Chủ đề 3.10 — Sẵn sàng khẩn cấp, khả năng chống chịu và ứng phó

Sẵn sàng, Chống chịu và Ứng phó Khẩn cấp (EPRR) là một nghĩa vụ luật định, không phải điều nên-có, và trong một hệ thống y tế hiện đại, chiều kích số và dữ liệu nay là một phần của tuyến đầu — nên bạn phải lập kế hoạch, đào tạo, diễn tập và chỉ huy công nghệ của mình cùng với các bác sĩ.

Vì sao điều này quan trọng trong y tế và chăm sóc#

Khi một sự cố lớn xảy ra — một vụ tấn công khủng bố, một vụ tràn hóa chất, một đợt nắng nóng, một đợt cúm bùng phát, hay một cuộc tấn công mạng khóa mọi bác sĩ khỏi hồ sơ bệnh nhân điện tử — hệ thống y tế và chăm sóc được kỳ vọng vẫn hoạt động trong khi mọi thứ quanh nó bị gián đoạn. Kỳ vọng đó được viết vào luật. Theo Đạo luật Dự phòng Dân sự 2004, các cơ quan NHS và đối tác của họ có các nghĩa vụ cụ thể là đánh giá rủi ro, duy trì kế hoạch, và có khả năng ứng phó. Sẵn sàng, Chống chịu và Ứng phó Khẩn cấp là thuật ngữ bao trùm mà NHS dùng cho cách nó đáp ứng các nghĩa vụ đó. Nó không giống quản lý dịch vụ thông thường, và rộng hơn phục hồi sau thảm họa tập trung vào CNTT được đề cập ở Chủ đề 3.9 — Liên tục kinh doanh và phục hồi sau thảm họa.

Lý do điều này quan trọng hơn trong y tế và chăm sóc so với gần như bất cứ đâu khác là thất bại có cái giá con người tức thì. Nếu hệ thống quầy thu ngân của một siêu thị thất bại, việc bán dừng lại; nếu hệ thống lâm sàng của một bệnh viện thất bại trong một sự kiện thương vong hàng loạt, những người lẽ ra sống có thể chết. Các dịch vụ số nay đan sâu vào công việc lâm sàng — yêu cầu xét nghiệm, kê đơn, kiểm tra dị ứng, xem hình ảnh, cho bệnh nhân xuất viện — đến mức một sự cố công nghệ ngừng hoạt động là một sự kiện an toàn lâm sàng, và phải được đối xử nghiêm túc như bất kỳ mối đe dọa nào khác đối với tính mạng. Đó là lý do luận đề "cách bạn làm việc" của cuốn sách này sắc nhất ở đây: mức sẵn sàng của bạn là vấn đề an toàn lâm sàng, công bằng và niềm tin công chúng.

Các trường hợp khẩn cấp cũng phơi bày bất bình đẳng. Những người ít có khả năng đối phó nhất khi các dịch vụ bình thường thất bại — những người không có phương tiện đi lại, không có tiếng Anh, không có tiền, không có người chăm sóc, mắc bệnh mạn tính — chính xác là những người mà kế hoạch khẩn cấp của bạn phải bảo vệ trước tiên. Một phản ứng lặng lẽ bỏ lại họ không phải một phản ứng thành công, dù cấu trúc chỉ huy trông bóng bẩy đến đâu. Chuẩn bị tốt, và diễn tập trung thực, là cách bạn giành được niềm tin công chúng mà một cuộc khủng hoảng thực sẽ thử thách đến cùng.

Các khái niệm cốt lõi#

Quản lý khẩn cấp là ngành giảm tính dễ tổn thương của một cộng đồng trước các mối nguy và phối hợp phản ứng khi chúng xảy ra. Nó thường được mô tả như một chu trình — dự đoán, đánh giá, phòng ngừa, chuẩn bị, ứng phó, phục hồi — và các hệ thống y tế chạy chu trình đó liên tục, không chỉ trong khủng hoảng. EPRR là cách NHS thể hiện nó.

Đạo luật Dự phòng Dân sự 2004 là xương sống pháp lý. Nó chia các bên ứng phó thành hai nhóm. Bên ứng phó Loại 1 là những bên ở cốt lõi của phản ứng — các dịch vụ khẩn cấp, các bệnh viện và hội đồng NHS, các hội đồng chăm sóc tích hợp, Cơ quan An ninh Y tế Vương quốc Anh, và chính quyền địa phương — và họ mang đầy đủ các nghĩa vụ: đánh giá rủi ro, lập kế hoạch khẩn cấp, liên tục kinh doanh, chia sẻ thông tin và cảnh báo công chúng. Bên ứng phó Loại 2 — các công ty tiện ích, nhà vận hành giao thông, hãng viễn thông và các bên khác — là "các cơ quan hợp tác" với nghĩa vụ nhẹ hơn, chủ yếu là chia sẻ thông tin và hợp tác với các bên ứng phó Loại 1. Biết mình thuộc loại nào, và nghĩa vụ nào gắn vào, là điểm xuất phát của mọi thứ khác.

Các bên ứng phó phối hợp thông qua một Diễn đàn Chống chịu Địa phương (LRF), một quan hệ đối tác đa cơ quan được xây quanh mỗi khu vực cảnh sát. LRF là nơi NHS, hội đồng, cảnh sát, cứu hỏa, cứu thương và các bên khác lập kế hoạch cùng nhau, và nó duy trì một sổ đăng ký rủi ro cộng đồng — một đánh giá chung, được công bố về các mối nguy địa phương có khả năng nhất cần phản ứng phối hợp, từ cúm đại dịch đến lũ lụt đến tai nạn công nghiệp. Sổ đăng ký là một ví dụ thực hành về đánh giá rủi ro: xác định mối nguy, đánh giá khả năng xảy ra và tác động, và quyết định lập kế hoạch cho điều gì.

Các sự cố được phân loại để mọi người chia sẻ một ngôn ngữ về quy mô. Một sự cố liên tục kinh doanh làm gián đoạn khả năng cung cấp dịch vụ của bạn nhưng, về nguyên tắc, có thể quản lý được bằng các kế hoạch của chính bạn. Một sự cố then chốt nghiêm trọng hơn: mức gián đoạn đe dọa khả năng cung cấp chăm sóc an toàn của tổ chức và đòi hỏi các biện pháp đặc biệt. Một sự cố lớn là sự cố mà quy mô hoặc bản chất của nó đòi hỏi các sắp xếp đặc biệt của một hoặc nhiều dịch vụ khẩn cấp và thường là cả hệ thống rộng hơn — một sự kiện thương vong hàng loạt là hình mẫu. Các ngưỡng quan trọng vì tuyên bố một sự cố mở khóa nguồn lực, thẩm quyền và tương trợ.

Chỉ huy chạy qua cấu trúc chỉ huy vàng–bạc–đồng, còn gọi là chiến lược–chiến thuật–tác nghiệp. Vàng (chiến lược) đặt mục tiêu và sở hữu các quyết định lớn; bạc (chiến thuật) quyết định cách nguồn lực được triển khai để đạt chúng; đồng (tác nghiệp) thực hiện các nhiệm vụ thực tế. Cấu trúc này cố ý chung để các cơ quan chưa bao giờ làm việc cùng nhau có thể nhập vào một hệ thống chỉ huy duy nhất vào ngày thực.

Ba khái niệm nữa hoàn thiện bức tranh. Tăng đột biến (surge) là khả năng mở rộng năng lực — giường, nhân viên, oxy, tính toán — nhanh chóng và tạm thời vượt quá giới hạn bình thường. Triage là quá trình ưu tiên thương vong khi nhu cầu vượt năng lực, và các hệ thống triage thương vong hàng loạt tồn tại chính xác cho những ngày tồi tệ nhất. Tương trợ là thỏa thuận cho mượn nhân viên, thiết bị hoặc năng lực qua ranh giới tổ chức khi một bên ứng phó bị quá tải. Và một đại dịch — một đợt bùng phát bệnh truyền nhiễm lan khắp một vùng rộng — là kịch bản xấu nhất thường trực mà hầu hết các hệ thống y tế nay lập kế hoạch rõ ràng, được rút kinh nghiệm sâu sắc từ đại dịch COVID-19 ở Vương quốc Anh.

Thực hành tốt nhất#

1. Xem các sự cố ngừng hoạt động công nghệ lớn và tấn công mạng là các sự cố lớn tự chúng. Một cuộc tấn công mã độc tống tiền vô hiệu hóa các hệ thống lâm sàng không chỉ là một "vấn đề CNTT" để bàn dịch vụ xử lý lặng lẽ; đó là mối đe dọa an toàn bệnh nhân trên toàn bộ một tổ chức. Nối phản ứng sự cố mạng và số của bạn vào cùng cấu trúc chỉ huy vàng–bạc–đồng mà tổ chức dùng cho một vụ tai nạn xe khách, với một điều kiện kích hoạt xác định khi một sự cố số được leo thang thành một sự cố then chốt hoặc lớn chính thức. Cuộc tấn công WannaCry năm 2017 cho thấy một đoạn mã độc đơn lẻ có thể lan khắp hàng chục bệnh viện trong vài giờ — xem Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng cho các biện pháp kiểm soát ngăn chặn nó, và chủ đề này cho cách bạn chỉ huy phản ứng khi chúng thất bại.

2. Chạy chu trình lập kế hoạch–đào tạo–diễn tập không ngừng, và thực lòng. Một kế hoạch chưa bao giờ được kiểm thử là một giả thuyết. EPRR của NHS yêu cầu một chương trình diễn tập luân phiên — kiểm tra truyền thông, diễn tập trên bàn và diễn tập trực tiếp đầy đủ — và bạn nên lên lịch, cấp nguồn lực và xem việc lãnh đạo cấp cao vắng mặt là lá cờ đỏ đúng nghĩa của nó. Quan trọng là đưa các nhóm số và dữ liệu của bạn vào: diễn tập việc mất hồ sơ bệnh nhân điện tử, mất mạng, và mất trung tâm dữ liệu chính, không chỉ một đám cháy trong khoa.

3. Thiết kế và diễn tập có chủ đích phương án dự phòng giấy và ngừng hoạt động của bạn. Mọi hệ thống lâm sàng then chốt cần một cách làm việc được ghi chép, được luyện tập khi nó không khả dụng — mẫu ngừng hoạt động, biểu đồ thuốc in, các bản sao "liên tục kinh doanh" chỉ đọc của hồ sơ, và một quy trình đã biết để đối chiếu dữ liệu khi các hệ thống quay lại. Các phương án dự phòng này phân rã thầm lặng; mẫu lỗi thời, nhân viên biết quy trình rời đi, và máy in hết mực vào ngày bạn cần. Hãy kiểm toán chúng cẩn thận như bạn kiểm toán hệ thống đang vận hành, và nối công việc này rõ ràng với các mục tiêu thời gian phục hồi trong Chủ đề 3.9 — Liên tục kinh doanh và phục hồi sau thảm họa.

4. Giữ cho truyền thông chỉ huy-và-kiểm soát hoạt động khi mọi thứ khác thất bại. Trong một sự cố thực, email và điện thoại thông thường của bạn có thể là một phần của những gì đã thất bại, đặc biệt trong một cuộc tấn công mạng. Duy trì truyền thông ngoài băng tần — một cách triệu tập chỉ huy vàng không phụ thuộc vào mạng đang bị tấn công — cùng với danh sách liên lạc ngoại tuyến cập nhật và một phương pháp chống chịu để tiếp cận nhân viên tuyến đầu. Kiểm thử các kênh này trong diễn tập; phát hiện rằng cầu nối sự cố của bạn dựa trên cùng đăng nhập một lần mà mã độc tống tiền vừa mã hóa là phát hiện bạn muốn thực hiện trong diễn tập, không phải lúc 3 giờ sáng.

5. Thỏa thuận trước các quy tắc quản trị thông tin cho khủng hoảng trước khi khủng hoảng. Trong một trường hợp khẩn cấp bạn sẽ cần chia sẻ dữ liệu nhanh — giữa các bệnh viện, với y tế công cộng, với các đối tác tương trợ — và nhân viên phải biết họ được phép. Làm việc với Cán bộ Bảo vệ Dữ liệu và Người bảo vệ Caldicott của bạn để thiết lập, trước, các cơ sở pháp lý và thỏa thuận chia sẻ thông tin thường trực áp dụng trong khẩn cấp, để bác sĩ chia sẻ điều cần để cứu mạng mà không đứng khựng trong bất định. Giữ một hồ sơ các quyết định chia sẻ dữ liệu khẩn cấp bảo vệ cả bệnh nhân lẫn nhân viên về sau (xem Chủ đề 1.8 — Đạo đức dữ liệu, sự đồng ý và niềm tin công chúng).

6. Xây tăng đột biến vào các dịch vụ số của bạn, không chỉ các khoa. Các dịch vụ số hướng tới dân số — đặt lịch, phân loại, công cụ kiểm tra triệu chứng, hệ thống tiêm chủng — có thể bị các đợt tăng nhu cầu gấp mười hoặc một trăm lần bình thường trong một trường hợp khẩn cấp, chính xác khi chúng quan trọng nhất. Kiểm thử tải theo các kịch bản tăng đột biến thực tế, thỏa thuận cách bạn sẽ mở rộng năng lực đám mây nhanh chóng, và quyết định trước điều gì sẽ suy giảm một cách êm ái để chức năng cốt lõi sống sót. Một hàng đợi giữ vững tốt hơn một trang web sụp đổ dưới sức nặng của một công chúng hoảng sợ.

7. Đưa chuyên môn số và dữ liệu vào đánh giá rủi ro và sổ đăng ký rủi ro cộng đồng. Đóng góp của tổ chức bạn cho Diễn đàn Chống chịu Địa phương nên gồm một cái nhìn tỉnh táo về rủi ro số và mạng, các điểm lỗi đơn, và các phụ thuộc vào hệ thống quốc gia và nhà cung cấp. Quá thường xuyên, sổ đăng ký rủi ro xem "thất bại CNTT" là một dòng mơ hồ duy nhất; hãy chia nhỏ nó, định lượng nó, và bảo đảm LRF hiểu rằng một sự cố ngừng hoạt động mạng khu vực hay đám mây nay là một sự kiện gián đoạn hàng loạt đáng tin. Đây là một phần của vòng quản trị và đảm bảo được mô tả ở Chủ đề 6.4 — Quản trị và đảm bảo.

8. Học một cách cởi mở từ mọi cuộc diễn tập và mọi sự cố thực. Giá trị của một cuộc diễn tập là buổi tổng kết, và giá trị của một sự cố thực là các bài học có cấu trúc theo sau. Ghi nhận điều đã xảy ra mà không đổ lỗi, theo dõi các hành động đến khi hoàn tất, và — phần khó — thực sự đóng chúng trước khi sự cố tiếp theo tìm thấy cùng khoảng trống. Chia sẻ bài học khắp hệ thống qua LRF và các kênh quốc gia của bạn, vì mục đích của một mạng lưới chống chịu là không tổ chức nào phải học cùng một bài học đau đớn hai lần.

9. Chăm sóc con người của bạn trong và sau phản ứng. Khả năng chống chịu không chỉ là kỹ thuật; một lực lượng lao động kiệt sức, sợ hãi hay bị tổn thương đạo đức không thể duy trì một trường hợp khẩn cấp dài. Lập kế hoạch cho ca làm việc, nghỉ ngơi, sơ cứu tâm lý và phúc lợi trong các sự cố kéo dài như một đại dịch, và biến việc xin giúp đỡ thành chính đáng. Các tổ chức phục hồi tốt nhất sau COVID-19 thường là những tổ chức bảo vệ phúc lợi của nhân viên một cách có chủ đích thay vì xem sức bền là vô hạn.

Câu hỏi để thảo luận với nhóm của bạn#

1. Chính xác khi nào một vấn đề số hoặc mạng ngừng là một "sự cố dịch vụ" và trở thành một sự cố then chốt hoặc lớn được tuyên bố — và ai có thẩm quyền đưa ra quyết định đó lúc 2 giờ sáng Chủ nhật? Câu hỏi này buộc bạn kiểm thử đường nối giữa quản lý dịch vụ thường ngày của Chủ đề 3.8 — Quản lý dịch vụ và vận hành trực tiếp và bộ máy EPRR luật định. Căng thẳng nằm giữa leo thang quá mức (kêu sói đến, làm kiệt cấu trúc chỉ huy của bạn) và leo thang thiếu (để một cuộc tấn công mã độc tống tiền lan hàng giờ trong khi người ta tranh luận xem có tính không). Một câu trả lời tốt gọi tên các điều kiện kích hoạt rõ ràng, quan sát được — ví dụ mất hồ sơ bệnh nhân điện tử trên nhiều địa điểm, hoặc mã độc được xác nhận trên các hệ thống lâm sàng — và gọi tên các vai trò trực được trao quyền tuyên bố, mà không chờ giờ hành chính. Hãy thảo luận ai nằm trong lịch trực đó, họ đã được đào tạo chưa, và họ có thể triệu tập chỉ huy vàng khi mạng thông thường ngừng không. Hãy cân nhắc đi qua một suýt xảy ra gần đây và hỏi một cách trung thực liệu bạn có leo thang kịp thời không. Những câu trả lời tốt nhất cũng bao phủ việc giảm leo thang: cách bạn quyết định khẩn cấp đã kết thúc và quay về hoạt động thường lệ.

2. Nếu các hệ thống lâm sàng chính của chúng ta tối đen trong 72 giờ, chúng ta thực sự sẽ làm gì — và chúng ta đã bao giờ chứng minh chưa, hay chỉ tin? Đây là câu hỏi về khoảng cách giữa kế hoạch trên giá và thực tế trên khoa. Sự đánh đổi cần nêu ra là đầu tư: duy trì và diễn tập các thủ tục ngừng hoạt động tốn tiền và thời gian lâm sàng có thể dùng ở nơi khác, và dễ để chúng lặng lẽ mục nát. Một câu trả lời mạnh phân biệt điều thực sự được diễn tập với điều chỉ được viết ra, và cụ thể về giờ đầu tiên, ca đầu tiên và ngày thứ hai, vì các vấn đề thay đổi theo thời gian — đối chiếu ba ngày hồ sơ giấy trở lại hệ thống tự nó là một nhiệm vụ lớn. Hãy thăm dò liệu nhân viên tuyến đầu, không chỉ quản lý, có biết phương án dự phòng không, và những người mới vào có từng thấy nó chưa. Hãy tìm sự trung thực về các điểm lỗi đơn, gồm các phụ thuộc vào hạ tầng quốc gia và nhà cung cấp mà bạn không kiểm soát. Các nhóm trưởng thành nhất có thể chỉ ra một cuộc diễn tập thực hoặc một sự cố ngừng hoạt động thực mà phương án dự phòng đã đứng vững, và những bài học họ đã đóng sau đó.

3. Làm sao chúng ta bảo đảm phản ứng khẩn cấp của mình bảo vệ những người khó tiếp cận nhất, thay vì lặng lẽ bỏ lại họ? Các trường hợp khẩn cấp khuếch đại bất bình đẳng, và các phản ứng số có thể làm nó tệ hơn: một hệ thống đặt lịch chỉ trực tuyến, một cảnh báo chỉ tiếng Anh, hay một ứng dụng giả định có điện thoại thông minh và dữ liệu có thể loại trừ chính những người chịu rủi ro nhiều nhất. Căng thẳng nằm giữa tốc độ và quy mô mà các kênh số mang lại và độ bao phủ mà công bằng đòi hỏi, và không có bữa trưa miễn phí — bạn sẽ cần các lộ trình phi số chạy song song, tốn kém hơn. Một câu trả lời tốt nối với sổ đăng ký rủi ro cộng đồng và hỏi các nhóm dễ tổn thương nào bị một mối nguy cụ thể đe dọa, rồi kiểm tra phản ứng có đến được họ không. Hãy cân nhắc các kênh số hóa có hỗ trợ, tài liệu được dịch, và cách bạn tiếp cận những người bị giam trong nhà, bị loại trừ số, hoặc không có hỗ trợ (xem Chủ đề 1.9 — Hòa nhập số và khả năng tiếp cận). Hãy thảo luận làm sao bạn biết mình đang phụ lòng họ trong một sự cố, không phải nhiều tháng sau trong một cuộc rà soát. Những câu trả lời trung thực thừa nhận nơi các kế hoạch hiện tại yếu nhất và cam kết kiểm thử chúng với các cộng đồng liên quan.

4. Những phụ thuộc số then chốt nào chúng ta thực sự không kiểm soát — và kế hoạch của chúng ta khi thất bại nằm ở thượng nguồn là gì? Y tế và chăm sóc hiện đại chạy trên các hệ thống quốc gia, vùng đám mây, nhà cung cấp kết nối và một nhúm nhà cung cấp chi phối, và do đó rất nhiều khả năng chống chịu của bạn nằm trong tay người khác. Căng thẳng khó chịu là bạn mang nghĩa vụ luật định và hậu quả an toàn lâm sàng, nhưng điểm lỗi đơn có thể là trung tâm dữ liệu của một nhà cung cấp hoặc một dịch vụ quốc gia dùng chung mà bạn không thể kiểm tra. Một câu trả lời mạnh vẽ bản đồ rõ ràng các phụ thuộc này — hệ thống nào được lưu trữ ở đâu, nhà cung cấp nào nâng đỡ chức năng lâm sàng nào, và nơi rủi ro tập trung nghĩa là một sự cố ngừng hoạt động hạ gục nhiều dịch vụ cùng lúc — thay vì để "thất bại CNTT" là một dòng mơ hồ duy nhất trong sổ đăng ký rủi ro. Nó đặt những câu hỏi khó về các cam kết phục hồi theo hợp đồng, điều gì xảy ra khi một nhà cung cấp chính là nạn nhân của cuộc tấn công, và liệu một sự cố ngừng hoạt động đám mây khu vực có được xem là sự kiện gián đoạn hàng loạt đáng tin mà nó nay đã là không. Hãy thăm dò liệu các rủi ro thượng nguồn này có được nêu với Diễn đàn Chống chịu Địa phương và hội đồng của bạn không, và bạn có phương án tương trợ hay thủ công nào cho các phụ thuộc bạn không thể tác động không. Câu trả lời trung thực thường thừa nhận một số rủi ro chỉ có thể giảm thiểu chứ không loại bỏ, và rõ ràng về những rủi ro nào bạn đang chủ động chấp nhận.

5. Các cuộc diễn tập của chúng ta có nói sự thật không, và những bài học chúng ta học được có thực sự thay đổi điều gì trước sự cố tiếp theo không? Một chương trình diễn tập có thể thành sân khấu — một buổi diễn tập trên bàn theo kịch bản mà mọi người biết sẽ thành công, có cấp dưới tham dự trong khi lãnh đạo cấp cao gửi lời xin lỗi, tạo ra một báo cáo gọn gàng và một danh sách hành động không ai đóng. Căng thẳng nằm giữa các cuộc diễn tập thoải mái, trấn an và các cuộc diễn tập đủ thực tế để thất bại một cách an toàn, là loại duy nhất dạy bạn điều gì. Một câu trả lời tốt xem bạn có diễn tập các kịch bản thực sự khó không — mất EPR, mất mạng, một cuộc tấn công mã độc tống tiền vào nhà cung cấp — với những người thực sự sẽ trực, và liệu việc lãnh đạo cấp cao tham dự có được xem là bắt buộc hơn là tùy chọn. Nó thẳng thắn về văn hóa tổng kết: các bài học có được ghi nhận không đổ lỗi, theo dõi đến khi hoàn tất, và xác minh là đã đóng, hay cùng những khoảng trống tái diễn sự cố sau sự cố? Hãy tìm bằng chứng rằng một bài học từ một cuộc diễn tập hoặc sự kiện thực đã thay đổi một cách có thể chứng minh một kế hoạch, một lịch trực hay một biện pháp kiểm soát. Các nhóm trưởng thành nhất có thể gọi tên một thất bại họ cố ý làm lộ trong diễn tập và sửa trước khi nó có thể gây hại cho một bệnh nhân.

6. Làm sao chúng ta duy trì và bảo vệ con người của mình qua một phản ứng kéo dài hàng tuần, không phải hàng giờ? Phần lớn lập kế hoạch khẩn cấp ngầm giả định một cú sốc sắc, ngắn, nhưng các sự kiện thử thách hệ thống y tế nặng nhất — một đại dịch, một cuộc phục hồi mạng kéo dài, một đợt tăng đột biến thời tiết lạnh dài — kéo dài hàng tuần hay hàng tháng, và sức bền của con người không vô hạn. Sự đánh đổi là có thật: luân phiên người để nghỉ ngơi và phúc lợi làm giảm số giờ thô sẵn có đúng lúc nhu cầu đạt đỉnh, và thật cám dỗ khi dựa vào những người sẵn lòng cho đến khi họ gục. Một câu trả lời mạnh lập kế hoạch cho ca làm việc, bàn giao, nghỉ ngơi, sơ cứu tâm lý và phúc lợi ngay từ đầu, và biến việc nhân viên xin giúp đỡ thành chính đáng thay vì xem kiệt sức là cam kết. Nó cân nhắc cả các nhóm số và dữ liệu, những người thường gánh một cuộc phục hồi nhiều ngày không được thay phiên vì họ ít và chuyên biệt. Hãy thảo luận làm sao bạn phát hiện kiệt sức, tổn thương đạo đức và nghỉ việc trong một sự cố dài, và ai sở hữu phúc lợi lực lượng lao động trong cấu trúc chỉ huy của bạn. Các tổ chức vượt qua COVID-19 tốt nhất thường là những tổ chức bảo vệ con người của họ một cách có chủ đích, và các câu trả lời trung thực thừa nhận liệu kế hoạch của bạn hiện làm điều đó hay chỉ hy vọng vào những hành động anh hùng.

Trong thực tế: một ví dụ về y tế và chăm sóc#

Meadowford là một hệ thống chăm sóc tích hợp hư cấu bao gồm một thành phố cỡ trung và vùng nông thôn quanh nó. Vào một sáng tháng Hai ẩm ướt, hồ sơ bệnh nhân điện tử của bệnh viện cấp cứu của nó — do một nhà cung cấp quốc gia lưu trữ và dùng chung với hai bệnh viện lân cận — bắt đầu báo lỗi, rồi thất bại hoàn toàn. Trong hai mươi phút nhà cung cấp xác nhận một cuộc tấn công mã độc tống tiền. Các bác sĩ không còn thấy thuốc, dị ứng, kết quả hay kế hoạch chăm sóc trên ba bệnh viện và các dịch vụ cộng đồng liên kết của chúng.

Giám đốc trực của quỹ tuyên bố một sự cố then chốt dùng điều kiện kích hoạt đã thỏa thuận trước — "mất EPR trên nhiều địa điểm" — và, khi quy mô trở nên rõ ràng, leo thang lên một sự cố lớn. Chỉ huy vàng triệu tập không phải qua cuộc gọi Teams thông thường, vốn chạy qua đăng nhập một lần bị ảnh hưởng, mà qua một cầu nối ngoài băng tần đã được diễn tập trên một nền tảng riêng, dùng một danh sách liên lạc in. Chỉ huy bạc kích hoạt các thủ tục ngừng hoạt động: biểu đồ thuốc giấy, mẫu yêu cầu ngừng hoạt động, và các bản sao "phá kính" chỉ đọc của hồ sơ được sao chép sang một môi trường tách biệt chính cho kịch bản này, như được thiết kế theo các mục tiêu phục hồi ở Chủ đề 3.9.

Các trưởng bộ phận mạng và an toàn lâm sàng chạy song song. Giám đốc thông tin lâm sàng mở một hồ sơ an toàn lâm sàng, xem sự cố ngừng hoạt động là một mối nguy và theo dõi các rủi ro cụ thể — dị ứng bị bỏ sót, liều trùng lặp, kết quả bị mất — với các biện pháp giảm thiểu cho từng cái (xem Chủ đề 1.6 — An toàn lâm sàng và quản lý rủi ro). Người bảo vệ Caldicott và Cán bộ Bảo vệ Dữ liệu xác nhận vị thế chia sẻ thông tin khẩn cấp đã thỏa thuận trước để bác sĩ có thể gọi điện cho các địa điểm lân cận để lấy thông tin bệnh nhân then chốt mà không do dự về tính hợp pháp, và mỗi quyết định như vậy đều được ghi nhật ký.

Trong khi đó Diễn đàn Chống chịu Địa phương được thông báo, và tương trợ chảy đến: một ICS lân cận cho mượn nhân viên dược để giúp quản lý kê đơn giấy, và nhóm EPRR khu vực của NHS England phối hợp với Trung tâm An ninh Mạng Quốc gia. Hoạt động có kế hoạch bị dừng để tạo năng lực tăng đột biến; sổ đăng ký rủi ro cộng đồng đã đánh dấu một sự cố ngừng hoạt động hệ thống lâm sàng khu vực là một kịch bản đáng tin, nên cẩm nang đã tồn tại. Các hệ thống được khôi phục từ các bản sao lưu sạch trong bốn ngày. Công việc khó nhất đến sau đó: đối chiếu bốn ngày giấy trở lại hồ sơ, và một buổi tổng kết có cấu trúc, không đổ lỗi mà các hành động của nó — một ranh giới phân đoạn yếu, một danh sách liên lạc lỗi thời, và nhân viên chưa bao giờ thấy các mẫu ngừng hoạt động — được theo dõi đến khi đóng trước cuộc diễn tập tiếp theo.

Góc nhìn theo khu vực#

Công ty khởi nghiệp#

Một công ty y tế số nhỏ sẽ không chạy chỉ huy vàng–bạc–đồng, nhưng nó là một phụ thuộc then chốt của những khách hàng có chạy. Câu chuyện chống chịu của bạn — dữ liệu được lưu ở đâu, bạn phục hồi nhanh thế nào, quy trình sự cố của bạn là gì, bạn sẽ truyền thông ra sao trong một sự cố ngừng hoạt động — là thứ người mua doanh nghiệp sẽ và nên chất vấn. Hãy trung thực về các điểm lỗi đơn, gồm việc bạn dựa vào một vùng đám mây hay một kỹ sư then chốt. Nước đi có kỷ luật là viết một kế hoạch ứng phó sự cố gọn nhẹ sớm, diễn tập nó một lần, và có thể cho khách hàng thấy bạn coi trọng sự liên tục của họ; đó vừa là thực hành tốt vừa là lợi thế bán hàng.

Doanh nghiệp nhỏ#

Một nhà cung cấp nhỏ đã thành lập — một phòng khám bác sĩ gia đình, một hiệu thuốc cộng đồng, một nhà dưỡng lão hay một dịch vụ chăm sóc tại nhà — mang cùng nghĩa vụ giữ mọi người an toàn khi hệ thống thất bại, nhưng không có bộ máy EPRR chuyên trách nào của một bệnh viện NHS. Bạn sẽ không có cán bộ khẩn cấp chịu trách nhiệm hay lịch chỉ huy 24/7; khả năng chống chịu phải được nướng vào cách một nhúm người vốn đã làm việc. Trọng tâm thực dụng là một kế hoạch ngừng hoạt động ngắn, thực sự được diễn tập cho các hệ thống bạn phụ thuộc — hệ thống lâm sàng, điện thoại, đường truyền internet — với các phương án dự phòng giấy mà nhân viên thực của bạn đã dùng ít nhất một lần, và một danh sách ngoại tuyến những người cần gọi, gồm nhà cung cấp và bên đặt hàng của bạn. Vì bạn dựa gần như hoàn toàn vào các nhà cung cấp và dịch vụ quốc gia mà bạn không kiểm soát, hãy biết các cam kết phục hồi của họ và các cách xoay xở thủ công của chính bạn cho những giờ đầu tiên. Hãy tham gia với hệ thống rộng hơn thay vì đối mặt khẩn cấp một mình: hội đồng chăm sóc tích hợp và Diễn đàn Chống chịu Địa phương của bạn tồn tại một phần để giúp các tổ chức cỡ bạn, và tương trợ với các nhà cung cấp lân cận có thể là sự khác biệt giữa đối phó được và đóng cửa.

Doanh nghiệp lớn#

Một bệnh viện NHS lớn hoặc ICS mang trọn sức nặng của các nghĩa vụ bên ứng phó Loại 1: một cán bộ khẩn cấp chịu trách nhiệm, một chương trình diễn tập luân phiên, chỉ huy trực 24/7 và một ghế tại Diễn đàn Chống chịu Địa phương. Thách thức là tích hợp — bảo đảm các phản ứng mạng, lâm sàng, vận hành và truyền thông hội tụ thành một cấu trúc chỉ huy thay vì ba cấu trúc song song, và các nhóm số thực sự là một phần của EPRR thay vì điều nghĩ sau được gọi vào khi mọi thứ đang cháy. Quy mô cũng mang theo sự phức tạp: nhiều hệ thống, nhiều nhà cung cấp, và các phụ thuộc vào hạ tầng quốc gia bạn không kiểm soát. Sự trưởng thành trông như việc ngừng hoạt động được diễn tập qua mọi dịch vụ then chốt và một văn hóa tổng kết thực sự đóng các hành động của nó.

Chính phủ#

Các cơ quan quốc gia và khu vực — NHS England, Cơ quan An ninh Y tế Vương quốc Anh, Bộ Y tế và Chăm sóc Xã hội, các chính phủ được phân quyền — đặt ra khung, giữ các chuẩn, và phối hợp phản ứng trên mức mà bất kỳ tổ chức đơn lẻ nào quản lý được. Công việc EPRR của họ là viết và đảm bảo các chuẩn cốt lõi, chạy các cuộc diễn tập quốc gia, duy trì dự trữ và các sắp xếp tương trợ, và cung cấp phối hợp chỉ huy trong các sự kiện toàn hệ thống như một đại dịch. Họ cũng sở hữu hạ tầng số quốc gia mà thất bại của nó tự là một sự kiện gián đoạn hàng loạt, nên khả năng chống chịu của chính họ là một nghĩa vụ công. Làm việc hiệu quả với họ, và hiểu chuỗi chiến lược–chiến thuật–tác nghiệp lên đến cấp quốc gia, là chủ đề của Chủ đề 9.1 — Làm việc với chính quyền địa phương và quốc gia.

Các kiểu thất bại thường gặp#

• Kế hoạch trên giá. Một tập hồ sơ dày được viết để vượt qua một kiểm tra đảm bảo, chưa bao giờ được diễn tập, và không được biết đến bởi những nhân viên sẽ phải dùng nó. Diễn tập, không phải tài liệu hóa, là phép thử của sự sẵn sàng.
• Xem mạng là một vấn đề CNTT. Để một cuộc tấn công mã độc tống tiền cho bàn dịch vụ trong khi nó lan, thay vì leo thang nó lên chỉ huy sự cố lớn với sự lãnh đạo an toàn lâm sàng. Tốc độ leo thang là tất cả.
• Thủ tục ngừng hoạt động chưa kiểm thử. Các mẫu dự phòng lỗi thời, nhân viên chưa bao giờ thấy chúng, và không có kế hoạch được diễn tập để đối chiếu dữ liệu sau đó. Phương án dự phòng phân rã thầm lặng trừ khi bạn kiểm toán nó.
• Kênh chỉ huy chung thất bại. Triệu tập chỉ huy vàng trên chính nền tảng mà cuộc tấn công đã mã hóa. Truyền thông ngoài băng tần phải thực sự độc lập.
• Học hỏi không bao giờ đáp xuống. Các buổi tổng kết tạo ra một báo cáo và một danh sách hành động không ai đóng, nên sự cố tiếp theo tìm thấy cùng khoảng trống. Theo dõi bài học đến khi hoàn tất.
• Công bằng như điều nghĩ sau. Các phản ứng chỉ số loại trừ người dễ tổn thương, chỉ được phát hiện trong một cuộc rà soát sau sự cố. Hãy thiết kế các lộ trình phi số vào từ đầu.
• Anh hùng như một chiến lược. Giả định sức bền của nhân viên là vô hạn và bỏ bê phúc lợi, nghỉ ngơi và hỗ trợ tâm lý trong một sự cố dài. Kiệt sức là một thất bại về khả năng chống chịu.

Mô hình trưởng thành#

Danh sách kiểm tra#

• Xác nhận vị thế của tổ chức bạn (bên ứng phó Loại 1 hay 2) và các nghĩa vụ luật định gắn với nó.
• Xác định các điều kiện kích hoạt rõ ràng, quan sát được để leo thang một vấn đề số hoặc mạng thành sự cố then chốt hoặc lớn, và gọi tên ai có thể tuyên bố, 24/7.
• Bảo đảm phản ứng sự cố mạng và số được nối vào cấu trúc chỉ huy vàng–bạc–đồng của bạn.
• Duy trì truyền thông chỉ huy ngoài băng tần và danh sách liên lạc ngoại tuyến, và kiểm thử chúng trong diễn tập.
• Ghi chép, kiểm toán và diễn tập các thủ tục ngừng hoạt động/dự phòng cho mọi hệ thống lâm sàng then chốt, gồm đối chiếu dữ liệu.
• Thỏa thuận trước các cơ sở pháp lý và thỏa thuận chia sẻ thông tin khẩn cấp với Người bảo vệ Caldicott và Cán bộ Bảo vệ Dữ liệu của bạn.
• Kiểm thử tải các dịch vụ số hướng tới dân số theo các kịch bản tăng đột biến thực tế và thỏa thuận điều gì suy giảm một cách êm ái.
• Đóng góp một cái nhìn rõ ràng về rủi ro số và mạng cho Diễn đàn Chống chịu Địa phương và sổ đăng ký rủi ro cộng đồng của bạn.
• Chạy một chương trình lập kế hoạch–đào tạo–diễn tập luân phiên bao gồm việc mất EPR, mạng và trung tâm dữ liệu chính.
• Tổ chức các buổi tổng kết không đổ lỗi sau các cuộc diễn tập và sự cố thực, và theo dõi mọi hành động đến khi đóng.
• Lập kế hoạch cho phúc lợi, nghỉ ngơi và hỗ trợ tâm lý của nhân viên trong các sự cố kéo dài.
• Kiểm tra rằng phản ứng khẩn cấp của bạn đến được các nhóm bị loại trừ số và dễ tổn thương qua các lộ trình phi số.

Nguồn chính#

• NHS England — NHS Emergency Preparedness, Resilience and Response (EPRR) Framework và các Chuẩn Cốt lõi EPRR.
• Văn phòng Nội các — Civil Contingencies Act 2004 và hướng dẫn luật định Emergency Preparedness / Emergency Response and Recovery.
• Văn phòng Nội các / GOV.UK — National Risk Register và hướng dẫn về Diễn đàn Chống chịu Địa phương và sổ đăng ký rủi ro cộng đồng.
• Trung tâm An ninh Mạng Quốc gia (NCSC) — hướng dẫn về mã độc tống tiền, quản lý sự cố, và xem các sự cố mạng là sự cố lớn.
• Cơ quan An ninh Y tế Vương quốc Anh (UKHSA) — hướng dẫn sẵn sàng đại dịch và bệnh truyền nhiễm.
• Cuộc Điều tra Covid-19 Vương quốc Anh — các mô-đun và báo cáo đã công bố về sẵn sàng và ứng phó đại dịch.
• Joint Emergency Services Interoperability Principles (JESIP) — chỉ huy, phối hợp và mô hình chiến lược–chiến thuật–tác nghiệp.
• Văn phòng Kiểm toán Quốc gia — Investigation: WannaCry cyber attack and the NHS (2018).

Tài liệu tham khảo#

1. Civil Contingencies Act 2004 — Wikipedia — https://en.wikipedia.org/wiki/Civil_Contingencies_Act_2004
2. Emergency management — Wikipedia — https://en.wikipedia.org/wiki/Emergency_management
3. Local resilience forum — Wikipedia — https://en.wikipedia.org/wiki/Local_resilience_forum
4. Gold–silver–bronze command structure — Wikipedia — https://en.wikipedia.org/wiki/Gold%E2%80%93silver%E2%80%93bronze_command_structure
5. Risk assessment — Wikipedia — https://en.wikipedia.org/wiki/Risk_assessment
6. Triage — Wikipedia — https://en.wikipedia.org/wiki/Triage
7. Mutual aid (emergency services) — Wikipedia — https://en.wikipedia.org/wiki/Mutual_aid_(emergency_services)
8. Pandemic — Wikipedia — https://en.wikipedia.org/wiki/Pandemic
9. COVID-19 pandemic in the United Kingdom — Wikipedia — https://en.wikipedia.org/wiki/COVID-19_pandemic_in_the_United_Kingdom
10. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
11. NHS Emergency Preparedness, Resilience and Response (EPRR) — NHS England — https://www.england.nhs.uk/ourwork/eprr/
12. Civil Contingencies Act 2004 (legislation) — UK Government / The National Archives — https://www.legislation.gov.uk/ukpga/2004/36/contents
13. Preparation and planning for emergencies: responsibilities of responder agencies and others — Cabinet Office, GOV.UK — https://www.gov.uk/guidance/preparation-and-planning-for-emergencies-responsibilities-of-responder-agencies-and-others
14. Mitigating malware and ransomware attacks — National Cyber Security Centre — https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks
15. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
16. UK Covid-19 Inquiry — https://covid19.public-inquiry.uk/