NHS WannaCry: البرامج القديمة كتبعية مشتركة للخدمة العامة

ملخص

• كشف تفشي WannaCry في مايو 2017 عن تعرض NHS لفشل مشترك: اعتمدت العديد من منظمات الرعاية المحلية على أنظمة Windows ضعيفة، وتصحيح غير متساوٍ، وافتراضات خدمة مشتركة، واتصالات طوارئ يمكن أن تفشل معًا عندما ينتشر برنامج الفدية من خلال نفس الضعف.
• لا يتمثل سؤال المساءلة في ما إذا كان مستشفى واحد أو إصدار برنامج واحد أو مسؤول واحد هو سبب الاضطراب. بل هو من كانت لديه السيطرة العملية على إزالة الأنظمة القديمة، ونشر التصحيحات، وحوكمة الثقة، وتقسيم الشبكة، والتوجيه المركزي، والأدلة على أن استمرارية الرعاية لم تعد تعتمد على ثغرة واحدة قابلة للاستغلال.
• يظهر السجلات الصادرة عن مكتب التدقيق الوطني، ووزارة الصحة والرعاية الاجتماعية، والمركز الوطني للأمن السيبراني، وNHS Digital، وMicrosoft، وCISA، والبرلمان معًا أن تصحيحًا كان متاحًا قبل التفشي، وأن العديد من المنظمات كانت لا تزال ضعيفة، وأن النتيجة العامة كانت إلغاء المواعيد، وتحويل سيارات الإسعاف، وتدهور العمليات السريرية.
• يجب قياس الإصلاح الدائم كحماية للرعاية: جرد الأصول، والبرامج المدعومة، والامتثال للتصحيحات، وكشف نقاط النهاية، وخطط استمرارية غير متصلة بالإنترنت، ونتائج التمارين المحلية، والتصعيد الإقليمي، وأدلة مرئية لمجلس الإدارة على أن الخدمة السريرية يمكن أن تتدهور دون فقدان القدرة على علاج المرضى بأمان.

كان الحادث برنامج فدية، لكن التبعية كانت أقدم

وصل WannaCry إلى NHS في 12 مايو 2017، مستخدمًا ثغرة Windows قابلة للانتشار تم معالجتها بالفعل من خلال تحديث MS17-010 الأمني من Microsoft. تم نشر النشرة الأمنية MS17-010 في مارس 2017، ووصف توجيه Microsoft للعملاء أثناء هجمات WannaCrypt الحاجة إلى تطبيق التحديث وحماية الأنظمة غير المدعومة ومنع مسارات الهجوم. أظهر تنبيه CISA في مايو 2017 و البيان العام لـ Europol أن التفشي كان عالميًا وليس خاصًا بـ NHS.

جاءت أهمية NHS من التعرض المشترك. وجد تحقيق مكتب التدقيق الوطني في WannaCry وNHS أن الهجوم أثر على 80 على الأقل من أصل 236 هيئة NHS في إنجلترا، بالإضافة إلى 603 منظمة NHS بما في ذلك ممارسات الأطباء العامين وهيئات NHS أخرى. سجل ملف PDF للتقرير الكامل أيضًا آلاف المواعيد والعمليات الملغاة، وتحويلات سيارات الإسعاف المتأثرة، وحقيقة عدم دفع أي منظمة NHS الفدية. تجعل هذه الحقائق القضية حدثًا لاستمرارية الخدمة العامة، وليس مجرد إصابة ببرامج ضارة.

كانت المشكلة المشتركة أن العديد من المنظمات يمكن أن تفشل من خلال نفس فئة الضعف. قد تكون هيئة محلية قد صححت بعض الأجهزة، وتركت أخرى مكشوفة، واعتمدت على أنظمة تشغيل غير مدعومة، وربطت أنظمة تشخيصية أو إدارية أقدم بشبكات أوسع، أو تفتقر إلى جرد كامل للأصول. قد تكون هيئة أخرى لديها تصحيح أقوى ولكنها لا تزال تعتمد على شركاء إقليميين، أو قنوات إحالة مشتركة، أو خدمات متصلة بالشبكة. يصبح برنامج الفدية بعد ذلك اختبارًا لاستمرارية بيئة الخدمة الصحية بأكملها، لأن رعاية المرضى تعتمد على استعداد العديد من الأنظمة المحلية في وقت واحد.

السؤال الخاضع للمساءلة عملي. من كان يمكنه تقليل التبعية المشتركة قبل مايو 2017؟ سيطرت هيئات NHS المحلية على أصولها الخاصة، وانضباط التصحيح، وتقسيم الشبكة، وتمارين استمرارية الأعمال. سيطرت الهيئات الوطنية على التوجيه، وضغط التمويل، والضمان، وتوقعات العقود، ورؤية المخاطر غير المحلولة. سيطر الموردون على شروط الدعم، وتوفر التصحيحات، وتبعيات برامج الأجهزة الطبية. سيطر الوزراء ومجالس الإدارة على المدة التي تم فيها تحمل الأنظمة القديمة كحل وسط لتوفير التكاليف. لم يتحكم المرضى في أي من هذه الأمور.

كان التصحيح موجودًا، لكن التصحيح ليس نشرًا

وجود MS17-010 أمر محوري لأنه يظهر الفرق بين التوفر والتنفيذ. أصدرت Microsoft التحديث ذي الصلة قبل التفشي. لا تثبت هذه الحقيقة أن كل هيئة NHS تجاهلت تعليمات بسيطة. تحمل البيئات الصحية معدات قديمة، وتكوينات مؤهلة من البائعين، وقيود جدولة سريرية، وشبكات لا يمكن تغييرها دائمًا دون مخاطر على الخدمة. لكنها تظهر أن المشكلة انتقلت من مجرد ثغرة برمجية إلى حوكمة النشر. التصحيح المتاح على موقع البائع لا يحمي المريض إذا بقي الجهاز المصاب دون تصحيح في الجناح أو العيادة أو المختبر أو المكتب الإداري.

حذر تنبيه CareCERT CC-1353 من NHS Digital منظمات NHS بشأن تطبيق تحديثات Microsoft وحماية الأنظمة. أكدت مراجعة الدروس المستفادة من وزارة الصحة والرعاية الاجتماعية لاحقًا على إدارة الأصول، والتصحيح، ومكافحة الفيروسات، والأنظمة غير المدعومة، وتقسيم الشبكة، والاستجابة للحوادث. نسخة PDF من المراجعة مهمة لأنها تعالج الجاهزية السيبرانية كمسؤولية نظامية وليس كإصلاح تقني واحد.

هذا هو المكان الذي تدخل فيه دورة الحياة والارتباط في سجل المساءلة. غالبًا ما يتم الاحتفاظ بالأنظمة غير المدعومة لأن الاستبدال مكلف، ويعتمد البرنامج المتخصص على منصات قديمة، وللأجهزة السريرية أعمار طويلة، وتواجه المنظمات المحلية ضغوطًا متعارضة. قد يكون كل سبب مفهومًا. لكن التأثير المشترك يصبح خطيرًا عندما تشارك العديد من المنظمات نفس الضعف القديم. يصبح خطر دورة حياة البرمجيات تبعية للخدمة العامة لأن الخدمة الصحية يمكن أن تحمل تعرضًا خفيًا للاستمرارية يكتشفه المرضى فقط عند إلغاء المواعيد.

يجب أن تتجنب أدلة الإصلاح الادعاء الضيق بأن "التصحيح تحسن." سيظهر سجل ناضج أي الأنظمة الحيوية لا تزال غير مدعومة، وأي منها لديه ضوابط تعويضية، وأيها معزول، وأيها لديه التزامات ترقية من البائعين، وأيها لا يمكن استبداله دون تغييرات في المعدات السريرية، وأي مجالس إدارة قبلت المخاطر المتبقية بلغة المصلحة العامة. البرنامج القديم ليس متهورًا تلقائيًا. البرنامج القديم غير المرئي وغير المُدار في العمليات السريرية هو المشكلة الحقيقية.

كانت السيطرة المحلية والوطنية متشابكتين

NHS ليست غرفة آلة واحدة. إنها خدمة عامة فيدرالية تضم منظمات محلية وهيئات وطنية وموردين وفرق سريرية وبنية تحتية مشتركة. هذا الهيكل يعقد المساءلة، لكنه لا يزيلها. سلط تقرير NAO وتقرير لجنة الحسابات العامة لعام 2018 الضوء على تحدي معرفة ما إذا كانت جميع الهيئات المحلية قد اتبعت التوجيهات وما إذا كانت الهيئات المركزية لديها رؤية كافية لضمان الجاهزية.

كان للهيئات المحلية سيطرة مباشرة على العديد من الضمانات العملية. يمكنها الحفاظ على جرد الأصول، وتطبيق التحديثات الأمنية، واستبدال الأنظمة غير المدعومة، وتقسيم الشبكات، وتدريب الموظفين، واختبار خطط الاستمرارية، ومراقبة مؤشرات البرامج الضارة. يمكنها ضمان أن الوظائف السريرية الحرجة لديها إجراءات احتياطية ورقية أو غير متصلة بالإنترنت وأن قنوات التصعيد تنجو من انقطاع التيار الرقمي. يمكنها أيضًا تسجيل متى أدت مخاوف المخاطر السريرية إلى تأخير التصحيح وما هي الضوابط التعويضية المطبقة.

سيطرت الهيئات الوطنية على طبقة مختلفة. يمكنها تحديد المعايير الإلزامية، وتنسيق الاستخبارات، وتمويل التحسين، وفرض المواعيد النهائية، وجمع أدلة الضمان، وإنشاء استجابة للحوادث الإقليمية. لعبت NHS Digital وNHS England ووزارة الصحة ولاحقًا NHSX والهيئات ذات الصلة أدوارًا في بيئة الجاهزية الوطنية. يظهر تأمل المركز الوطني للأمن السيبراني بعد عام من WannaCry و توجيهاته بشأن التخفيف من هجمات البرامج الضارة وبرامج الفدية كيف صاغ التوجيه السيبراني المركزي الدروس للمنظمات العامة والخاصة.

يخلق الهيكل المشترك خطرًا متكررًا: يمكن للهيئات المحلية أن تقول إنها كانت تعاني من نقص التمويل أو القيود أو الاعتماد على الأنظمة المركزية؛ يمكن للهيئات المركزية أن تقول إن الصناديق المحلية كانت مسؤولة عن التصحيح الخاص بها؛ يمكن للموردين أن يقولوا إن الترقيات كانت متاحة بشرط الشراء؛ يمكن لمجالس الإدارة أن تقول إن الطلب السريري جعل الانقطاعات غير مقبولة. يمكن أن يحتوي كل بيان على حقيقة. تسأل المساءلة من يمكنه جعل النظام بأكمله أقل اعتمادًا على نفس الضعف. يتطلب ذلك رؤية وطنية للمخاطر المحلية وتنفيذًا محليًا للمعايير الوطنية.

كان ضرر المرضى غير مباشر ولكنه حقيقي

لم يكن WannaCry بحاجة إلى تشفير كل نظام سريري للتأثير على الرعاية. سجل NAO المواعيد الملغاة، وخدمات الأطباء العامين المعطلة، وتحويلات سيارات الإسعاف، والتشخيصات المتأثرة. هذه النتائج غير مباشرة لأن البرنامج الضار هاجم أجهزة الكمبيوتر، وليس المرضى. لكنها حقيقية لأن الرعاية تعتمد على أجهزة الكمبيوتر للجدولة، والسجلات، والتصوير، والتواصل، والوصفات الطبية، والإحالات، والتنسيق. يصبح الحادث السيبراني للخدمة الصحية قضية سلامة المرضى عندما يبطئ العمل السريري أو يحوله أو يفقد المعلومات الضرورية.

هذا مهم لقياس الأثر. إذا قامت منظمة بحساب مدفوعات الفدية أو الملفات التالفة فقط، فإنها تفوت ضرر الخدمة العامة. لم تدفع NHS فدية، لكن المرضى ما زالوا يفقدون المواعيد وما زالت الخدمة تتكبد تكاليف التعافي. تم إيقاف تشغيل بعض الأنظمة كإجراء دفاعي حتى في حالة عدم حدوث إصابة. كان على بعض المنظمات إلغاء الرعاية لأنها لم تستطع الوثوق بالبيئة الرقمية. تمكن البعض الآخر من الاستمرار بسبب تقسيم أفضل أو احتياطي. تم توزيع الضرر عبر الخدمة، وهذا التوزيع هو الدرس.

سيربط سجل أثر أقوى الحالات التقنية بحالات الرعاية. أي الأنظمة أصيبت؟ أيها تم فصلها كإجراء احترازي؟ أي المواعيد ألغيت لأن أنظمة معينة كانت غير متاحة؟ أي تحويلات سيارات الإسعاف نتجت عن مشكلات في السعة أو الثقة المحلية؟ أي مختبرات وخدمات تصوير وسجلات تأثرت؟ أي المنظمات أبقت الرعاية تعمل بسبب احتياطيات مختبرة؟ بدون هذا التخطيط، يرى الجمهور اضطرابًا كبيرًا لكنه لا يستطيع معرفة أي الضوابط حمت المرضى وأيها خذلتهم.

لذلك يجب تقييم أعمال المرونة السيبرانية اللاحقة لـ NHS مقابل الاستمرارية السريرية. من المفيد حساب الأجهزة المصححة، وتغطية نقاط النهاية، وإكمال التدريب السيبراني. والأكثر فائدة هو معرفة ما إذا كانت الهيئة قادرة على مواصلة الرعاية العاجلة بأمان أثناء عزل الأنظمة المصابة؛ وما إذا كان الأطباء قادرين على الوصول إلى الحقائق الأساسية للمرضى عندما تتدهور الشبكات؛ وما إذا كان الشركاء الإقليميون يعرفون كيفية توجيه المرضى؛ وما إذا كان قادة الحوادث السيبرانية قادرين على اتخاذ القرارات مع القادة السريريين بدلاً من معالجة الحدث كمشكلة تقنية فقط.

قضية الأنظمة غير المدعومة هي قضية حوكمة

البرمجيات غير المدعومة ليست مجرد فئة ديون تقنية. في بيئة الصحة العامة، هي قرار حوكمة حول من يتحمل المخاطر. قد تحتفظ الهيئة بجهاز قديم لأن الجهاز السريري باهظ الثمن ليحل محله. قد يدعم البائع جهازًا فقط على منصة قديمة. قد تؤجل عملية الشراء الاستبدال. قد يقبل مجلس الإدارة المخاطرة لأن ميزانية رأس المال ضيقة. لكن المريض يعاني فقط من فشل الاستمرارية في النهاية.

تعاملت مراجعة الدروس المستفادة في المملكة المتحدة مع الأنظمة غير المدعومة كأحد موضوعات المعالجة الهامة. هذا صحيح، لكن حالة عدم الدعم في حد ذاتها ليست المؤشر الوحيد. النظام المدعوم الذي لم يتم تصحيحه يمكن أن يكون ضعيفًا. النظام غير المدعوم المعزول والمراقب عن كثب والمقرر استبداله قد يمثل مخاطر تشغيلية أقل من النظام المدعوم بدون مالك. سؤال الحوكمة هو ما إذا كان كل أصل عالي المخاطر له مالك محدد، وخطة دورة حياة، وضوابط تعويضية، ورؤية مجلس الإدارة.

التكنولوجيا الطبية والتشغيلية تعقد القضية. لا يمكن تصحيح بعض الأجهزة السريرية دون التحقق من البائع. تدعم بعض الأنظمة القديمة سير العمل المتخصص. يتطلب بعض الاستبدالات وقت تعطل يؤثر على الرعاية. هذه القيود حقيقية، لكن يجب أن تكون مرئية كاستثناءات، وليست مخفية كعمليات عادية. إذا كان الجهاز لا يمكن تصحيحه، يجب أن يظهر السجل السبب، وكيف يتم عزله، ومدة بقائه، وما الخدمة التي تعتمد عليه، وماذا سيحدث إذا فشل.

يمتد درس القطاع العام في المملكة المتحدة إلى ما بعد NHS. المدارس والمجالس والشرطة وهيئات النقل وخدمات الطوارئ تحمل جميعها برامج قديمة في مكان ما. قضية NHS حية لأن رعاية المرضى مباشرة، لكن النمط المشترك أوسع. تحتاج الخدمات العامة إلى طريقة لمعرفة متى تعتمد العديد من الهيئات المحلية على نفس التكنولوجيا غير المدعومة أو غير المصححة، لأن المهاجم أو الدودة لن تحترم الحدود التنظيمية.

يمكن لأتمتة الأمان المساعدة فقط بعد وضوح الملكية

أتمتة الأمان مغرية بعد WannaCry. أدوات نقاط النهاية، وماسحات الثغرات، وتنسيق التصحيح، واكتشاف الأصول، وتغذية استخبارات التهديدات، والاحتواء الآلي يمكن أن تقلل جميعها من التعرض. لكن الأتمتة لا يمكنها إصلاح أصل لا يملكه أحد، أو جهاز سريري لا يمكن تصحيحه، أو شبكة لم يتم رسمها أبدًا، أو مجلس إدارة يعامل البرامج القديمة كقضية تكلفة غير مرئية. الأتمتة تقوي الحوكمة؛ لا يمكنها أن تحل محلها.

أولاً ستجيب الأتمتة الأكثر قيمة على الأسئلة الأساسية. ما هي الأجهزة الموجودة؟ ما هي أنظمة التشغيل التي تعمل عليها؟ أي منها غير مدعوم؟ أي منها يفتقد MS17-010 أو تصحيحات حرجة مماثلة؟ أي الأنظمة يمكن الوصول إليها من بعضها البعض؟ أي منها متصل بسير العمل السريري؟ أي منها مستبعد من المسح بسبب قيود البائع؟ أي الهيئات المحلية لديها فجوات غير مفسرة؟ تلك الإجابات تحول المخاطر العامة إلى سجل مُدار.

الطبقة التالية هي العمل. يمكن للنشر الآلي نشر التحديثات حيثما كان ذلك آمنًا. يمكن لإدارة الثغرات تحديد أولويات التعرضات الحرجة. يمكن لمراقبة الشبكة اكتشاف حركة المرور الشبيهة بالديدان. يمكن لكشف نقاط النهاية احتواء البرامج الضارة. يمكن لأنظمة النسخ الاحتياطي دعم التعافي. لكن كل إجراء آلي يحتاج إلى عملية استثناء لسلامة السريرية. إذا تعذر تطبيق التحديث لأنه قد يعطل جهاز تشخيصي، يجب أن يؤدي هذا الاستثناء إلى التخطيط للعزل والاستبدال بدلاً من التسامح غير المحدد.

إرشادات NCSC العامة بشأن برامج الفدية مفيدة لأنها تجمع بين الوقاية والنسخ الاحتياطي والاستجابة للحوادث والتعافي. يوضح WannaCry سبب انتماء هذه الفئات معًا. لا يمكن للخدمة الصحية معالجة مرونة برامج الفدية كشراء منتج واحد. تحتاج إلى حوكمة التصحيح، والتقسيم، والنسخ الاحتياطي، وتوعية المستخدمين، والتعافي المختبر، والتصعيد السريري. تختفي التبعية المشتركة فقط عندما تتداخل ضمانات متعددة.

يجب أن تكون أدلة الإصلاح عامة بما يكفي لبناء الثقة

لا يحتاج المرضى إلى عنوان IP لكل جهاز ضعيف. إنهم بحاجة إلى الثقة في أن الخدمة الصحية تعلمت من الاضطراب الذي ألغى الرعاية. يمكن تصميم الضمان العام دون كشف خرائط تفصيلية للمهاجمين. يمكن أن يبلغ عن عدد المنظمات التي تلبي المعايير السيبرانية الحالية، وكيف تتجه أعداد الأنظمة غير المدعومة، وعدد مرات إجراء تمارين الاستمرارية، ومدى سرعة تطبيق التصحيحات الحرجة، وكيف تتعامل مجالس الإدارة مع الاستثناءات. يمكنه أيضًا الإبلاغ عما إذا كانت عمليات التدقيق المستقلة تجد فجوات نظامية غير محلولة.

تظهر سجلات NAO ولجنة الحسابات العامة لماذا يهم الضمان المستقل. قبل WannaCry، كان التوجيه موجودًا، لكن الضمان على التنفيذ المحلي كان غير مكتمل. بعد WannaCry، لم يكن الدرس مجرد إصدار نصائح أفضل. بل كان معرفة ما إذا كانت النصيحة غيرت حالة الأنظمة التي تقدم الرعاية. هيئة وطنية لا تستطيع رؤية التنفيذ المحلي لا تستطيع إخبار الجمهور ما إذا كانت التبعية المشتركة قد تم تقليلها.

يجب أن يميز سجل الإصلاح أيضًا بين المرونة والاستجابة. تسأل الاستجابة عما إذا كان NHS يمكنه اكتشاف الحادث واحتوائه والتعافي منه. تسأل المرونة عما إذا كان يمكن منع الحادث أو تقييده قبل إلغاء الرعاية. كلاهما مهم. المستشفى الذي يمكنه التعافي بسرعة لا يزال يضر بالمرضى إذا تم إلغاء العديد من المواعيد. المستشفى الذي يمنع الانتشار ولكن ليس لديه احتياطي قد لا يزال يعاني أثناء عمليات الإغلاق الدفاعية. أقوى وضع يقلل من احتمالية الإصابة، ويحد من الانتشار، ويحافظ على الرعاية الأساسية، ويستعيد الأدلة بسرعة.

المعيار المتمحور حول المريض بسيط: هل يمكن للخدمة الصحية مواصلة الرعاية العاجلة أثناء استغلال ضعف برمجي مشترك؟ هذا المعيار يجبر القادة على طرح أسئلة تشغيلية بدلاً من الأسئلة التقنية فقط. هل الإجراءات الورقية حديثة؟ هل يمكن للأطباء التعرف على المرضى بدون النظام الإلكتروني؟ هل يمكن إعادة توجيه سيارات الإسعاف بأمان؟ هل يمكن توصيل النتائج التشخيصية بشكل آمن؟ هل يمكن للرعاية الأولية الحفاظ على خدمة كافية؟ هل يمكن للهيئات الوطنية تنسيق الحقائق المحلية بسرعة؟ هذه الأسئلة تجعل المرونة السيبرانية تخصصًا لاستمرارية الرعاية.

يجب ألا يكون حدث الوضع المشترك القادم مفاجأة

كان WannaCry دراماتيكيًا لأنه انتشر بسرعة وعلى مستوى العالم. قد يكون حدث الوضع المشترك القادم أكثر هدوءًا. قد يكون تحديثًا مخترقًا، أو انقطاعًا في هوية سحابية، أو فشل شهادة، أو خطأ في أمان نقطة النهاية، أو اختراق مورد، أو ثغرة في برامج طبية مستخدمة على نطاق واسع. الدرس المشترك هو أن العديد من منظمات الخدمة العامة المحلية يمكن أن تعتمد على نفس الحالة التكنولوجية دون رؤية أنفسها معرضة بشكل مشترك.

يمكن لـ NHS تقليل هذه المخاطر من خلال معاملة تشابه التكنولوجيا كتعرض للقياس. إذا اعتمدت العديد من الهيئات على نفس النظام غير المدعوم، فهذا خطر مشترك. إذا لم تتمكن العديد من الهيئات من تصحيح فئة من الأجهزة بسبب قيود المورد، فهذا خطر مشترك. إذا اعتمدت العديد من الهيئات المحلية على نفس منتج الوصول عن بعد، أو موفر الهوية، أو منتج النسخ الاحتياطي، فهذا خطر مشترك. لا ينبغي أن يكون سجل المخاطر محليًا فقط؛ يجب أن يجمع أنماطًا عبر الخدمة.

لوظيفة المشتريات دور هنا. يجب أن تتطلب عقود التكنولوجيا السريرية والإدارية دعم دورة الحياة، وشفافية التصحيح، والإفصاح عن الثغرات، ومسارات الترقية المختبرة. يجب ربط ادعاءات الموردين بواجبات استمرارية الرعاية. الجهاز الذي لا يمكن تصحيحه دون أشهر من التفاوض ليس مجرد إزعاج تقني؛ إنه تبعية لسلامة المرضى. المورد الذي يتحكم في مسار الترقية يجب أن يشارك المساءلة عن جعل مسار الترقية ممكنًا.

دور مجلس الإدارة مهم بنفس القدر. لا ينبغي أن تقول أوراق مجلس الإدارة فقط إن المخاطر السيبرانية عالية. يجب أن تحدد الأنظمة غير المدعومة، واستثناءات التصحيح، وتبعيات الخدمة الحرجة، ونتائج التمارين، وقيود الموردين غير المحلولة. يجب أن يكون المسؤولون التنفيذيون قادرين على شرح ما سيحدث إذا ظهرت ثغرة قابلة للانتشار غدًا. يجب أن يتم تضمين القادة السريريين لأن الأولوية هي استمرارية الرعاية، وليس فقط استعادة التكنولوجيا. يجب أن يتم تضمين القادة الماليين لأن استبدال الأنظمة القديمة غالبًا ما يكون قرارًا رأسماليًا.

الدرس العام من WannaCry ليس أن كل نظام قديم يجب أن يختفي بين عشية وضحاها. بل هو أن البرامج القديمة تصبح خطيرة عندما تصبح غير مرئية ومشتركة وغير خاضعة للحوكمة. لذلك يجب الحكم على سجل المساءلة لـ NHS من خلال ما إذا كانت مخاطر النظام القديم والتصحيح مرئية بما يكفي للعمل عليها قبل أن يشعر بها المرضى. كان التصحيح موجودًا. كان التوجيه موجودًا. الجزء المفقود هو الجاهزية المضمونة على مستوى الخدمة. هذا هو السبب في أن WannaCry لا يزال حالة تبعية مشتركة بدلاً من مجرد ذكرى برنامج فدية.

يجب تصميم نوافذ التصحيح حول الرعاية، وليس ضدها

أحد أسباب فشل التصحيح في المستشفيات هو أن وقت التوقف يمكن أن يكون محفوفًا بالمخاطر في حد ذاته. قد يدعم نظام الجناح أو جهاز التصوير أو آلة المختبر أو منصة الجدولة الرعاية الحية. يمكن للتحديث غير الحذر أن يقطع الخدمة، أو يكسر تكوين جهاز تم التحقق منه، أو يجبر الفرق السريرية على حلول عمل غير آمنة. غالبًا ما يصبح هذا الواقع حجة للتأخير. الجواب الأفضل للمساءلة ليس طلب تصحيح متهور؛ بل إنشاء نوافذ تصحيح واعية بالرعاية تكون مخططة ومختبرة ويتم تصعيدها عند تفويتها. يجب أن تعرف الهيئة أي الأنظمة يمكن تحديثها تلقائيًا، وأيها يحتاج إلى التحقق من البائع، وأيها يتطلب موافقة على وقت التوقف السريري، وأيها يحمل ضوابط تعويضية أثناء الانتظار.

أظهر حادث NHS أن غياب حوكمة التصحيح المخطط يمكن أن يخلق توقفًا أسوأ لاحقًا. إلغاء نافذة صيانة محدودة أسهل في بعض الأحيان من شرح انقطاع خدمة قصير. لكن إذا اتخذت العديد من الهيئات المحلية هذا القرار بشكل متكرر، تبني الخدمة الصحية تعرضًا خفيًا. الدودة لا تنتظر جدولًا سريريًا مناسبًا. يصبح سؤال المساءلة ما إذا كان القادة قد جعلوا المخاطر مرئية قبل أن يجعلها المهاجم مرئية. يجب أن يكون للاستثناء المحلي تاريخ ومالك ومبرر سريري ومبرر أمني وضابط تعويضي ونقطة مراجعة. عندما يظهر نفس الاستثناء عبر العديد من الهيئات، يجب على الهيئات الوطنية معاملته كخطر مشترك يحتاج إلى تمويل أو تفاوض مع المورد أو تغيير معماري.

تحركت لغة المرونة السيبرانية الأوسع للحكومة البريطانية بعد WannaCry في هذا الاتجاه. صاغ مكتب مجلس الوزراء وNCSC بشكل متكرر الأمن السيبراني للقطاع العام كمسألة مرونة تشغيلية، ويمنح إطار التقييم السيبراني (CAF) المنظمات هيكلًا للوظائف الأساسية والحماية والاكتشاف والاستجابة والتعافي. CAF ليس مصدرًا لطب شرعي لـ WannaCry، لكنه طريقة مفيدة للتعبير عن الدرس: الوظيفة ذات الصلة هي رعاية المرضى، وليس مجرد وجود نظام تكنولوجيا معلومات. يجب الحكم على التصحيح وضوابط دورة الحياة من خلال مساهمتها في تلك الوظيفة الأساسية.

لذلك ينتمي القادة السريريون إلى حوكمة التصحيح. قد يعرف مجلس إدارة تقني بحت أي تحديث مفقود ولكن ليس أي خدمة ستكون غير آمنة أثناء التثبيت المتسرع. قد يعرف مجلس إدارة سريري بحت مخاطر الخدمة ولكن ليس التعرض السيبراني للتأخير غير المحدد. القرار يحتاج إلى كليهما. إذا تعذر تطبيق التصحيح هذا الأسبوع لأن جهاز التشخيص قيد الاستخدام الثقيل، يجب أن يذكر السجل ما يحمي هذا الجهاز اليوم، وما هو إجراء المورد المطلوب، ومتى ستتم مراجعة القرار. إذا تكررت الإجابة لأشهر، يجب أن تصبح خطرًا على مستوى مجلس الإدارة بدلاً من حاشية مكتب المساعدة.

يحسن هذا النهج أيضًا التفسير العام. عند وقوع حادث سيبراني آخر لـ NHS، لا يحتاج الجمهور إلى بيان عام بأن الأنظمة قيد الاستعادة. يحتاج إلى الثقة في أن القادة كانوا يعرفون بالفعل أي الأنظمة الأكثر أهمية، وأي المخاطر تم قبولها، وأي الخدمات لديها خطط احتياطية. كلما كان سجل استثناء التصحيح أكثر انضباطًا قبل الحادث، كلما كان التفسير العام أسرع بعده. لا يمكن للخدمة الصحية مشاركة كل تفصيل تقني، لكن يمكنها مشاركة حقيقة أن الاستثناءات محكومة وليست منسية.

التقسيم هو تحكم في استمرارية الرعاية

جعل الانتشار الشبيه بالديدان لـ WannaCry تقسيم الشبكة أمرًا محوريًا. غالبًا ما يتم وصف التقسيم في الرسوم البيانية التقنية، لكن في سياق NHS هو تحكم في استمرارية الرعاية. يحدد ما إذا كان الجهاز الإداري الضعيف يمكن أن يؤثر على الخدمات السريرية، وما إذا كان موقع محلي يمكن أن يلوث آخر، وما إذا كان يمكن عزل الأجهزة التشخيصية دون فقدان كل الوصول، وما إذا كان يمكن احتواء الحادث أثناء استمرار الرعاية العاجلة. إذا كان كل جزء من البيئة يثق في كل جزء آخر، يمكن لضعف قديم واحد أن يصبح انقطاعًا على مستوى الخدمة.

يجب أن يكون التقسيم قابلاً للاستخدام أيضًا أثناء الأزمات. الشبكة التي لا يمكن تقسيمها إلا بواسطة فريق صغير خلال ساعات العمل تكون أقل فائدة عندما ينتشر برنامج الفدية بسرعة. يجب أن تعرف الهيئة أي الاتصالات يمكن إغلاقها، وما التأثير السريري للإغلاق، وكيف سيعمل الأطباء إذا تم عزل الخدمة. يجب أن تختبر العزل في ظل ظروف واقعية. هل يمكن للمستشفى فصل قطاع شبكة مشبوه مع الاستمرار في علاج مرضى الطوارئ؟ هل يمكن لعيادة الطبيب العام مواصلة الخدمة الأساسية بينما الأنظمة المركزية غير متاحة؟ هل يمكن لمنطقة إعادة توجيه المرضى عندما تفقد هيئة الثقة في الأنظمة الرقمية؟ هذه أسئلة سيبرانية فقط لأنها أسئلة رعاية أولاً.

سجل تقرير NAO أن بعض المنظمات فصلت الأنظمة كإجراء احترازي وأن الاتصال بين المنظمات تأثر. هذا يعني أن التقسيم واتصالات الطوارئ مرتبطان. إذا عزلت هيئة الأنظمة لمنع الانتشار، فإنها لا تزال بحاجة إلى طرق آمنة للتواصل مع الشركاء الإقليميين وخدمات الإسعاف والهيئات الوطنية والمرضى. القناة الاحتياطية التي تعتمد على نفس الشبكة المتأثرة ليست احتياطية. الإجراء الورقي الذي لم يتم ممارسته ليس إجراءً. قائمة الاتصال المخزنة فقط على نظام لا يمكن الوصول إليه تصبح تبعية مشتركة أخرى.

مقياس الإصلاح المفيد هو لذلك "الوقت اللازم للعزل الآمن." كم من الوقت تحتاج المنظمة المحلية لتحديد دودة مشتبه بها، وعزل القطاعات المتأثرة، والحفاظ على الرعاية العاجلة، والإبلاغ عن الحالة إلى القيادة الإقليمية؟ مقياس آخر هو "الوقت اللازم للاتصال الموثوق." كم من الوقت قبل أن تتمكن المنظمة من إخبار الموظفين بالأنظمة التي يجب استخدامها، وإخبار المرضى بالخدمات المتأثرة، وإخبار الشركاء ما إذا كان يجب تحويل سيارات الإسعاف أو الإحالات؟ هذه المقاييس أكثر أهمية من عدد عينات البرامج الضارة المحجوبة لأنها تربط الإجراء التقني باستمرارية الخدمة العامة.

يكشف التقسيم أيضًا عن تبعية المورد. بعض الأجهزة السريرية والأنظمة القديمة يصعب عزلها لأنها لم تصمم أبدًا للتهديدات الحديثة المتصلة بالشبكة. يجب أن تتطلب العقود من الموردين دعم التشغيل الآمن، وإمكانية التصحيح، والتسجيل، والفصل الشبكي. إذا لم يتمكن المورد من جعل الجهاز يدعم التقسيم الآمن، يجب أن يعرف المشتري ذلك قبل الشراء. إذا بقي جهاز قديم، يجب أن تكون المخاطر مرئية في المشتريات والحوكمة السريرية والضمان السيبراني. هذه هي الطريقة التي تتوقف بها المعدات القديمة عن كونها تعرضًا مشتركًا خفيًا.

يجب قياس الدروس عبر الخدمة بأكملها

بعد WannaCry، التحسينات الفردية ضرورية لكنها غير كافية. يمكن لهيئة واحدة أن تصبح أقوى بينما تظل الخدمة ككل معرضة إذا شاركت العديد من الهيئات الأخرى نفس الضعف. يتطلب الدرس المشترك قياسًا إجماليًا. يجب أن يكون القادة الوطنيون قادرين على الإجابة عن عدد المنظمات التي لديها أنظمة حرجة غير مدعومة، وعدد الثغرات الحرجة التي تتجاوز المواعيد النهائية للتصحيح، وعدد الهيئات التي اختبرت استمرارية برامج الفدية في العام الماضي، وعدد قيود الموردين التي تمنع التصحيح، وعدد الاستثناءات المحلية التي ليس لديها مسار استبدال ممول.

مجموعة أدوات أمن البيانات والحماية في NHS، المتاحة من خلال بوابة مجموعة أدوات NHS England، هي آلية واحدة لجمع معلومات التقييم الذاتي والضمان. التقييم الذاتي ليس كافيًا بمفرده، لكنه يعطي هيكلًا لمقارنة المنظمات وتصعيد الفجوات. يجب أن يجلس بجانبه الاختبار المستقل والتمارين الإقليمية وضمان مجلس الإدارة والتمويل المستهدف. الخطر هو أن قائمة المراجعة تصبح أداة راحة بدلاً من أن تكون أداة تحكم. يجب أن يكون السؤال دائمًا ما إذا كان الامتثال المبلغ عنه سيحمي رعاية المرضى بالفعل أثناء ثغرة قابلة للانتشار.

مكتب مفوض المعلومات مهم أيضًا لأن خطر البيانات الصحية جزء من نفس صورة الاستمرارية. تؤكد إرشادات ICO بشأن الأمان بموجب اللائحة العامة لحماية البيانات في المملكة المتحدة على التدابير التقنية والتنظيمية المناسبة. لم يتم تذكر WannaCry في المقام الأول لسرقة البيانات، لكن برامج الفدية والبرامج الضارة التدميرية يمكن أن تؤثر على السرية والنزاهة والتوافر. في الرعاية الصحية، التوافر هو مصدر قلق لحماية البيانات ورعاية المرضى لأن السجلات غير المتاحة يمكن أن تؤخر العلاج. لذلك يجب أن تتعامل حوكمة الأمان مع التوافر كواجب مواجه للمريض، وليس فقط كهدف خدمة تكنولوجيا المعلومات.

يجب أن يشمل القياس المخاطر المتبقية، وليس فقط قصص النجاح. إذا كانت الهيئة لديها أنظمة قديمة تنتظر الاستبدال، فإن سؤال المصلحة العامة هو ما إذا كان التأخير مفهومًا وممولًا وخاضعًا للسيطرة. إذا كانت الهيئة لديها أدوات نقطة نهاية قوية لكن استمرارية غير متصلة بالإنترنت ضعيفة، فإن هذه الفجوة تهم. إذا كانت الهيئة يمكنها تصحيح الخوادم بسرعة لكن لا يمكنها تصحيح الأجهزة السريرية، فيجب تجميع هذه التبعية وطنيًا. إذا كانت الهيئة لديها خطط جيدة لكن لا تمارين حديثة، تظل الخطة غير مثبتة. الخدمة الصحية التي تبلغ فقط عن التحسينات دون فجوات غير محلولة تدعو إلى مفاجأة أخرى.

يمكن للتمارين الإقليمية أن تجعل الصورة الإجمالية حقيقية. التمرين المفيد سيحاكي ثغرة حرجة يتم استغلالها بنشاط عبر هيئات محلية متعددة. سيتطلب العزل المحلي، وقرارات تدفق المرضى الإقليمية، والاتصالات الوطنية، والتصعيد مع الموردين، والتعامل مع الصحافة، وتحديد الأولويات السريرية. سيقيس ما إذا كانت الخدمة يمكنها تحديد الأنظمة المعرضة، وحماية الرعاية العاجلة، والتواصل بأمان بينما الحقائق غير كاملة. سيختبر أيضًا ما إذا كان ضعف منظمة واحدة يخلق عبئًا غير معقول على جيرانها. يجب أن تغذي النتيجة التمويل والمشتريات ومساءلة مجلس الإدارة، وليس مجرد ملاحظة ما بعد الإجراء.

يجب أيضًا مقارنة الاستمرارية السيبرانية مع تخصصات التأهب للصحة العامة الأخرى. تخطط النظم الصحية بالفعل لضغط الشتاء، والأمراض المعدية، والعمل الصناعي، والحوادث الكبرى. يجب أن يجلس الاضطراب السيبراني بجانب هذه المخاطر لأنه يمكن أن يزيل السعة أو المعلومات أو التنسيق في اللحظة التي يكون فيها الطلب مرتفعًا. التمرين السيبراني الذي لا يصل أبدًا إلى القيادة التشغيلية يفقد الهدف. التمرين السريري للحوادث الكبرى الذي يفترض أن جميع الأنظمة الرقمية متاحة يفقد الهدف من الاتجاه الآخر.

المساءلة تعود للأشخاص الذين يمكنهم تقصير التعرض

الاختبار الأكثر فائدة بعد حالة مثل WannaCry هو وقت التعرض. كم من الوقت حملت الخدمة مخاطر معروفة قابلة للانتشار قبل التفشي؟ كم من الوقت استغرق تحديد الأصول الضعيفة؟ كم من الوقت احتاجت الهيئات المحلية لتطبيق التصحيحات؟ كم من الوقت بقيت الأنظمة غير المدعومة دون تحكم تعويضي؟ كم من الوقت استغرق استعادة الرعاية الآمنة؟ كم من الوقت استغرق التعلم وتمويل الإصلاحات؟ كل ساعة تشير إلى مالك مختلف، لكنها معًا تصف مساءلة الخدمة.

غالبًا ما تكون فرق تكنولوجيا المعلومات المحلية هي الأكثر ظهورًا بعد الحادث، لكنها ليست الجهات الفاعلة الوحيدة الخاضعة للمساءلة. توافق مجالس الإدارة على الرغبة في المخاطرة والميزانيات. يوافق القادة السريريون على أولويات التوقف والاستبدال. تختار فرق المشتريات الموردين وشروط الدعم. تحدد الهيئات الوطنية المعايير وتراقب الامتثال. يحدد الوزراء شروط التمويل والأولويات العامة. يصمم البائعون منتجات قابلة للتصحيح أو يتركون المشترين مع تبعيات قديمة هشة. لا ينبغي للمساءلة أن تنهار كل هذا التعقيد على الشخص الذي كان من المفترض أن يطبق تصحيحًا في يوم معين.

ولا ينبغي للمساءلة أن تذوب في التعقيد. إذا كان الجميع متورطين، لا يزال على شخص ما التصرف. يجب أن يحدد المعيار الوطني ما يبدو عليه الوضع الجيد. يجب أن تعرف الهيئة المحلية ما إذا كانت تفي بالمعيار. يجب أن يعرف المورد ما إذا كان منتجه يدعم المعيار. يجب أن يعرف المنظم أو المدقق ما إذا كانت الادعاءات تطابق الأدلة. يجب أن يعرف المريض أن النظام تعلم من فشل سابق. تتقلص التبعية المشتركة عندما تقصر كل طبقة التعرض الذي تتحكم فيه.

هذا هو السبب في أن سجل WannaCry يظل ذا صلة بعد سنوات. إنه ليس مجرد حدث تاريخي لبرنامج فدية. إنه نموذج لكيف يمكن للبرامج القديمة، وحوكمة التصحيح غير المختبرة، والجاهزية المحلية غير المتساوية، وفجوات الضمان المركزي أن تتحد في ضرر الخدمة العامة. قد يتلاشى الاستغلال الدقيق. يبقى نمط التبعية. إذا كان NHS يمكنه إظهار أنه الآن يرى ويحكم ويمارس ويمول تلك التبعيات عبر الخدمة بأكملها، يصبح WannaCry درسًا صعبًا تم استيعابه. إذا لم يكن كذلك، فإنه يظل تحذيرًا ينتظر محفزًا جديدًا.

معيار المساءلة النهائي هو بالتالي دليل على تقليل التعرض المشترك. هيئة تستبدل خادمًا قديمًا تحسن موقعها المحلي. خدمة وطنية يمكنها إثبات أن الأصول الحيوية غير المدعومة معروفة، والاستثناءات ممولة، والموردون خاضعون للمساءلة، والتصحيحات في الوقت المناسب، والتقسيم مختبر، والاحتياطي السريري يعمل، قد غيرت النظام. الفرق مهم لأن المرضى لا يختارون أي منظمة محلية تكون الأقوى في اليوم الذي تصل فيه الدودة. إنهم يعتمدون على الخدمة الصحية كمؤسسة عامة. الواجب هو جعل أضعف تبعية مشتركة مرئية قبل أن تصبح السبب التالي لإلغاء الرعاية.

هذا المعيار يحافظ أيضًا على عدالة التحليل. لا يتظاهر بأن كل خطر يمكن القضاء عليه. ستدير الرعاية الصحية دائمًا أجهزة متخصصة، وميزانيات مقيدة، وجداول سريرية عاجلة، وعلاقات موردين معقدة. لكنه يصر على أن تكون هذه القيود محكومة بشكل كافٍ ليتصرف القادة. الآلة المخفية غير المصححة هي مشكلة تقنية. الاستثناء المعروف والمملوك والمعزول والممول والمحدد زمنيًا هو خطر مُدار. أظهر WannaCry ما يحدث عندما يظل عدد كبير جدًا من الاستثناءات غير مرئي في نفس الوقت.

للمساءلة المستقبلية، قد لا يكون الرقم العام الأكثر أهمية هو عدد الهجمات المحجوبة. قد يكون عدد الخدمات السريرية الأساسية التي يمكن أن تستمر في العمل أثناء احتواء ضعف تكنولوجي مشترك. هذا الرقم سيربط الأمن السيبراني بوعد الخدمة الذي يعتمد عليه المرضى بالفعل. لا تدين NHS للجمهور بشبكة مثالية. إنها مدينة بأدلة على أن عيبًا برمجيًا قديمًا واحدًا لا يمكن أن يصبح بهدوء فشلًا مشتركًا في الرعاية، حتى خلال أسبوع سريري مزدحم.

يجب الحفاظ على هذا الدليل قبل وصول التنبيه التالي. الخدمة التي يمكنها سرد أصولها الضعيفة فقط بعد الاضطراب قد قبلت بالفعل الكثير من عدم اليقين. الخدمة التي يمكنها سردها، وعزلها، وتمويل الاستبدال، وممارسة الرعاية المتدهورة حولت مشكلة البرامج القديمة إلى عمل استمرارية محكوم.