Ämne 3.10 — Krisberedskap, motståndskraft och krishantering

Krisberedskap, motståndskraft och krishantering (Emergency Preparedness, Resilience and Response, EPRR) är en lagstadgad plikt, inte ett trevligt-att-ha, och i ett modernt hälsosystem är den digitala och datamässiga dimensionen nu en del av frontlinjen — så ni måste planera, utbilda, öva och leda er teknik vid sidan av era kliniker.

Varför detta är viktigt inom hälsa och vård#

När en större händelse inträffar — en terrorattack, ett kemikalieutsläpp, en värmebölja, en influensatopp eller en cyberattack som låser ute varje kliniker från den elektroniska patientjournalen — förväntas hälso- och vårdsystemet fortsätta fungera medan allt runt omkring är störat. Den förväntan är nedskriven i lag. Enligt Civil Contingencies Act 2004 har NHS-organ och deras partner specifika plikter att bedöma risker, upprätthålla planer och kunna agera. Krisberedskap, motståndskraft och krishantering (EPRR) är den paraplybeteckning NHS använder för hur det uppfyller dessa plikter. Det är inte detsamma som vanlig tjänstehantering, och det är bredare än den IT-fokuserade katastrofåterställning som behandlas i Ämne 3.9 — Kontinuitetsplanering och katastrofåterställning.

Skälet till att detta spelar större roll inom hälsa och vård än nästan någon annanstans är att ett misslyckande har en omedelbar mänsklig kostnad. Om en snabbköpskedjas kassasystem havererar stannar försäljningen; om ett sjukhus kliniska system havererar under en masskadehändelse kan människor dö som annars hade levt. Digitala tjänster är numera så djupt invävda i kliniskt arbete — att beställa prover, förskriva, kontrollera allergier, titta på bilder, skriva ut patienter — att ett tekniskt avbrott är en klinisk säkerhetshändelse, och det måste behandlas med samma allvar som varje annat hot mot liv. Därför är bokens tes om ”hur ni arbetar” skarpast här: er beredskap är en fråga om klinisk säkerhet, jämlikhet och allmänhetens förtroende.

Kriser blottlägger också ojämlikhet. De människor som har svårast att klara sig när normala tjänster havererar — de utan transport, utan engelska, utan pengar, utan anhöriga, med långvariga tillstånd — är exakt de som era krisplaner måste skydda först. Ett svar som i tysthet lämnar dem efter är inte ett lyckat svar, hur flott ledningsstrukturen än ser ut. Att förbereda sig väl, och öva ärligt, är hur ni förtjänar det förtroende en verklig kris kommer att pröva till bristningsgränsen.

Grundläggande begrepp#

Krishantering (emergency management) är disciplinen att minska ett samhälles sårbarhet för faror och samordna svaret när de inträffar. Den beskrivs konventionellt som en cykel — förutse, bedöma, förebygga, förbereda, agera, återhämta — och hälsosystem kör den cykeln kontinuerligt, inte bara under en kris. EPRR är NHS:s uttryck för den.

Civil Contingencies Act 2004 är den rättsliga ryggraden. Den delar in aktörer i två grupper. Kategori 1-aktörer är de som står i kärnan av svaret — räddningstjänster, NHS-sjukhus (trusts) och -nämnder, integrerade vårdnämnder (integrated care boards), UK Health Security Agency och lokala myndigheter — och de bär hela uppsättningen plikter: riskbedömning, krisplanering, kontinuitetsplanering, informationsdelning och att varna allmänheten. Kategori 2-aktörer — försörjningsbolag, transportörer, telekomföretag och andra — är ”samverkande organ” med en lättare plikt, främst att dela information och samarbeta med Kategori 1-aktörer. Att veta vilken ni är, och vilka plikter som gäller, är utgångspunkten för allt annat.

Aktörer samordnar sig genom ett lokalt motståndskraftsforum (Local Resilience Forum) (LRF), ett flerorganspartnerskap uppbyggt kring varje polisområde. LRF är där NHS, kommuner, polis, räddningstjänst, ambulans och andra planerar tillsammans, och det för ett samhällsriskregister (community risk register) — en delad, publicerad bedömning av de lokala faror som mest sannolikt kräver ett samordnat svar, från pandemisk influensa till översvämning till industriolyckor. Registret är ett konkret exempel på riskbedömning: att identifiera faror, bedöma sannolikhet och påverkan och avgöra vad man ska planera för.

Incidenter klassificeras så att alla delar ett språk för skala. En kontinuitetsincident (business-continuity incident) stör er förmåga att leverera tjänster men är i princip hanterbar med era egna planer. En kritisk incident (critical incident) är allvarligare: graden av störning hotar organisationens förmåga att leverera säker vård och kräver särskilda åtgärder. En större incident (major incident) är en vars skala eller natur kräver särskilda arrangemang av en eller flera räddningstjänster och vanligen det bredare systemet — en masskadehändelse är arketypen. Tröskelvärdena spelar roll eftersom deklarering av en incident låser upp resurser, befogenheter och ömsesidigt bistånd.

Ledning löper genom den guld–silver–brons-ledningsstruktur (gold–silver–bronze), även kallad strategisk–taktisk–operativ. Guld (strategisk) sätter mål och äger de stora besluten; silver (taktisk) avgör hur resurser sätts in för att nå dem; brons (operativ) utför de praktiska uppgifterna. Strukturen är medvetet generisk så att organisationer som aldrig arbetat tillsammans kan passa in i ett enda ledningssystem på dagen.

Tre begrepp till fullbordar bilden. Surge (uppskalning) är förmågan att snabbt och tillfälligt utvidga kapacitet — bäddar, personal, syrgas, beräkningskraft — bortom normala gränser. Triage är processen att prioritera skadade när behovet överstiger kapaciteten, och masskadetriagesystem finns just för de värsta dagarna. Ömsesidigt bistånd (mutual aid) är överenskommelsen att låna ut personal, utrustning eller kapacitet över organisationsgränser när en aktör är överväldigad. Och en pandemi — ett infektionssjukdomsutbrott som sprider sig över en stor region — är det stående värsta scenario de flesta hälsosystem nu uttryckligen planerar mot, hårt präglat av covid-19-pandemin i Storbritannien.

Bästa praxis#

1. Behandla större tekniska avbrott och cyberattacker som större incidenter i egen rätt. En utpressningsattack som slår ut kliniska system är inte bara ett ”IT-problem” som en servicedesk hanterar i det tysta; det är ett hot mot patientsäkerheten över en hel organisation. Koppla in ert cyber- och digitala incidentsvar i samma guld–silver–brons-ledningsstruktur som er organisation använder för en bussolycka, med en definierad utlösare för när en digital incident eskaleras till en formell kritisk eller större incident. WannaCry-attacken 2017 visade hur en enda skadlig programvara kunde ringa genom dussintals sjukhus inom timmar — se Ämne 1.7 — Informationsstyrning, dataskydd och cybersäkerhet för de kontroller som förhindrar det, och detta ämne för hur ni leder svaret när de havererar.

2. Kör cykeln planera–utbilda–öva obevekligt, och mena det. En plan som aldrig testats är en hypotes. NHS EPRR kräver ett rullande program av övningar — kommunikationstester, skrivbordsövningar (table-top) och fullständiga levande övningar — och ni bör schemalägga dem, resursera dem och behandla att seniora ledare uteblir som den varningsflagga det är. Avgörande är att inkludera era digitala och datateam: öva att förlora den elektroniska patientjournalen, förlora nätverket och förlora ert primära datacenter, inte bara en brand på en avdelning.

3. Utforma och öva medvetet er pappers- och driftstoppsreserv. Varje kritiskt kliniskt system behöver ett dokumenterat, övat arbetssätt när det är otillgängligt — driftstoppsformulär, utskrivna läkemedelskort, skrivskyddade ”kontinuitets”-kopior av journaler och en känd process för att stämma av data när systemen återvänder. Dessa reserver förfaller i tysthet; formulär blir inaktuella, personal som kunde rutinen slutar och skrivaren har ingen toner den dag ni behöver den. Granska dem lika noggrant som ni granskar det levande systemet, och koppla uttryckligen detta arbete till återställningsmålen i Ämne 3.9 — Kontinuitetsplanering och katastrofåterställning.

4. Håll ledningens kommunikation fungerande när allt annat havererar. I en verklig incident kan er vanliga e-post och telefoni vara en del av det som har havererat, särskilt vid en cyberattack. Underhåll kommunikation utanför bandet — ett sätt att sammankalla guldledningen som inte beror på att det angripna nätverket fungerar — tillsammans med aktuella, offline-uppkallelselistor och en motståndskraftig metod för att nå frontlinjepersonal. Testa dessa kanaler under övningar; att upptäcka att er incidentbrygga förlitar sig på samma enhetliga inloggning som utpressningsprogrammet just krypterade är en upptäckt ni vill göra under övning, inte klockan tre på natten.

5. Kom överens i förväg om informationsstyrningsreglerna för en kris, före krisen. I en kris behöver ni dela data snabbt — mellan sjukhus, med folkhälsan, med partner för ömsesidigt bistånd — och personal måste veta att de får. Arbeta med ert dataskyddsombud och er Caldicott Guardian för att i förväg fastställa de rättsliga grunder och stående informationsdelningsavtal som gäller i en kris, så att kliniker delar det som behövs för att rädda liv utan att frysa i osäkerhet. Att föra register över beslut om informationsdelning i kris skyddar både patienter och personal efteråt (se Ämne 1.8 — Dataetik, samtycke och allmänhetens förtroende).

6. Bygg in uppskalning i era digitala tjänster, inte bara era avdelningar. Befolkningsvända digitala tjänster — bokning, triage, symtomkontroller, vaccinationssystem — kan drabbas av efterfrågetoppar på tio eller hundra gånger det normala under en kris, exakt när de spelar störst roll. Belastningstesta mot realistiska uppskalningsscenarier, kom överens om hur ni snabbt skalar molnkapacitet och avgör i förväg vad som ska försämras med värdighet så att kärnfunktionen överlever. En kö som håller är bättre än en webbplats som kollapsar under en rädd allmänhets tyngd.

7. Mata in digital och datamässig expertis i riskbedömningen och samhällsriskregistret. Er organisations bidrag till det lokala motståndskraftsforumet bör inkludera en klarsynt bild av digital risk och cyberrisk, enskilda felpunkter och beroenden av nationella system och leverantörer. Alltför ofta behandlar riskregistret ”IT-fel” som en enda vag rad; bryt ned den, kvantifiera den och se till att LRF förstår att ett regionalt nätverks- eller molnavbrott nu är en trovärdig händelse av massstörning. Detta är en del av styrnings- och granskningsslingan som beskrivs i Ämne 6.4 — Styrning och granskning.

8. Lär öppet av varje övning och varje verklig incident. Värdet av en övning är genomgången, och värdet av en verklig incident är de strukturerade lärdomar som följer. Fånga vad som hände utan skuld, följ åtgärder till avslut och — det svåra — stäng dem faktiskt innan nästa incident hittar samma glapp. Dela lärdomar över systemet genom ert LRF och nationella kanaler, eftersom poängen med ett motståndskraftigt nätverk är att ingen organisation behöver lära sig samma smärtsamma läxa två gånger.

9. Ta hand om era människor genom och efter svaret. Motståndskraft är inte bara teknisk; en personalstyrka som är utmattad, rädd eller moraliskt skadad kan inte upprätthålla en lång kris. Planera för skiftmönster, vila, psykologisk första hjälp och välfärd under utdragna incidenter såsom en pandemi, och gör det legitimt att be om hjälp. De organisationer som återhämtade sig bäst från covid-19 var ofta de som medvetet skyddade sin personals välmående i stället för att behandla uthållighet som oändlig.

Frågor att diskutera med ditt team#

1. När exakt upphör ett digitalt eller cyberrelaterat problem att vara en ”tjänsteincident” och blir en deklarerad kritisk eller större incident — och vem har befogenhet att fatta det beslutet klockan två på natten en söndag? Frågan tvingar er att testa skarven mellan den vardagliga tjänstehanteringen i Ämne 3.8 — Tjänstehantering och löpande drift och det lagstadgade EPRR-maskineriet. Spänningen är mellan att överdriva eskaleringen (ropa varg, utmatta er ledningsstruktur) och att underskatta den (låta en utpressningsattack spridas i timmar medan människor debatterar om den räknas). Ett bra svar namnger uttryckliga, observerbara utlösare — till exempel förlust av den elektroniska patientjournalen över flera platser, eller bekräftad skadlig kod på kliniska system — och namnger de jourroller som är bemyndigade att deklarera, utan att vänta på kontorstid. Diskutera vem som ingår i den rotan, om de har utbildats och om de kan sammankalla guldledningen när det normala nätverket är nere. Beakta att gå igenom ett nyligt tillbud och ärligt fråga om ni skulle ha eskalerat i tid. De bästa svaren täcker också nedeskalering: hur ni avgör att krisen är över och återgår till business as usual.

2. Om våra primära kliniska system blev mörka i 72 timmar, vad skulle vi faktiskt göra — och har vi någonsin bevisat det, eller tror vi bara på det? Detta är en fråga om glappet mellan planen på hyllan och verkligheten på avdelningen. Avvägningen att lyfta är investering: att underhålla och öva driftstoppsrutiner kostar pengar och klinisk tid som skulle kunna gå till annat, och det är lätt att låta dem i tysthet ruttna. Ett starkt svar skiljer det som genuint övats från det som bara skrivits ned, och är specifikt om den första timmen, det första skiftet och den andra dagen, eftersom problemen förändras över tid — att stämma av tre dagars pappersjournaler tillbaka in i systemet är en stor uppgift i sig. Pröva om frontlinjepersonal, inte bara chefer, känner reserven och om nyligen anställda någonsin har sett den. Leta efter ärlighet om enskilda felpunkter, inklusive beroenden av nationell infrastruktur och leverantörer ni inte kontrollerar. De mest mogna teamen kan peka på en verklig övning eller ett verkligt avbrott där reserven höll, och på de lärdomar de stängde efteråt.

3. Hur ser vi till att vårt krissvar skyddar de människor som är svårast att nå, i stället för att i tysthet lämna dem efter? Kriser förstärker befintlig ojämlikhet, och digitala svar kan göra det värre: ett bokningssystem endast online, ett larm enbart på engelska eller en app som förutsätter en smartphone och data kan utesluta just de människor som löper störst risk. Spänningen är mellan den hastighet och skala digitala kanaler erbjuder och den täckning jämlikhet kräver, och det finns ingen gratis lunch — ni kommer att behöva icke-digitala vägar som löper parallellt, vilket kostar mer. Ett bra svar kopplar till samhällsriskregistret och frågar vilka sårbara grupper en given fara hotar, och kontrollerar sedan att svaret når dem. Beakta assisterade digitala vägar, översatt material och hur ni når människor som är bundna till hemmet, digitalt utestängda eller utan stöd (se Ämne 1.9 — Digital inkludering och tillgänglighet). Diskutera hur ni skulle veta om ni sviker dem under en incident, inte månader senare i en granskning. Ärliga svar erkänner var nuvarande planer är svagast och förbinder sig att testa dem med de berörda gemenskaperna.

4. Vilka av våra kritiska digitala beroenden kontrollerar vi faktiskt inte — och vad är vår plan när felet ligger uppströms oss? Modern hälso- och sjukvård drivs av nationella system, molnregioner, uppkopplingsleverantörer och en handfull dominerande leverantörer, och en stor del av er motståndskraft ligger därför i någon annans händer. Den obekväma spänningen är att ni bär den lagstadgade plikten och de kliniska säkerhetskonsekvenserna, medan den enskilda felpunkten kan vara en leverantörs datacenter eller en delad nationell tjänst ni inte kan inspektera. Ett starkt svar kartlägger dessa beroenden uttryckligen — vilka system som hostas var, vilka leverantörer som underbygger vilka kliniska funktioner och var koncentrationsrisk innebär att ett avbrott tar ut flera tjänster samtidigt — snarare än att lämna ”IT-fel” som en enda vag rad i riskregistret. Det ställer hårda frågor om avtalsenliga åtaganden om återställning, vad som händer när en leverantör själv är offer för attacken och om ett regionalt molnavbrott behandlas som den trovärdiga händelse av massstörning det nu är. Pröva om dessa uppströmsrisker lyfts till ert lokala motståndskraftsforum och er styrelse, och om ni har någon ömsesidig bistånds- eller manuell reserv för de beroenden ni inte kan påverka. Det ärliga svaret erkänner vanligen att vissa risker bara kan mildras, inte avlägsnas, och är uttryckligt om vilka ni medvetet accepterar.

5. Talar våra övningar sanning, och ändrar de lärdomar vi drar faktiskt något före nästa incident? Ett övningsprogram kan bli teater — en manuskriptstyrd skrivbordsövning som alla vet kommer att lyckas, besökt av juniora medan seniora ledare skickar förhinder, som producerar en prydlig rapport och en lista över åtgärder ingen stänger. Spänningen är mellan övningar som är bekväma och lugnande och övningar som är realistiska nog att misslyckas tryggt, vilket är den enda sort som lär er något. Ett bra svar tittar på om ni övar genuint svåra scenarier — att förlora EPJ, förlora nätverket, en utpressningsattack mot en leverantör — med de människor som faktiskt skulle ha skift, och om seniora ledares deltagande behandlas som obligatoriskt snarare än valfritt. Det är uppriktigt om genomgångskulturen: fångas lärdomar utan skuld, följs de till avslut och verifieras som stängda, eller återkommer samma glapp incident efter incident? Leta efter evidens för att en lärdom från en övning eller verklig händelse påvisbart ändrade en plan, en rota eller en kontroll. De mest mogna teamen kan namnge ett misslyckande de medvetet lyfte fram under övning och åtgärdade innan det kunde skada en patient.

6. Hur ska vi upprätthålla och skydda våra människor genom ett svar som varar veckor, inte timmar? Mycket krisplanering förutsätter implicit en skarp, kort chock, men de händelser som prövar ett hälsosystem hårdast — en pandemi, en utdragen cyberåterställning, en lång kallväderstopp — maler på i veckor eller månader, och mänsklig uthållighet är inte oändlig. Avvägningen är verklig: att rotera människor för vila och välfärd minskar de råa timmarna som finns exakt när efterfrågan toppar, och det är frestande att luta sig på de villiga tills de går sönder. Ett starkt svar planerar för skiftmönster, överlämningar, vila, psykologisk första hjälp och välfärd från början, och gör det legitimt för personal att be om hjälp i stället för att behandla utmattning som engagemang. Det beaktar även de digitala och datateamen, som ofta bär en återställning i dagar utan avlösning eftersom de är få och specialiserade. Diskutera hur ni skulle upptäcka utbrändhet, moralisk skada och avgångar under en lång incident, och vem som äger personalens välfärd i er ledningsstruktur. De organisationer som klarade sig bäst genom covid-19 var ofta de som medvetet skyddade sina människor, och ärliga svar erkänner om era planer för närvarande gör det eller bara hoppas på hjältemod.

I praktiken: ett exempel från hälsa och vård#

Meadowford är ett fiktivt integrerat vårdsystem som täcker en medelstor stad och dess landsbygd. En regnig februarimorgon börjar akutsjukhusets elektroniska patientjournal — hostad av en nationell leverantör och delad med två angränsande sjukhus — kasta fel och havererar sedan helt. Inom tjugo minuter bekräftar leverantören en utpressningsattack. Kliniker kan inte längre se läkemedel, allergier, provsvar eller vårdplaner över tre sjukhus och deras kopplade närsjukvårdstjänster.

Sjukhusets jourhavande direktör deklarerar en kritisk incident med en förhandsöverenskommen utlösare — ”förlust av EPJ över flera platser” — och eskalerar, i takt med att skalan blir tydlig, till en större incident. Guldledningen sammankallas inte genom det vanliga Teams-samtalet, som går genom den drabbade enhetliga inloggningen, utan via en övad brygga utanför bandet på en separat plattform, med en utskriven uppkallelselista. Silverledningen aktiverar driftstoppsrutiner: pappersläkemedelskort, driftstoppsbeställningsformulär och skrivskyddade ”break-glass”-kopior av journaler som replikerats till en segregerad miljö för just detta scenario, enligt de återställningsmål som beskrivs i Ämne 3.9.

Cyber- och kliniska säkerhetsansvariga arbetar parallellt. Chefen för klinisk informatik öppnar ett kliniskt säkerhetsunderlag, behandlar avbrottet som en fara och följer de specifika riskerna — missade allergier, dubbla doser, förlorade provsvar — med mildringar för var och en (se Ämne 1.6 — Klinisk säkerhet och riskhantering). Caldicott Guardian och dataskyddsombudet bekräftar den förhandsöverenskomna ståndpunkten om informationsdelning i kris så att kliniker kan ringa angränsande platser för kritiska patientuppgifter utan att tveka om lagligheten, och varje sådant beslut loggas.

Under tiden informeras det lokala motståndskraftsforumet och ömsesidigt bistånd flödar: ett angränsande ICS lånar ut apotekspersonal för att hjälpa till med pappersförskrivning, och det regionala NHS England EPRR-teamet samordnar med National Cyber Security Centre. Planerad verksamhet ställs in för att skapa uppskalningskapacitet; samhällsriskregistret hade redan flaggat ett regionalt avbrott i kliniska system som ett trovärdigt scenario, så spelboken fanns. System återställs från rena säkerhetskopior under fyra dagar. Det svåraste arbetet kommer efteråt: att stämma av fyra dagars papper tillbaka in i journalen, och en skuldfri strukturerad genomgång vars åtgärder — en svag segmenteringsgräns, en inaktuell uppkallelselista och personal som aldrig hade sett driftstoppsformulären — följs till avslut före nästa övning.

Sektorperspektiv#

Startup-företag#

Ett litet digitalt hälsoföretag kommer inte att köra guld–silver–brons-ledning, men det är ett kritiskt beroende för de kunder som gör det. Er motståndskraftsberättelse — var data hostas, hur snabbt ni återställer, vilken er incidentprocess är, hur ni skulle kommunicera under ett avbrott — är något storföretagsköpare kommer att, och bör, granska. Var ärliga om enskilda felpunkter, inklusive ert beroende av en molnregion eller en nyckelutvecklare. Det disciplinerade draget är att skriva en lättviktig incidentresponsplan tidigt, öva den en gång och kunna visa kunder att ni tar deras kontinuitet på allvar; det är både god praxis och en säljfördel.

Småföretag#

En etablerad liten vårdgivare — en läkarpraktik, ett närapotek, ett vårdhem eller en hemtjänstorganisation — bär samma plikt att hålla människor säkra när system havererar, men utan något av ett NHS-sjukhus dedikerade EPRR-maskineri. Ni kommer inte att ha en ansvarig krisansvarig eller en ledningsrota dygnet runt; motståndskraft måste bakas in i hur en handfull människor redan arbetar. Det pragmatiska fokuset är en kort, genuint övad driftstoppsplan för de system ni är beroende av — det kliniska systemet, telefonerna, internetlänken — med pappersreserver som era faktiska medarbetare har använt minst en gång, och en offline-lista över vem man ska ringa, inklusive er leverantör och er beställare. Eftersom ni förlitar er nästan helt på leverantörer och nationella tjänster ni inte kan kontrollera, känn till deras återställningsåtaganden och era egna manuella lösningar för de första timmarna. Engagera er i det bredare systemet i stället för att möta en kris ensamma: er integrerade vårdnämnd och ert lokala motståndskraftsforum finns delvis för att hjälpa organisationer av er storlek, och ömsesidigt bistånd med angränsande vårdgivare kan vara skillnaden mellan att klara sig och att stänga.

Storföretag#

Ett stort NHS-sjukhus (trust) eller ICS bär hela tyngden av Kategori 1-aktörens plikter: en ansvarig krisansvarig, ett rullande övningsprogram, ledning på jour dygnet runt och en plats i det lokala motståndskraftsforumet. Utmaningen är integration — att se till att cyber-, kliniska, operativa och kommunikationssvar konvergerar till en enda ledningsstruktur snarare än tre parallella, och att digitala team genuint är en del av EPRR snarare än en eftertanke som kallas in när det redan brinner. Skala medför också komplexitet: många system, många leverantörer och beroenden av nationell infrastruktur ni inte kontrollerar. Mognad ser ut som övade driftstoppsrutiner som fungerar över varje kritisk tjänst och en genomgångskultur som faktiskt stänger sina åtgärder.

Staten#

Nationella och regionala organ — NHS England, UK Health Security Agency, Department of Health and Social Care, decentraliserade regeringar — sätter ramverket, håller standarderna och samordnar svaret över den nivå någon enskild organisation kan hantera. Deras EPRR-uppgift är att skriva och kvalitetssäkra kärnstandarderna, köra nationella övningar, upprätthålla reserver och arrangemang för ömsesidigt bistånd och tillhandahålla ledningssamordning under systemomfattande händelser såsom en pandemi. De äger också den nationella digitala infrastruktur vars haveri i sig vore en händelse av massstörning, så deras egen motståndskraft är en offentlig plikt. Att arbeta effektivt med dem, och förstå kedjan strategisk–taktisk–operativ upp till nationell nivå, är ämnet för Ämne 9.1 — Samarbete med lokala och nationella myndigheter.

Vanliga felmönster#

• Planer på hyllan. En tjock pärm skriven för att klara en kvalitetskontroll, aldrig övad och okänd för den personal som skulle behöva använda den. Övning, inte dokumentation, är testet på beredskap.
• Att behandla cyber som ett IT-problem. Att lämna en utpressningsattack åt servicedesken medan den sprider sig, i stället för att eskalera den till ledning för större incident med klinisk säkerhetsledning. Eskaleringens hastighet är allt.
• Otestade driftstoppsrutiner. Reservformulär som är inaktuella, personal som aldrig har sett dem och ingen övad plan för att stämma av data efteråt. Reserven förfaller i tysthet om ni inte granskar den.
• Ledningskanaler som delar felet. Att sammankalla guldledningen på just den plattform attacken har krypterat. Kommunikation utanför bandet måste vara genuint oberoende.
• Lärande som aldrig landar. Genomgångar som producerar en rapport och en lista över åtgärder ingen stänger, så att nästa incident hittar samma glapp. Följ lärdomar till avslut.
• Jämlikhet som eftertanke. Endast digitala svar som utesluter de sårbara, upptäckta först i en granskning efter incidenten. Designa in icke-digitala vägar från början.
• Hjältemod som strategi. Att anta att personalens uthållighet är oändlig och försumma välfärd, vila och psykologiskt stöd under en lång incident. Utbrändhet är ett motståndskraftsmisslyckande.

Mognadsmodell#

Checklista#

• Bekräfta er organisations status (Kategori 1- eller 2-aktör) och de lagstadgade plikter som gäller.
• Definiera uttryckliga, observerbara utlösare för att eskalera ett digitalt eller cyberproblem till en kritisk eller större incident, och namnge vem som kan deklarera, dygnet runt.
• Se till att cyber- och digitalt incidentsvar är inkopplat i er guld–silver–brons-ledningsstruktur.
• Underhåll ledningskommunikation utanför bandet och offline-uppkallelselistor, och testa dem i övningar.
• Dokumentera, granska och öva driftstopps-/reservrutiner för varje kritiskt kliniskt system, inklusive dataavstämning.
• Kom i förväg överens om rättsliga grunder och avtal för informationsdelning i kris med er Caldicott Guardian och ert dataskyddsombud.
• Belastningstesta befolkningsvända digitala tjänster mot realistiska uppskalningsscenarier och kom överens om vad som försämras med värdighet.
• Bidra med en tydlig bild av digital risk och cyberrisk till ert lokala motståndskraftsforum och samhällsriskregister.
• Kör ett rullande program för planera–utbilda–öva som inkluderar att förlora er EPJ, ert nätverk och ert primära datacenter.
• Håll skuldfria genomgångar efter övningar och verkliga incidenter, och följ varje åtgärd till avslut.
• Planera för personalens välfärd, vila och psykologiskt stöd under utdragna incidenter.
• Kontrollera att ert krissvar når digitalt utestängda och sårbara grupper via icke-digitala vägar.

Viktiga källor#

• NHS England — NHS Emergency Preparedness, Resilience and Response (EPRR) Framework och EPRR Core Standards.
• Cabinet Office — Civil Contingencies Act 2004 och lagstadgad vägledning om Emergency Preparedness / Emergency Response and Recovery.
• Cabinet Office / GOV.UK — National Risk Register och vägledning om lokala motståndskraftsforum och samhällsriskregister.
• National Cyber Security Centre (NCSC) — vägledning om utpressningsprogram, incidenthantering och att behandla cyberincidenter som större incidenter.
• UK Health Security Agency (UKHSA) — vägledning om beredskap inför pandemier och infektionssjukdomar.
• UK Covid-19 Inquiry — publicerade moduler och rapporter om pandemiberedskap och pandemisvar.
• Joint Emergency Services Interoperability Principles (JESIP) — ledning, samordning och den strategiska–taktiska–operativa modellen.
• National Audit Office — Investigation: WannaCry cyber attack and the NHS (2018).

Referenser#

1. Civil Contingencies Act 2004 — Wikipedia — https://en.wikipedia.org/wiki/Civil_Contingencies_Act_2004
2. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
3. Local resilience forum — Wikipedia — https://en.wikipedia.org/wiki/Local_resilience_forum
4. Gold–silver–bronze command structure — Wikipedia — https://en.wikipedia.org/wiki/Gold%E2%80%93silver%E2%80%93bronze_command_structure
5. Risk assessment — Wikipedia — https://en.wikipedia.org/wiki/Risk_assessment
6. Triage — Wikipedia — https://en.wikipedia.org/wiki/Triage
7. Mutual aid (emergency services) — Wikipedia — https://en.wikipedia.org/wiki/Mutual_aid_(emergency_services)
8. Pandemic — Wikipedia — https://en.wikipedia.org/wiki/Pandemic
9. COVID-19 pandemic in the United Kingdom — Wikipedia — https://en.wikipedia.org/wiki/COVID-19_pandemic_in_the_United_Kingdom
10. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
11. NHS Emergency Preparedness, Resilience and Response (EPRR) — NHS England — https://www.england.nhs.uk/ourwork/eprr/
12. Civil Contingencies Act 2004 (legislation) — UK Government / The National Archives — https://www.legislation.gov.uk/ukpga/2004/36/contents
13. Preparation and planning for emergencies: responsibilities of responder agencies and others — Cabinet Office, GOV.UK — https://www.gov.uk/guidance/preparation-and-planning-for-emergencies-responsibilities-of-responder-agencies-and-others
14. Mitigating malware and ransomware attacks — National Cyber Security Centre — https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks
15. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
16. UK Covid-19 Inquiry — https://covid19.public-inquiry.uk/