 사후 보고다. 그 조치 — 약한 분할 경계, 낡은 호출 목록, 다운타임 양식을 본 적이 없는 직원 — 는 다음 훈련 전에 종결까지 추적된다.

부문별 관점#

스타트업#

소규모 디지털 보건 기업이 골드–실버–브론즈 지휘를 운영하지는 않겠지만, 그것을 운영하는 고객에게는 핵심 의존성이다. 여러분의 회복탄력성 이야기 — 데이터가 어디에 호스팅되는지, 얼마나 빨리 복구하는지, 인시던트 프로세스가 무엇인지, 장애 중에 어떻게 소통할지 — 는 대기업 구매자가 따져 물을 것이고 따져 물어야 할 것이다. 하나의 클라우드 리전이나 한 명의 핵심 엔지니어에 대한 의존을 포함한 단일 장애점에 대해 정직하라. 규율 있는 수는 일찍 가벼운 인시던트 대응 계획을 쓰고, 한 번 연습하고, 고객에게 그들의 연속성을 진지하게 여김을 보여 줄 수 있는 것이다. 이는 좋은 실천이자 영업 이점이다.

소규모 사업체#

확립된 소규모 제공자 — 일반의 진료소, 지역 약국, 요양원, 재가 돌봄 서비스 — 는 시스템이 실패할 때 사람들을 안전하게 지킬 같은 의무를 지지만, NHS 트러스트의 전담 EPRR 기구는 전혀 없다. 책임 있는 비상 책임자도 24/7 지휘 순번도 없을 것이며, 회복탄력성은 소수의 사람이 이미 일하는 방식에 구워 넣어야 한다. 실용적 초점은 의존하는 시스템 — 임상 시스템, 전화, 인터넷 회선 — 에 대한 짧고 진정으로 연습된 다운타임 계획이며, 실제 직원이 적어도 한 번 써 본 종이 대비책과, 공급업체와 구매 기관을 포함해 누구에게 전화할지의 오프라인 목록이다. 통제할 수 없는 공급업체와 국가 서비스에 거의 전적으로 의존하므로, 그들의 복구 약속과 처음 몇 시간을 위한 자체 수작업 우회책을 알아 두라. 비상을 홀로 맞지 말고 더 넓은 시스템과 연계하라. 통합 돌봄 위원회와 지역 회복탄력성 포럼은 부분적으로 여러분 규모의 조직을 돕기 위해 존재하며, 이웃 제공자와의 상호 지원이 대처와 폐업의 차이를 만들 수 있다.

대기업#

대형 NHS 트러스트나 ICS는 카테고리 1 대응 기관 의무의 전체 무게를 진다. 책임 있는 비상 책임자, 순환 훈련 프로그램, 24/7 대기 지휘, 지역 회복탄력성 포럼의 자리다. 과제는 통합이다. 사이버, 임상, 운영, 소통 대응이 세 개의 병렬 구조가 아니라 하나의 지휘 구조로 수렴하게 하고, 디지털 팀이 불이 붙은 뒤에야 불려 오는 사후 고려가 아니라 진정으로 EPRR의 일부가 되게 하는 것이다. 규모는 복잡성도 낳는다. 많은 시스템, 많은 공급업체, 통제할 수 없는 국가 인프라에 대한 의존성이다. 성숙은 모든 핵심 서비스에서 작동하는 연습된 다운타임 업무와, 실제로 조치를 종결하는 사후 보고 문화로 보인다.

정부#

NHS England, UK Health Security Agency, 보건사회복지부, 지방분권 정부 같은 국가 및 지역 기관은 틀을 정하고, 표준을 쥐고, 어떤 단일 조직이 관리할 수 있는 수준 위에서 대응을 조율한다. 그들의 EPRR 업무는 핵심 표준을 작성하고 보증하며, 국가 훈련을 운영하고, 비축과 상호 지원 합의를 유지하며, 팬데믹 같은 시스템 전체 사건 중에 지휘 조율을 제공하는 것이다. 또한 실패가 그 자체로 대규모 중단 사건이 될 국가 디지털 인프라를 소유하므로, 그들 자신의 회복탄력성이 공적 의무다. 그들과 효과적으로 일하고 국가 수준까지 이어지는 전략-전술-운영 사슬을 이해하는 것이 주제 9.1 — 지방 및 중앙 정부와의 협력의 주제다.

흔한 실패 양상#

• 선반 위의 계획. 보증 점검을 통과하려고 쓴 두꺼운 바인더로, 한 번도 훈련되지 않았고 그것을 써야 할 직원들이 모른다. 준비의 시험은 문서화가 아니라 연습이다.
• 사이버를 IT 문제로 취급. 랜섬웨어 공격이 퍼지는 동안 서비스 데스크에 맡기고, 임상 안전 리더십이 있는 대형 사건 지휘로 상향하지 않는다. 상향 속도가 전부다.
• 시험되지 않은 다운타임 절차. 낡은 대비 양식, 본 적 없는 직원, 나중에 데이터를 대조하는 연습된 계획 없음. 감사하지 않으면 대비책은 소리 없이 부패한다.
• 실패를 공유하는 지휘 채널. 공격이 암호화한 바로 그 플랫폼에서 골드 지휘를 소집한다. 대역 외 소통은 진정으로 독립적이어야 한다.
• 착지하지 않는 학습. 보고서와 아무도 종결하지 않는 조치 목록을 낳는 사후 보고로, 다음 사건이 같은 틈을 발견한다. 교훈을 완료까지 추적하라.
• 사후 고려로서의 형평성. 취약층을 배제하는 디지털 전용 대응이 사건 후 검토에서야 발견된다. 처음부터 비디지털 경로를 설계에 넣으라.
• 전략으로서의 영웅적 행위. 직원의 체력이 무한하다고 가정하고 긴 사건 중의 복지, 휴식, 심리적 지원을 소홀히 한다. 탈진은 회복탄력성의 실패다.

성숙도 모델#

체크리스트#

• 조직의 지위(카테고리 1 또는 2 대응 기관)와 거기에 붙는 법정 의무를 확인한다.
• 디지털 또는 사이버 문제를 중대 또는 대형 사건으로 상향하는 명시적이고 관찰 가능한 촉발 조건을 정의하고, 24/7 누가 선언할 수 있는지 명명한다.
• 사이버 및 디지털 인시던트 대응이 골드–실버–브론즈 지휘 구조에 연결되도록 한다.
• 대역 외 지휘 소통과 오프라인 호출 목록을 유지하고 훈련에서 시험한다.
• 데이터 대조를 포함해 모든 핵심 임상 시스템의 다운타임/대비책 절차를 문서화, 감사, 연습한다.
• Caldicott Guardian과 정보보호책임자와 함께 비상 시 정보 공유 적법 근거와 협약에 미리 합의한다.
• 인구 대면 디지털 서비스를 현실적인 서지 시나리오에 대해 부하 테스트하고 무엇이 우아하게 저하될지 합의한다.
• 지역 회복탄력성 포럼과 지역사회 위험 등록부에 분명한 디지털 및 사이버 위험 시각을 기여한다.
• EPR, 네트워크, 주 데이터센터의 상실을 포함한 순환 계획-훈련-연습 프로그램을 운영한다.
• 훈련과 실제 사건 후 비난 없는 사후 보고를 열고 모든 조치를 종결까지 추적한다.
• 장기 사건 중 직원 복지, 휴식, 심리적 지원을 계획한다.
• 비상 대응이 비디지털 경로를 통해 디지털에서 배제된 집단과 취약 집단에 닿는지 점검한다.

주요 출처#

• NHS England — NHS Emergency Preparedness, Resilience and Response (EPRR) Framework와 EPRR Core Standards.
• Cabinet Office — Civil Contingencies Act 2004와 Emergency Preparedness / Emergency Response and Recovery 법정 지침.
• Cabinet Office / GOV.UK — National Risk Register와 지역 회복탄력성 포럼 및 지역사회 위험 등록부에 관한 지침.
• National Cyber Security Centre (NCSC) — 랜섬웨어, 인시던트 관리, 사이버 인시던트를 대형 사건으로 다루기에 관한 지침.
• UK Health Security Agency (UKHSA) — 팬데믹 및 감염병 대비 지침.
• UK Covid-19 Inquiry — 팬데믹 대비와 대응에 관한 공표된 모듈과 보고서.
• Joint Emergency Services Interoperability Principles (JESIP) — 지휘, 조율, 전략-전술-운영 모델.
• National Audit Office — Investigation: WannaCry cyber attack and the NHS (2018).

참고문헌#

1. Civil Contingencies Act 2004 — Wikipedia — https://en.wikipedia.org/wiki/Civil_Contingencies_Act_2004
2. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
3. Local resilience forum — Wikipedia — https://en.wikipedia.org/wiki/Local_resilience_forum
4. Gold–silver–bronze command structure — Wikipedia — https://en.wikipedia.org/wiki/Gold%E2%80%93silver%E2%80%93bronze_command_structure
5. Risk assessment — Wikipedia — https://en.wikipedia.org/wiki/Risk_assessment
6. Triage — Wikipedia — https://en.wikipedia.org/wiki/Triage
7. Mutual aid (emergency services) — Wikipedia — https://en.wikipedia.org/wiki/Mutual_aid_(emergency_services)
8. Pandemic — Wikipedia — https://en.wikipedia.org/wiki/Pandemic
9. COVID-19 pandemic in the United Kingdom — Wikipedia — https://en.wikipedia.org/wiki/COVID-19_pandemic_in_the_United_Kingdom
10. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
11. NHS Emergency Preparedness, Resilience and Response (EPRR) — NHS England — https://www.england.nhs.uk/ourwork/eprr/
12. Civil Contingencies Act 2004 (legislation) — UK Government / The National Archives — https://www.legislation.gov.uk/ukpga/2004/36/contents
13. Preparation and planning for emergencies: responsibilities of responder agencies and others — Cabinet Office, GOV.UK — https://www.gov.uk/guidance/preparation-and-planning-for-emergencies-responsibilities-of-responder-agencies-and-others
14. Mitigating malware and ransomware attacks — National Cyber Security Centre — https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks
15. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
16. UK Covid-19 Inquiry — https://covid19.public-inquiry.uk/