Тема 3.10 — Готовность к чрезвычайным ситуациям, устойчивость и реагирование

Готовность к чрезвычайным ситуациям, устойчивость и реагирование (Emergency Preparedness, Resilience and Response, EPRR) — законодательная обязанность, а не приятное дополнение, и в современной системе здравоохранения цифровое и информационное измерение — теперь часть переднего края, поэтому вы должны планировать, обучать, отрабатывать и командовать вашей технологией наряду с клиницистами.

Почему это важно в здравоохранении и уходе#

Когда происходит крупный инцидент (теракт, химический разлив, жара, всплеск гриппа или кибератака, закрывающая каждому клиницисту доступ к электронной карте пациента), от системы здравоохранения и ухода ожидается, что она продолжит функционировать, пока всё вокруг нарушено. Это ожидание записано в закон. По Civil Contingencies Act 2004 органы NHS и их партнёры несут конкретные обязанности: оценивать риски, поддерживать планы и быть способными реагировать. Emergency Preparedness, Resilience and Response — общий термин, который NHS использует для того, как она выполняет эти обязанности. Это не то же самое, что обычное управление услугами, и шире, чем ИТ-ориентированное аварийное восстановление, рассмотренное в теме 3.9 — Непрерывность бизнеса и аварийное восстановление.

Причина, по которой это важнее в здравоохранении и уходе, чем почти где-либо ещё, в том, что сбой имеет немедленную человеческую цену. Если система касс супермаркета отказывает, продажи прекращаются; если клиническая система больницы отказывает во время события с массовыми потерями, могут умереть люди, которые иначе выжили бы. Цифровые услуги теперь так глубоко вплетены в клиническую работу (назначение анализов, выписывание лекарств, проверка аллергий, просмотр изображений, выписка пациентов), что технологический сбой — событие клинической безопасности, и к нему нужно относиться с той же серьёзностью, что и к любой другой угрозе жизни. Поэтому тезис этой книги о «способах работы» здесь острее всего: ваша готовность — вопрос клинической безопасности, равенства и общественного доверия.

Чрезвычайные ситуации также обнажают неравенство. Люди, меньше всего способные справиться, когда обычные услуги отказывают (без транспорта, без английского, без денег, без лиц, осуществляющих уход, с хроническими заболеваниями), — именно те, кого ваши планы чрезвычайных ситуаций должны защищать в первую очередь. Реагирование, тихо оставляющее их позади, — не успешное реагирование, как бы лощёно ни выглядела структура командования. Хорошая подготовка и честные учения — способ заработать общественное доверие, которое настоящий кризис проверит до разрушения.

Ключевые понятия#

Управление чрезвычайными ситуациями — дисциплина снижения уязвимости сообщества к опасностям и координации реагирования, когда они происходят. Её обычно описывают как цикл: предвидеть, оценить, предотвратить, подготовиться, реагировать, восстановиться, и системы здравоохранения ведут этот цикл непрерывно, а не только во время кризиса. EPRR — выражение этого в NHS.

Civil Contingencies Act 2004 — правовой костяк. Он делит реагирующих на две группы. Реагирующие категории 1 — те, кто в центре реагирования (экстренные службы, трасты и советы NHS, советы по интегрированному уходу, UK Health Security Agency и местные органы власти), и они несут полный набор обязанностей: оценка рисков, планирование на случай чрезвычайных ситуаций, непрерывность бизнеса, обмен информацией и предупреждение общественности. Реагирующие категории 2 — коммунальные службы, операторы транспорта, телекоммуникационные фирмы и другие — «сотрудничающие органы» с более лёгкой обязанностью, главным образом делиться информацией и сотрудничать с реагирующими категории 1. Знание, кто вы и какие обязанности к вам относятся, — отправная точка для всего остального.

Реагирующие координируются через Местный форум устойчивости (Local Resilience Forum, LRF), многоведомственное партнёрство, построенное вокруг каждого полицейского округа. LRF — место, где NHS, советы, полиция, пожарные, скорая и другие планируют вместе, и он ведёт реестр рисков сообщества: общую, опубликованную оценку местных опасностей, скорее всего требующих координированного реагирования, от пандемического гриппа до наводнения и промышленных аварий. Реестр — разобранный пример оценки риска: выявление опасностей, суждение о вероятности и воздействии и решение о том, к чему планировать.

Инциденты классифицируются, чтобы у всех был общий язык масштаба. Инцидент непрерывности бизнеса нарушает вашу способность оказывать услуги, но в принципе управляем собственными планами. Критический инцидент серьёзнее: уровень нарушения угрожает способности организации оказывать безопасный уход и требует особых мер. Крупный инцидент — тот, чей масштаб или характер требуют особых договорённостей одной или нескольких экстренных служб и, как правило, более широкой системы; архетип — событие с массовыми потерями. Пороги важны, потому что объявление инцидента открывает ресурсы, полномочия и взаимопомощь.

Командование идёт по структуре «золото — серебро — бронза», также называемой стратегической — тактической — операционной. Золото (стратегический уровень) задаёт цели и владеет большими решениями; серебро (тактический) решает, как развёртываются ресурсы для их достижения; бронза (операционный) выполняет практические задачи. Структура намеренно универсальна, чтобы ведомства, никогда не работавшие вместе, могли встроиться в единую систему командования в день события.

Ещё три понятия завершают картину. Всплеск (surge) — способность быстро и временно расширять мощность (койки, персонал, кислород, вычисления) за нормальные пределы. Триаж — процесс приоритизации пострадавших, когда потребность превышает мощность, а системы триажа массовых потерь существуют именно для худших дней. Взаимопомощь — договорённость одалживать персонал, оборудование или мощность через организационные границы, когда один реагирующий перегружен. А пандемия, вспышка инфекционного заболевания, распространяющаяся по большому региону, — постоянный худший случай, против которого теперь явно планирует большинство систем здравоохранения, в значительной мере под влиянием пандемии COVID-19 в Соединённом Королевстве.

Лучшие практики#

1. Рассматривайте крупные технологические сбои и кибератаки как крупные инциденты сами по себе. Атака вымогателя, отключающая клинические системы, — не просто «проблема ИТ», которую должна тихо решать служба поддержки; это угроза безопасности пациентов по всей организации. Подключите реагирование на кибер- и цифровые инциденты к той же структуре «золото — серебро — бронза», которую ваша организация использует при аварии автобуса, с определённым триггером эскалации цифрового инцидента до формального критического или крупного. Атака WannaCry 2017 года показала, как одна вредоносная программа может прокатиться по десяткам трастов за часы: контроли, предотвращающие это, см. в теме 1.7 — Управление информацией, защита данных и кибербезопасность, а как командовать реагированием, когда они отказывают, — в этой теме.

2. Беспощадно ведите цикл «план — обучение — учения» и делайте это всерьёз. План, который никогда не тестировался, — гипотеза. EPRR NHS требует скользящей программы учений (проверки коммуникаций, настольные и полные живые учения), и вам следует планировать их, обеспечивать ресурсами и считать неявку старших руководителей тем красным флагом, которым она и является. Решающе важно включать ваши цифровые и информационные команды: репетируйте потерю электронной карты пациента, потерю сети и потерю основного центра обработки данных, а не только пожар в отделении.

3. Проектируйте и репетируйте ваш бумажный запасной вариант и вариант простоя сознательно. Каждой критичной клинической системе нужен задокументированный, отработанный способ работы, когда она недоступна: формы простоя, распечатанные листы лекарств, копии записей только для чтения «для непрерывности бизнеса» и известный процесс сверки данных, когда системы возвращаются. Эти запасные варианты тихо разлагаются: формы устаревают, персонал, знавший процедуру, уходит, а в принтере нет тонера в день, когда он нужен. Проверяйте их так же тщательно, как действующую систему, и связывайте эту работу явно с целями времени восстановления темы 3.9 — Непрерывность бизнеса и аварийное восстановление.

4. Поддерживайте работоспособность коммуникаций командования и управления, когда всё остальное отказывает. В реальном инциденте ваша обычная электронная почта и телефония могут быть частью того, что отказало, особенно при кибератаке. Поддерживайте внеполосные коммуникации (способ созвать командование «золото», не зависящий от сети, находящейся под атакой), вместе с актуальными автономными списками вызова и устойчивым способом достучаться до персонала переднего края. Тестируйте эти каналы во время учений; обнаружить, что ваш мост для инцидента опирается на тот же единый вход, который вымогатель только что зашифровал, — открытие, которое вы хотите сделать на репетиции, а не в 3 часа ночи.

5. Заранее согласуйте правила управления информацией для кризиса до кризиса. В чрезвычайной ситуации вам нужно будет быстро обмениваться данными (между больницами, с общественным здравоохранением, с партнёрами по взаимопомощи), и персонал должен знать, что ему это разрешено. Работайте с вашим инспектором по защите данных и Caldicott Guardian, чтобы заранее установить законные основания и постоянные соглашения об обмене информацией, применимые в чрезвычайной ситуации, чтобы клиницисты делились тем, что нужно для спасения жизни, не замирая в неопределённости. Ведение записи о решениях по обмену данными в чрезвычайной ситуации защищает и пациентов, и персонал потом (см. тему 1.8 — Этика данных, согласие и общественное доверие).

6. Закладывайте всплеск в ваши цифровые услуги, а не только в отделения. Цифровые услуги для населения (запись, сортировка, проверка симптомов, системы вакцинации) могут столкнуться со всплесками спроса в десять или сто раз выше нормы во время чрезвычайной ситуации, именно когда они важнее всего. Проводите нагрузочное тестирование относительно реалистичных сценариев всплеска, согласуйте, как вы быстро масштабируете облачную мощность, и заранее решите, что изящно деградирует, чтобы основная функция выжила. Очередь, которая держится, лучше сайта, рушащегося под весом испуганной общественности.

7. Подавайте цифровую и информационную экспертизу в оценку риска и реестр рисков сообщества. Вклад вашей организации в Местный форум устойчивости должен включать трезвый взгляд на цифровой и киберриск, единые точки отказа и зависимости от национальных систем и поставщиков. Слишком часто реестр рисков рассматривает «сбой ИТ» как единую расплывчатую строку; разбейте её, оцените количественно и убедитесь, что LRF понимает, что региональный сбой сети или облака теперь достоверное событие массового нарушения. Это часть цикла управления и гарантий, описанного в теме 6.4 — Управление и гарантии.

8. Открыто учитесь на каждом учении и каждом реальном инциденте. Ценность учения — разбор, а ценность реального инцидента — структурированные уроки, которые за ним следуют. Фиксируйте, что произошло, без обвинений, отслеживайте действия до завершения и, самое трудное, действительно закрывайте их до того, как следующий инцидент найдёт тот же пробел. Делитесь обучением по системе через ваш LRF и национальные каналы, потому что смысл устойчивой сети в том, что ни одной организации не придётся дважды усваивать один и тот же болезненный урок.

9. Заботьтесь о своих людях во время и после реагирования. Устойчивость не только техническая; измотанный, испуганный или морально травмированный персонал не может выдержать долгую чрезвычайную ситуацию. Планируйте графики смен, отдых, психологическую первую помощь и благополучие во время затяжных инцидентов вроде пандемии и сделайте законным просить помощи. Организации, лучше всех восстановившиеся после COVID-19, часто были теми, кто сознательно защищал благополучие персонала, а не считал выносливость бесконечной.

Вопросы для обсуждения с командой#

1. Когда именно цифровая или киберпроблема перестаёт быть «инцидентом услуги» и становится объявленным критическим или крупным инцидентом и у кого есть полномочия принять это решение в 2 часа ночи в воскресенье? Этот вопрос заставляет проверить шов между повседневным управлением услугами из темы 3.8 — Управление услугами и действующая эксплуатация и законодательным аппаратом EPRR. Напряжение между чрезмерной эскалацией (волк-волк, измотанная структура командования) и недостаточной (позволение атаке вымогателя распространяться часами, пока люди спорят, считается ли это). Хороший ответ называет явные, наблюдаемые триггеры (например, потеря электронной карты пациента на нескольких площадках или подтверждённая вредоносная программа на клинических системах) и называет роли дежурных, уполномоченные объявлять, не дожидаясь рабочих часов. Обсудите, кто в этом графике, обучены ли они и могут ли они созвать командование «золото», когда обычная сеть не работает. Подумайте о том, чтобы пройти недавнее почти-происшествие и честно спросить, эскалировали бы вы вовремя. Лучшие ответы охватывают и деэскалацию: как вы решаете, что чрезвычайная ситуация закончилась, и возвращаетесь к обычной работе.

2. Если бы наши основные клинические системы потемнели на 72 часа, что бы мы на самом деле делали и доказывали ли мы это когда-нибудь или только верим? Это вопрос о разрыве между планом на полке и реальностью в отделении. Компромисс, который стоит вынести на свет, — инвестиции: поддержание и репетиция процедур простоя стоят денег и клинического времени, которые могли бы пойти на другое, и легко позволить им тихо гнить. Сильный ответ отличает то, что действительно отрепетировано, от того, что просто записано, и конкретен в отношении первого часа, первой смены и второго дня, потому что проблемы меняются со временем: сверка трёх дней бумажных записей обратно в систему — отдельная крупная задача. Проверьте, знают ли запасной вариант персонал переднего края, а не только менеджеры, и видели ли его когда-нибудь недавно пришедшие. Ищите честность в отношении единых точек отказа, включая зависимости от национальной инфраструктуры и поставщиков, которыми вы не управляете. Самые зрелые команды могут указать на реальное учение или реальный сбой, где запасной вариант выдержал, и на уроки, которые они закрыли потом.

3. Как мы обеспечиваем, чтобы наше реагирование на чрезвычайные ситуации защищало людей, до которых труднее всего дотянуться, а не тихо оставляло их позади? Чрезвычайные ситуации усиливают существующее неравенство, и цифровые ответы могут сделать хуже: система записи только онлайн, оповещение только на английском или приложение, предполагающее смартфон и трафик, могут исключить именно тех, кому грозит наибольший риск. Напряжение между скоростью и масштабом, которые предлагают цифровые каналы, и охватом, которого требует равенство, и бесплатного обеда нет: вам понадобятся нецифровые маршруты, идущие параллельно, что дороже. Хороший ответ связывается с реестром рисков сообщества и спрашивает, каким уязвимым группам угрожает данная опасность, затем проверяет, что реагирование их достигает. Подумайте о цифровых маршрутах с помощью, переведённых материалах и о том, как вы достигаете людей, прикованных к дому, цифрово исключённых или без поддержки (см. тему 1.9 — Цифровая инклюзия и доступность). Обсудите, как вы узнали бы, что подводите их во время инцидента, а не через месяцы в пересмотре. Честные ответы признают, где нынешние планы слабее всего, и обязуются проверять их с затронутыми сообществами.

4. Какими из наших критичных цифровых зависимостей мы на самом деле не управляем и каков наш план, когда сбой происходит выше нас по цепочке? Современные здравоохранение и уход работают на национальных системах, облачных регионах, поставщиках связи и горстке доминирующих поставщиков, так что значительная часть вашей устойчивости — в чужих руках. Неудобное напряжение в том, что вы несёте законодательную обязанность и последствия для клинической безопасности, но единая точка отказа может быть центром обработки данных поставщика или общей национальной службой, которую вы не можете проверить. Сильный ответ явно наносит эти зависимости на карту (какие системы где размещены, какие поставщики лежат под какими клиническими функциями и где концентрационный риск означает, что один сбой выводит из строя сразу несколько услуг), а не оставляет «сбой ИТ» единой расплывчатой строкой в реестре рисков. Он задаёт трудные вопросы о договорных обязательствах по восстановлению, о том, что происходит, когда сам поставщик — жертва атаки, и рассматривается ли региональный сбой облака как достоверное событие массового нарушения, которым он теперь является. Проверьте, выносятся ли эти вышестоящие риски в ваш Местный форум устойчивости и совет, и есть ли у вас какая-либо взаимопомощь или ручной запасной вариант для зависимостей, на которые вы не можете влиять. Честный ответ обычно признаёт, что некоторые риски можно только смягчить, а не устранить, и явно говорит, какие вы сознательно принимаете.

5. Говорят ли нам наши учения правду и действительно ли уроки, которые мы усваиваем, что-то меняют до следующего инцидента? Программа учений может стать театром: сценарный настольный разбор, о котором все знают, что он пройдёт успешно, на который приходят младшие, пока старшие руководители шлют извинения, производящий аккуратный отчёт и список действий, которые никто не закрывает. Напряжение между учениями, комфортными и успокаивающими, и учениями, достаточно реалистичными, чтобы безопасно провалиться, а только такие чему-то учат. Хороший ответ смотрит, репетируете ли вы по-настоящему трудные сценарии (потеря EPR, потеря сети, атака вымогателя на поставщика) с людьми, которые реально были бы на смене, и считается ли присутствие старших обязательным, а не необязательным. Он откровенен в отношении культуры разбора: фиксируются ли уроки без обвинений, отслеживаются ли до завершения и проверяется ли их закрытие или те же пробелы повторяются от инцидента к инциденту? Ищите доказательства того, что урок одного учения или реального события наглядно изменил план, график или контроль. Самые зрелые команды могут назвать сбой, который они сознательно выявили на репетиции и исправили до того, как он мог навредить пациенту.

6. Как мы будем поддерживать и защищать наших людей в ходе реагирования, длящегося недели, а не часы? Значительная часть планирования чрезвычайных ситуаций неявно предполагает резкий, короткий шок, но события, сильнее всего испытывающие систему здравоохранения (пандемия, затяжное киберрестановление, долгий всплеск в холодную погоду), тянутся неделями или месяцами, а человеческая выносливость не бесконечна. Компромисс реален: ротация людей для отдыха и благополучия сокращает сырые часы, доступные именно в момент пика спроса, и соблазнительно опираться на готовых, пока те не сломаются. Сильный ответ планирует графики смен, передачи, отдых, психологическую первую помощь и благополучие с самого начала и делает законным для персонала просить помощи, а не считает измождение приверженностью. Он учитывает и цифровые и информационные команды, которые часто тянут восстановление днями без смены, потому что их мало и они специализированы. Обсудите, как вы заметили бы выгорание, моральную травму и текучесть во время долгого инцидента и кто владеет благополучием персонала в вашей структуре командования. Организации, лучше всего прошедшие через COVID-19, часто были теми, кто сознательно защищал своих людей, а честные ответы признают, делают ли ваши планы это сейчас или просто надеются на героизм.

На практике: пример из здравоохранения и ухода#

Meadowford — вымышленная интегрированная система ухода, охватывающая город среднего размера и его сельскую периферию. Дождливым февральским утром электронная карта пациента её больницы неотложной помощи, размещённая национальным поставщиком и разделяемая с двумя соседними трастами, начинает выдавать ошибки, а затем полностью отказывает. Через двадцать минут поставщик подтверждает атаку вымогателя. Клиницисты больше не видят лекарства, аллергии, результаты и планы ухода в трёх больницах и связанных с ними общественных службах.

Дежурный директор траста объявляет критический инцидент по заранее согласованному триггеру — «потеря EPR на нескольких площадках» — и, по мере прояснения масштаба, эскалирует до крупного инцидента. Командование «золото» собирается не обычным звонком в Teams, идущим через затронутый единый вход, а через отрепетированный внеполосный мост на отдельной платформе, по распечатанному списку вызова. Командование «серебро» активирует процедуры простоя: бумажные листы лекарств, формы запросов простоя и копии записей «разбей стекло» только для чтения, реплицированные в сегрегированную среду именно для этого сценария, как спроектировано по целям восстановления темы 3.9.

Руководители по кибербезопасности и клинической безопасности работают параллельно. Главный клинический директор по информации открывает дело клинической безопасности, рассматривая сбой как опасность и отслеживая конкретные риски (пропущенные аллергии, дублированные дозы, потерянные результаты) со смягчениями для каждого (см. тему 1.6 — Клиническая безопасность и управление рисками). Caldicott Guardian и инспектор по защите данных подтверждают заранее согласованную позицию по обмену информацией в чрезвычайной ситуации, чтобы клиницисты могли звонить на соседние площадки за критичными данными пациентов, не колеблясь над законностью, и каждое такое решение протоколируется.

Тем временем Местный форум устойчивости информирован, и течёт взаимопомощь: соседняя ICS одалживает сотрудников аптеки для управления бумажным назначением, а региональная команда EPRR NHS England координируется с National Cyber Security Centre. Плановая деятельность свёртывается, чтобы создать мощность для всплеска; реестр рисков сообщества уже помечал региональный сбой клинических систем как достоверный сценарий, поэтому сценарий действий существовал. Системы восстанавливаются из чистых резервных копий за четыре дня. Самая трудная работа приходит потом: сверка четырёх дней бумаги обратно в карту и бесвинный структурированный разбор, чьи действия (слабая граница сегментации, устаревший список вызова и персонал, никогда не видевший формы простоя) отслеживаются до закрытия до следующего учения.

Отраслевые перспективы#

Стартап#

Небольшая компания цифрового здравоохранения не будет вести командование «золото — серебро — бронза», но она критическая зависимость для клиентов, которые будут. Ваша история устойчивости (где размещены данные, как быстро вы восстанавливаетесь, каков ваш процесс инцидентов, как вы будете сообщаться во время сбоя) — то, что корпоративные покупатели будут и должны допрашивать. Будьте честны в отношении единых точек отказа, включая вашу зависимость от одного облачного региона или одного ключевого инженера. Дисциплинированный ход — рано написать лёгкий план реагирования на инциденты, один раз его отрепетировать и быть способным показать клиентам, что вы серьёзно относитесь к их непрерывности; это и хорошая практика, и коммерческое преимущество.

Малый бизнес#

Устоявшийся небольшой поставщик (практика врача общей практики, общественная аптека, дом престарелых или служба ухода на дому) несёт ту же обязанность сохранять людей в безопасности, когда системы отказывают, но без выделенного аппарата EPRR трастов NHS. У вас не будет ответственного за чрезвычайные ситуации или круглосуточного графика командования; устойчивость должна быть заложена в то, как горстка людей уже работает. Прагматичный фокус — короткий, действительно отрепетированный план простоя для систем, от которых вы зависите (клиническая система, телефоны, интернет-канал), с бумажными запасными вариантами, которыми ваш реальный персонал пользовался хотя бы раз, и автономный список, кому звонить, включая вашего поставщика и вашего заказчика. Поскольку вы почти целиком полагаетесь на поставщиков и национальные службы, которыми не можете управлять, знайте их обязательства по восстановлению и ваши собственные ручные обходные пути на первые часы. Взаимодействуйте с более широкой системой, а не встречайте чрезвычайную ситуацию в одиночку: ваш совет по интегрированному уходу и Местный форум устойчивости существуют отчасти чтобы помогать организациям вашего размера, а взаимопомощь с соседними поставщиками может стать разницей между справлением и закрытием.

Крупная организация#

Крупный траст NHS или ICS несёт полный вес обязанностей реагирующего категории 1: ответственный за чрезвычайные ситуации, скользящая программа учений, круглосуточное дежурное командование и место на Местном форуме устойчивости. Вызов — интеграция: обеспечить, чтобы киберреагирование, клиническое, операционное и коммуникационное сходились в одну структуру командования, а не три параллельные, и чтобы цифровые команды были подлинной частью EPRR, а не запоздалой мыслью, привлекаемой, когда уже горит. Масштаб также приносит сложность: много систем, много поставщиков и зависимости от национальной инфраструктуры, которой вы не управляете. Зрелость выглядит как отрепетированная работа в режиме простоя по каждой критичной услуге и культура разбора, которая действительно закрывает свои действия.

Государство#

Национальные и региональные органы (NHS England, UK Health Security Agency, Департамент здравоохранения и социального обеспечения, правительства децентрализованных администраций) задают рамку, держат стандарты и координируют реагирование выше уровня, который может обеспечить любая отдельная организация. Их работа по EPRR — писать и гарантировать основные стандарты, проводить национальные учения, поддерживать резервы и договорённости о взаимопомощи и обеспечивать координацию командования во время событий всей системы вроде пандемии. Они также владеют национальной цифровой инфраструктурой, чей отказ сам по себе был бы событием массового нарушения, поэтому их собственная устойчивость — публичная обязанность. Эффективная работа с ними и понимание цепочки «стратегический — тактический — операционный» вплоть до национального уровня — предмет темы 9.1 — Работа с местными и национальными правительствами.

Типичные способы сбоя#

• Планы на полке. Толстая папка, написанная для прохождения проверки гарантий, никогда не отрабатывавшаяся и неизвестная персоналу, которому пришлось бы ею пользоваться. Проверка готовности — репетиция, а не документация.
• Отношение к киберинциденту как к проблеме ИТ. Оставление атаки вымогателя службе поддержки, пока она распространяется, вместо эскалации до командования крупным инцидентом с руководством клинической безопасности. Скорость эскалации — всё.
• Непроверенные процедуры простоя. Запасные формы, которые устарели, персонал, никогда их не видевший, и нет отрепетированного плана сверки данных потом. Запасной вариант тихо разлагается, если вы его не проверяете.
• Каналы командования, разделяющие сбой. Созыв командования «золото» на той самой платформе, которую атака зашифровала. Внеполосные коммуникации должны быть подлинно независимыми.
• Обучение, которое не приземляется. Разборы, производящие отчёт и список действий, которые никто не закрывает, так что следующий инцидент находит тот же пробел. Отслеживайте уроки до завершения.
• Равенство как запоздалая мысль. Только цифровые ответы, исключающие уязвимых, обнаруживаемые лишь в пересмотре после инцидента. Закладывайте нецифровые маршруты с самого начала.
• Героизм как стратегия. Предположение, что выносливость персонала бесконечна, и пренебрежение благополучием, отдыхом и психологической поддержкой во время долгого инцидента. Выгорание — сбой устойчивости.

Модель зрелости#

Контрольный список#

• Подтвердите статус вашей организации (реагирующий категории 1 или 2) и законодательные обязанности, которые к нему относятся.
• Определите явные, наблюдаемые триггеры эскалации цифровой или киберпроблемы до критического или крупного инцидента и назовите, кто может объявить, круглосуточно.
• Обеспечьте, чтобы реагирование на кибер- и цифровые инциденты было подключено к вашей структуре командования «золото — серебро — бронза».
• Поддерживайте внеполосные коммуникации командования и автономные списки вызова и тестируйте их на учениях.
• Документируйте, проверяйте и репетируйте процедуры простоя/запасного варианта для каждой критичной клинической системы, включая сверку данных.
• Заранее согласуйте законные основания и соглашения об обмене информацией в чрезвычайной ситуации с вашим Caldicott Guardian и инспектором по защите данных.
• Проводите нагрузочное тестирование цифровых услуг для населения относительно реалистичных сценариев всплеска и согласуйте, что деградирует изящно.
• Вносите ясный взгляд на цифровой и киберриск в ваш Местный форум устойчивости и реестр рисков сообщества.
• Ведите скользящую программу «план — обучение — учения», включающую потерю вашей EPR, сети и основного центра обработки данных.
• Проводите бесвинные разборы после учений и реальных инцидентов и отслеживайте каждое действие до закрытия.
• Планируйте благополучие персонала, отдых и психологическую поддержку во время затяжных инцидентов.
• Проверьте, что ваше реагирование на чрезвычайные ситуации достигает цифрово исключённых и уязвимых групп через нецифровые маршруты.

Ключевые источники#

• NHS England — NHS Emergency Preparedness, Resilience and Response (EPRR) Framework и Core Standards EPRR.
• Cabinet Office — Civil Contingencies Act 2004 и законодательное руководство Emergency Preparedness / Emergency Response and Recovery.
• Cabinet Office / GOV.UK — National Risk Register и руководство по Местным форумам устойчивости и реестрам рисков сообщества.
• National Cyber Security Centre (NCSC) — руководство по вымогателям, управлению инцидентами и рассмотрению киберинцидентов как крупных.
• UK Health Security Agency (UKHSA) — руководство по готовности к пандемии и инфекционным заболеваниям.
• UK Covid-19 Inquiry — опубликованные модули и доклады о готовности к пандемии и реагировании.
• Joint Emergency Services Interoperability Principles (JESIP) — командование, координация и стратегическая — тактическая — операционная модель.
• National Audit Office — Investigation: WannaCry cyber attack and the NHS (2018).

Ссылки#

1. Civil Contingencies Act 2004 — Wikipedia — https://en.wikipedia.org/wiki/Civil_Contingencies_Act_2004
2. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
3. Local resilience forum — Wikipedia — https://en.wikipedia.org/wiki/Local_resilience_forum
4. Gold–silver–bronze command structure — Wikipedia — https://en.wikipedia.org/wiki/Gold%E2%80%93silver%E2%80%93bronze_command_structure
5. Risk assessment — Wikipedia — https://en.wikipedia.org/wiki/Risk_assessment
6. Triage — Wikipedia — https://en.wikipedia.org/wiki/Triage
7. Mutual aid (emergency services) — Wikipedia — https://en.wikipedia.org/wiki/Mutual_aid_(emergency_services)
8. Pandemic — Wikipedia — https://en.wikipedia.org/wiki/Pandemic
9. COVID-19 pandemic in the United Kingdom — Wikipedia — https://en.wikipedia.org/wiki/COVID-19_pandemic_in_the_United_Kingdom
10. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
11. NHS Emergency Preparedness, Resilience and Response (EPRR) — NHS England — https://www.england.nhs.uk/ourwork/eprr/
12. Civil Contingencies Act 2004 (legislation) — UK Government / The National Archives — https://www.legislation.gov.uk/ukpga/2004/36/contents
13. Preparation and planning for emergencies: responsibilities of responder agencies and others — Cabinet Office, GOV.UK — https://www.gov.uk/guidance/preparation-and-planning-for-emergencies-responsibilities-of-responder-agencies-and-others
14. Mitigating malware and ransomware attacks — National Cyber Security Centre — https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks
15. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
16. UK Covid-19 Inquiry — https://covid19.public-inquiry.uk/