WannaCry показал: устаревшее ПО стало общей зависимостью NHS

Кратко

• Вспышка WannaCry в мае 2017 года вскрыла у NHS отказ общего типа: множество местных организаций здравоохранения зависели от уязвимых систем Windows, неравномерно устанавливали обновления, полагались на общие допущения о сервисах и на каналы экстренной связи, которые могли отказать одновременно, когда программа-вымогатель распространялась через одну и ту же уязвимость.
• Вопрос ответственности не в том, стала ли причиной сбоя одна больница, одна версия ПО или один администратор. Он в том, кто фактически контролировал вывод старых систем, установку обновлений, управление доверием, сегментацию сети, центральные руководства и подтверждение того, что непрерывность помощи больше не зависит от одной эксплуатируемой уязвимости.
• Материалы National Audit Office, Department of Health and Social Care, National Cyber Security Centre, NHS Digital, Microsoft, CISA и парламента вместе показывают, что обновление было доступно до вспышки, что многие организации оставались уязвимыми и что публичным последствием стали отменённые приёмы, перенаправленные машины скорой помощи и ухудшение клинической работы.
• Устойчивое исправление нужно измерять как защиту помощи: инвентаризация активов, поддерживаемое ПО, соблюдение дисциплины обновлений, обнаружение на конечных точках, офлайн-планы непрерывности, результаты местных учений, региональная эскалация и видимые для советов доказательства, что клиническая служба может деградировать, не теряя способности безопасно лечить пациентов.

Инцидент был атакой программы-вымогателя, но зависимость возникла раньше

WannaCry добрался до NHS 12 мая 2017 года, использовав «червеобразную» уязвимость Windows, которую уже закрывало обновление безопасности MS17-010 от Microsoft.Бюллетень безопасности MS17-010от Microsoft вышел в марте 2017 года, арекомендации Microsoft клиентам во время атак WannaCryptобъясняли необходимость установить обновление, защитить неподдерживаемые системы и закрыть пути атак.Предупреждение CISA от мая 2017 годаипубличное заявление Европолапоказали, что вспышка была глобальной, а не специфичной для NHS.

Значимость для NHS определялась экспозицией общего типа.Расследование National Audit Office по WannaCry и NHSустановило, что атака затронула как минимум 80 из 236 трастов NHS в Англии, а также 603 организации NHS, включая врачебные практики и другие структуры NHS. Вполном отчёте NAO (PDF)также зафиксированы тысячи отменённых приёмов и операций, перенаправления машин скорой помощи и тот факт, что ни одна организация NHS не выплатила выкуп. Эти факты превращают случай в событие непрерывности государственной услуги, а не просто в заражение вредоносным ПО.

Проблема общего типа заключалась в том, что многие организации могли отказать из-за одного класса слабости. Местный траст мог обновить одни машины, оставить другие незащищёнными, полагаться на неподдерживаемые операционные системы, подключить старое диагностическое или административное оборудование к более широким сетям или не иметь полной инвентаризации активов. Другой траст мог лучше обновляться, но всё равно зависеть от региональных партнёров, общих каналов направления пациентов или сетевых сервисов.

Тогда программа-вымогатель становится тестом непрерывности всей среды здравоохранения, потому что помощь пациентам зависит от готовности множества локальных систем одновременно.

Вопрос ответственности практический. Кто мог снизить общую зависимость до мая 2017 года? Местные структуры NHS управляли собственными активами, дисциплиной обновлений, сегментацией сети и учениями по непрерывности деятельности. Национальные структуры — руководствами, финансовым давлением, обеспечением, ожиданиями по контрактам и видимостью нерешённого риска. Поставщики — условиями поддержки, доступностью обновлений и зависимостями ПО медицинских устройств. Министры и советы — тем, как долго старые системы терпели как компромисс ради экономии. Пациенты не контролировали ни один из этих факторов.

Обновление существовало, но наличие обновления — это не внедрение

Существование MS17-010 важно, потому что показывает разницу между доступностью и внедрением. Microsoft выпустила соответствующее обновление до вспышки. Этот факт не доказывает, что каждая структура NHS проигнорировала простую инструкцию. В здравоохранении есть старое оборудование, конфигурации, одобренные вендорами, ограничения клинических расписаний и сети, которые не всегда можно менять без риска для сервиса. Но он показывает, что проблема сместилась из чисто программной уязвимости в управление внедрением.

Обновление на сайте вендора не защитит пациента, если затронутая машина останется без обновления в палате, клинике, лаборатории или административном кабинете.

Киберпредупреждение CareCERT CC-1353от NHS Digital предупреждало организации NHS о необходимости устанавливать обновления Microsoft и защищать системы. Вобзоре извлечённых уроковDepartment of Health and Social Care позднее были подчёркнуты управление активами, обновления, антивирус, неподдерживаемые системы, сегментация сети и реагирование на инциденты.PDF-версия обзораважна тем, что рассматривает киберготовность как системную ответственность, а не как единственное техническое исправление.

Здесь в вопрос об ответственности входят жизненный цикл ПО и зависимость от поставщика. Неподдерживаемые системы часто сохраняют, потому что замена дорога, специализированное ПО зависит от старых платформ, клинические устройства имеют длинный срок службы, а местные организации испытывают конкурирующее давление. Каждая причина может быть понятной. Но их совокупный эффект опасен, когда многие организации разделяют одну и ту же старую слабость. Риск жизненного цикла ПО становится зависимостью государственной услуги, поскольку служба здравоохранения может нести скрытую экспозицию непрерывности, о которой пациенты узнают только при отмене приёмов.

Поэтому доказательства исправления не должны сводиться к узкому утверждению «обновления стали лучше». Зрелый отчёт показывал бы, какие критически важные системы остаются неподдерживаемыми, какие имеют компенсирующие меры контроля, какие изолированы, по каким есть обязательства вендора по обновлению, какие нельзя заменить без изменения клинического оборудования и какие советы приняли остаточный риск на языке общественных интересов. Старое ПО само по себе не безрассудно. Реальная проблема — невидимое и неуправляемое старое ПО в клинической работе.

Локальный и национальный контроль были переплетены

NHS — это не один машинный зал. Это федеративная государственная служба с местными организациями, национальными структурами, поставщиками, клиническими командами и общей инфраструктурой. Такая структура усложняет вопрос об ответственности, но не снимает его. Отчёт NAO иотчёт Public Accounts Committee за 2018 год о кибератакеоба указали на сложность проверки того, выполнили ли все местные структуры руководства и достаточно ли у центральных структур видимости, чтобы гарантировать готовность.

Местные структуры напрямую контролировали множество практических мер защиты. Они могли вести инвентаризацию активов, устанавливать обновления безопасности, заменять неподдерживаемые системы, сегментировать сети, обучать персонал, проверять планы непрерывности и отслеживать индикаторы вредоносного ПО. Они могли обеспечивать бумажные или офлайн-процедуры для критически важных клинических функций и сохранение каналов эскалации при цифровом сбое. Они также могли фиксировать, когда опасения по клиническому риску задерживали обновления и какие компенсирующие меры применялись.

Национальные структуры контролировали другой уровень. Они могли определять обязательные стандарты, координировать разведданные, финансировать улучшения, обеспечивать соблюдение сроков, собирать подтверждения и выстраивать региональное реагирование на инциденты. NHS Digital, NHS England, Department of Health, а затем NHSX и связанные структуры играли свои роли в национальной среде готовности.Размышления National Cyber Security Centre через год после WannaCryи еёруководство по снижению риска вредоносных программ и вымогателейпоказывают, как центральные киберрекомендации формулировали уроки для государственных и частных организаций.

Общая структура создаёт повторяющийся риск: местные структуры могут говорить, что им не хватало финансирования, что они были ограничены или зависели от центральных систем; центральные — что местные трасты сами отвечали за свои обновления; поставщики — что обновления были доступны в рамках закупок; советы — что клинический спрос делал перерывы неприемлемыми. В каждом утверждении может быть доля правды. Ответственность спрашивает, кто мог сделать всю систему менее зависимой от одной и той же слабости. Для этого нужны национальная видимость локальных рисков и локальное выполнение национальных стандартов.

Вред пациентам был косвенным, но реальным

Чтобы повлиять на помощь, WannaCry не нужно было шифровать каждую клиническую систему. NAO зафиксировала отменённые приёмы, сбои в работе врачебных практик, перенаправление машин скорой и нарушения в диагностике. Эти последствия косвенны, потому что вредоносная программа атаковала компьютеры, а не пациентов. Они реальны, потому что помощь зависит от компьютеров для расписаний, записей, визуализации, связи, назначений, направлений и координации. Кибер инцидент в здравоохранении становится проблемой безопасности пациентов, когда клиническая работа замедляется, меняет маршруты или теряет необходимую информацию.

Это важно для измерения последствий. Если организация считает только выплаты выкупа или повреждённые файлы, она упускает вред для государственной услуги. NHS не платила выкуп, но пациенты всё равно потеряли приёмы, а служба понесла расходы на восстановление. Некоторые системы отключали в порядке защиты, даже если заражения не было. Некоторые организации отменяли помощь, потому что не могли доверять цифровой среде. Другие продолжали работу благодаря лучшей сегментации или резервным процедурам. Вред был распределён по всей службе, и это распределение и есть урок.

Более сильный отчёт о последствиях связывал бы техническое состояние с состоянием помощи. Какие системы были заражены? Какие отключили в порядке предосторожности? Какие приёмы отменили из-за недоступности конкретных систем? Какие перенаправления машин скорой были следствием проблем с мощностями или уверенностью на местах? Какие лаборатории, службы визуализации и системы записей пострадали? Какие организации продолжали оказывать помощь благодаря проверенным резервным процедурам? Без такой карты публика видит масштабный сбой, но не может сказать, какие меры контроля защитили пациентов, а какие подвели их.

Поэтому последующую работу NHS по киберустойчивости нужно оценивать через непрерывность клинической помощи. Полезно считать обновлённые устройства, охват конечных точек и прохождение киберобучения. Ещё полезнее знать, может ли траст безопасно продолжать неотложную помощь, изолируя затронутые системы; могут ли клиницисты получать ключевые данные о пациентах при деградации сетей; знают ли региональные партнёры, как перенаправлять пациентов; и принимают ли командиры киберреагирования решения вместе с клиническими лидерами, а не рассматривают событие только как ИТ-проблему.

Проблема неподдерживаемых систем — это проблема управления

Неподдерживаемое ПО — не просто категория технического долга. В государственной среде здравоохранения это управленческое решение о том, кто несёт риск. Траст может сохранять старую машину, потому что клиническое устройство дорого заменить. Вендор может поддерживать устройство только на устаревшей платформе. Закупочная процедура может откладывать замену. Совет может принять риск из-за жёсткого бюджета капитальных расходов. Пациент же в итоге сталкивается только с отказом непрерывности.

Британский обзор извлечённых уроков назвал неподдерживаемые системы одной из важных тем исправления. Это верно, но сам по себе статус «не поддерживается» — не единственный индикатор. Поддерживаемая система без обновлений может быть уязвимой. Неподдерживаемая система, которая изолирована, отслеживается и запланирована к замене, может нести меньший операционный риск, чем поддерживаемая система без владельца. Управленческий вопрос в том, есть ли у каждого актива высокого риска названный владелец, план жизненного цикла, компенсирующие меры и видимость для совета.

Медицинские и операционные технологии усложняют вопрос. Некоторые клинические устройства нельзя обновлять без валидации вендора. Некоторые старые системы поддерживают специализированные процессы. Некоторые замены требуют простоя, который влияет на помощь. Эти ограничения реальны, но они должны быть видны как исключения, а не скрываться как обычная работа. Если машину нельзя обновить, в учёте должно быть указано почему, как она изолирована, как долго останется, какой сервис от неё зависит и что произойдёт при её отказе.

Урок для государственного сектора Соединённого Королевства выходит за пределы NHS. Школы, муниципалитеты, полиция, транспортные организации и экстренные службы где-то несут старое ПО. Случай NHS нагляден, потому что помощь пациентам прямая, но паттерн общего типа шире. Государственным услугам нужен способ узнавать, когда множество местных структур зависят от одной и той же неподдерживаемой или необновлённой технологии, потому что атакующий или червь не признаёт организационных границ.

Автоматизация безопасности помогает только после того, как определена ответственность

После WannaCry автоматизация безопасности выглядит привлекательно. Инструменты для конечных точек, сканеры уязвимостей, оркестрация обновлений, обнаружение активов, потоки данных об угрозах и автоматическая изоляция могут снизить экспозицию. Но автоматизация не исправит актив без владельца, клиническое устройство, которое нельзя обновить, сеть, которую никогда не картографировали, или совет, который относится к старому ПО как к невидимой проблеме затрат. Автоматизация усиливает управление; она не может его заменить.

Самая ценная автоматизация сначала отвечала бы на базовые вопросы. Какие устройства существуют? Какие операционные системы на них стоят? Какие из них неподдерживаемые? На каких отсутствуют критические обновления MS17-010 или аналогичные? Какие системы доступны друг другу? Какие подключены к клиническим процессам? Какие исключены из сканирования из-за ограничений вендора? У каких местных структур есть необъяснённые пробелы? Эти ответы превращают общий риск в управляемый реестр.

Следующий слой — действия. Автоматическая установка обновлений может разворачивать их там, где безопасно. Управление уязвимостями может расставлять приоритеты критических экспозиций. Мониторинг сети может обнаруживать червеобразный трафик. Обнаружение на конечных точках может сдерживать вредоносное ПО. Резервное копирование поддерживает восстановление. Но каждое автоматическое действие нуждается в процессе исключений ради клинической безопасности. Если обновление нельзя применить, потому что оно может нарушить работу диагностического устройства, такое исключение должно запускать изоляцию и планирование замены, а не бессрочную терпимость.

Общееруководство NCSC по программам-вымогателямполезно тем, что соединяет профилактику, резервное копирование, реагирование на инциденты и восстановление. WannaCry показывает, почему эти категории должны быть вместе. Служба здравоохранения не может считать устойчивость к вымогателям покупкой одного продукта. Ей нужны управление обновлениями, сегментация, резервное копирование, обучение пользователей, проверенное восстановление и клиническая эскалация. Общая зависимость исчезает только тогда, когда несколько мер защиты перекрывают друг друга.

Доказательства исправления должны быть достаточно публичными, чтобы укреплять доверие

Пациентам не нужен IP-адрес каждого уязвимого устройства. Им нужна уверенность, что служба здравоохранения извлекла урок из сбоя, который отменял помощь. Публичное подтверждение можно выстроить, не открывая атакующим детальные карты. Оно может сообщать, сколько организаций соответствуют текущим киберстандартам, как меняется число неподдерживаемых систем, как часто проводятся учения по непрерывности, как быстро применяются критические обновления и как советы работают с исключениями. Оно также может сообщать, находят ли независимые аудиты нерешённые системные пробелы.

Материалы NAO и Public Accounts Committee показывают, почему важна независимая оценка. До WannaCry руководства существовали, но подтверждение локального внедрения было неполным. После WannaCry урок состоял не просто в выпуске лучших рекомендаций. Он состоял в том, чтобы узнать, изменили ли рекомендации состояние систем, которые обеспечивают помощь. Национальная структура, которая не видит локальное внедрение, не может сказать публике, снизилась ли общая зависимость.

Учёт исправлений должен также различать устойчивость и реагирование. Реагирование спрашивает, может ли NHS обнаружить инцидент, сдержать его и восстановиться. Устойчивость спрашивает, можно ли предотвратить или ограничить инцидент до того, как будет отменена помощь. Важны оба аспекта. Больница, которая быстро восстанавливается, всё равно вредит пациентам, если отменено много приёмов. Больница, которая предотвращает распространение, но не имеет резервных процедур, может испытывать трудности при защитных отключениях.

Самая сильная позиция снижает вероятность заражения, ограничивает распространение, сохраняет необходимую помощь и быстро восстанавливает данные.

Ориентир, в центре которого пациент, прост: может ли служба здравоохранения продолжать неотложную помощь, когда эксплуатируется общая программная слабость? Этот ориентир заставляет руководителей задавать операционные вопросы, а не только технические. Актуальны ли бумажные процедуры? Могут ли клиницисты опознавать пациентов без электронной системы? Можно ли безопасно перенаправлять машины скорой? Можно ли безопасно передавать результаты диагностики? Может ли первичная помощь сохранить достаточный объём работы? Могут ли национальные структуры быстро координировать локальные факты?

Эти вопросы превращают киберустойчивость в дисциплину непрерывности помощи.

Будущий отказ общего типа не должен стать неожиданностью

WannaCry был драматичным, потому что распространялся быстро и глобально. Следующее событие общего типа может быть тише. Это может быть скомпрометированное обновление, сбой облачной идентификации, отказ сертификата, ошибка в защите конечных точек, взлом поставщика или уязвимость в широко используемом медицинском ПО. Общий урок в том, что множество местных государственных организаций могут зависеть от одного и того же технологического состояния, не видя себя совместно экспонированными.

NHS может снизить этот риск, если будет рассматривать технологическую одинаковость как измеряемую экспозицию. Если многие трасты полагаются на одну и ту же неподдерживаемую систему — это риск общего типа. Если многие трасты не могут обновить класс устройств из-за ограничений поставщиков — это риск общего типа. Если множество местных структур зависят от одного и того же продукта удалённого доступа, провайдера идентификации или продукта резервного копирования — это риск общего типа. Реестр рисков не должен быть только локальным; он должен агрегировать паттерны по всей службе.

Здесь есть роль и у закупочной функции. Контракты на клинические и административные технологии должны требовать поддержки жизненного цикла, прозрачности обновлений, раскрытия уязвимостей и проверенных путей обновления. Заявления поставщиков должны быть связаны с обязанностями по непрерывности помощи. Устройство, которое нельзя обновить без месяцев переговоров, — не просто техническое неудобство; это зависимость, влияющая на безопасность пациентов. Поставщик, который контролирует путь обновления, должен разделять ответственность за то, чтобы этот путь был реализуем.

Роль совета не менее важна. Документы для совета не должны просто говорить, что киберриск высок. Они должны называть неподдерживаемые системы, исключения по обновлениям, критические зависимости сервисов, итоги учений и нерешённые ограничения поставщиков. Руководители должны уметь объяснить, что произойдёт, если завтра появится «червеобразная» уязвимость. Клинические лидеры должны участвовать, потому что приоритет — непрерывность помощи, а не только восстановление технологий. Финансовые лидеры должны участвовать, потому что замена старых систем часто является решением о капитальных расходах.

Публичный урок WannaCry не в том, что каждая старая система должна исчезнуть за ночь. А в том, что старое ПО становится опасным, когда становится невидимым, общим и неуправляемым. Учёт ответственности NHS поэтому следует оценивать по тому, достаточно ли видим риск старых систем и обновлений, чтобы действовать до того, как его почувствуют пациенты. Обновление существовало. Руководства существовали. Не хватало подтверждённой готовности в масштабе всей службы. Вот почему WannaCry остаётся делом об общей зависимости, а не просто воспоминанием о программе-вымогателе.

Окна установки обновлений нужно проектировать вокруг помощи, а не вопреки ей

Одна из причин, по которой обновления в больницах не срабатывают, — в том, что простой сам по себе рискован. Система отделения, устройство визуализации, лабораторный аппарат или платформа расписаний могут поддерживать текущую помощь. Неосторожное обновление может прервать сервис, сломать одобренную конфигурацию устройства или вынудить клинические команды к небезопасным обходным действиям. Эта реальность часто становится аргументом для задержки. Правильный ответ об ответственности — не требовать безрассудных обновлений, а создавать окна обновлений с учётом помощи: спланированные, проверенные и эскалируемые при пропуске.

Траст должен знать, какие системы можно обновлять автоматически, какие требуют валидации вендора, какие нуждаются в одобрении клинического простоя и какие несут компенсирующие меры контроля, пока ждут.

Инцидент в NHS показал, что отсутствие спланированного управления обновлениями может создать худший простой позже. Отменить ограниченное окно обслуживания иногда проще, чем объяснять короткий перерыв в работе сервиса. Но если многие местные структуры принимают такое решение раз за разом, служба здравоохранения накапливает скрытую экспозицию. Червь не ждёт удобного клинического расписания. Вопрос ответственности становится таким: сделали ли руководители риск видимым до того, как его сделал видимым атакующий.

У локального исключения должны быть дата, владелец, клиническое обоснование, обоснование безопасности, компенсирующая мера и точка пересмотра.

Когда одно и то же исключение появляется во многих трастах, национальные структуры должны рассматривать его как общий риск, требующий финансирования, переговоров с поставщиками или архитектурных изменений.

Более широкий язык киберустойчивости правительства Соединённого Королевства после WannaCry двигался в этом направлении. Cabinet Office и NCSC неоднократно описывали кибербезопасность государственного сектора как вопрос операционной устойчивости, аCyber Assessment FrameworkNCSC даёт организациям структуру для ключевых функций, защиты, обнаружения, реагирования и восстановления. CAF — не источник криминалистических данных о WannaCry, но полезный способ выразить урок: релевантная функция — помощь пациентам, а не просто существование ИТ-системы. Обновления и контроль жизненного цикла следует оценивать по их вкладу в эту ключевую функцию.

Поэтому клинические лидеры должны участвовать в управлении обновлениями. Чисто технический совет может знать, какого обновления не хватает, но не то, какой сервис станет небезопасным при поспешной установке. Чисто клинический совет может знать риск для сервиса, но не киберэкспозицию бесконечной задержки. Нужно и то и другое. Если обновление нельзя применить на этой неделе, потому что диагностическое устройство интенсивно используется, в учёте должно быть указано, что защищает это устройство сегодня, какие действия нужны от поставщика и когда решение будет пересмотрено.

Если ответ повторяется месяцами, это должно стать риском уровня совета, а не сноской службы поддержки.

Такой подход улучшает и публичные объяснения. Когда происходит очередной киберинцидент в NHS, публике не нужен стандартный ответ о том, что системы восстанавливаются. Ей нужна уверенность, что руководители уже знали, какие системы важнее всего, какие риски приняты и у каких сервисов есть резервные планы. Чем дисциплинированнее учёт исключений по обновлениям до инцидента, тем быстрее публичное объяснение после него. Служба здравоохранения не может делиться каждой технической деталью, но может сообщить, что исключениями управляют, а не забывают о них.

Сегментация — это контроль непрерывности помощи

«Червеобразное» распространение WannaCry сделало сегментацию сети центральной темой. Сегментацию часто описывают на технических схемах, но в контексте NHS это контроль непрерывности помощи. Она определяет, может ли уязвимая административная машина повлиять на клинические сервисы, может ли одна местная площадка заразить другую, можно ли изолировать диагностические устройства без потери всего доступа и можно ли сдержать инцидент, пока продолжается неотложная помощь. Если каждая часть среды доверяет каждой другой, одна старая слабость может стать перебоем всей службы.

Сегментация должна быть применима и в кризисе. Сеть, которую может сегментировать только небольшая команда в рабочие часы, менее полезна, когда программа-вымогатель распространяется быстро. Траст должен знать, какие соединения можно закрыть, каков клинический эффект закрытия и как клиницисты будут работать, если сервис изолирован. Нужно проверять изоляцию в реалистичных условиях. Может ли больница отключить подозрительный сегмент сети и при этом продолжать лечить экстренных пациентов? Может ли врачебная практика продолжать основную работу при недоступности центральных систем?

Может ли регион перенаправлять пациентов, когда траст теряет уверенность в цифровых системах?

Это кибервопросы только потому, что в первую очередь это вопросы помощи.

В отчёте NAO зафиксировано, что некоторые организации отключали системы в порядке предосторожности и что связь между организациями была нарушена. Это значит, что сегментация и экстренная связь связаны. Если траст изолирует системы, чтобы предотвратить распространение, ему всё равно нужны безопасные способы связи с региональными партнёрами, службами скорой помощи, национальными структурами и пациентами. Резервный канал, который зависит от той же затронутой сети, — не резервный. Бумажная процедура, которую не отрабатывали, — не процедура. Список контактов, хранящийся только в недоступной системе, становится ещё одной общей зависимостью.

Поэтому полезная метрика исправления — «время до безопасной изоляции». Сколько времени нужно местной организации, чтобы выявить предполагаемый червь, изолировать затронутые сегменты, сохранить неотложную помощь и доложить о состоянии в региональный командный центр? Ещё одна метрика — «время до доверенной связи». Через сколько времени организация сможет сказать персоналу, какими системами пользоваться, сообщить пациентам, какие сервисы затронуты, и предупредить партнёров, нужно ли перенаправлять машины скорой или обращения?

Эти метрики содержательнее, чем число заблокированных образцов вредоносного ПО, потому что связывают технические действия с непрерывностью государственной услуги.

Сегментация также вскрывает зависимость от поставщиков. Некоторые клинические устройства и легаси-системы трудно изолировать, потому что они никогда не проектировались для современных сетевых угроз. Контракты должны требовать от поставщиков поддержки безопасной эксплуатации, обновляемости, логирования и сетевого разделения. Если поставщик не может обеспечить безопасную сегментацию устройства, покупатель должен знать об этом до покупки. Если легаси-устройство остаётся, риск должен быть виден в закупках, клиническом управлении и киберобеспечении. Так старое оборудование перестаёт быть скрытой экспозицией общего типа.

Уроки нужно измерять в масштабе всей службы

После WannaCry отдельные улучшения необходимы, но недостаточны. Один траст может стать сильнее, а служба в целом остаться экспонированной, если многие другие трасты разделяют ту же слабость. Урок общего типа требует агрегированного измерения. Национальные руководители должны уметь ответить, у скольких организаций есть неподдерживаемые критические системы, сколько критических уязвимостей превышает сроки обновлений, сколько трастов за последний год проверили непрерывность при атаке вымогателей, сколько ограничений поставщиков блокируют обновления и сколько локальных исключений не имеют финансируемого пути замены.

NHS Data Security and Protection Toolkit, доступный черезпортал инструментов NHS England, — один из механизмов сбора информации о самооценке и подтверждениях. Самой по себе самооценки недостаточно, но она даёт структуру для сравнения организаций и эскалации пробелов. Рядом должны быть независимые тесты, региональные учения, подтверждения советов и целевое финансирование. Риск в том, что чек-лист становится предметом комфорта, а не контролем. Вопрос всегда должен быть таким: защитит ли заявленное соответствие помощь пациентам при «червеобразной» уязвимости.

Важен и Information Commissioner's Office, потому что риск медицинских данных — часть той же картины непрерывности.Руководство ICO по безопасности в рамках UK GDPRподчёркивает адекватные технические и организационные меры. WannaCry запомнился прежде всего не утечкой данных, но программы-вымогатели и разрушительное вредоносное ПО всё равно могут влиять на конфиденциальность, целостность и доступность. В здравоохранении доступность — это вопрос защиты данных и помощи пациентам, потому что недоступные записи могут задержать лечение. Поэтому управление безопасностью должно рассматривать доступность как обязанность перед пациентами, а не только как ИТ-показатель.

Измерение должно включать остаточный риск, а не только истории успеха. Если у траста есть старые системы, ожидающие замены, вопрос общественного интереса в том, понятна ли, профинансирована ли и управляема ли задержка. Если у траста сильные инструменты для конечных точек, но слабая офлайн-непрерывность — этот пробел важен. Если траст быстро обновляет серверы, но не может обновить клинические устройства — эта зависимость должна агрегироваться на национальном уровне. Если у траста хорошие планы, но недавних учений не было — план остаётся непроверенным.

Служба здравоохранения, которая сообщает только об улучшениях без нерешённых пробелов, приглашает следующий сюрприз.

Региональные учения могут сделать агрегированную картину реальной. Полезное учение моделировало бы активную эксплуатацию критической уязвимости сразу в нескольких местных структурах. Оно потребовало бы локальной изоляции, решений о потоках пациентов на региональном уровне, национальных коммуникаций, эскалации к поставщикам, работы с прессой и клинических приоритетов. Оно измеряло бы, может ли служба выявлять экспонированные системы, защищать неотложную помощь и безопасно общаться при неполных фактах. Оно также проверило бы, создаёт ли слабость одной организации чрезмерную нагрузку для соседей.

Результат должен питать финансирование, закупки и подотчётность советов, а не просто становиться заметкой по итогам.

NHS следует также сравнивать кибернепрерывность с другими дисциплинами готовности общественного здравоохранения. Системы здравоохранения уже планируют зимнюю нагрузку, инфекционные заболевания, забастовки и крупные происшествия. Киберсбои должны стоять рядом с этими рисками, потому что они могут лишить мощности, информации или координации именно в момент высокого спроса. Киберучение, которое никогда не доходит до оперативного командования, бессмысленно. Клиническое учение по крупному происшествию, которое предполагает доступность всех цифровых систем, бессмысленно с другой стороны.

Ответственность лежит на тех, кто может сократить время экспозиции

Самый полезный тест после такого дела, как WannaCry, — время экспозиции. Как долго служба несла известный «червеобразный» риск до вспышки? Сколько времени ушло на выявление уязвимых активов? Сколько времени местным структурам понадобилось на установку обновлений? Как долго неподдерживаемые системы оставались без компенсирующих мер? Сколько времени заняло восстановление безопасной помощи? Сколько времени ушло на извлечение уроков и финансирование исправлений? Каждые часы указывают на другого владельца, но вместе они описывают подотчётность службы.

Местные ИТ-команды часто оказываются самыми заметными после инцидента, но они не единственные ответственные. Советы утверждают аппетит к риску и бюджеты. Клинические лидеры утверждают простой и приоритеты замены. Закупочные команды выбирают поставщиков и условия поддержки. Национальные структуры задают стандарты и следят за соблюдением. Министры задают условия финансирования и публичные приоритеты. Вендоры проектируют обновляемые продукты или оставляют покупателям хрупкие легаси-зависимости. Ответственность не должна сваливать всю эту сложность на человека, который должен был установить обновление в конкретный день.

Но и растворяться в сложности ответственность не должна. Если вовлечены все, действовать всё равно должен кто-то. Национальный стандарт должен определять, как выглядит хорошее состояние. Местный совет должен знать, соответствует ли он стандарту. Поставщик должен знать, поддерживает ли его продукт стандарт. Регулятор или аудитор должен знать, соответствуют ли заявления доказательствам. Пациент должен знать, что система извлекла урок из прошлого сбоя. Общая зависимость сокращается, когда каждый слой сокращает экспозицию, которую он контролирует.

Вот почему материалы о WannaCry остаются актуальными годы спустя. Это не только историческое событие с программой-вымогателем. Это модель того, как старое ПО, непроверенное управление обновлениями, неравномерная локальная готовность и пробелы центрального обеспечения могут сложиться во вред государственной услуге. Конкретный эксплойт может забыться. Паттерн зависимости остаётся. Если NHS сможет показать, что теперь видит эти зависимости, управляет ими, отрабатывает их и финансирует их устранение в масштабе всей службы, WannaCry станет усвоенным трудным уроком. Если нет — останется предупреждением, ждущим нового триггера.

Поэтому финальный стандарт ответственности — доказательство снижения общей экспозиции. Траст, который заменяет один старый сервер, улучшает свою локальную позицию. Национальная служба, которая может доказать, что неподдерживаемые критически важные активы известны, исключения финансируются, поставщики подотчётны, обновления своевременны, сегментация проверена, а клинические резервные механизмы работают, изменила систему. Эта разница важна, потому что пациенты не выбирают, какая местная организация окажется сильнейшей в день появления червя. Они полагаются на службу здравоохранения как на государственный институт.

Долг — сделать слабейшую общую зависимость видимой до того, как она станет следующей причиной отмены помощи.

Этот стандарт сохраняет и справедливость анализа. Он не притворяется, что можно устранить любой риск. Здравоохранение всегда будет работать со специализированными устройствами, ограниченными бюджетами, срочными клиническими расписаниями и сложными отношениями с поставщиками. Но он настаивает, чтобы эти ограничения управлялись открыто, настолько, чтобы руководители могли действовать. Скрытая машина без обновления — техническая проблема. Известное, имеющее владельца, изолированное, финансируемое и ограниченное по времени исключение — управляемый риск.

WannaCry показал, что происходит, когда слишком много исключений одновременно остаются невидимыми.

Для будущей подотчётности самым важным публичным числом может быть не число отражённых атак, а число ключевых клинических сервисов, которые продолжают работать, пока сдерживается общая технологическая слабость. Это число связало бы кибербезопасность с обещанием услуги, на которое реально полагаются пациенты. NHS не должна публике идеальную сеть. Она должна доказательства, что одна старая программная ошибка не может тихо стать отказом общего типа в уходе за пациентами, даже в напряжённую клиническую неделю.

Эти доказательства нужно поддерживать до прихода следующего предупреждения. Служба, которая может перечислить свои уязвимые активы только после сбоя, уже приняла слишком много неопределённости. Служба, которая может перечислить их, изолировать, профинансировать замену и отрепетировать деградированную помощь, превратила проблему старого ПО в управляемую работу по непрерывности.