NHS WannaCry يحول حوكمة التصحيح المحلية إلى اختبار للمساءلة عن إلغاء الرعاية

ملخص

• أثر WannaCry على رعاية NHS لأن إجراء تحكم تقني محلي، وهو تطبيق التصحيح، أصبح إجراءً وطنيًا لاستمرارية الرعاية الصحية بمجرد وصول برنامج الفدية إلى المستشفيات وعيادات الممارسة العامة والأنظمة الداعمة.
• تظهر سجلات مراجعة ديوان المحاسبة الوطني وNHS England مشكلة مساءلة مشتركة: أصدرت الهيئات الوطنية تنبيهات وتوجيهات، لكن المنظمات المحلية لا تزال بحاجة إلى معرفة أصولها وحالة التصحيح واستثناءات الأنظمة غير المدعومة وترتيبات الطوارئ السريرية.
• تصحيح Microsoft MS17-010 وتنبيهات NHS Digital CareCERT وتوجيهات CISA ودليل إدارة التصحيح من NIST تؤطر الحدث كفشل في الصيانة المؤكدة، وليس مجرد اندلاع برامج ضارة مفاجئ.
• المواعيد الملغاة والتشخيصات المعطلة وتحويل الموظفين والإغلاقات الاحترازية جعلت سجل المريض بنفس أهمية سجل الجهاز المصاب.
• معيار إصلاح موثوق سيربط بين جرد نقاط النهاية وقرارات البرامج غير المدعومة وأدلة التصحيح وقيود الموردين وممارسة التوقف السريري وتسوية الإلغاء والإبلاغ العام في سجل حوكمة موحد يركز على الرعاية.

حوكمة التصحيح أصبحت مرئية على طاولة المواعيد

يبدأ السجل العام الأساسي بصفحة تحقيق ديوان المحاسبة الوطني حول WannaCry وNHS وتقرير ديوان المحاسبة الكامل التحقيق: هجوم WannaCry الإلكتروني وNHS. هذه السجلات مهمة لأنها لا تعامل الحدث كحادثة برامج ضارة مجردة. فهي تضع الهجوم داخل خدمة صحية حيث كانت المنظمات بحاجة إلى إلغاء المواعيد وتحويل الجهود وعزل الأنظمة والحفاظ على رعاية المرضى أثناء محاولة فهم ما هو مصاب وما تم إغلاقه فقط كإجراء احترازي.

تضيف مراجعة الدروس المستفادة من NHS England الطبقة التشغيلية: الترتيبات الطارئة والاتصالات الوطنية والاستجابات المحلية ومخاوف أجهزة التشخيص والتوصيات لنظام الصحة والرعاية. يضيف تقرير لجنة الحسابات العامة لمجلس العموم حول الهجوم الإلكتروني على NHS طبقة المساءلة: الأسئلة التي طرحها البرلمان لم تكن فقط "ما هي البرامج الضارة المستخدمة؟" بل "لماذا كانت الخدمة الصحية عرضة للخطر، ومن المسؤول عن الاستعداد، ولماذا لم تحمي النظافة السيبرانية الأساسية الخدمات؟"

هذا هو الإطار المفيد لـ WannaCry. يمكن أن يبدو التصحيح صغيرًا عندما يظهر كمهمة تقنية شهرية. يصبح كبيرًا عندما تحدد الحالة غير المصححة ما إذا كان موعد المريض سيمضي قدمًا، وما إذا كان جهاز التشخيص موثوقًا به، وما إذا كانت العيادة يمكنها الوصول إلى السجلات، وما إذا كان مسار الإسعاف سيتغير، وما إذا كان على الموظفين الارتجال. الجمهور المتضرر من الاضطراب ليس مهتمًا بالتمييز الداخلي بين التوجيه الوطني والتنفيذ المحلي. المرضى يختبرون خدمة واحدة.

لذلك فإن قضية المساءلة هي حوكمة التصحيح المحلية كحوكمة للرعاية. يمكن لـ NHS England إصدار توجيه وطني. يمكن لـ NHS Digital توزيع تنبيهات تقنية. يمكن لـ Microsoft نشر تصحيحات. يمكن للسلطات السيبرانية الوطنية التحذير من برامج الفدية. لكن الصناديق المحلية ومنظمات الرعاية لا تزال بحاجة إلى معرفة الأجهزة التي تمتلكها، وأنظمة التشغيل غير المدعومة، والأنظمة السريرية التي يمكن تصحيحها بأمان، والأجهزة التي تعتمد على الموردين، والاستثناءات التي حصلت على موافقة مجلس الإدارة، وخدمات المرضى التي ستتم حمايتها إذا تم إخراج الأنظمة من الخدمة.

جعل WannaCry هذه السلسلة مرئية. كانت نقطة النهاية هي المكان الذي تم فيه تنفيذ البرنامج الضار، لكن طاولة المواعيد كانت حيث أصبح فشل الحوكمة واضحًا للجمهور.

السجل العام يظهر مسؤولية مشتركة، وليس تسليمًا واحدًا

وجه تنبيه CareCERT من NHS Digital حول WannaCry المنظمات نحو توجيهات Microsoft والتحقق من MS17-010 ومسح الثغرات وضوابط منفذ SMB وخطوات وقائية أخرى. أبلغ تنبيه CISA المعاصر مؤشرات WannaCry المسؤولين أيضًا بتطبيق تصحيح MS17-010 أو استخدام تخفيف مثل تعطيل SMBv1 وحظر SMB على حدود الشبكة. كانت نشرة أمان Microsoft MS17-010 قد صدرت في مارس 2017، قبل اندلاع مايو. إرشادات Microsoft الخاصة للعملاء حول هجمات WannaCrypt ربطت الحادث بأنظمة Windows القديمة والتصحيح والدعم الطارئ غير المعتاد لبعض الإصدارات غير المدعومة.

تخلق هذه المصادر سؤالاً صعبًا عن المساءلة. إذا كان هناك تصحيح حاسم قبل الاندلاع، فلماذا كانت خدمة المرضى لا تزال معرضة؟ الجواب ليس شخصًا واحدًا نسي تحديثًا واحدًا. تحتوي بيئات تكنولوجيا المعلومات الصحية على تطبيقات سريرية قديمة وأجهزة طبية وأنظمة يديرها موردون وشبكات محلية وتاريخ شراء وقيود تشغيلية للتوقف وتوزيع غير متساوٍ للموظفين التقنيين. هذا التعقيد حقيقي. لكن التعقيد لا يزيل المساءلة؛ بل يغير ما يجب أن تثبته المساءلة.

السجل المسؤول سيظهر كيف أصبحت التنبيهات الوطنية إجراءات محلية. سيظهر أي المنظمات تلقت التنبيه، ومن كان مسؤولاً عن الاستجابة، وكيف تحققت المنظمة من تعرض الأصول، وكيف تم تصعيد الاستثناءات، وكيف تم عزل الأنظمة غير المدعومة، وكيف تم إبلاغ القادة السريريين بخدمات المرضى التي قد تتأثر. سيظهر أيضًا أي الأنظمة تم إغلاقها عمدًا للحد من الانتشار وأي الأنظمة أصيبت بالفعل. هذا التمييز مهم لأن الإجراء الاحترازي يمكن أن يلغي الرعاية.

تقرير لجنة الحسابات العامة مهم لأنه ضغط على سؤال الحوكمة بدلاً من قبول التعقيد التقني كإجابة. لا يمكن لخدمة صحية وطنية أن تعتمد على سلسلة حيث يمكن لكل مشارك أن يشير إلى مكان آخر: من البائع إلى العميل، من الهيئة الوطنية إلى الصندوق، من الصندوق إلى المورد، من المورد إلى قيود الجهاز، من مجلس الإدارة إلى فريق تكنولوجيا المعلومات. الواجب تجاه المريض يتطلب سلسلة أدلة تعبر هذه الحدود.

جعلت مراجعة NHS England نفس المشكلة عملية. حددت الحاجة إلى تخطيط أقوى للحوادث وأدوار أوضح وعمل محلي أكثر قوة وضمان أفضل. الدرس ليس أن كل صندوق لديه موارد متطابقة أو تعرض متطابق. إنه أن النظام الصحي يحتاج إلى حد أدنى مشترك من الإثبات: معرفة المنشأة، تصحيح أو عزل المخاطر المعروفة، التدرب على الرعاية البديلة، والإبلاغ عن التأثير بصدق.

الأنظمة غير المدعومة هي قرارات مخاطرة، وليست فوضى خلفية

غالبًا ما توصف الأنظمة غير المدعومة والقديمة كما لو كانت رواسب: طبقات قديمة تركها الزمن. في المستشفى، إنها قرارات لها عواقب. قد لا يدعم تطبيق سريري نظام تشغيل حالي. قد يحتاج جهاز تشخيصي إلى شهادة من البائع قبل تطبيق التصحيح. قد تعتمد خدمة محلية على مورد صغير. قد ينتظر مشروع استبدال التمويل الرأسمالي. لا شيء من هذا وهمي. لكن كل استثناء يجب أن يكون له مالك وتاريخ مراجعة وإجراء تعويضي وتقييم لاستمرارية الرعاية.

تشرح صحيفة حقائق CISA حول WannaCry النقطة الوقائية الأساسية بعبارات بسيطة: الأنظمة التي تحتوي على تصحيح MS17-010 لم تكن عرضة للاستغلال الذي استخدمه WannaCry. يوفر إدخال NVD لـ CVE-2017-0144 سجل الثغرة وراء محادثة التصحيح. بالنسبة للرعاية الصحية، الكلمة المهمة هي "مؤكد". لا يكفي افتراض أن التصحيح موجود لأن السياسة تقول إن التصحيح الشهري يحدث. تحتاج المنظمة إلى دليل على أن المضيفين المعرضين تم تحديدهم، وتم التحقق من حالة التصحيح، وتم عزل الأنظمة التي لا يمكن تصحيحها أو التحكم فيها بطريقة أخرى.

إطار NIST دليل تخطيط إدارة التصحيح للمؤسسات وصف التصحيح كصيانة وقائية بدلاً من طقوس أمنية ضيقة. هذا هو بالضبط اللغة التي احتاجتها حالة NHS. تجري المستشفيات صيانة وقائية على المعدات المادية لأن انقطاع الخدمة يمكن أن يضر المرضى. يجب أن تحكم المعدات الرقمية بنفس الجدية التشغيلية. محطة العمل أو مشاركة الملفات أو نظام التصوير أو التطبيق المحلي هو جزء من تقديم الرعاية عندما يؤدي فشله إلى إلغاء الرعاية.

دليل NIST إدارة التكوين الموجهة للأمن مهم أيضًا لأن التصحيح يعتمد على معرفة التكوين. لا يمكن لجسم صحي إدارة ما لا يمكنه رؤيته. إذا كانت سجلات الأصول غير مكتملة، أو كانت الاختلافات المحلية غير معروفة، أو كانت الأجهزة الطبية خارج الإدارة القياسية، أو كانت عقود الموردين تحد من الرؤية، فإن عملية التصحيح تبدأ بعدم اليقين. استغل WannaCry ثغرة تقنية، لكن عدم اليقين ضاعف الضرر التشغيلي.

لذلك يجب أن يعامل معيار المساءلة كل نظام غير مدعوم كسجل مخاطرة مكتوب. من يقبله؟ لماذا لا يزال مطلوبًا؟ ما هو الإجراء التعويضي؟ ما هي خدمة المريض التي تعتمد عليه؟ ماذا يحدث إذا يجب فصله؟ ما هو تاريخ الاستبدال؟ ما الاختبار الذي يثبت أن الحل البديل آمن؟ إذا كانت هذه الأسئلة بدون إجابة، فإن المخاطرة قد انتقلت بالفعل من تكنولوجيا المعلومات إلى الرعاية.

التوجيه الوطني يكون ناجحًا فقط عندما يعود الدليل المحلي

السلطات السيبرانية الوطنية لم تفتقر إلى التوجيه. إرشادات NCSC لتخفيف هجمات البرامج الضارة وبرامج الفدية، ووثائق استراتيجية لقطاع الصحة لاحقًا، وتنبيهات NHS Digital تشير جميعها إلى ضوابط مألوفة: التصحيح والنسخ الاحتياطي ومكافحة البرامج الضارة والتجزئة ووعي المستخدم وتخطيط التعافي والإبلاغ عن الحوادث. كانت المشكلة هي المسافة بين التوجيه والجاهزية المحلية المؤكدة.

وزارة الصحة والرعاية الاجتماعية استراتيجية الأمن السيبراني للصحة والرعاية الاجتماعية: 2023 إلى 2030 وصفحة الاستراتيجية الكاملة، نظام صحي ورعاية اجتماعية مرن في إنجلترا، أظهرتا أن WannaCry بقي نقطة مرجعية للسياسة اللاحقة. الإعلان الحكومي حول حماية NHS من الهجمات الإلكترونية، الحكومة تحدد استراتيجية لحماية NHS من الهجمات الإلكترونية، وضع المرونة في لغة الخدمات والمرضى بدلاً من الشبكات فقط.

هذا الإطار اللاحق مهم، لكن لا ينبغي أن يحول WannaCry إلى حكاية تاريخية. المشكلة الهيكلية لا تزال قائمة عندما يعتمد نظام صحي وطني على المنظمات المحلية لترجمة التوجيه المركزي إلى دليل تصحيح. التوجيه المركزي يحتاج إلى حلقة تغذية راجعة. يجب أن تكون الهيئات المحلية قادرة على الإبلاغ ليس فقط أنها تلقت تنبيهًا، ولكن كم عدد الأصول ذات الصلة التي تم فحصها، وكم تم تصحيحها، وكم لا يمكن تصحيحها، وما الضوابط المؤقتة التي تم تطبيقها، وما المناطق السريرية التي بقيت معرضة، ومتى تم إغلاق المخاطرة.

يجب أن يكون هذا الإبلاغ قابلاً للاستخدام من قبل القادة غير المتخصصين تقنيًا. لا يحتاج مجلس الإدارة إلى قائمة بكل مفتاح سجل. يحتاج إلى معرفة ما إذا كانت المنظمة تحتوي على أنظمة تشغيل غير مدعومة في المناطق السريرية، وما إذا كانت التصحيحات الحرجة مؤكدة، وما إذا كانت أنظمة التشخيص تعتمد على استثناءات الموردين، وما إذا كان تمرين برامج الفدية قد اختبر الرعاية البديلة، وما إذا كان الانقطاع التالي سيفرض إلغاءات تواجه المريض.

الهيئات الوطنية تحتاج أيضًا إلى معرفة ما إذا كان الضمان المحلي حقيقيًا. لوحة معلومات وطنية تجمع شهادات ذاتية متفائلة دون أخذ عينات أو تحدي قد تخلق راحة بدلاً من السلامة. نموذج ضمان مفيد سيجمع بين الإبلاغ الذاتي والفحوصات المستقلة وتمارين الحوادث وأخذ عينات الأصول وعواقب الاستثناءات غير المدارة. الهدف ليس العقاب لذاته. الهدف هو أن المرضى لا يمكنهم فحص حوكمة التصحيح بأنفسهم.

الرعاية الملغاة هي مقياس الاستمرارية الذي لا يمكن إخفاؤه

أهم مقياس عام لـ WannaCry لم يكن عدد الملفات المشفرة. بل كان الرعاية التي لم تحدث. تسجل استراتيجية الصحة والرعاية السيبرانية في المملكة المتحدة أن الهجوم كلف NHS 92 مليون جنيه إسترليني بعد إلغاء أكثر من 19,000 موعد، باستخدام لجنة الحسابات العامة والسجلات العامة ذات الصلة كإطار مرجعي. المقال الأكاديمي بأثر رجعي تحليل تأثير بأثر رجعي لهجوم WannaCry الإلكتروني على NHS في إنجلترا فحص أيضًا أنماط الاضطراب وتأثير الخدمة الصحية. تحول هذه السجلات الحادث إلى حالة مساءلة عن الإلغاء.

المواعيد الملغاة ليست ضوضاء إدارية. قد تعني تشخيصًا متأخرًا وعلاجًا متأخرًا وقلقًا إضافيًا وتكاليف نقل وإجازة من العمل وراتب مفقود وواجبات رعاية إضافية وضغطًا إضافيًا على الموظفين. بعض الإلغاءات قد تكون منخفضة المخاطر سريريًا؛ البعض الآخر قد لا يكون. لذلك يجب أن يميز الرد المسؤول بين الحجم والخطورة. الموعد الروتيني الملغي ونتيجة التشخيص العاجل المعطلة كلاهما مهم، لكن ليس بنفس الطريقة.

هذا هو المكان الذي يجب أن تحكم فيه الحلول البديلة السريرية. الإجراءات الورقية والحجز اليدوي والاتصال الهاتفي والفرز المحلي وارتجال الموظفين يمكن أن تحمي المرضى أثناء الانقطاع. لكنها تخلق واجبات تسوية لاحقة. هل تم إعادة حجز الموعد؟ هل تم تتبع الإحالة؟ هل تم مطابقة النتائج مع المريض الصحيح؟ هل تم إدخال السجلات الورقية بدقة؟ هل أخفى التراكم المخاطر؟ هل تم الاتصال بالمرضى الضعفاء؟ هل كان لدى الموظفين تعليمات واضحة حول ما يمكن أن يستمر؟

يجب أن يبقى السجل المواجه للمريض بعد الحادث الإلكتروني. إذا كان الصندوق يعرف أي الأنظمة تعطلت لكن لا يمكنه تحديد أي المرضى تأخرت رعايتهم، فلديه نصف الأدلة فقط. سجل التصحيح وسجل الإلغاء ينتميان معًا. الأول يشرح لماذا كانت المخاطرة موجودة؛ والثاني يشرح من تحملها.

هذا الارتباط يغير أيضًا الحوافز. إذا تم الإبلاغ عن ديون التصحيح فقط كتراكم تقني، قد يقلل القادة من وزنها. إذا تم الإبلاغ عن ديون التصحيح مع عواقب استمرارية الرعاية، تصبح عنصر مخاطرة خدمة. "ثلاثون نظامًا غير مصحح" أقل معنى من "ثلاثون نظامًا غير مصحح يدعم تقارير الأشعة والحجز الخارجي وإدارة قسم الطوارئ". البيان الثاني يفرض الملكية.

الاستجابة للحوادث يجب أن تحافظ على الرعاية والأدلة والثقة

يصف دليل NIST معالجة حوادث أمن الكمبيوتر التحضير والكشف والتحليل والاحتواء والاستئصال والتعافي. يركز دليل NIST للتعافي من أحداث الأمن السيبراني على استعادة القدرات والتحقق من التعافي. يضيف دليل NIST تخطيط الطوارئ للأنظمة الفيدرالية تخطيط الاستمرارية. هذه ليست نتائج حوادث NHS، لكنها تساعد في تحديد ما تتطلبه حالة NHS: استجابة للحوادث لا تفصل الاحتواء التقني عن استمرارية الرعاية.

الاحتواء يمكن أن يكون ضروريًا ومع ذلك ضارًا. في WannaCry، أصيبت بعض المنظمات، بينما أغلقت أخرى أجهزة أو أنظمة كإجراء احترازي. هذا رد معقول عندما يكون حجم ومسار التفشي غير مؤكدين. لكن الإغلاق الاحترازي يجب أن يقاس. أي خدمات المرضى توقفت لأن الأنظمة المصابة لم تكن متاحة؟ أي منها توقفت لأن القادة لم يستطعوا إثبات أن الأنظمة آمنة؟ أي منها توقفت لأن التعليمات الوطنية أو المحلية كانت غير واضحة؟ أي منها استمر بأمان من خلال إجراءات التوقف؟

يجب الحفاظ على الأدلة بينما تتحرك فرق الاستجابة بسرعة. السجلات وسجلات الأصول وأدلة التصحيح والقرارات المحلية والاتصالات وقوائم الإلغاء واستجابات الموردين كلها تهم لاحقًا. إذا استعادت المنظمة الأنظمة لكنها فقدت مسار القرارات، لا يمكنها التعلم بدقة. إذا حافظت على التفاصيل الجنائية لكنها فقدت مسار تأثير المريض، لا يمكنها المحاسبة للأشخاص المتضررين.

دليل CISA StopRansomware يوفر إطار مرونة أوسع: النسخ الاحتياطي والتجزئة والتحكم في الوصول والإبلاغ عن الحوادث وتخطيط التعافي. في سياق NHS، يجب ترجمة هذه الضوابط إلى مصطلحات سريرية. النسخ الاحتياطي ليس مجرد نسخة من البيانات؛ إنه القدرة على استعادة الجدولة والتشخيص ودعم الوصفات الطبية والاتصالات. التجزئة ليست مجرد تصميم شبكة؛ إنها القدرة على منع منطقة مصابة من إغلاق رعاية غير مرتبطة. الإبلاغ ليس مجرد واجب أمني؛ إنه بداية المساعدة المتبادلة عبر النظام الصحي.

تعتمد الثقة على نفس التكامل. المرضى والموظفون لا يحتاجون إلى تفاصيل جنائية حساسة. يحتاجون إلى معلومات موثوقة حول تأثير الخدمة وأولويات السلامة والأنظمة المستعادة وإعادة الحجز. يجب أن تظهر الاستجابة المسؤولة للحوادث أن الرعاية لم تكن فكرة لاحقة لاستعادة نقطة النهاية.

أجهزة التشخيص حولت التصحيح إلى حوكمة الموردين

لاحظت مراجعة NHS England مخاوف بشأن أجهزة التشخيص والحاجة إلى فهم الأنظمة المتأثرة والآمنة والمتاحة. هذه التفاصيل حاسمة لأن حوكمة التصحيح في الرعاية الصحية غالبًا ما تواجه قيود الموردين والأجهزة. قد لا يكون المستشفى حرًا في تصحيح جهاز دون دعم البائع. قد يكون الجهاز قديمًا تقنيًا لكنه ضروري سريريًا. قد يتطلب تحديث البرنامج التحقق قبل الاستخدام. قد يكون للخدمة قدرة بديلة محدودة فقط.

هذه القيود حقيقية، لكنها أيضًا تخلق واجب حوكمة. لا ينبغي للصندوق أن يكتشف أثناء حادث برامج فدية أنه لا يمكنه تصحيح أو عزل أو استبدال جهاز يدعم رعاية المرضى بأمان. المشتريات وإدارة العقود والأمن السيبراني والهندسة السريرية وقيادة الخدمة جميعها تحتاج إلى سجل مشترك. ما هو الجهاز؟ أي نظام تشغيل يستخدم؟ من يمكنه تصحيحه؟ أي عقد يتطلب دعم البائع؟ أي وصول للشبكة يحتاج؟ أي خدمة مريض تعتمد عليه؟ ما هي خطة التوقف؟ ما هي خطة الاستبدال؟

هذا هو المكان الذي تصبح فيه دورة حياة البرامج والارتباط بها قضايا مساءلة عامة. إذا تركت علاقة المورد هيئة صحية غير قادرة على تحديث نظام سريري بسرعة، فإن المخاطرة لا تبقى خاصة بين المشتري والبائع. المرضى يحملونها. يجب أن تتطلب العقود تحديثات أمنية ودعم التسجيل والإفصاح عن الثغرات والتعاون في الحوادث والتزامات واضحة بنهاية العمر. يجب أن تعامل المشتريات الصيانة السيبرانية كجزء من السلامة السريرية.

يجب أن يحترم قرار التصحيح أيضًا المخاطرة السريرية. التصحيح المتسرع يمكن أن يكسر نظامًا سريريًا. التصحيح المتأخر يمكن أن يعرضه. الجواب المسؤول ليس التصحيح الأعمى. إنه حوكمة تصحيح مختبرة ومصنفة حسب الأولوية ومصنفة حسب المخاطرة بمشاركة سريرية. الأنظمة الحرجة يجب أن يكون لها مسارات اختبار. الأنظمة غير المدعومة يجب أن يكون لها ضوابط تعويضية. الثغرات عالية المخاطر يجب أن يكون لها قواعد قرار طارئ. الاستثناءات لا ينبغي أن تنجرف إلى أجل غير مسمى.

أظهر WannaCry تكلفة الانجراف غير المدار. إذا كانت الهيئات المحلية لا تستطيع شرح استثناءات الأجهزة قبل الحادث، فستجد صعوبة في اتخاذ قرارات آمنة خلاله. لذلك فإن معيار الإصلاح ليس فقط "تثبيت التصحيحات بشكل أسرع". إنه "بناء نظام صيانة للخدمة الصحية حيث يتم حوكمة التصحيح وقيود الموردين والتحقق السريري واستمرارية المريض معًا".

ضمان مجلس الإدارة يجب أن يربط مقاييس الأمن بمقاييس الخدمة

غالبًا ما تفشل مقاييس الأمن في مجالس الإدارة لأنها تقنية جدًا أو مجردة جدًا. تقرير مجلس إدارة يقول "الامتثال للتصحيح هو 87 بالمائة" قد يبدو مطمئنًا بينما يخفي حقيقة أن الـ 13 بالمائة المتبقية تشمل أنظمة تدعم الرعاية الطارئة وعلم الأمراض والأشعة والحجز أو تكامل الرعاية الأولية. تقرير مجلس إدارة يقول "جميع الأنظمة الحرجة لديها إجراءات توقف مختبرة وحالة تصحيح مؤكدة" أكثر فائدة، حتى لو كان الرقم أقل ترتيبًا.

سجلات لجنة الحسابات العامة وديوان المحاسبة الوطني تظهر لماذا كان الضمان مهمًا. كانت لدى NHS هيئات وطنية ومنظمات محلية وتوجيهات وتنبيهات ومعرفة تقنية، لكن التفشي لا يزال يسبب اضطرابًا ماديًا في الرعاية. هذا لا يعني أن كل مجلس إدارة كان مهملاً. يعني أن نموذج الضمان لم يكن قويًا بما يكفي لإثبات الجاهزية عبر الخدمة بأكملها.

يجب أن يتضمن ضمان مجلس الإدارة أربع وجهات نظر مترابطة. الأولى هي حقيقة الأصول: ما هي الأنظمة والأجهزة وأنظمة التشغيل والاعتماديات الموجودة. الثانية هي حقيقة الصيانة: ما تم تصحيحه، وما لا يمكن تصحيحه، وما هو غير مدعوم، وما الضوابط التعويضية المطبقة. الثالثة هي حقيقة الرعاية: أي خدمات المرضى تعتمد على تلك الأنظمة وماذا يحدث إذا كانت غير متاحة. الرابعة هي حقيقة التمرين: ما إذا كانت ترتيبات التوقف قد تم اختبارها مع الأشخاص الذين سيستخدمونها.

لا ينبغي أن تكون هذه الوجهات نظر زينة سنوية. يجب أن تكون حية بما يكفي لدعم القرارات الطارئة. إذا ظهرت ثغرة جديدة قابلة للانتشار، يجب أن يعرف القادة خلال ساعات الأنظمة المعرضة والمناطق السريرية المتورطة والتخفيفات المتاحة. إذا تم إصدار توجيه وطني، يجب أن تتلقى مجالس الإدارة المحلية تحديثًا للمخاطرة ذا معنى من حيث الخدمة. إذا لم يتمكن المورد من دعم التصحيح، لا ينبغي أن يبقى الاستثناء مخفيًا في قائمة انتظار تقنية.

يجب أن يتضمن الضمان أيضًا تحديًا داخليًا. يمكن للصندوق أن يسأل: إذا حدث WannaCry مرة أخرى اليوم تحت اسم مختلف، فماذا سنعرف بحلول الظهر، وماذا سنظل نخمن، وأي خدمات المرضى ستتم حمايتها؟ إذا كان الجواب يعتمد على الارتجال البطولي، فإن المنظمة لم تنه العمل بعد.

الاتصال العام يجب أن يميز بين الإصابة والاحتراز وتأثير المريض

أثناء تفشي برامج الفدية، يمكن للغة العامة أن تطمس فئات مهمة. قد تعني "متأثر" مصابًا بالبرامج الضارة، أو مفصولًا كإجراء احترازي، أو غير قادر على الوصول إلى نظام مشترك، أو مجبرًا على إجراءات ورقية، أو معطلًا بسبب انقطاع منظمة أخرى. هذه الاختلافات مهمة لثقة المريض وللإصلاح لاحقًا. يجب أن تشرح الخدمة الصحية، على مستوى آمن، ما إذا كان الاضطراب جاء من تشفير برامج الفدية أو العزل الاحترازي أو اعتمادية المورد أو عدم اليقين التشخيصي أو الترابط الإقليمي.

التمييز الذي قدمه ديوان المحاسبة الوطني بين المنظمات المصابة والمنظمات المتأثرة بالإجراءات الاحترازية هو نموذج عام مفيد. إنه يتجنب كلا من التقليل والمبالغة. إذا لم يكن الصندوق مصابًا لكن كان عليه إيقاف خدمة لأنه لم يستطع إثبات السلامة، فهذا لا يزال تأثير خدمة. إذا فقدت عيادة الممارسة العامة الوصول إلى الأنظمة بسبب احتواء أوسع، لا يزال المرضى يعانون من الاضطراب. إذا تم إيقاف تشغيل جهاز تشخيصي أثناء إجراء فحوصات السلامة، فهذا حدث استمرارية سريرية حتى بدون تشفير.

يحتاج المرضى أيضًا إلى اتصال عملي. ما هي المواعيد الملغاة؟ ما هي الخدمات العاجلة التي لا تزال مفتوحة؟ كيف ستتم إعادة الحجز؟ ماذا يجب على المرضى فعله إذا لم يتلقوا ردًا؟ أي خطوط هاتفية أو مواقع ويب موثوقة؟ كيف ستحمي الخدمة الأشخاص الذين قد يفوتون الإشعارات؟ الحادث الإلكتروني يخلق قلقًا؛ التحديثات الغامضة تزيده.

يجب أن يتجنب الاتصال العام أيضًا معاملة التعافي الإلكتروني كمكتمل بمجرد إعادة تشغيل الأنظمة. قد يستمر التراكم وإعادة الحجز والتسوية ومراجعة السلامة. المريض الذي فقد موعدًا يحتاج إلى إغلاق، وليس فقط بيانًا بأن الأنظمة استعيدت. يحتاج الموظفون إلى نفس الوضوح. إذا تم استخدام السجلات الورقية، يجب أن يعرفوا كيفية تسويتها. إذا تأخرت التشخيصات، يحتاجون إلى قواعد تحديد الأولويات.

الجمهور لا يحتاج إلى كل التفاصيل التقنية. يحتاج إلى فئات واضحة وتوقيت صادق. "بعض الخدمات تم إيقافها مؤقتًا كإجراء احترازي أثناء فحص الأنظمة" أكثر فائدة من لغة الاضطراب العامة. "المواعيد المتأثرة يتم إعادة حجزها حسب الأولوية السريرية" أكثر فائدة من اعتذار واسع. المساءلة هي جزئيًا القدرة على التحدث بدقة عندما يكون النظام تحت الضغط.

أتمتة الأمن يجب أن تدعم الحكم المحلي، لا أن تحل محله

موضوع أتمتة الأمن مهم لأن WannaCry يمكن تذكره بشكل خاطئ كفشل بسيط في أتمتة التصحيح. الأتمتة مهمة. مسح الثغرات وإدارة نقاط النهاية ومراقبة التكوين ونشر البرامج وربط التنبيهات واكتشاف الأصول يمكن أن تقصر المسافة بين التحذير الوطني والإجراء المحلي. يمكنها تحديد الأنظمة غير المصححة بشكل أسرع من القوائم اليدوية. يمكنها مساعدة القادة على رؤية المخاطرة قبل أن يصبح الهجوم انقطاع خدمة.

لكن الأتمتة لا تزيل الحكم المحلي. لا يزال على المستشفى أن يقرر كيفية تصحيح نظام سريري، وكيفية التنسيق مع المورد، وكيفية جدولة التوقف، وكيفية اختبار الجهاز، وكيفية الحفاظ على الرعاية إذا كان يجب عزل النظام. الأدوات الآلية يمكنها الإبلاغ عن التعرض؛ لا يمكنها بنفسها أن تقرر ما إذا كانت عيادة خارجية يجب أن تستمر على الورق، أو ما إذا كان يجب إعادة توجيه قدرة الأشعة، أو ما إذا كان يجب تصعيد استثناء المورد إلى مجلس الإدارة.

لهذا السبب يجب إقران دليل الأتمتة بدليل القرار البشري. يجب أن تعرف المنظمة متى تم اكتشاف الثغرة، ومتى تم نشر التصحيح، وأي الأنظمة فشل نشرها، ومن راجع الاستثناءات، وما المخاطرة المقبولة، وما أخبر به القادة السريريون، ومتى تم التحقق من الإغلاق. الأتمتة يمكن أن تخلق أثرًا زمنيًا، لكن الأثر يجب أن يتصل بالحوكمة.

أتمتة الأمن يمكن أن تكشف أيضًا الحقيقة غير المريحة. قد تظهر أن سجلات الأصول خاطئة، أو أن المسؤولين المحليين لديهم أجهزة غير مدارة، أو أن الأنظمة غير المدعومة أكثر عددًا من المتوقع، أو أن الأجهزة المتصلة بالموردين خارج الضوابط القياسية. هذا الانزعاج مفيد. من الأفضل التعلم من خلال مسح داخلي بدلاً من تفشي برامج الفدية.

لذلك فإن سؤال إصلاح NHS ليس ما إذا كان كل تصحيح يجب أن يكون تلقائيًا. إنه ما إذا كانت الخدمة الصحية لديها رؤية آلية كافية لدعم قرارات محلية آمنة وفي الوقت المناسب. في الرعاية الصحية، الهدف الصحيح ليس السرعة القصوى وحدها. إنه الصيانة المؤكدة التي تحمي المرضى.

السؤال المسؤول هو ما إذا كان دليل التصحيح يحمي الرعاية

المجهولات المتبقية لا تزال مهمة. السجل العام لا يظهر كل قائمة أصول محلية، كل قرار تصحيح، كل استثناء نظام غير مدعوم، كل قيد جهاز تشخيصي، كل حل بديل سريري، أو كل سجل تسوية إلغاء. لكنه يظهر ما يكفي لتحديد الاختبار. ثغرة معروفة كان لها تصحيح. وصل التفشي أو أثر على العديد من منظمات NHS. بعض الخدمات ألغيت. كان على الهيئات الوطنية والمحلية التنسيق. طالبت المراجعات اللاحقة بمرونة سيبرانية أقوى.

السؤال المسؤول ليس "من هو الشخص الوحيد الذي يجب إلقاء اللوم عليه؟" إنه "من كان لديه سيطرة عملية على الأدلة التي كانت ستحمي الرعاية؟" يشمل ذلك القادة الوطنيين المسؤولين عن الاستراتيجية والضمان، وفرق NHS Digital المسؤولة عن التنبيهات والدعم الفني، ومجالس الإدارة المحلية المسؤولة عن قبول المخاطرة، وفرق تكنولوجيا المعلومات المسؤولة عن نشر التصحيح والجرد، والقادة السريريين المسؤولين عن قرارات التوقف، والموردين المسؤولين عن أنظمة قابلة للصيانة، والمراجعين المسؤولين عن تحدي الضمان الضعيف.

بالنسبة للمرضى، يجب أن يظهر الجواب كموثوقية. لا ينبغي لهم أن يحتاجوا إلى معرفة اسم ثغرة Windows ليثقوا أن المستشفى يمكنه صيانة أنظمته. لا ينبغي لهم أن يحتاجوا إلى فهم منافذ SMB لتوقع تتبع المواعيد الملغاة وإعادة حجزها. لا ينبغي لهم أن يحتاجوا إلى تحليل الحدود بين الهيئات الوطنية والمحلية ليعرفوا أن شخصًا ما يملك المخاطرة.

لذلك يجب تذكر حالة NHS WannaCry كاختبار مساءلة عن إلغاء الرعاية. كانت حادثة إلكترونية، لكن معناها العام كان أوسع: حوكمة التصحيح للخدمة الصحية يجب أن تكون جيدة بما يكفي لحماية العلاج والتشخيص والاتصال والتعافي. إذا لم يمكن ربط دليل التصحيح باستمرارية المريض، فهو ليس بعد دليل خدمة صحية. إنه فقط وثائق تقنية تنتظر الحادث التالي ليكشف الفجوة.

استثناءات التصحيح يجب أن تنتهي ما لم يجددها القادة السريريون

أحد الدروس الدائمة هو أن استثناءات التصحيح تحتاج إلى تاريخ انتهاء ومالك سريري. سيكون لدى المستشفيات والصناديق دائمًا أنظمة لا يمكن تصحيحها فورًا بسبب التحقق من المورد أو قيود الأجهزة الطبية أو التكامل المحلي أو مخاطرة الخدمة. الخطر ليس وجود الاستثناءات. الخطر هو انجراف الاستثناءات إلى أجل غير مسمى. إذا بقي النظام غير مصحح، يجب أن يعرف مجلس الإدارة أي خدمة سريرية تعتمد عليه، وما الضوابط التعويضية النشطة، ومن قبل المخاطرة، ومتى ستتم مراجعة الاستثناء، وما مسار الاستبدال أو العزل الموجود.

يجب أن يكون سجل الاستثناءات قابلاً للقراءة خارج فريق الأمن السيبراني. يجب أن يفهم الطبيب ما إذا كان نظام حجز العيادات الخارجية أو واجهة علم الأمراض أو محطة عمل الأشعة أو أداة دعم قسم الطوارئ معرضًا. يجب أن يفهم قائد المالية ما إذا كان تمويل الاستبدال مؤجلًا. يجب أن يفهم قائد المشتريات ما إذا كان المورد يمنع الصيانة الآمنة. يجب أن يفهم قائد سلامة المرضى ما هي إجراءات التوقف التي ستحمي الرعاية إذا تم عزل النظام. بدون هذه الترجمة، يبقى دين التصحيح جدول بيانات تقنيًا حتى يحوله دودة إلى سجل رعاية ملغاة.

يمكن للهيئات الوطنية المساعدة من خلال توحيد الأدلة المتوقعة من المنظمات المحلية. لا ينبغي للصندوق أن يخترع شكل ضمان التصحيح بمفرده. يمكن للتوجيه الوطني تحديد ما يجب الإبلاغ عنه للأنظمة غير المدعومة والثغرات الحرجة والتصحيحات المحظورة من قبل الموردين والأجهزة الطبية والتطبيقات السريرية عالية التأثير. يمكن أن يتطلب أيضًا تمارين طاولة تبدأ بإزالة نظام محلي من الخدمة. يجب أن يسأل التمرين ليس فقط ما إذا كانت نقطة النهاية آمنة، بل ما إذا كان لا يزال يمكن حجز المرضى وتشخيصهم وعلاجهم وخروجهم والاتصال بهم.

هذا هو أيضًا المكان الذي ينتمي فيه اتصال المريض إلى برنامج التصحيح. إذا كان القادة يعرفون بالفعل أي الخدمات تعتمد على أنظمة هشة، يمكنهم إعداد رسائل أوضح قبل الأزمة. يمكنهم إخبار المرضى بما تأخر وما بقي مفتوحًا وما البدائل العاجلة الموجودة وكيف ستتم إعادة الحجز. هذا أفضل بكثير من كتابة تحديثات عامة من الصفر بينما الموظفون يتعاملون بالفعل مع البرامج الضارة وأوامر العزل والسجلات الورقية.

يجب أن يكون المقياس النهائي هو الرعاية المحمية لكل وحدة من ديون التصحيح التي تمت إزالتها. هذا ليس مقياسًا محاسبيًا قياسيًا، لكنه الغريزة الحوكمة الصحيحة. برنامج تصحيح يقلل التعرض عالي المخاطر في أنظمة منخفضة التأثير بينما يترك الأنظمة القديمة الأساسية سريريًا ضعيفة التحكم قد يبدو جيدًا عدديًا ولا يزال يفشل في اختبار الخدمة العامة. أظهر WannaCry أن الجمهور يختبر الصيانة السيبرانية من خلال المواعيد والتشخيص والوصفات الطبية والإحالات وعبء عمل الموظفين. يجب أن تُسجل حوكمة التصحيح بهذه اللغة.

يجب أن يشمل نفس التسجيل تعافي الرعاية المؤجلة. إذا ساهم فشل التصحيح في إلغاء المواعيد، يجب ألا يغلق سجل الإصلاح عند تصحيح نقاط النهاية. يجب أن يغلق عندما يتم إعادة حجز المرضى، ويتم تحديد أولويات الحالات العاجلة، ويتم تسوية السجلات الورقية، ويمكن للقادة السريريين إظهار أن التراكم الناتج عن الحدث الإلكتروني قد تمت معالجته. هذا هو الفرق بين الإغلاق التقني وإغلاق الخدمة العامة.

يجب أن تجعل حوكمة التصحيح الاختلاف المحلي مرئيًا. بعض الصناديق قد يكون لديها جرد أقوى أو ترتيبات موردين أفضل أو عمليات توقف أكثر تمرسًا. البعض الآخر قد يحمل أنظمة قديمة مع ضوابط أضعف. لا ينبغي للضمان الوطني أن يوسط هذه الاختلافات في راحة. يجب أن يحدد أين المرضى أكثر عرضة ويوجه المساعدة هناك أولاً. درس المساءلة العامة من WannaCry هو أن الخدمة الوطنية يمكن أن تفشل بشكل غير متساوٍ مع خلق مشكلة ثقة وطنية.

المساعدة المتبادلة يجب أن تشمل القدرة التقنية والسريرية

NHS ليست آلة واحدة. أثناء حادث إلكتروني، قد تكون بعض المنظمات مصابة، وبعضها معزول، وبعضها مثقل، وبعضها لا يزال قادرًا على المساعدة. لذلك يجب تخطيط المساعدة المتبادلة كمورد سريري وتقني. قد يقبل صندوق مجاور المرضى، أو يشارك قدرة التشخيص، أو يدعم الاتصالات، أو يستعير موظفين ذوي خبرة. قد يساعد فريق تقني وطني في الاحتواء أو إعادة البناء أو اكتشاف الأصول أو التحقق من التصحيح. السؤال المسؤول هو ما إذا كانت هذه الطرق معروفة قبل الحدث.

يمكن أن تفشل المساعدة المتبادلة إذا كانت المنظمة المستقبلة لا تفهم بيانات المنظمة المرسلة أو سجلاتها الورقية أو سياق الإحالة أو حالة المخاطرة. يمكن أن تفشل أيضًا إذا لم يعرف القادة السريريون أي الخدمات آمنة للتحويل. لذلك يجب أن يتضمن دليل اللعب الإلكتروني قواعد النقل السريري وقوالب مشاركة المعلومات وضمانات حماية البيانات ومستويات الثقة التقنية. يجب أن يقول ليس فقط من يمكنه المساعدة، ولكن ما الدليل المطلوب لجعل المساعدة آمنة.

هذا سبب آخر ينتمي ضمان التصحيح إلى لغة الخدمة. إذا فقد مستشفى وظيفة تشخيصية، يحتاج القادة الإقليميون إلى معرفة ما إذا كان موقع آخر يمكنه امتصاص العمل العاجل، وما إذا كانت سجلات المرضى يمكن أن تنتقل، وما إذا كانت النتائج يمكن إعادتها، وما إذا كان الحل البديل يخلق مخاطرة للخصوصية أو السلامة. هذه القرارات تحتاج إلى جرد موثوق ومسارات اتصال. لا يمكن ارتجالها من قوائم نقاط نهاية معزولة.

أظهر WannaCry أن ضعفًا تقنيًا محليًا يمكن أن يصبح مشكلة رعاية إقليمية. لذلك يجب أن يشمل معيار الإصلاح تدريبات المساعدة المتبادلة حيث يفقد موقع واحد أنظمة رئيسية ويجب على موقع آخر مواصلة الرعاية. يجب أن يقيس التمرين تدفق المرضى ونقل السجلات وعبء الموظفين وإغلاق الرعاية المؤجلة. هذا يحول المرونة من مقياس ثقة فردي إلى قدرة نظام صحي.

التراكمات المريضة يجب تسويتها مقابل الأولوية السريرية

الرعاية الملغاة ليست تراكمًا موحدًا. الموعد الروتيني الفائت والفحص التشخيصي المتأخر والإحالة العاجلة المؤجلة والوصفة الطبية المتقطعة والجراحة المؤجلة تحمل مخاطر سريرية مختلفة. لذلك يجب أن يسوي برنامج التعافي الإلكتروني التراكمات مقابل الأولوية السريرية بدلاً من معالجتها فقط حسب تاريخ الاستلام. وإلا قد تبدو الخدمة عادلة إداريًا بينما تفشل المرضى الذين تأخيراتهم أكثر خطورة طبيًا.

يجب أن يربط ملف التراكم كل عنصر ملغي أو مؤجل بالنظام المتأثر والحل البديل المستخدم وحالة اتصال المريض وتصنيف الأولوية السريرية ونتيجة الإغلاق. يجب أن يسجل أيضًا الحالات التي يتعذر الوصول إلى المريض. عدم الاستجابة الصامت لا ينبغي معاملته كحل. يجب أن تبذل الخدمة الصحية جهودًا إضافية للأشخاص الضعفاء أو المستبعدين رقميًا أو الذين قد يفوتون الإشعارات.

هذا السجل يدعم أيضًا التعلم العام. إذا جاءت العديد من الإلغاءات من نظام غير مدعوم واحد، يجب أن تؤثر هذه الحقيقة على الاستثمار. إذا تعافت خدمة واحدة بشكل أسرع لأنها اختبرت الإجراءات الورقية، يجب نشر هذه الممارسة. إذا كان قيد المورد يمنع التصحيح الآمن بشكل متكرر، يجب أن تتغير المشتريات. لذلك فإن تسوية تراكم المرضى ليست فقط مهمة تعافي. إنها جسر الأدلة من حوكمة التصحيح إلى ضرر المريض.