ملخص

  • مؤكد:أثر WannaCry على خدمات NHS في إنجلترا من 12 مايو إلى 19 مايو 2017. أفاد مكتب المراجعة الوطنية بإصابة أو تعطيل 80 من أصل 236 منظمة، وأصيبت 34 منظمة وتم حظر أجهزتها، ولم تصب 46 منظمة لكنها أبلغت عن تعطيل، وإصابة 603 منظمة أخرى من الرعاية الأولية ومنظمات NHS أخرى، بما في ذلك 595 عيادة ممارسين عامين.
  • مؤكد:حددت NHS England 6,912 موعدًا ملغيًا خلال فترة الاستجابة للحادث وقدرت أكثر من 19,000 إلغاء في المجموع. قامت خمسة أقسام للطوارئ والحوادث بتحويل المرضى. أخبرت NHS Digital مكتب المراجعة الوطنية أنه لم يتم اختراق أو سرقة أي بيانات للمرضى، وأخبرت الوزارة وNHS England ووكالة الجريمة الوطنية مكتب المراجعة الوطنية أن أي منظمة من NHS لم تدفع الفدية.
  • حدود:السجل العام يدعم فشل التصحيح والضمان، لكنه لا يدعم الادعاء البسيط بأن Windows XP وحده تسبب في انقطاع NHS. قال مراجعة الدروس المستفادة من NHS England إن الهجوم استغل ثغرة في Microsoft Windows، وأن معظم أجهزة NHS المصابة كانت تعمل بنظام Windows 7 المدعوم ولكن غير المحدث، وأن أجهزة XP غير المدعومة كانت أقلية من الأجهزة المصابة.
  • تقييم:الفشل المسؤول لم يكن مجرد دين تقني. كان مزيجًا من رؤية الأصول، ونشر التحديثات، وإدارة الأجهزة غير المدعومة، واستقلالية المنظمات المحلية، وهيئات وطنية بدون آلية امتثال قبل الحادث، واستجابة سيبرانية محلية غير مختبرة، وعمليات استمرارية الرعاية التي اضطرت إلى التنسيق الورقي واليدوي.

يمكن إصدار تصحيح دون أن يكون محكومًا

أقصر نسخة من قصة NHS وWannaCry هي أنه كان هناك تصحيح من Microsoft موجود قبل الهجوم ولم تقم العديد من منظمات NHS بتطبيقه. هذه الجملة صحيحة، لكنها تخفي مشكلة المساءلة. التصحيح هو قطعة تقنية. التصحيح هو نظام حوكمة. يتطلب سجلات الأصول، وتحديد أولويات المخاطر، ونوافذ التغيير، واختبار الأنظمة السريرية، والتنسيق مع الموردين، والموافقة التشغيلية المحلية، ودليل على النشر، ونظرة وطنية للاستثناءات. في مايو 2017، كان لدى NHS إرشادات وتحذيرات ودعم فني، لكن لم يكن لديها ضمان كافٍ بأن الإرشادات أصبحت حماية.

نشرت Microsoft النشرة الأمنية MS17-010 في 14 مارس 2017. صنفت النشرة المشكلة على أنها حرجة وقالت إن أكثر الثغرات خطورة يمكن أن تسمح بتنفيذ التعليمات البرمجية عن بعد إذا أرسل المهاجم رسائل مصممة إلى خادم Microsoft Server Message Block 1.0. أوضحت Microsoft لاحقًا في إرشادات العملاء الخاصة بـ WannaCrypt أن تحديث مارس عالج الثغرة المستغلة، وأن المؤسسات التي لديها تحديثات تلقائية مفعلة كانت محمية ضد تلك الثغرة، وأن Microsoft اتخذت الخطوة غير المعتادة لجعل التحديثات متاحة على نطاق واسع للمنصات الأقدم مثل Windows XP وWindows 8 وWindows Server 2003.

وصفت مدونتها الأمنية WannaCrypt بأنها دودة تستخدم ثغرات تم إصلاحها بالفعل، وتؤثر على أجهزة الكمبيوتر التي لم تطبق التصحيح. (مدونة أمن Microsoft)

تنبيه NHS Digital المؤرشف، CC-1411، صاغ نفس المخاطر بلغة القطاع الصحي. حدد أن برنامج الفدية يستخدم ثغرات SMB التي تم تصحيحها في MS17-010، وحذر من أنه من المحتمل أن تستخدم المتغيرات المستقبلية من البرامج الضارة هذه الثغرات للانتشار الذاتي، وقال إنه يجب إعطاء الأولوية لتصحيح الإصدارات المتأثرة. كما أدرج خطوات المعالجة مثل حظر المنافذ المتعلقة بـ SMB، وتأكيد إغلاق المنفذ، وتحديث المنصات الضعيفة، واستخدام ماسحات الثغرات، والحفاظ على اتصال نطاق kill-switch، وعزل الأجهزة المصابة، وإعادة بناء الأجهزة المصابة إلى معيار مصحح، وعدم دفع الفدية.

هذه التفاصيل مهمة لأنها تظهر أن الحل التقني لم يكن غامضًا بحلول 12 مايو. السؤال الأكثر صعوبة هو ما إذا كانت الضوابط الوطنية والمحلية جعلت الحل لا مفر منه من الناحية التشغيلية. أفاد تحقيق مكتب المراجعة الوطنية أن NHS Digital أصدرت تنبيهات حرجة في مارس وأبريل 2017 تحذر المؤسسات من تصحيح أنظمتها لمنع WannaCry. كما أفاد أنه قبل الهجوم، لم تكن لدى وزارة الصحة آلية رسمية لتقييم ما إذا كانت منظمات NHS قد امتثلت لنصائحها وإرشاداتها. قامت NHS Digital بتقييم 88 من أصل 236 منظمة في الموقع، ولم يجتاز أي منها تقييم الأمن السيبراني الخاص بها، لكن NHS Digital لم تستطع مطالبة هيئة محلية باتخاذ إجراءات تصحيحية.

هذا هو محور المساءلة. يمكن للمركز أن يحذر. كانت المنظمات المحلية تتحكم في العديد من خيارات التنفيذ. لكن المرضى عانوا من النظام المشترك، وليس الحدود بين تنبيه مركزي ونافذة تصحيح محلية.

ما يثبته السجل

بدأ WannaCry في التأثير على NHS يوم الجمعة، 12 مايو 2017. أفاد مكتب المراجعة الوطنية أن هجوم الفدية العالمي أثر على أكثر من 200,000 جهاز كمبيوتر في 100 دولة على الأقل، وأن NHS لم تكن الهدف المحدد. في الساعة 4 مساءً من ذلك اليوم، أعلنت NHS England عن حادث كبير ونفذت ترتيبات طارئة للحفاظ على صحة المرضى ورعايتهم. قام باحث أمني بتنشيط kill-switch في ذلك المساء، مما أوقف WannaCry عن قفل المزيد من الأجهزة بنفس الطريقة. أثر الهجوم على خدمات NHS خلال الأسبوع من 12 مايو إلى 19 مايو.

كان النطاق في إنجلترا كبيرًا ولكن غير قابل للقياس بالكامل. وفقًا لمكتب المراجعة الوطنية، تأثرت 80 منظمة على الأقل من أصل 236 في جميع أنحاء إنجلترا لأنها إما أصيبت أو أغلقت الأنظمة كإجراء احترازي. من بين هؤلاء، أصيبت 34 منظمة وتم حظر أجهزتها، بما في ذلك 25 منظمة حادة. أبلغت 46 منظمة أخرى عن تعطيل دون أن يتم تصنيفها كمصابة؛ بعضها أغلق البريد الإلكتروني والأنظمة الأخرى كإجراء احترازي واضطرت إلى استخدام الورق والقلم للأنشطة التي تتم عادةً إلكترونيًا. حددت NHS England وNHS Digital أيضًا 21 منظمة حاولت أنظمتها الاتصال بنطاق WannaCry ولكن لم يتم حظرها، و603 منظمة أخرى من الرعاية الأولية وغيرها أصيبت، بما في ذلك 595 عيادة ممارسين عامين.

السجل العام واضح بنفس القدر بشأن ما هو غير معروف. لم تعرف الوزارة وNHS England المدى الكامل للتعطيل. لم يعرفوا عدد منظمات NHS التي لم تتمكن من الوصول إلى السجلات لأنها شاركت الأنظمة أو البيانات مع منظمة مصابة. لم يعرفوا عدد مواعيد الممارسين العامين التي تم إلغاؤها، أو عدد سيارات الإسعاف والمرضى الذين تم تحويلهم من أقسام الطوارئ الخمسة التي لم تستطع علاج بعض المرضى. جمعت NHS England بعض معلومات الإلغاء من 12 مايو إلى 18 مايو، لكن مكتب المراجعة الوطنية قال إن البيانات لم تغطي جميع أنواع المواعيد. وبالتالي فإن 6,912 إلغاءً تم تحديدها وأكثر من 19,000 إلغاءً مقدرة ليست سجلاً كاملاً لتأثير المريض.

مراجعة الدروس المستفادة من NHS England، بقيادة كبير مسؤولي المعلومات للصحة والرعاية الاجتماعية، حافظت على نفس الإطار مع إضافة نسيج تشغيلي. قالت إن NHS لم تكن مستهدفة بشكل مباشر، وأنه لم تكن هناك تقارير عن ضرر للمرضى أو اختراق أو سرقة بيانات المرضى، وأن 1% من نشاط NHS تأثر بشكل مباشر. كما ذكرت أن 80 من أصل 236 مستشفى تأثرت، و595 من أصل 7,454 عيادة ممارسين عامين وثماني منظمات NHS أخرى ومنظمات ذات صلة أصيبت، وأن التعطيل جعل اعتماد الخدمة الصحية على تكنولوجيا المعلومات أكثر وضوحًا.

هذا الاستنتاج الأخير هو الأهم. حادثة فدية لم تسرق بيانات المرضى لا تزال تضر باستمرارية الرعاية. في مستشفى رقمي، التوفر ليس طبقة راحة. إنه جزء من السير السريري، والاتصالات، والوصول التشخيصي، وتدفق المواعيد، والتصعيد الآمن.

الأنظمة غير المدعومة كانت جزءًا من القصة، وليس القصة بأكملها

غالبًا ما تُعاد رواية WannaCry كقصة تحذيرية حول Windows XP. البرامج غير المدعومة كانت مهمة. لقد كانت خطرًا معروفًا، وكانت الوزارة ومكتب مجلس الوزراء قد كتبا إلى المنظمات في 2014 قائلين إنهم بحاجة إلى خطط قوية للانتقال بعيدًا عن البرامج القديمة مثل Windows XP بحلول أبريل 2015. مراجعة الوصي الوطني للبيانات، المنشورة في يوليو 2016، اقترحت معايير جديدة لأمن البيانات وطريقة لاختبار الامتثال. مراجعة هيئة جودة الرعاية للبيانات الآمنة والرعاية الآمنة، المنشورة أيضًا في يوليو 2016، أوصت بالاستعجال في استبدال الأجهزة والبرامج التي لم يعد من الممكن دعمها، وتدقيق وتحقق أقوى، وملكية القيادة لأمن البيانات.

لكن شعار الأنظمة غير المدعومة ضيق جدًا. قالت مراجعة الدروس المستفادة من NHS England إنه لم تطبق أي من المنظمات الثمانين المتأثرة تحديث Microsoft الذي نصح به تنبيه CareCERT من NHS Digital في 25 أبريل 2017. كما قالت إن WannaCry كان هجومًا يستخدم ثغرة محددة في Microsoft Windows، وليس هجومًا على برامج غير مدعومة. غالبية أجهزة NHS المصابة كانت تعمل بنظام Windows 7 المدعوم ولكن غير المحدث. كانت أجهزة XP غير المدعومة أقلية من الأجهزة المصابة، وانخفض عدد أجهزة XP من 18% إلى 1.8% بحلول يناير 2018.

الفرق مهم للمسؤولية. إذا كان الفشل مجرد "أنظمة تشغيل قديمة"، فإن الحل سيكون تمويل الاستبدال وضغط الموردين. كانت تلك قضايا حقيقية، خاصة عندما تعتمد المعدات الطبية أو الأجهزة التشخيصية على برامج أقدم. ولكن إذا بقيت أجهزة Windows 7 المدعومة غير محدثة بعد تنبيه خطير، فإن الحل يشمل أيضًا حوكمة التصحيح، وإدارة الاستثناءات، ودليل الإغلاق. يمكن أن يكون الجهاز المدعوم غير آمن عندما لا يتم تصحيحه. يمكن عزل الجهاز غير المدعوم أو إدارته في نموذج ضوابط تعويضية. كان النظام بحاجة إلى معرفة أي شرط ينطبق على كل نقطة نهاية حرجة قبل أن تجعل الدودة المخزون مرئيًا.

لاحظت مراجعة الدروس أيضًا أن ضوابط جدار الحماية والشبكة كان يمكن أن تقلل من خطر الإصابة. قالت إنه حتى في حالة عدم حدوث التصحيح، فإن اتخاذ إجراء لتحسين أمن جدران الحماية الشبكية المواجهة لشبكة N3 كان سيوفر الحماية للمنظمات من الإصابة. هذا سبب آخر لعدم معاملة التصحيح كمفتاح واحد. كان التصحيح ضروريًا، ولكن أيضًا تجزئة الشبكة، وتكوين المحيط، وضوابط تعرض SMB، ومعرفة الأنظمة التي لا تزال بحاجة إلى دعم البروتوكول القديم.

إرشادات NCSC الخاصة بـ WannaCry، التي تم وضع علامة عليها الآن كمسحوبة لأنها قديمة، التقطت المنطق الدفاعي الطارئ في ذلك الوقت. نصحت المؤسسات بنشر MS17-010، وتعطيل SMBv1 إذا لم يكن التصحيح ممكنًا، وحظر المنافذ ذات الصلة عند الحاجة، وعزل التكنولوجيا القديمة الضعيفة، وتحديث مضادات الفيروسات، وتجنب حظر نطاقات kill-switch. بعبارة أخرى، تطلب الاستجابة الفورية مجموعة ضوابط متعددة الطبقات. المؤسسات التي تفتقر إلى قوائم أصول واضحة، وملكية جدار الحماية، وخيارات DNS المحلية، وجهات اتصال الموردين، وإجراءات إعادة البناء المختبرة لم تستطع تنفيذ هذه الاستجابة متعددة الطبقات بسهولة تحت الضغط الطارئ.

الاستقلالية المحلية جعلت الضمان المركزي أصعب

NHS ليست كيانًا تقنيًا واحدًا. المنظمات المحلية وعيادات الممارسين العامين ومجموعات التكليف السريري والموردين ووحدات دعم التكليف وغيرها من المنظمات تعمل ضمن أطر وطنية لكنها تحمل العديد من المسؤوليات المحلية. قال مكتب المراجعة الوطنية إن منظمات الرعاية الصحية المحلية كانت مسؤولة عن الحفاظ على أمن المعلومات وعن ترتيبات الطوارئ والحوادث، بما في ذلك الهجمات السيبرانية. كانت الهيئات الوطنية تشرف عليها وتدعمها، لكن لم يكن لديها دائمًا السلطة لإجبار إجراء تقني محدد.

هذا الهيكل ليس خاطئًا بطبيعته. المنظمات السريرية المحلية تفهم مسارات الرعاية الخاصة بها والمعدات والموردين ومخاطر التغيير. يمكن للتصحيح أن يكسر واجهة تشخيصية قديمة، أو تكامل إدارة المرضى، أو عملية جهاز طبي. التعليمات المركزية التي تتجاهل هذه الحقائق يمكن أن تنتج تغييرًا غير آمن أو مقاومة محلية. لكن الاستقلالية المحلية تصبح خطيرة عندما لا يستطيع المركز رؤية المواقع المكشوفة، والتي قبلت المخاطرة، والتي لديها ضوابط تعويضية، والتي لا تستطيع التصرف بسبب مورد أو ميزانية أو اعتماد سريري يمنع المعالجة.

نقطة مكتب المراجعة الوطنية حول عدم وجود آلية امتثال رسمية ليست إذن تافهًا بيروقراطيًا. إنها تفسر لماذا لم يحول التحذير إلى تقليل المخاطر على مستوى النظام. يمكن للتنبيه الوطني أن يقول "صحيح الآن". لا يمكنه بمفرده إثبات أن كل نقطة نهاية ذات صلة لديها التصحيح، وأن الأجهزة غير المدعومة معزولة، وأن SMB محظور حيث يجب، وأن الأنظمة التي تتطلب استثناءات مذكورة، أو أن المسؤولين التنفيذيين قبلوا بمخاطر متبقية على سلامة المرضى.

تقرير لجنة الحسابات العامة جعل نفس الضعف سياسيًا. قالت إنه كانت هناك تحذيرات في 2016 وتحذيرات أخرى في مارس وأبريل 2017، لكن التصحيح حدث فقط في حوالي ثلثي المنظمات في وقت WannaCry، ولم يجتاز أي من 88 منظمة تقييمات NHS Digital. كما أفادت أن الوزارة وNHS اعترفا بأن الأمور بحاجة إلى التغيير وأن مراجعة الدروس لعام 2018 احتوت على 22 توصية، لكن خطط التنفيذ والتكاليف لم يتم الاتفاق عليها بعد عندما قدمت اللجنة تقريرها.

هذا الدليل يدعم استنتاجًا واقعيًا: كانت المسؤولية موزعة، لكن المريض لم يتلق رعاية موزعة. إذا كانت المنظمة المحلية تفتقر إلى التصحيح، أو إذا كانت عيادة الممارس العام لا تستطيع الوصول إلى الأنظمة، أو إذا كان يجب تحويل سيارة الإسعاف، فإن الضرر وصل إلى الناس من خلال خدمة عامة واحدة. الحوكمة الموزعة تحتاج إلى حلقات أدلة أقوى على وجه التحديد لأن الخدمة العامة تبدو موحدة عند نقطة الحاجة.

حادثة استمرارية رعاية، وليس مجرد حادثة تقنية

الضرر المرئي لـ WannaCry كان الانقطاع. بعض المنظمات أصيبت ومنعت. أخرى أغلقت الأنظمة لتقليل المخاطر. بعضها استخدم الورق. بعضها لم يستطع تلقي نتائج الاختبارات أو الوصول إلى السجلات المشتركة. بعض المرضى تم إلغاء مواعيدهم أو عملياتهم. خمس مناطق حولت مرضى الطوارئ والحوادث. كان مكتب المراجعة الوطنية حريصًا على القول إنه لم يتم حساب جميع الفئات بالكامل، وأفادت مراجعة NHS England بعدم وجود ضرر معروف للمريض. هذه الحدود يجب احترامها. غياب الضرر المبلغ عنه ليس دليلاً على أن كل خطر سريري كان غائبًا، لكن السجل العام لا يدعم اختراع عدد الوفيات أو سرقة بيانات المرضى المخفية.

عدسة المساءلة الأكثر فائدة هي قدرة الاستمرارية. يمكن للخدمات الصحية البقاء على قيد الحياة في انقطاع رقمي قصير فقط إذا كانت الأوضاع المتدهورة جاهزة. العودة إلى الورق ليست خطة بحد ذاتها. تتطلب قوائم مرضى قابلة للطباعة أو حديثة، وبدائل الوصول إلى تاريخ الدواء، وطرق تسليم آمنة، وحلول بديلة لأوامر التشخيص، وتتبع الإحالات، وجدولة العمليات، واتصال نتائج المختبر، وإعادة جدولة المواعيد يدويًا، والتسوية بعد عودة الأنظمة. لكل حل بديل ملف إنتاجية وأخطاء. عيادة يمكنها التعامل مع 20 استثناءً يدويًا قد لا تتعامل مع المئات. مستشفى يمكنه تأجيل العمل الاختياري بأمان ليوم قد يكافح إذا ضعف الرؤية التشخيصية عبر المنطقة.

مراجعة الدروس المستفادة من NHS England اعترفت بالفرق بين حادثة سيبرانية وحادثة كبيرة تقليدية. قالت إن NHS England استخدمت إطار التأهب للطوارئ والمرونة والاستجابة، مما أعطى هيكلًا قويًا، لكن الحادثة علمت أيضًا دروسًا حول كيف تختلف السيبرانية عن الحوادث الكبيرة الأخرى. يمكن للسيبرانية أن تجعل أدوات الاتصال نفسها غير موثوقة. يمكن أن تؤثر على عدة مواقع في وقت واحد. يمكن أن يكون غير واضح في البداية ما إذا كان الموقع مصابًا أو مفصولًا أو يتصرف دفاعيًا. يمكن أن تتطلب إجراءات احتواء تقنية تقلل من قدرة الخدمة. يمكن أن تنتشر أيضًا عبر الشبكات المشتركة، لذا فإن مساعدة منظمة واحدة قد تعتمد على كيفية تصرف منظمة أخرى.

لهذا السبب يجب ألا تنتهي المساءلة عند الجهاز الذي فاته التصحيح. كان نظام الرعاية بحاجة إلى طريقة مختبرة للإجابة على أسئلة الاستمرارية الأساسية في ظل ظروف سيبرانية. ما هي الخدمات التي يجب أن تستمر في العمل حتى لو كان البريد الإلكتروني غير متصل؟ ما هي السجلات الأساسية للرعاية الطارئة؟ ما هي الأنظمة التي يمكن إغلاقها محليًا دون تنسيق إقليمي؟ ما هي الهيئة الوطنية التي تقود الاتصالات؟ ما هي الموردين الذين يجب أن ينضموا إلى جسر الحادثة؟ ما هم المسؤولون التنفيذيون المحليون الذين يمكنهم قبول تقليل السعة السريرية، وعلى أي دليل؟

أفاد مكتب المراجعة الوطنية أن الوزارة طورت خطة تشمل الأدوار والمسؤوليات الوطنية والمحلية، لكنها لم تختبرها على المستوى المحلي. كما وجدت أن NHS لم تتدرب على هجوم سيبراني وطني، لذلك لم يكن واضحًا على الفور من الذي يجب أن يقود الاستجابة وكانت هناك مشاكل في الاتصال. هذه ليست فجوة عملية صغيرة. في الاستمرارية السيبرانية، التدريبات هي كيف تكتشف المنظمات ما إذا كانت قوائم الاتصال تعمل، وما إذا كانت النماذج الورقية موجودة، وما إذا كانت قوائم المرضى غير المتصلة بالإنترنت حديثة بما فيه الكفاية، وما إذا كان الموردون يردون، وما إذا كان الأطباء يفهمون أي الأنظمة آمنة لإعادة الاتصال.

الاعتماد المتبادل حول الحماية المحلية إلى تعطيل إقليمي

واحدة من أصعب ميزات الحادثة هي أن بعض المنظمات تضررت بسبب التحركات الدفاعية لمنظمات أخرى. يمكن لمنظمة أن تتجنب العدوى المباشرة وتفقد مع ذلك الوصول إلى عملية تسليم الإسعاف، أو نقل الصور التشخيصية، أو مسار طلب العلاج الكيميائي، أو تدفق نتائج الدم، أو عبء عمل الرعاية الأولية لأن مزودًا آخر أو موردًا أو شريك شبكة أغلق الوصول لحماية نفسه. هذا احتواء محلي عقلاني، لكنه يخلق عواقب خدمة إقليمية.

دراسة حالة مجموعة أدوات إدارة استمرارية الأعمال الخاصة بـ NHS England حول WannaCry تجعل هذا عمليًا. تصف مؤسسة County Durham وDarlington التابعة لـ NHS Foundation Trust بأنها لم تعاني من هجوم مباشر، بينما قامت خدمة الإسعاف بحماية شبكتها بإغلاق الوصول، وتعطيل شاشات عملية التسليم وجعل بوابة حجز نقل المرضى غير متاحة. أغلقت المراكز الثلاثية الوصول، مما يعني أن فحوصات CT وMR لم يتمكن من نقلها إلكترونيًا ولم يتمكن طلبات العلاج الكيميائي من النقل عبر المسار المعتاد. قام مزود تكنولوجيا المعلومات للرعاية الأولية بحماية شبكته، وبعد ذلك فشل نقل نتائج الدم الآلي ولم يتمكن بعض الممارسين العامين من الوصول إلى عبء عملهم.

الحلول البديلة في دراسة الحالة تلك مفيدة لأنها ملموسة وليست دراماتيكية. استمرت التنبيهات المسبقة للإسعاف عبر الخط الأرضي واتصالات الراديو الأخرى. انتقلت حجوزات نقل المرضى إلى الهاتف. تم نقل الصور إلى DVD وإرسالها بسيارة أجرة. عادت طلبات العلاج الكيميائي إلى الورق والفاكس. انتقلت نتائج الدم إلى الورق وبطأت العملية. تمكن بعض الممارسين العامين من الوصول إلى عبء العمل من خلال مراكز العلاج العاجل. قالت الدراسة إن خطط استمرارية الأعمال تم تحديثها بعد ذلك وخلصت إلى أن منظمات NHS بحاجة إلى فهم اعتمادها المتبادل وتنسيق الخطط للخدمات المشتركة لتقليل التأثير على الاقتصاد الصحي.

هذا هو بالضبط نوع الدليل الذي تفتقده إحصائيات الحوادث الواسعة. يمكن لحادثة سيبرانية أن تقلل من قدرة الرعاية دون أن تكون كل منظمة متأثرة مصابة. يمكن أن تحول قرارًا آمنًا من طرف واحد إلى انقطاع لآخر. يمكن أن تتطلب طرقًا تناظرية آمنة للحجم المنخفض ولكنها هشة على نطاق واسع. قد ينقذ DVD يتم إرساله بسيارة أجرة مسارًا تشخيصيًا لعدد صغير من الفحوصات العاجلة؛ إنه ليس بديلاً عن تبادل التصوير الإلكتروني العادي عبر منطقة مزدحمة. قد يحافظ مسار الحجز الهاتفي على نقل المرضى؛ لا يمكنه تلقائيًا الحفاظ على تحديد الأولويات أو التدقيق أو الإنتاجية إذا زاد حجم المكالمات. قد تمنع طلبات العلاج الكيميائي الورقية التوقف؛

إنها تخلق أعباء نسخ وتأكيد وتسوية يمتصها عادةً العملية الرقمية.

هذه الأمثلة تشرح أيضًا لماذا تعتبر استمرارية الموردين والشريك مهمة للمنظمات الأصغر. عيادة الممارس العام أو دار الرعاية أو مزود المجتمع أو العيادة المحلية أو الخدمة المتعاقد عليها قد لا تملك النظام المركزي الذي تعتمد عليه. قد تعتمد على وحدة دعم التكليف، أو نظام سريري مستضاف، أو واجهة علم الأمراض، أو شريك تشخيصي، أو طريق شبكة يتحكم فيه شخص آخر. عندما يتم فصل هذا الاعتماد، لا يزال على المنظمة الأصغر أن تستجيب للمرضى. يجب أن تعرف ما إذا كان بإمكانها الوصول إلى السجلات من خلال موقع بديل، وما إذا كانت النتائج الورقية مقبولة سريريًا، وما إذا كانت تحديثات الإحالة في قائمة الانتظار، ومن المسؤول عن إخبار المرضى بأن المسار الرقمي قد فشل.

لأغراض المساءلة، يغير الاعتماد المتبادل اختبار السيطرة. لا يكفي أن تقول كل منظمة إن لديها خطة استمرارية أعمال. يجب أن تلتقي الخطط ببعضها البعض. إذا كان الإغلاق الدفاعي لمركز ثلاثي يمنع نقل الصور، يجب أن تعرف خطة المنظمة المحولة بالفعل الطريق البديل. إذا أغلق مزود تكنولوجيا المعلومات للرعاية الأولية الوصول، تحتاج العيادات المحلية إلى خيارات مسماة للوصول الطارئ إلى السجلات. إذا كانت شاشات تسليم الإسعاف غير متاحة، تحتاج أقسام الطوارئ وخدمات الإسعاف إلى بديل مشترك تم التدرب عليه.

دراسة حالة NHS متواضعة في نطاقها، لكنها تظهر الحقيقة على مستوى النظام: الاستمرارية السيبرانية هي عمل مشترك، والاعتماد المشترك غير المختبر يمكن أن يفشل حتى عندما يحاول كل مشارك أن يكون حذرًا.

التكلفة كانت أوسع من فدية لم تُدفع

لم تدفع أي منظمة من NHS الفدية، وفقًا للوزارة وNHS England ووكالة الجريمة الوطنية في تقرير مكتب المراجعة الوطنية. هذه الحقيقة يجب أن تمنع قراءة خاطئة شائعة: لم تكن الخسارة هي طلب الفدية. كانت العمل الملغي، والعمل الإضافي، ودعم تكنولوجيا المعلومات، والاستعادة، والرعاية المؤجلة، وجهد الموردين، والمعالجة اللاحقة. قال مكتب المراجعة الوطنية إن الوزارة لم تعرف تكلفة التعطيل للخدمات في وقت تحقيقها. حددت فئات التكلفة مثل المواعيد الملغاة، ودعم تكنولوجيا المعلومات المحلي الإضافي، واستشاريي تكنولوجيا المعلومات، واستعادة البيانات والأنظمة، والعمل الإضافي للموظفين خلال استجابة عطلة نهاية الأسبوع.

تحديث وزارة الصحة والرعاية الاجتماعية اللاحق، تأمين المرونة السيبرانية في الصحة والرعاية: تحديث التقدم أكتوبر 2018، المرتبط بتحديث PDF لسبتمبر 2018 التفصيلي. يُستشهد على نطاق واسع بهذا التحديث لتقدير أن WannaCry كلف NHS 92 مليون جنيه إسترليني، بما في ذلك الاستجابة المباشرة واستعادة تكنولوجيا المعلومات بالإضافة إلى الإنتاج المفقود. يجب استخدام هذا التقدير بحذر. إنه تقدير تكلفة القطاع العام، وليس محاسبة كاملة لقلق المرضى، ووقت الأسرة، ونقل الإسعاف، وعبء الموردين المحليين، أو كل ساعة موظف.

يظهر العمل الأكاديمي أيضًا لماذا يصعب تسعير التأثير. تحليل تأثير بأثر رجعي لعام 2019 من npj Digital Medicine استخدم إحصاءات المستشفيات لفحص الإلغاءات، والقبول، وحضور A&E، والوفيات، والتكاليف المالية. لم يجد فرقًا كبيرًا في النشاط الإجمالي عبر جميع المستشفيات خلال أسبوع WannaCry مقارنة بخط الأساس، لكن المستشفيات المصابة مباشرة كان لديها عدد أقل من القبول الطارئ والاختياري، وقدرت الدراسة 5.9 مليون جنيه إسترليني في فقدان نشاط المستشفى في المستشفيات المصابة. كما أشارت إلى عدم زيادة في الوفيات، محذرة من أن الوفيات مقياس خشن لضرر المريض.

الفرق بين تقدير 5.9 مليون جنيه إسترليني لنشاط المستشفى المصاب وتقدير أوسع للقطاع العام بقيمة 92 مليون جنيه إسترليني ليس بالضرورة تناقضًا. إنهم يقيسون أشياء مختلفة. أحدهما ينظر إلى النشاط في المستشفيات المصابة خلال فترة محددة باستخدام بيانات المستشفى. الآخر يشمل الاستجابة الأوسع والتعافي ومعالجة تكنولوجيا المعلومات. بالنسبة للمساءلة، النقطة المهمة ليست اختيار أكبر رقم وتسميته "التكلفة". إنها السؤال عن أي التكاليف كان يمكن منعها من خلال التصحيح المبكر، وأيها تم تكبدها بسبب الاحتواء الضروري، وأيها كانت استثمارات كان يجب أن تحدث من قبل، وأيها وقع على المرضى والموظفين دون أن يظهر أبدًا في ميزانية تكنولوجيا المعلومات.

المزودون الصغار والمتوسطون يجلسون داخل نفس السؤال. القضية هي الاستمرارية عبر المنظمات الأصغر التي تتصل بخدمة وطنية: عيادات الممارسين العامين، ودور الرعاية، ومزودي المجتمع، والمقاولين، وموردي الأجهزة، وشركاء دعم تكنولوجيا المعلومات المحليين، وواجهات الرعاية الاجتماعية. أحصى مكتب المراجعة الوطنية الرعاية الأولية والمنظمات الأخرى بين الكيانات المصابة ولاحظ أن مقدمي الخدمات الآخرين يمكن أن يتأثروا من خلال الأنظمة المشتركة أو المعلومات المتأخرة. وبالتالي فإن الحادثة السيبرانية في مؤسسة عامة كبيرة تصبح صدمة استمرارية للمنظمات الأصغر التي لديها قدر أقل من التكرار ورؤية سياسية أقل.

الإسناد لا يجيب على السؤال التشغيلي

أرجعت المملكة المتحدة لاحقًا WannaCry إلى كوريا الشمالية. بيان وزارة الخارجية حول الممثل الكوري الشمالي وراء WannaCry قال إن المملكة المتحدة ترى أن الممثلين الكوريين الشماليين المعروفين باسم مجموعة Lazarus كانوا وراء الحملة. هذا الإسناد مهم للردع والعقوبات والدبلوماسية والأمن القومي. لا يعفي السيطرة التشغيلية المحلية. نفس السجل العام يقول إن NHS لم تكن الهدف المحدد، وأن الدودة انتشرت من خلال ثغرة Windows معروفة، وأن المنظمات المحلية كان بإمكانها اتخاذ إجراءات بسيطة نسبيًا لحماية نفسها.

المسؤولية الجنائية ومسؤولية الخدمة العامة طبقتان منفصلتان. سيطر المهاجم على الشيفرة الخبيثة وقرار نشرها. سيطرت Microsoft على الكشف عن الثغرة وإصدار التصحيح لمنتجاتها، ثم القرار غير العادي لجعل التصحيحات متاحة للمنصات غير المدعومة خلال الطوارئ. سيطرت NHS Digital على التنبيهات والإرشادات ودعم الخط الساخن والمشورة الخاصة بالقطاع. سيطرت NHS England على تنسيق الحوادث الكبيرة وتصعيد استمرارية الرعاية. سيطرت وزارة الصحة على الإشراف على السياسات وأولويات التمويل. سيطرت المنظمات المحلية والعيادات على العديد من قرارات الأجهزة والشبكات والموردين وإدارة التغيير. سيطر الموردون على بعض الأجهزة القديمة وشروط الدعم وقيود التوافق.

لا توجد طبقة واحدة هي القصة بأكملها. معاملة الحادثة على أنها مجرد حدث دولة معادية تجعلها بعيدة جدًا عن الإدارة المحلية. معاملتها على أنها مجرد عدم امتثال محلي تتجاهل أن الهيئات الوطنية رأت علامات تحذير ولم يكن لديها ما يكفي من قوة الإنفاذ أو الضمان. معاملتها على أنها مجرد قضية Microsoft تتجاهل أن التصحيح الحرج كان موجودًا قبل الحادثة وأن عدم تطبيق التصحيحات هو خيار تشغيلي. معاملتها على أنها مجرد قضية مورد تتجاهل أن أنظمة Windows المدعومة كانت أيضًا غير محدثة. المساءلة هي خريطة هذه الضوابط، وليس البحث عن فاعل واحد يمكنه تحملها جميعًا.

أهم ضابط كان الدليل. من عرف حالة التصحيح؟ من عرف حالة SMB المكشوفة؟ من عرف أي الأنظمة كانت غير مدعومة؟ من عرف أي الأجهزة الطبية لا يمكن تصحيحها دون تدخل المورد؟ من عرف ما إذا كانت المنظمة المحلية قد اختبرت خطتها للطوارئ السيبرانية؟ من عرف مدى السرعة التي يمكن بها لعيادات الممارسين العامين التبديل إلى التشغيل اليدوي الآمن؟ يظهر السجل العام أن ما يكفي من تلك الإجابات كانت إما غير متاحة، أو غير كاملة، أو غير قابلة للتنفيذ مركزيًا قبل الهجوم.

البرنامج بعد الحادثة يؤكد التشخيص

السجل العلاجي بعد WannaCry مفيد لأنه يظهر ما اعتقد القادة الوطنيون أنه فشل. أوصت مراجعة الدروس المستفادة من NHS England بقيادة أقوى ومساءلة مجلس الإدارة، وأدوار أكثر وضوحًا، ومعايير الأمن السيبراني، والمرونة المحلية، وتصحيح أفضل، واستبدال البرامج غير المدعومة، وتحسين عمليات الاستجابة، وتنسيق وطني أقوى. وصف تحديث التقدم لعام 2018 من الوزارة العمل على الاستجابة للحوادث الكبيرة، وعمليات الأمن السيبراني، ومعايير أمن البيانات، وتوقعات الموردين، والاستثمار.

مجموعة أدوات أمن البيانات والحماية، التي حلت محل مجموعة أدوات حوكمة المعلومات السابقة من أبريل 2018، أصبحت آلية تقييم ذاتي عبر الإنترنت للمؤسسات التي لديها إمكانية الوصول إلى بيانات المرضى وأنظمة NHS لقياس ونشر الأداء مقابل معايير أمن البيانات العشرة للوصي الوطني للبيانات.

مجموعة الأدوات هذه ليست دليلاً على اختفاء المشكلة. التقييم الذاتي له حدود، والحوادث السيبرانية اللاحقة في أنظمة الصحة تظهر أن برامج الفدية وانقطاع الموردين ظلوا مخاطر جسيمة. لكنه دليل على أن النظام بعد WannaCry تحرك نحو ضمان صريح بدلاً من الإرشادات غير الرسمية وحدها. كما نقلت السيبرانية من المسار التقني البحت إلى مساءلة مجلس الإدارة، والإبلاغ عن الحوادث، والاستمرارية.

استراتيجية الحكومة اللاحقة، نظام صحي ورعاية اجتماعية للبالغين مرن سيبرانيًا في إنجلترا: استراتيجية الأمن السيبراني حتى 2030، توسع هذا الإطار حتى 2030. تصف الأمن السيبراني كشرط لحماية بيانات المرضى ومستخدمي الخدمة والموظفين والتعافي بسرعة عند حدوث الهجمات. وجود الاستراتيجية يعزز الدرس الأساسي من 2017: في الرعاية الصحية، الأمن السيبراني ليس تخصصًا خلفيًا منفصلًا. إنه يضمن الثقة العامة واستمرارية الخدمة.

الدور العام الأوسع للمركز الوطني للأمن السيبراني نما أيضًا خلال هذه الفترة. إعلان مراجعته السنوية لعام 2017 وصف السنة الأولى للمركز الجديد ومهمته لجعل المملكة المتحدة أكثر أمانًا عبر الإنترنت. استجابة WannaCry جعلت هذه المهمة ملموسة للمستشفيات والعيادات. أظهرت أن القدرة السيبرانية الوطنية يجب أن تتصل بالعمليات الخاصة بالقطاع، وليس فقط نشر التحذيرات للفرق التقنية.

خمسة اختبارات للمساءلة

القيمة الدائمة لحالة NHS هي أنها تعطي مجالس الإدارة وقادة القطاع العام اختبارات عملية. هذه الاختبارات لا تتعلق بإلقاء اللوم على مسؤول واحد على تصحيح واحد. إنها تتعلق بما إذا كانت الخدمة العامة يمكنها إثبات أن المخاطر السيبرانية المعروفة قد تحولت إلى إجراء تشغيلي.

1. رؤية الأصول:لا يمكن للمنظمة تصحيح ما لا يمكنها تحديده. تحتاج إلى جرد للخوادم، ونقاط النهاية، والأجهزة الطبية، والأنظمة غير المدعومة، وإصدارات نظام التشغيل، والخدمات المكشوفة، والموردين، والاعتماديات السريرية. يجب أن يتضمن الجرد الأنظمة التي من غير المناسب امتلاكها، مثل محطات العمل التشخيصية القديمة، وخوادم الملفات المشتركة، والأجهزة التي يسيطر عليها البائعون جزئيًا.

2. ضمان التصحيح:إصدار تحذير ليس كافيًا. يجب أن يخلق التنبيه الحرج إجراءات متتبعة، ومواعيد نهائية، وتصعيد تنفيذي، واستثناءات مسماة، وضوابط تعويضية، ودليلاً على تثبيت التصحيح أو السيطرة على التعرض بطريقة أخرى. عندما تمنع الاستقلالية المحلية التفويضات المركزية، يحتاج المركز على الأقل إلى رؤية موثوقة وطريق لتصعيد مخاطر سلامة المرضى.

3. احتواء القديم:الأنظمة غير المدعومة أو التي يصعب تصحيحها تتطلب تجزئة، وتقييد الوصول، وخطط الموردين، وتمويل الاستبدال، وطوارئ سريرية. ترك النظام غير مدعوم هو أحيانًا ضرورة سريرية مؤقتة، لكن لا ينبغي أن يكون حقيقة غير مدارة تُكتشف أثناء تفشي دودة.

4. استمرارية خاصة بالسيبرانية:يجب أن تفترض التخطيط للطوارئ أن أنظمة الاتصالات والسجلات العادية قد لا تكون متاحة. البديل اليدوي يحتاج إلى تخطيط السعة، وليس فقط نماذج ورقية. يجب أن يحدد أي الخدمات السريرية تتدهور أولاً، وكيف يتم تحويل المرضى، وكيف تنتقل نتائج الاختبارات، وكيف يتم إعادة جدولة المواعيد، وكيف يتم تسوية العمل غير المتصل بأمان.

5. مساءلة متعددة المستويات:المركز والهيئات المحلية والموردين ووكالات الأمن القومي لديهم ضوابط مختلفة. الإطار الناضج لا يختزل هذه الضوابط في قصة لوم واحدة. يحدد من يجب أن يتصرف، ومن يجب أن يتحقق، ومن يجب أن يمول، ومن يجب أن يتواصل، ومن يجب أن يقبل المخاطر المتبقية.

هذه الاختبارات غير مريحة لأنها تجعل المرونة السيبرانية قابلة للقياس. كما تحمي الموظفين من التوقعات المستحيلة. خلال WannaCry، عمل موظفو NHS ساعات إضافية وارتجلوا للحفاظ على الخدمات. اعترفت مراجعة الدروس علنًا بهذه الجهود. لا ينبغي استخدام الاستجابة المحلية البطولية كدليل على أن التحضير كان كافيًا. إنها غالبًا دليل على أن النظام الرسمي ترك الكثير من العمل للأشخاص تحت الضغط.

حدود المسؤولية

المصادر العامة تدعم النقد التشغيلي القوي. لا تدعم استنتاجات قانونية غير مدعومة ضد منظمة مسماة أو مسؤول تنفيذي أو مورد أو هيئة وطنية. PAC وNAO وNHS England وDHSC وCQC وNCSC وMicrosoft والسجلات الأكاديمية تثبت تحذيرات، وضمانات مفقودة، وأنظمة غير محدثة، وتعطيل الخدمة، وإصلاحات بعد الحادثة. لا تثبت الإهمال في كل منظمة محلية، ولا تحدد كل خسارة، ولا تظهر بالضبط أي الأجهزة كانت مسؤولة عن كل موعد ملغي.

هذا الحدود مهمة لأن درس المساءلة أوسع من التقاضي. إذا اختزل القادة القضية إلى نزاع قانوني حول ما إذا كان كيان واحد قد خرق واجبًا، فإنهم يفوتون تصميم السيطرة. سؤال الخدمة العامة هو ما إذا كان بإمكان NHS معرفة، قبل حدث سيبراني وطني، أن كل منظمة قد أغلقت أو أدارت بوعي ثغرة حرجة معروفة. إجابة 2017 كانت لا. سؤال استمرارية الرعاية هو ما إذا كانت كل منظمة متأثرة قد تدربت على انقطاع سيبراني بشكل كافٍ لإبقاء الخدمات الأساسية تعمل بسعة متدهورة معروفة. السجل العام يقول إن تلك الترتيبات لم تكن مختبرة بشكل كافٍ.

وبالتالي تبقى WannaCry قضية مساءلة عامة لأنها ربطت تراكم الصيانة التقنية بمرونة مواجهة المريض. كان للمخاطر أسماء: MS17-010، SMBv1، أنظمة تشغيل غير مدعومة، خطط حوادث غير مختبرة، هيئات محلية بدون ضمان امتثال مركزي، شبكات مشتركة، وأنظمة سريرية لا يمكن إيقاف تشغيلها ببساطة. لكن الضرر كان له أسماء مختلفة: مواعيد ملغاة، مرضى محولون، سجلات غير متاحة، معلومات متأخرة، عمل إضافي للموظفين، وتقدير 92 مليون جنيه إسترليني للمعالجة والتعطيل.

الطريقة الأكثر مسؤولية لتذكر الحادثة ليست كحكاية أخلاقية عن البرامج القديمة. إنها تحذير من أن المؤسسات العامة يمكن أن تعرف ما يكفي لتكون قلقة ومع ذلك لا تعرف ما يكفي لتكون جاهزة. يمكن أن يوجد تصحيح. يمكن إرسال تنبيه. يمكن لمجلس الإدارة تلقي تدريب سيبراني. يمكن كتابة خطة. إذا لم تستطع المنظمة إثبات أن الأنظمة الضعيفة قد تم تصحيحها أو عزلها أو استبدالها أو العمل حولها بأمان، فإن المخاطرة لا تزال يتحملها المرضى والموظفون والمزودون الأصغر الذين يكتشفون الاعتماد فقط عندما تتوقف الخدمة.