NHS England и WannaCry: провал установки обновлений, ставший испытанием непрерывности медицинской помощи

Кратко

• Подтверждено:WannaCry затронул службы NHS в Англии с 12 по 19 мая 2017 года. National Audit Office (NAO) сообщило, что не менее 80 из 236 трастов были заражены или понесли ущерб, 34 траста были заражены и потеряли доступ к устройствам, 46 трастов не были заражены, но сообщили о сбоях, а ещё 603 организации первичной медицинской помощи и другие организации NHS были заражены, включая 595 практик общей практики.
• Подтверждено:NHS England выявило 6 912 отменённых приёмов в период реагирования на инцидент и оценило общее число отмен более чем в 19 000. Пять отделений неотложной помощи перенаправляли пациентов. NHS Digital сообщило NAO, что данные пациентов не были скомпрометированы или похищены, а Министерство, NHS England и National Crime Agency сообщили NAO, что ни одна организация NHS не выплатила выкуп.
• Граница:Публичные материалы подтверждают провал установки обновлений и контроля, но не подтверждают простое утверждение, что причиной сбоя NHS был только Windows XP. В обзоре уроков NHS England сказано, что атака использовала уязвимость Microsoft Windows, большинство заражённых устройств NHS работали на поддерживаемой, но не обновлённой Windows 7, а устройства на неподдерживаемой XP составляли меньшинство среди заражённых.
• Вывод:Ответственность лежала не только на техническом долге. Речь о сочетании видимости активов, развёртывания обновлений, управления неподдерживаемыми устройствами, самостоятельности местных трастов, отсутствия у национальных органов доаварийного механизма контроля, непроверенных местных планов реагирования на киберинциденты и процессов непрерывности помощи, переведённых на бумагу и ручную координацию.

Патч может быть выпущен без управления его внедрением

Самая короткая версия истории NHS и WannaCry: патч от Microsoft существовал до атаки, и слишком много организаций NHS его не установили. Это утверждение верно, но скрывает проблему ответственности. Патч — технический артефакт. Установка патчей — система управления. Она требует учёта активов, расстановки приоритетов рисков, окон изменений, тестирования клинических систем, координации с поставщиками, локального операционного согласия, подтверждения развёртывания и национального представления об исключениях.

В мае 2017 года у NHS были инструкции, предупреждения и техническая поддержка, но не было достаточной уверенности в том, что инструкции превратились в защиту.

Microsoft опубликовалSecurity Bulletin MS17-01014 марта 2017 года. Бюллетень оценил проблему как критическую и сообщил, что наиболее серьёзные уязвимости могут позволить удалённое выполнение кода, если злоумышленник отправит специально созданные сообщения серверу Microsoft Server Message Block 1.0. Позже Microsoft пояснил в своихруководствах для клиентов по атакам WannaCrypt, что мартовское обновление закрывало использованную уязвимость, что организации с включённым автоматическим обновлением были защищены от неё и что Microsoft по необычному решению сделал обновления широко доступными для более старых платформ, включая Windows XP, Windows 8 и Windows Server 2003.

В его блоге по безопасности WannaCrypt описан как червь, использующий уже исправленные уязвимости и заражающий компьютеры, не установившие обновление. (Блог безопасности Microsoft)

Сохранённое предупреждение NHS Digital —CC-1411— описывало тот же риск на языке сектора здравоохранения. В нём говорилось, что вымогатель использует уязвимости SMB, закрытые патчем MS17-010, что эти уязвимости, вероятно, будут использованы будущими вариантами вредоносного ПО для самораспространения, и что установку обновлений на затронутые версии следует считать приоритетной. В нём также перечислялись меры реагирования: блокировка портов, связанных с SMB, подтверждение закрытия портов, обновление уязвимых платформ, использование сканеров уязвимостей, сохранение доступа к доменам аварийного выключателя, карантин заражённых устройств, пересборка заражённых машин до обновлённого стандарта и отказ от выплаты выкупа.

Эти детали важны, потому что они показывают: к 12 мая технический ответ не был неизвестен. Более сложный вопрос — сделали ли национальные и местные механизмы контроля этот ответ операционно неизбежным. Врасследовании National Audit Officeсообщается, что NHS Digital в марте и апреле 2017 года выпускало критические предупреждения, призывая организации ставить обновления для защиты от WannaCry. Там также сказано, что до атаки у Department of Health не было формального механизма оценки соблюдения организациями NHS его рекомендаций.

NHS Digital проверило на месте 88 из 236 трастов, и ни один не прошёл её оценку кибербезопасности, но NHS Digital не могло обязать местную организацию принять меры.

В этом суть ответственности. Центр мог предупреждать. Местные организации контролировали многие решения о внедрении. Но пациенты испытывали на себе всю систему целиком, а не границу между центральным предупреждением и местным окном установки обновлений.

Что установлено в материалах

WannaCry начал поражать NHS в пятницу, 12 мая 2017 года. NAO сообщило, что глобальная атака вымогателя затронула более 200 000 компьютеров как минимум в 100 странах и что NHS не была конкретной целью. В 16:00 того дня NHS England объявило о крупном инциденте и ввело чрезвычайные меры для поддержания здоровья и ухода за пациентами. Вечером исследователь в области безопасности активировал аварийный выключатель, остановивший дальнейшее блокирование устройств WannaCry тем же способом. Атака влияла на службы NHS в течение недели с 12 по 19 мая.

Масштаб в Англии был значительным, но не полностью измеримым. По данным NAO, пострадали не менее 80 из 236 трастов по всей Англии: они были либо заражены, либо отключили системы в качестве меры предосторожности. Из них 34 были заражены и заблокированы вне своих устройств, включая 25 трастов больниц скорой помощи. Ещё 46 сообщили о сбоях, не будучи отнесёнными к заражённым; некоторые отключили электронную почту и другие системы в качестве предосторожности и были вынуждены использовать ручку и бумагу для действий, обычно выполняемых в электронном виде.

NHS England и NHS Digital также выявили 21 траст, чьи системы пытались связаться с доменом WannaCry, но не были заблокированы, а также ещё 603 организации первичной помощи и другие организации, включая 595 практик GP.

Общедоступные данные столь же ясны в отношении того, что неизвестно. Министерство и NHS England не знали полного масштаба сбоев. Они не знали, сколько организаций NHS не могло получить доступ к записям из-за общих систем или данных с заражённым трастом. Они не знали, сколько приёмов у врачей общей практики было отменено или сколько машин скорой помощи и пациентов было перенаправлено из пяти отделений неотложной помощи, которые не могли принять часть пациентов. NHS England собрало часть данных об отменах с 12 по 18 мая, но NAO отметило, что данные не охватывали все типы приёмов.

Сообщённые 6 912 выявленных отмен и более 19 000 оценочных отмен, таким образом, не являются полным реестром ущерба для пациентов.

Обзор уроков NHS England, подготовленный главным директором по информационным технологиям здравоохранения и социальной помощи, сохранил ту же рамку, добавив операционные детали. В нём говорится, что NHS не была прямой целью, что нет сообщений о вреде пациентам или компрометации и краже данных пациентов и что непосредственно затронут 1% активности NHS. Также указано, что пострадали 80 из 236 больничных трастов, 595 из 7 454 практик GP были заражены, а также ещё восемь организаций NHS и связанных организаций, а сбои яснее показали зависимость службы здравоохранения от информационных технологий.

Этот последний вывод — самый важный. Инцидент с вымогателем, не похитивший данные пациентов, всё равно нанёс ущерб непрерывности лечения. В цифровой больнице доступность — не удобный слой. Она часть клинической пропускной способности, коммуникации, доступа к диагностике, потока приёмов и безопасной эскалации.

Неподдерживаемые системы были частью истории, но не всей историей

WannaCry часто пересказывают как притчу о Windows XP. Неподдерживаемое ПО имело значение. Это был известный риск: Министерство и Cabinet Office писали трастам в 2014 году, что им нужны надёжные планы перехода с устаревшего ПО, включая Windows XP, к апрелю 2015 года.Обзор National Data Guardian, опубликованный в июле 2016 года, предлагал новые стандарты безопасности данных и метод проверки соответствия.

Обзор Safe Data, Safe Careот Care Quality Commission, также опубликованный в июле 2016 года, рекомендовал срочную замену оборудования и ПО, которые больше не могут поддерживаться, более строгий аудит и проверку, а также ответственность руководства за безопасность данных.

Но лозунг «неподдерживаемые системы» слишком узок. В обзоре уроков NHS England сказано, что ни одна из 80 затронутых организаций NHS не установила обновление Microsoft, рекомендованное бюллетенем CareCERT от NHS Digital 25 апреля 2017 года. Там также сказано, что WannaCry был атакой, использующей конкретную уязвимость Microsoft Windows, а не атакой на неподдерживаемое ПО. Большинство заражённых устройств NHS работали на поддерживаемой, но не обновлённой Windows 7. Устройства на неподдерживаемой XP были меньшинством среди заражённых, а доля устройств XP снизилась с 18% до 1,8% к январю 2018 года.

Это различие важно для ответственности. Если бы провал был только в «старых операционных системах», ответом были бы средства на замену и давление на поставщиков. Это были реальные проблемы, особенно там, где медицинское оборудование или диагностические устройства зависели от старого ПО. Но если поддерживаемые машины на Windows 7 остались без обновлений после критического предупреждения, то ответ включает управление установкой обновлений, управление исключениями и подтверждение закрытия пробелов. Поддерживаемое устройство может быть небезопасным, если на нём не установлены обновления.

Неподдерживаемое устройство можно изолировать или управлять им по модели компенсирующих мер.

Системе нужно было знать, какое из этих условий относится к каждой критической конечной точке, прежде чем червь сделал инвентаризацию видимой.

В обзоре уроков также отмечалось, что межсетевые экраны и сетевые меры могли снизить риск заражения. Там говорилось, что даже без установки обновлений улучшение безопасности сетевых экранов перед сетью N3 защитило бы организации от заражения. Это ещё одна причина не считать установку обновлений единственным переключателем. Установка обновлений была необходима, но также необходимы сегментация сети, конфигурация периметра, контроль доступа SMB и знание того, каким системам ещё нужна поддержка устаревших протоколов.

Руководство NCSC по WannaCry, теперь помеченное как отозванное из-за устаревания, фиксировало экстренную логику защиты того времени. Оно рекомендовало организациям развернуть MS17-010, отключить SMBv1, если установка обновлений невозможна, заблокировать соответствующие порты, изолировать уязвимые устаревшие технологии, обновить антивирус и не блокировать домены аварийного выключателя. Иными словами, немедленная реакция требовала многослойного набора мер. Организации без чётких списков активов, владельцев межсетевых экранов, локальных возможностей DNS, контактов поставщиков и проверенных процедур пересборки не могли легко выполнить такую многослойную реакцию в условиях чрезвычайной ситуации.

Местная самостоятельность затрудняла центральный контроль

NHS — не единый монолитный ИТ-ландшафт. Местные трасты, практики общей практики, клинические комиссионные группы, поставщики, подразделения комиссионной поддержки и другие организации работают в национальных рамках, но несут многие местные обязанности. NAO заявило, что местные медицинские организации отвечали за сохранность информации, за инциденты и чрезвычайные меры, включая кибератаки. Национальные органы наблюдали и поддерживали их, но не всегда имели полномочия требовать конкретных технических действий.

Такая структура не обязательно ошибочна. Местные клинические организации знают свои пути лечения, оборудование, поставщиков и риски изменений. Патч может сломать старый диагностический интерфейс, интеграцию административной системы пациентов или процесс работы медицинского устройства. Центральное указание, игнорирующее эти реалии, может привести к небезопасным изменениям или местному сопротивлению. Однако местная самостоятельность становится опасной, когда центр не видит, какие площадки открыты, какие приняли риск, у каких есть компенсирующие меры, а какие не могут действовать из-за поставщика, бюджета или клинической зависимости.

Поэтому замечание NAO об отсутствии формального механизма контроля — не бюрократическая мелочь. Оно объясняет, почему предупреждение не превратилось в снижение риска по всей системе. Национальное предупреждение может сказать «установите обновления сейчас». Само по себе оно не может доказать, что на каждой релевантной конечной точке стоит обновление, что неподдерживаемые устройства изолированы, что SMB заблокирован там, где нужно, что системы, требующие исключений, названы и что руководители приняли остаточный риск для безопасности пациентов.

Доклад Public Accounts Committeeпридал этой слабости политический характер. В нём говорилось, что предупреждения были в 2016 году и далее в марте и апреле 2017 года, но на момент WannaCry обновления установили только примерно две трети трастов, и ни один из 88 трастов не прошёл оценку NHS Digital. Также сообщалось, что Министерство и NHS признали необходимость изменений и что обзор уроков 2018 года содержал 22 рекомендации, но планы реализации и расходы ещё не были согласованы на момент отчёта комитета.

Эти данные подтверждают трезвый вывод: ответственность была распределена, но пациент не получил распределённой помощи. Если местный траст не поставил обновление, если практика GP не могла получить доступ к системам или если скорая помощь вынуждена была перенаправлять пациентов, вред достигал людей через единую публичную службу. Распределённое управление требует более сильных контуров подтверждения именно потому, что публичная служба выглядит единой в точке потребности.

Инцидент с непрерывностью помощи, а не просто ИТ-инцидент

Видимый вред WannaCry — прерывание работы. Одни организации были заражены и заблокированы. Другие отключали системы для снижения риска. Кто-то переходил на бумагу. Кто-то не мог получать результаты анализов или доступ к общим записям. У некоторых пациентов были отменены приёмы или операции. В пяти районах перенаправляли пациентов неотложной помощи. NAO осторожно отметило, что не все категории были полностью подсчитаны, а обзор NHS England не зафиксировал известного вреда пациентам. Эти границы следует уважать.

Отсутствие зарегистрированного вреда — не доказательство того, что любого клинического риска не было, но публичные материалы не позволяют выдумывать число погибших или скрытую кражу данных пациентов.

Более полезная рамка ответственности — способность к непрерывности. Службы здравоохранения могут пережить короткое цифровое прерывание только при готовых режимах деградации. Бумажный запасной вариант сам по себе не план. Он требует печатаемых или свежих списков пациентов, альтернатив доступа к истории лекарств, безопасных маршрутов передачи, обходных путей для диагностических назначений, отслеживания направлений, планирования операций, передачи лабораторных результатов, ручного переноса приёмов и сверки после возврата систем. У каждого запасного варианта есть свой профиль пропускной способности и ошибок.

Клиника, которая справится с 20 ручными исключениями, может не справиться с сотнями.

Больница, которая может безопасно отложить плановую работу на день, может испытывать трудности, если диагностическая видимость нарушена по всему региону.

Обзор уроков NHS England признал разницу между киберинцидентом и обычным крупным инцидентом. В нём сказано, что NHS England использовало систему Emergency Preparedness, Resilience and Response, которая дала надёжную структуру, но инцидент также показал, чем киберугрозы отличаются от других крупных инцидентов. Кибератака может сделать ненадёжными сами инструменты коммуникации. Она может затронуть несколько площадок одновременно. Поначалу может быть неясно, заражена ли площадка, отключена ли она или действует оборонительно. Она может потребовать технических мер сдерживания, снижающих мощность служб.

Она также может распространяться по общим сетям, поэтому помощь одной организации может зависеть от поведения другой.

Вот почему ответственность не должна заканчиваться на устройстве, пропустившем обновление. Системе лечения нужен был проверенный способ отвечать на базовые вопросы непрерывности в киберусловиях. Какие службы должны продолжать работать, даже если почта офлайн? Какие записи необходимы для неотложной помощи? Какие системы можно отключить локально без региональной координации? Какой национальный орган руководит коммуникацией? Какие поставщики должны участвовать в объединённом штабе? Какие местные руководители могут принять снижение клинической пропускной способности и на основании каких данных?

NAO сообщило, что Министерство разработало план, включающий национальные и местные роли и обязанности, но не проверило его на местном уровне. Оно также установило, что NHS не проводила учений для национальной кибератаки, поэтому сразу не было ясно, кто должен возглавить реагирование, и были проблемы с коммуникацией. Это не мелкий процессный пробел. В кибернепрерывности учения — это способ узнать, работают ли списки контактов, существуют ли бумажные формы, достаточно ли свежи офлайн-списки пациентов, отвечают ли поставщики и понимают ли клиницисты, какие системы безопасно переподключать.

Взаимозависимость превратила локальную защиту в региональный сбой

Одна из самых сложных черт инцидента: некоторые организации пострадали из-за оборонительных действий других организаций. Траст мог избежать прямого заражения и всё равно потерять доступ к процессу передачи пациента скорой помощи, передаче диагностических изображений, каналу заказа химиотерапии, потоку результатов анализов крови или рабочей нагрузке первичной помощи, потому что другой поставщик, подрядчик или сетевой партнёр закрыл доступ для самозащиты. Это рациональная локальная изоляция, но она создаёт региональные последствия для служб.

Об этом практично рассказывает более позднийкейс из инструментария NHS England по управлению непрерывностью бизнеса, посвящённый WannaCry. В нём описано, как County Durham and Darlington NHS Foundation Trust не подвергся прямой атаке, а служба скорой помощи защитила свою сеть, закрыв доступ: экраны процесса передачи пациента отключились, а портал бронирования транспорта для пациентов стал недоступен. Третичные центры закрыли доступ, поэтому компьютерная томография и МРТ не могли передаваться в электронном виде, а заказы химиотерапии не могли идти обычным путём.

Поставщик ИТ первичной помощи защитил свою сеть, после чего автоматическая передача результатов анализов крови прекратилась, и некоторые врачи общей практики не могли получить доступ к своим спискам пациентов.

Обходные пути в этом кейсе полезны тем, что они конкретны, а не драматичны. Предупреждения скорой помощи продолжали передаваться по стационарным телефонам и другим радиоканалам. Бронирование транспорта для пациентов перешло на телефон. Изображения записывались на DVD и отправлялись такси. Заказы химиотерапии вернулись к бумаге и факсу. Передача результатов анализов крови перешла на бумагу и замедлилась. Некоторые врачи общей практики получали доступ к своим спискам через центры неотложной помощи.

В кейсе сказано, что планы непрерывности бизнеса были обновлены, и сделан вывод: организациям NHS необходимо понимать свои взаимозависимости и стыковать планы для общих служб, чтобы снизить влияние на экономику здравоохранения.

Именно такого рода данные пропускают широкие сводки по инциденту. Кибератака может снизить мощность лечения, даже если заражена не каждая пострадавшая организация. Она может превратить безопасное решение одной стороны в сбой для другой. Она может потребовать аналоговых методов, безопасных при низком объёме, но хрупких в масштабе. DVD, отправленный такси, может спасти диагностический путь для небольшого числа срочных сканирований; он не заменяет обычный электронный обмен изображениями в загруженном регионе.

Телефонный маршрут бронирования может поддерживать движение транспорта для пациентов; он не может автоматически сохранить приоритизацию, аудит и пропускную способность при скачке числа звонков.

Бумажные заказы химиотерапии могут не дать лечению остановиться; они создают нагрузку на перенос, подтверждение и сверку, которую цифровой процесс обычно поглощает.

Эти примеры также объясняют, почему непрерывность поставщиков и партнёров важна для небольших организаций. Практика GP, хоспис, поставщик помощи на дому, местная клиника или подрядная служба могут не владеть центральной системой, от которой зависят. Они могут зависеть от подразделения комиссионной поддержки, хостируемой клинической системы, лабораторного интерфейса, диагностического партнёра или сетевого маршрута, контролируемого кем-то другим. Когда эта зависимость отключается, небольшая организация всё равно должна отвечать пациентам.

Она должна знать, может ли получить доступ к записям через альтернативную площадку, приемлемы ли бумажные результаты с клинической точки зрения, ставятся ли обновления направлений в очередь и кто отвечает за информирование пациентов о том, что цифровой путь вышел из строя.

Для целей ответственности взаимозависимость меняет критерий контроля. Недостаточно каждой организации сказать, что у неё есть план непрерывности бизнеса. Планы должны стыковаться друг с другом. Если защитное отключение третичного центра блокирует передачу изображений, план направляющего траста уже должен знать альтернативный маршрут. Если поставщик ИТ первичной помощи закрывает доступ, местные практики нуждаются в названных вариантах срочного доступа к записям. Если экраны передачи пациента скорой помощи недоступны, отделения неотложной помощи и службы скорой помощи нуждаются в общем запасном варианте, который был отработан.

Кейс NHS скромен по охвату, но показывает истину на уровне системы: кибернепрерывность — это совместная работа, и непроверенная совместная зависимость может подвести, даже когда каждый участник старается быть осмотрительным.

Ущерб оказался шире, чем невыплаченный выкуп

Согласно отчёту NAO, Министерство, NHS England и National Crime Agency сообщили, что ни одна организация NHS не заплатила выкуп. Этот факт должен предотвратить распространённое неверное прочтение: потеря — это не требование выкупа. Это отменённая работа, сверхурочные, ИТ-поддержка, восстановление, отложенная помощь, усилия поставщиков и последующее исправление. NAO сообщило, что на момент расследования Министерство не знало стоимость сбоев для служб.

Оно выделило такие категории расходов, как отменённые приёмы, дополнительная местная ИТ-поддержка, ИТ-консультанты, восстановление данных и систем, а также сверхурочные сотрудников во время реагирования в выходные.

Более поздний отчёт Department of Health and Social Care —Обеспечение киберустойчивости в здравоохранении и социальной помощи: октябрьское обновление о прогрессе 2018 года— ссылается на подробныйPDF сентябрьского обновления 2018 года. Это обновление часто цитируют с оценкой, что WannaCry стоил NHS 92 млн фунтов стерлингов, включая непосредственное реагирование и восстановление ИТ, а также потери из-за неоказанных услуг. С этой оценкой следует обращаться осторожно. Это оценка расходов государственного сектора, а не полный учёт тревоги пациентов, времени семей, перемещений скорой помощи, нагрузки на местных поставщиков или каждого часа работы персонала.

Академические работы также показывают, почему ущерб трудно оценить.Ретроспективный анализ влияния 2019 года в npj Digital Medicineиспользовал Hospital Episode Statistics для изучения отмен, госпитализаций, посещений отделений неотложной помощи, смертности и финансовых издержек. Он не обнаружил значимой разницы в общей активности всех трастов за неделю WannaCry по сравнению с базовым уровнем, но у непосредственно заражённых больниц было меньше экстренных и плановых госпитализаций, и исследование оценило потери больничной активности на заражённых трастах в 5,9 млн фунтов стерлингов. Оно также не отметило роста смертности, предупредив, что смертность — грубый показатель вреда пациентам.

Разница между оценкой в 5,9 млн фунтов для активности заражённых больниц и более широкой оценкой в 92 млн фунтов для госсектора — не обязательно противоречие. Они измеряют разные вещи. Одна смотрит на активность заражённых больниц за определённый период на основе больничных данных. Другая включает более широкое реагирование, восстановление и ИТ-исправления.

Для ответственности важнее не выбрать самое большое число и не назвать его «ценой». Важно спросить, какие затраты можно было предотвратить более ранней установкой обновлений, какие возникли из-за необходимой изоляции, какие были инвестициями, которые следовало сделать раньше, и какие легли на пациентов и персонал, так и не появившись в ИТ-бюджете.

Малые и средние поставщики находятся внутри того же вопроса. Речь о непрерывности небольших организаций, подключённых к национальной службе: практик GP, хосписов, поставщиков помощи на дому, подрядчиков, поставщиков устройств, местных партнёров по ИТ-поддержке и интерфейсов социальной помощи. NAO причислило первичную помощь и другие организации к заражённым и отметило, что другие поставщики могли пострадать через общие системы или задержку информации. Кибератака в крупном государственном учреждении становится шоком для непрерывности небольших организаций, у которых меньше резервов и меньше политической видимости.

Атрибуция не отвечает на операционный вопрос

Позже Соединённое Королевство приписало WannaCry Северной Корее. Взаявлении Foreign Office о северокорейском субъекте, стоящем за атаками WannaCry, говорится, что Великобритания пришла к выводу, что за кампанией стояли северокорейские субъекты, известные как Lazarus Group. Эта атрибуция важна для сдерживания, санкций, дипломатии и национальной безопасности. Она не снимает ответственности с внутреннего операционного контроля. Те же публичные материалы говорят, что NHS не была конкретной целью, что червь распространялся через известную уязвимость Windows и что местные организации могли принять относительно простые меры для самозащиты.

Уголовная ответственность и ответственность публичной службы — разные слои. Злоумышленник контролировал вредоносный код и решение о его применении. Microsoft контролировал раскрытие уязвимости и выпуск обновлений для своих продуктов, а затем необычное решение сделать обновления доступными для неподдерживаемых платформ во время чрезвычайной ситуации. NHS Digital контролировало предупреждения, руководства, поддержку по горячей линии и отраслевые рекомендации. NHS England контролировало координацию крупного инцидента и эскалацию непрерывности помощи. Department of Health контролировало политический надзор и приоритеты финансирования.

Местные трасты и практики контролировали многие решения об устройствах, сетях, поставщиках и управлении изменениями. Поставщики контролировали часть устаревших устройств, условия поддержки и ограничения совместимости.

Ни один слой не является всей историей. Если рассматривать инцидент только как событие враждебного государства, он становится слишком далёк от местного управления. Если рассматривать его только как местное несоблюдение, игнорируется тот факт, что национальные органы видели предупреждающие знаки, но не имели достаточных полномочий принуждения или контроля. Если рассматривать его только как проблему Microsoft, игнорируется, что критический патч существовал до инцидента и что неустановка обновлений — операционное решение.

Если рассматривать его только как проблему поставщиков, игнорируется, что поддерживаемые системы Windows тоже оставались без обновлений. Ответственность — это карта этих мер контроля, а не поиск одного субъекта, который может нести их все.

Самым важным контролем были доказательства. Кто знал состояние обновлений? Кто знал состояние открытого SMB? Кто знал, какие системы неподдерживаемы? Кто знал, какие медицинские устройства нельзя обновить без вмешательства поставщика? Кто знал, проверил ли местный траст свой план действий при киберинциденте? Кто знал, как быстро практики GP перейдут к безопасной ручной работе? Публичные материалы показывают, что на достаточную часть этих вопросов ответы либо отсутствовали, либо были неполными, либо не могли быть использованы централизованно до атаки.

Программа после инцидента подтверждает диагноз

Материалы об исправлениях после WannaCry полезны, потому что показывают, что, по мнению национальных лидеров, провалилось. Обзор уроков NHS England рекомендовал усиление лидерства и подотчётности советов, более чёткие роли, стандарты кибербезопасности, местную устойчивость, лучшее управление обновлениями, замену неподдерживаемого ПО, улучшение процессов реагирования и более сильную национальную координацию. В отчёте Министерства о прогрессе за 2018 год описана работа над реагированием на крупные инциденты, операциями по кибербезопасности, стандартами безопасности данных, ожиданиями к поставщикам и инвестициями.

Data Security and Protection Toolkit, заменивший прежний Information Governance Toolkit с апреля 2018 года, стал онлайн-механизмом самооценки для организаций с доступом к данным и системам NHS о пациентах: они измеряют и публикуют свои результаты по десяти стандартам безопасности данных National Data Guardian.

Этот инструментарий не доказательство того, что проблема исчезла. У самооценки есть границы, и более поздние киберинциденты в системах здравоохранения показывают, что вымогатели и сбои поставщиков оставались серьёзными рисками. Но это доказательство того, что система после WannaCry двигалась к явному контролю, а не только к неформальным рекомендациям. Это также вывело кибербезопасность из чисто технической колеи в подотчётность на уровне советов, отчётность об инцидентах и непрерывность.

Более поздняя правительственная стратегия —Киберустойчивая система здравоохранения и социальной помощи для взрослых в Англии: стратегия до 2030 года— продлевает эту рамку до 2030 года. Она описывает кибербезопасность как условие защиты данных пациентов, пользователей услуг и сотрудников и быстрого восстановления при атаках. Наличие стратегии усиливает главный урок 2017 года: в здравоохранении кибербезопасность — не отдельная тыловая дисциплина. Она обеспечивает общественное доверие и непрерывность служб.

Более широкая публичная роль National Cyber Security Centre также выросла в этот период. Егоанонс годового обзора за 2017 годописывал первый год нового центра и его миссию сделать Великобританию безопаснее онлайн. Реагирование на WannaCry сделало эту миссию конкретной для больниц и клиник. Оно показало, что национальные кибервозможности должны соединяться с отраслевыми операциями, а не только публиковать предупреждения для технических команд.

Пять тестов подотчётности

Долговременная ценность кейса NHS в том, что он даёт советам и лидерам госсектора практические тесты. Эти тесты не о том, чтобы обвинить одного администратора в одном пропущенном обновлении. Они о том, может ли публичная служба доказать, что известный киберриск превращён в операционные действия.

1. Видимость активов:организация не может обновить то, что не может идентифицировать. Ей нужна опись серверов, конечных точек, медицинских устройств, неподдерживаемых систем, версий операционных систем, открытых служб, поставщиков и клинических зависимостей. Опись должна включать системы, которыми неудобно владеть: старые диагностические рабочие станции, общие файловые серверы и машины, частично контролируемые вендорами.

2. Подтверждение установки обновлений:выпуск предупреждения недостаточен. Критическое предупреждение должно порождать отслеживаемые действия, сроки, эскалацию к руководству, названные исключения, компенсирующие меры и доказательство того, что обновление установлено или угроза иначе закрыта. Там, где местная автономия блокирует центральные требования, центр нуждается как минимум в надёжной видимости и маршруте эскалации риска безопасности пациентов.

3. Сдерживание устаревших систем:неподдерживаемые или трудно обновляемые системы требуют сегментации, ограничений доступа, планов поставщиков, средств на замену и клинических резервов. Оставить систему неподдерживаемой иногда является временной клинической необходимостью, но это не должно быть неуправляемым фактом, обнаруженным во время вспышки червя.

4. Киберспецифичная непрерывность:планы на случай чрезвычайных ситуаций должны исходить из того, что обычные системы связи и записи могут быть недоступны. Ручной запасной вариант требует планирования мощностей, а не только бумажных форм. Он должен указывать, какие клинические службы деградируют первыми, как перенаправляются пациенты, как передаются результаты анализов, как переносятся приёмы и как безопасно сверяется офлайн-работа.

5. Многоуровневая подотчётность:центр, местные органы, поставщики и агентства национальной безопасности имеют разные средства контроля. Зрелая рамка не сводит эти средства к одной истории вины. Она определяет, кто должен действовать, кто проверять, кто финансировать, кто сообщать и кто принимать остаточный риск.

Эти тесты неудобны, потому что делают киберустойчивость измеримой. Они также защищают персонал от невозможных ожиданий. Во время WannaCry сотрудники NHS работали сверхурочно и импровизировали, чтобы службы продолжали работать. Обзор уроков публично признал эти усилия. Героическое местное реагирование не должно использоваться как доказательство достаточной подготовки. Часто это доказательство того, что формальная система оставила слишком много работы людям под давлением.

Граница ответственности

Публичные источники поддерживают жёсткую операционную критику. Они не поддерживают необоснованные юридические выводы против названного траста, руководителя, поставщика или национального органа. PAC, NAO, NHS England, DHSC, CQC, NCSC, Microsoft и академические источники устанавливают предупреждения, отсутствие контроля, необновлённые системы, сбои служб и реформы после инцидента. Они не доказывают халатность в каждой местной организации, не подсчитывают каждую потерю и не показывают, какие именно устройства привели к каждой отмене приёма.

Эта граница важна, потому что урок подотчётности шире судебных споров. Если лидеры сводят дело к юридическому спору о том, нарушила ли одна организация обязанность, они теряют проектирование контроля. Вопрос публичной службы — могла ли NHS знать до национального киберсобытия, что каждая организация закрыла или осознанно управляла известной критической уязвимостью. Ответ в 2017 году был «нет». Вопрос непрерывности лечения — отрепетировала ли каждая пострадавшая организация киберотключение достаточно хорошо, чтобы поддерживать основные службы на известной сниженной мощности. Публичные материалы говорят, что эти меры были проверены недостаточно.

WannaCry остаётся делом публичной подотчётности, потому что связал техническое отставание в обслуживании с устойчивостью перед пациентами. У риска были имена: MS17-010, SMBv1, неподдерживаемые операционные системы, непроверенные планы инцидентов, местные органы без центрального подтверждения соответствия, общие сети и клинические системы, которые нельзя было просто отключить. Но у вреда были другие имена: отменённые приёмы, перенаправленные пациенты, недоступные записи, задержанная информация, сверхурочные сотрудников и оценка расходов на исправление и сбои в 92 млн фунтов стерлингов.

Самый ответственный способ помнить об инциденте — не мораль о старом ПО. Это предупреждение о том, что государственные институты могут знать достаточно, чтобы беспокоиться, и всё же знать недостаточно, чтобы быть готовыми. Патч может существовать. Предупреждение может быть отправлено. Совет может пройти обучение кибербезопасности. План может быть написан. Если организация не может доказать, что уязвимые системы обновлены, изолированы, заменены или безопасно обойдены, риск всё ещё несут пациенты, сотрудники и небольшие поставщики, которые обнаруживают зависимость только тогда, когда служба останавливается.