NHS WannaCry 使旧软件成为公共服务的共模依赖

摘要

• 2017 年 5 月的 WannaCry 疫情暴露了 NHS 的共模故障：许多地方护理组织依赖于易受攻击的 Windows 系统、不均衡的补丁部署、共享的服务假设以及应急通信，当勒索软件通过同一弱点传播时，这些都可能同时失效。
• 问责问题不在于某个医院、某个软件版本或某个管理员导致了中断，而在于谁实际控制了旧系统拆除、补丁部署、信任治理、网络分段、中央指导以及护理连续性不再依赖于单一可利用漏洞的证据。
• 国家审计署、卫生与社会保障部、国家网络安全中心、NHS Digital、微软、CISA 和议会记录共同表明：疫情爆发前已有可用补丁，许多组织仍然易受攻击，公开后果包括预约取消、救护车分流和临床运营能力下降。
• 持久的修复应以护理保护为衡量标准：资产清单、受支持的软件、补丁合规性、端点检测、离线连续性计划、地方演练结果、区域升级以及董事会可见的证据，证明临床服务可以在不影响患者安全的前提下降级运行。

事件是勒索软件，但依赖关系更久远

WannaCry 于 2017 年 5 月 12 日侵袭 NHS，利用了一个已被微软 MS17-010 安全更新修复的蠕虫式 Windows 漏洞。微软的MS17-010 安全公告于 2017 年 3 月发布，微软在WannaCrypt 攻击期间的客户指导中描述了应用更新、保护不受支持系统以及阻断攻击路径的必要性。CISA 的2017 年 5 月警报和欧洲刑警组织的公开声明显示，此次疫情是全球性的，而非 NHS 独有。

NHS 的问题在于共模暴露。国家审计署的WannaCry 与 NHS 调查发现，攻击影响了英格兰 236 个 NHS 信托中的至少 80 个，以及包括全科诊所和其他 NHS 机构在内的 603 个 NHS 组织。国家审计署的完整报告 PDF还记录了大量取消的预约和手术、受影响的救护车分流，以及没有 NHS 组织支付赎金的事实。这些事实使该事件成为一个公共服务连续性事件，而不仅仅是恶意软件感染。

共模问题在于，许多组织可能通过同一类弱点而失效。某个地方信托可能修补了部分机器，但其他机器仍然暴露，依赖不受支持的操作系统，将旧诊断或行政系统连接到更广泛的网络，或缺乏完整的资产清单。另一个信托可能有更强的补丁部署，但仍依赖区域合作伙伴、共享转诊渠道或网络服务。勒索软件因此成为整个医疗服务环境的连续性测试，因为患者护理依赖于许多地方系统同时做好准备。

问责问题具有实践性。谁能在 2017 年 5 月之前减少共享依赖？地方 NHS 机构控制着自己的资产、补丁纪律、网络分段和业务连续性演练。国家机构控制着指导、资金压力、保证、合同期望以及未解决风险的可见性。供应商控制着支持条款、补丁可用性和医疗设备软件依赖。部长和董事会控制着旧系统作为成本节约妥协被容忍的时间。患者则无法控制任何这些。

补丁已存在，但补丁不等于部署

MS17-010 的存在至关重要，因为它展示了可用性与实施之间的区别。微软在疫情爆发前发布了相关更新。这一事实并不能证明每个 NHS 机构都忽略了简单的指令。医疗环境包含旧设备、供应商验证的配置、临床排程约束以及不能在不影响服务的情况下轻易更改的网络。但这确实表明问题已从纯粹的软件漏洞转向部署治理。如果受影响的机器在病房、诊所、实验室或行政办公室中仍未打补丁，那么供应商网站上可用的补丁并不能保护患者。

NHS Digital 的CareCERT 网络警报 CC-1353警告 NHS 组织应用微软更新并保护系统。卫生与社会保障部的经验教训审查后来强调了资产管理、补丁、防病毒、不受支持系统、网络分段和事件响应。该审查的PDF 版本很重要，因为它将网络就绪视为系统责任，而非单一技术修复。

这就是生命周期和锁定进入问责记录的地方。不受支持的系统往往因为替换成本高昂、专业软件依赖旧平台、临床设备生命周期长以及地方组织面临竞争压力而保留。每个原因都可以理解。但当许多组织共享同一旧弱点时，综合效果是危险的。软件生命周期风险成为公共服务依赖，因为医疗服务可能隐藏着一个连续性暴露，只有当患者预约被取消时才会被发现。

因此，修复证据应避免“修补有所改善”的狭隘说法。一份成熟的记录应显示哪些关键系统仍不受支持、哪些有补偿控制、哪些被隔离、哪些有供应商升级承诺、哪些无法在不更换临床设备的情况下替换，以及哪些董事会已用公共利益语言接受了剩余风险。旧软件本身并非鲁莽。在临床操作中未见、未管理的旧软件才是真正的问题。

地方控制和国家控制相互交织

NHS 并非一个单一的机房。它是一个联合的公共服务，包含地方组织、国家机构、供应商、临床团队和共享基础设施。这种结构使问责复杂化，但并未消除问责。国家审计署报告和公共账目委员会的2018 年网络攻击报告都强调了挑战：是否所有地方机构都遵循了指导，以及中央机构是否有足够的可见性来保证就绪。

地方机构直接控制着许多实际保障措施。他们可以维护资产清单、应用安全更新、替换不受支持的系统、分段网络、培训员工、测试连续性计划以及监控恶意软件指标。他们可以确保关键临床功能有纸张或离线备用程序，并且升级渠道在数字中断后仍然存活。他们还可以记录临床风险担忧何时延迟了补丁部署，以及应用了哪些补偿控制。

国家机构控制着不同层面。他们可以定义强制性标准、协调情报、资助改进、强制执行截止日期、收集保证证据，以及建立区域事件响应。NHS Digital、NHS England、卫生部以及后来的 NHSX 等相关机构都在国家就绪环境中扮演了角色。国家网络安全中心的WannaCry 一周年反思及其缓解恶意软件和勒索软件攻击的指导展示了中央网络指导如何为公共和私人组织概括了经验教训。

共享结构产生了反复出现的风险：地方机构可能会说他们资金不足、受限制或依赖中央系统；中央机构可能会说地方信托应对自己的补丁负责；供应商可能会说升级需通过采购程序；董事会可能会说临床需求导致中断不可接受。每种说法都可能包含真相。问责在于谁能让整个系统减少对同一弱点的依赖。这需要国家对地方风险的可见性，以及地方对国家标准的实施。

患者伤害是间接但真实的

WannaCry 无需加密每个临床系统就能影响护理。国家审计署记录了取消的预约、中断的全科服务、救护车分流和受影响的诊断。这些结果是间接的，因为恶意软件攻击的是计算机，而非患者。它们又是真实的，因为护理依赖于计算机进行排程、记录、影像、通信、处方、转诊和协调。医疗服务的网络事件在临床工作减慢、转移或失去必要信息时成为患者安全问题。

这对影响测量至关重要。如果组织仅计算赎金支付或损坏文件，就会忽略公共服务伤害。NHS 没有支付赎金，但患者仍然失去了预约，服务仍然承担了恢复成本。一些系统即便未被感染也被防御性离线。一些组织因为无法信任数字环境而不得不取消护理。其他组织因更好的分段或备用而得以继续。伤害分布在服务中，这种分布正是教训所在。

更强的影响力记录应将技术状态与护理状态联系起来。哪些系统被感染？哪些被预防性断开？哪些预约因特定系统不可用而取消？哪些救护车分流源于地方容量或信心问题？哪些实验室、影像服务和记录系统受到影响？哪些组织因经过测试的备用措施而维持了护理？没有这种映射，公众会看到大规模中断，但无法判断哪些控制措施保护了患者，哪些未能保护。

因此，NHS 后来的网络韧性工作应针对临床连续性进行评估。计算打了补丁的设备、端点覆盖范围和网络培训完成度是有用的。更有用的是了解一个信托是否能在隔离受影响系统的同时安全地继续紧急护理；临床医生是否能在网络降级时访问基本的患者事实；区域合作伙伴是否知道如何为患者转诊；网络事件指挥官是否能与临床领导者共同决策，而不是将事件视为单一的 IT 问题。

不受支持系统问题是治理问题

不受支持的软件不仅仅是一个技术债务类别。在公共医疗环境中，它是一个关于谁承担风险的治理决策。一个信托可能因为临床设备更换成本高而保留旧机器。供应商可能只支持遗留平台上的设备。采购流程可能推迟替换。董事会可能因资本预算紧张而接受风险。而患者最终只经历连续性失败。

英国的经验教训审查将不受支持系统列为重要补救主题之一。这是正确的，但不受支持状态本身并非唯一指标。一个受支持但未打补丁的系统可能易受攻击。一个不受支持但被隔离、密切监控并计划更换的系统，其运行风险可能低于一个没有负责人的受支持系统。治理问题在于每个高风险资产是否拥有指定的负责人、生命周期计划、补偿控制和董事会可见性。

医疗和运营技术使问题复杂化。一些临床设备无法在没有供应商验证的情况下打补丁。一些旧系统支持专业工作流。一些替换需要停机，影响护理。这些约束是真实的，但它们应被当作例外可见，而非隐藏的常规操作。如果一台机器无法打补丁，记录应显示原因、如何隔离、将保留多久、依赖什么服务以及如果失败会发生什么。

英国的公共部门教训超出了 NHS。学校、议会、警察、交通机构和紧急服务部门都携带一些旧软件。NHS 案例之所以生动，是因为患者护理直接相关，但共模模式更广泛。公共服务需要一种方法来了解何时多个地方机构依赖相同的不受支持或未打补丁的技术，因为攻击者或蠕虫不会尊重组织边界。

安全自动化仅在所有权明确后才有帮助

WannaCry 之后，安全自动化颇具吸引力。端点工具、漏洞扫描器、补丁编排、资产发现、威胁情报源和自动遏制都可以减少暴露。但自动化无法修复无人拥有的资产、无法打补丁的临床设备、从未映射的网络，或者将旧软件视为隐形成本问题的董事会。自动化加强治理，但不能替代治理。

最有价值的自动化将首先回答基本问题。存在哪些设备？它们运行什么操作系统？哪些不受支持？哪些缺少 MS17-010 或同等关键补丁？哪些系统可以互相访问？哪些连接到临床工作流？哪些因供应商限制而被排除在扫描之外？哪些地方机构存在无法解释的差距？这些答案将一般风险转化为可管理的登记册。

下一层是行动。自动补丁部署可以在安全的地方部署更新。漏洞管理可以优先处理关键暴露。网络监控可以检测蠕虫式流量。端点检测可以遏制恶意软件。备份系统可以支持恢复。但每个自动化操作都需要一个临床安全例外流程。如果更新因可能干扰诊断设备而无法应用，该例外应触发隔离和替换规划，而非无限期容忍。

NCSC 的通用勒索软件指导很有帮助，因为它将预防、备份、事件响应和恢复结合起来。WannaCry 展示了这些类别为何应归为一体。医疗服务不能将勒索软件韧性视为单一产品采购。它需要补丁治理、分段、备份、用户教育、经过测试的恢复和临床升级。只有当多重保障重叠时，共模依赖才会消失。

修复证据应足够公开以建立信任

患者不需要每个易受攻击设备的 IP 地址。他们需要的是确信医疗服务从一次中断护理的事件中吸取了教训。公共保证可以在不向攻击者暴露详细地图的情况下设计。它可以报告有多少组织满足当前网络标准、不受支持系统数量的趋势、连续性演练的频率、关键补丁应用的速度以及董事会如何处理例外。它还可以报告独立审计是否发现未解决的系统性差距。

国家审计署和公共账目委员会的资料表明独立保证的重要性。WannaCry 之前，指导已经存在，但对地方实施的保证并不完整。WannaCry 之后，教训不仅仅是发布更好的建议。而是要了解建议是否改变了提供护理的系统的状态。一个无法看到地方实施的国家机构无法告诉公众共模依赖是否已减少。

修复记录还应区分韧性与响应。响应关注的是 NHS 能否检测、遏制和从事件中恢复。韧性关注的是事件能否在护理被取消之前被预防或限制。两者都很重要。一个能快速恢复的医院如果许多预约被取消，仍然会伤害患者。一个能防止传播但没有备用方案的医院在防御性关闭期间也可能陷入困境。最强态势降低了感染概率、限制了传播、保留了基本护理并快速恢复了证据。

以患者为中心的基准很简单：当常见软件弱点被利用时，医疗服务能否继续紧急护理？这个基准迫使领导者提出运营问题而非单纯的技术问题。纸张程序是否最新？临床医生能否在没有电子系统的情况下识别患者？救护车能否安全改道？诊断结果能否安全传达？初级护理能否维持足够的服务运行？国家机构能否快速协调地方事实？这些问题使网络韧性成为护理连续性学科。

未来的共模事件不应令人意外

WannaCry 之所以轰动，是因为它传播迅速且全球性。下一次共模事件可能更为平静。它可能是一个被入侵的更新、一次云身份中断、一次证书故障、一个端点安全漏洞、一次供应商违规，或广泛使用的医疗软件中的漏洞。共通的教训是，许多地方公共服务组织可能依赖相同的技术条件，却没有意识到自己是共同暴露的。

NHS 可以通过将技术相似性视为可测量的暴露来降低这种风险。如果许多信托依赖相同的不受支持系统，那就是共模风险。如果许多信托因供应商限制而无法打补丁某类设备，那就是共模风险。如果许多地方机构依赖相同的远程访问产品、身份提供商或备份产品，那就是共模风险。风险登记册不应仅限于地方；它应跨服务汇总模式。

采购职能在此发挥作用。临床和管理技术的合同应要求生命周期支持、补丁透明度、漏洞披露和经过测试的升级路径。供应商声明应与护理连续性职责挂钩。一个需要数月谈判才能打补丁的设备不仅是技术上的不便，更是患者安全上的依赖。控制升级路径的供应商应分担使升级路径可行的责任。

董事会角色同样重要。董事会文件不应只说网络风险高。它们应指明不受支持系统、补丁例外、关键服务依赖、演练结果和未解决的供应商约束。高管应能解释如果明天出现可蠕虫化漏洞会发生什么。临床领导者应参与，因为优先事项是护理连续性，而不仅仅是技术恢复。财务领导者应参与，因为旧系统替换通常是一个资本决策。

WannaCry 给公众的教训并非每个旧系统必须在一夜之间消失。而是旧软件在变得隐形、共享和失控时变得危险。因此，NHS 的问责记录应以旧系统和补丁风险是否在患者感受到之前足够可见并采取行动来评判。补丁曾存在。指导曾存在。缺失的是有保证的、服务范围的准备。这就是为什么 WannaCry 仍然是一个共模依赖案例，而非简单的勒索软件记忆。

补丁窗口必须围绕护理设计，而非与护理对立

补丁在医院中失败的一个原因是停机本身可能带来风险。病房系统、影像设备、实验室机器或排程平台可能支持实时护理。粗心的更新可能中断服务、破坏已验证的设备配置，或迫使临床团队采用不安全的变通方案。这一现实通常成为延迟的理由。更好的问责答案不是要求鲁莽的修补，而是创建计划、测试、并在错过时升级的护理意识补丁窗口。一个信托应知道哪些系统可以自动更新，哪些需要供应商验证，哪些需要临床停机批准，以及哪些在等待时具有补偿控制。

NHS 事件表明，缺乏计划性补丁治理可能在以后造成更严重的停机。取消有限的维护窗口有时比解释短暂的服务中断更容易。但如果许多地方机构反复做出这一决定，医疗服务就会积累隐藏的暴露。蠕虫不会等待便利的临床排程。问责问题在于，领导者是否在攻击者使之可见之前就让风险可见了。一个地方例外应有日期、负责人、临床理由、安全理由、补偿控制和审查点。当相同的例外出现在许多信托中时，国家机构应将其视为需要资金、供应商谈判或架构变更的共享风险。

英国政府在 WannaCry 后的更广泛网络韧性语言朝这个方向发展。内阁办公室和 NCSC 反复将公共部门网络安全定为运营韧性事务，NCSC 的网络评估框架为组织提供了基本功能、保护、检测、响应和恢复的结构。CAF 不是 WannaCry 的法医来源，但它是一种表达教训的有用方式：相关功能是患者护理，而非 IT 系统的单纯存在。补丁和生命周期控制应以其对这一基本功能的贡献来判断。

因此，临床领导者应参与补丁治理。一个纯粹的技术董事会可能知道缺少哪个更新，但不知道匆忙安装会危及哪些服务。一个纯粹的临床董事会可能知道服务风险，但不知道无限期延迟的网络暴露。决策需要两者。如果本周无法应用补丁，因为诊断设备使用频繁，记录应说明今天如何保护该设备、需要供应商采取什么行动，以及何时重新审视决定。如果答案持续数月，则应为董事会级别的风险，而非帮助台脚注。

这种方法也改善了公开解释。当另一次 NHS 网络事件发生时，公众不需要系统正在恢复的通用声明。他们需要确信领导者已经知道哪些系统最重要、哪些风险已被接受、以及哪些服务有备用计划。事件前补丁例外记录越严谨，事件后公开解释就越快。医疗服务不能分享每个技术细节，但它可以分享例外得到治理而非被遗忘的事实。

分段是护理连续性控制

WannaCry 的蠕虫式传播使网络分段成为核心。分段在技术图中常被描述，但在 NHS 背景下，它是护理连续性控制。它决定了一台易受攻击的管理机器是否会影响临床服务，一个地方站点是否会污染另一个，诊断设备能否在不完全失去访问的情况下隔离，以及事件能否在继续紧急护理的同时得到遏制。如果环境的每一部分都信任其他部分，一个旧弱点就可能成为服务范围的中断。

分段还必须在危机期间可用。一个只能由小团队在工作时间内分段的网络在勒索软件快速传播时不太有用。一个信托应知道哪些连接可以关闭，关闭会产生什么临床影响，以及如果服务被隔离，临床医生将如何工作。它应在现实条件下测试隔离。医院能否在断开可疑网络分段的同时继续治疗急诊患者？全科诊所能否在中央系统不可用时继续基本服务？区域能否在信托对数字系统失去信心时重新引导患者？这些是网络问题，只是因为它们首先是护理问题。

国家审计署报告记录到，一些组织作为预防措施断开了系统，组织间的通信受到了影响。这意味着分段和应急通信是关联的。如果一个信托隔离系统以防止扩散，它仍然需要安全的方式与区域合作伙伴、救护车服务、国家机构和患者沟通。依赖同一受影响网络的备用通道并非备用。未经过演练的纸张程序并非程序。仅存储在不可访问系统上的联系人列表变成了另一个共模依赖。

因此，一个有用的修复指标是“安全隔离时间”。一个地方组织识别可疑蠕虫、隔离受影响片段、保留紧急护理并向区域指挥报告状态需要多长时间？另一个指标是“可信通信时间”。组织需要多长时间才能告诉员工使用哪些系统，告知患者哪些服务受到影响，并告知合作伙伴是否需要转移救护车或转诊？这些指标比拦截的恶意软件样本数量更有意义，因为它们将技术行动与公共服务连续性联系起来。

分段还揭示了供应商依赖。一些临床设备和遗留系统很难隔离，因为它们从未被设计用于应对现代网络威胁。合同应要求供应商支持安全操作、可修补性、日志记录和网络分离。如果供应商无法使设备支持安全分段，买家应在购买前知晓。如果遗留设备仍然存在，风险应在采购、临床治理和网络保证中可见。这就是旧设备停止成为隐藏共模暴露的方式。

教训应在整个服务范围内衡量

WannaCry 之后，个别改进是必要但不充分的。一个信托可以变得更强，但如果许多其他信托共享同一弱点，整个服务仍然暴露。共模教训需要汇总衡量。国家领导者应能回答有多少组织拥有不受支持的关键系统，有多少关键漏洞超过了补丁截止日期，有多少信托在过去一年测试了勒索软件连续性，有多少供应商约束阻止了补丁，以及有多少地方例外没有资金支持的替换路径。

NHS 数据安全和保护工具包，可通过NHS England 工具包门户获取，是收集自我评估和保证信息的机制之一。自我评估本身并不足够，但它为比较组织和升级差距提供了结构。独立测试、区域演练、董事会保证和有针对性的资金应与之并行。风险在于，检查清单成为安慰对象而非控制手段。问题始终应是，报告的一致性能否在可蠕虫化漏洞出现时真正保护患者护理。

信息专员办公室也很重要，因为健康数据风险是同一连续性图景的一部分。ICO 关于UK GDPR 下的安全指导强调了适当的技术和组织措施。WannaCry 主要并非因数据泄露而被铭记，但勒索软件和破坏性恶意软件仍会影响机密性、完整性和可用性。在医疗保健中，可用性是数据保护和患者护理问题，因为不可用的记录可能延迟治疗。因此，安全治理应将可用性视为面向患者的职责，而不仅仅是 IT 服务目标。

衡量应包括剩余风险，而不仅仅是成功案例。如果一个信托有等待替换的旧系统，公共利益问题是延迟是否被理解、资助和控制。如果一个信托有强大的端点工具但薄弱的离线连续性，该差距很重要。如果一个信托能快速修补服务器但无法修补临床设备，该依赖应在国家层面汇总。如果一个信托有良好的计划但近期未演练，计划仍未经验证。一个只报告改进而不报告未解决差距的服务将招致另一次意外。

区域演练可以使汇总图景变得真实。一个有用的演练应模拟一个关键漏洞在多个地方机构中被积极利用。它需要地方隔离、区域患者流动决策、国家电信、供应商升级、媒体处理和临床优先级排序。它将衡量服务能否在事实不完整的情况下识别暴露系统、保护紧急护理并安全沟通。它还将测试一个组织的弱点是否给其邻居造成不合理负担。结果应反馈到资金、采购和董事会问责中，而不仅仅是事后总结。

NHS 还应将网络连续性与其他卫生准备学科进行比较。卫生系统已经为冬季压力、传染病、工业行动和重大事件制定了计划。网络中断应与之并列，因为它可能在高需求时刻消除容量、信息或协调。一个从未触及运营指挥的网络演练错过了要点。一个假设所有数字系统可用的临床重大事件演练则从另一方面错过了要点。

问责属于能够缩短暴露时间的人

在 WannaCry 这样的案例之后，最有用的测试是暴露时间。服务在疫情爆发前承受已知的蠕虫风险多久？识别脆弱资产需要多久？地方机构应用补丁需要多久？不受支持的系统在无补偿控制的情况下存在多久？恢复安全护理需要多久？学习和资助修复需要多久？每个时钟指向不同的责任人，但它们共同描述了服务的问责状况。

地方 IT 团队在事件后通常最引人注目，但他们并非唯一应负责的角色。董事会批准风险偏好和预算。临床领导者批准停机时间和替换优先级。采购团队选择供应商和支持条款。国家机构设定标准并监督合规。部长设定资金条件和公共优先事项。供应商设计可修补的产品，或让买家陷入脆弱的遗留依赖。问责不应将所有这些复杂性压到那个在特定一天本应打补丁的人身上。

问责也不应消散于复杂性之中。如果每个人都参与其中，仍然需要有人采取行动。国家标准应定义良好状态。地方董事会应知道是否满足标准。供应商应知道其产品是否支持标准。监管机构或审计员应知道声明是否与证据匹配。患者应知道系统已从过去的失败中吸取教训。当每个层面缩短其控制的暴露时，共模依赖就会缩小。

这就是为什么 WannaCry 记录在多年后仍然相关。它不仅仅是一个历史的勒索软件事件。它是一个模型，展示旧软件、未经测试的补丁治理、不均衡的地方准备和中央保证差距如何结合成公共服务伤害。具体的漏洞可能会消退。依赖模式依然存在。如果 NHS 能证明它现在在整个服务中看到、治理、演练和资助这些依赖，WannaCry 就成为了一个被吸收的艰难教训。若非如此，它仍然是一个等待新触发的警告。

最终的问责标准因此是减少共享暴露的证据。一个信托替换一台旧服务器改善了其地方状况。一个能证明不受支持关键资产已知、例外得到资助、供应商受问责、补丁及时、分段经过测试且临床备用有效的国家服务已经改变了系统。这种差异很重要，因为患者不会选择在蠕虫到达那天哪个地方组织恰好最强。他们依赖于作为公共机构的医疗服务。职责在于使最弱的共同依赖在成为下一个护理取消原因之前可见。

该标准保持了分析的公平性。它并不假装可以消除所有风险。医疗保健将始终运行专业设备、受约束的预算、紧急的临床排程和复杂的供应商关系。但它坚持，这些约束应被足够公开地治理，以便领导者采取行动。一个隐藏的未打补丁的机器是一个技术问题。一个已知、拥有、隔离、资助且有时限的例外是管理风险。WannaCry 展示了当太多例外同时保持隐形时会发生什么。

对于未来的问责，最重要的公共数字可能不是被阻止的攻击次数。它可能是能够保持运行的、基本临床服务的数量，而一个共享的技术弱点正在被遏制。这个数字将网络安全与患者真正依赖的服务承诺联系起来。NHS 不欠公众一个完美的网络。它欠的是证据，证明一个旧的软件漏洞不能在繁忙的临床周内悄悄成为护理的共模故障。

该证据必须在下一个警报到来之前维护好。一个只能在中断后列出脆弱资产的服务已经接受了太多不确定性。一个能够列出它们、隔离它们、资助替换并演练降级服务的服务，已将旧软件问题转化为受治理的连续性工作。