تحتاج المرونة السيبرانية إلى مدير مسؤول واحد

البودكاست: العب في نافذة جديدة | تحميل (المدة: 52:04 — 47.7 ميجابايت)

الاشتراك: أبل بودكاست | سبوتيفي

يشرح الثنائي السبب وراء تحديد مدير مسؤول واحد والأولوية على مستوى مجلس الإدارة وخطة مدتها 30 يومًا ما إذا كانت الرعاية ستستمر في حالة فشل الأنظمة. شاهد أدناه أو على يوتيوب.

يقوم مسؤول تنفيذي واحد مسؤول، يتم تمكينه من الأعلى ويكون مسؤولاً أمام مجلس الإدارة، بفصل أنظمة الرعاية الصحية التي تنجو من انقطاع الإنترنت لفترة طويلة عن أنظمة الرعاية الصحية التي تفشل عندما تتعطل الشبكة. كانت تلك هي الرسالة في حلقة حديثة من برنامج healthsystemCIO Show. وكان من بين الضيوف جون ريجي، المستشار الوطني للأمن السيبراني والمخاطر في جمعية المستشفيات الأمريكية، ووليام والدرز، نائب الرئيس التنفيذي والرئيس التنفيذي لشؤون الرقمية والمعلومات في اللجنة المشتركة. لقد قاموا معًا ببناء برنامج الاستعداد للمرونة السيبرانية الجديد. ويقولون إن الملكية المتناثرة تترك فجوات خطيرة عندما يؤدي الهجوم إلى فصل المؤسسة عن التكنولوجيا التي تدعم كل خطوة من خطوات الرعاية تقريبًا.

ووصف ريجي الاضطرابات بأنها ظلام رقمي. يبدأ الأمر عندما يؤدي برنامج الفدية، أو التحديث الخاطئ لجهة خارجية، أو اضطراب الدولة القومية فجأة إلى إزالة الشبكة والتكنولوجيا المتصلة بالإنترنت. وقال إن التأثيرات المتتالية على الرعاية خطيرة، ونادرا ما مارس الأطباء الأصغر سنا الطب بدون هذه الأدوات. ونتيجة لذلك، فهو يريد من القادة أن ينظروا إلى المرونة باعتبارها مهمة مؤسسية أساسية، وهي مهمة تتجاوز بكثير مجرد وظيفة إصلاحية في المكتب الخلفي.

وقال ريجي: “إن استمرارية الأعمال والاستمرارية السريرية يجب أن تعني نفس الشيء”. “في مكان ما، كان هناك انفصال حيث كان الناس يفكرون في استمرارية الأعمال على أنها، “مرحبًا، ويليام، هذه وظيفتك التأكد من إصلاح التكنولوجيا لدينا بسرعة”، مقابل “أيها الأطباء، كيف يمكننا تشخيص مريض السكتة الدماغية بدون نظام PACS؟”

وأشار ريجي إلى أن معيار التخطيط للبرنامج لمدة 30 يومًا يأتي من البيانات الكمية حول مئات الهجمات. يبلغ متوسط ​​المهلة الزمنية للحدث عالي التأثير حوالي شهر، وتستمر العديد من الحالات لفترة أطول. ونتيجة لذلك، تمت مراجعة افتراضات التخطيط للعديد من الأنظمة، ورأى والدرز التحول بشكل مباشر في منصب مدير تكنولوجيا المعلومات في أحد مستشفيات فلوريدا.

لماذا مالك واحد مهم

ويختلف الهيكل حسب المنظمة، كما اتفق الزعيمان، ولكن المبدأ ينطبق على المستشفيات الإقليمية والفردية. يجب أن يكون هناك شخص يتحمل المسؤولية النهائية. لقد ذهب ريجي إلى حد التوصية بتقرير الدور إلى لجنة مجلس الإدارة حول التقدم المحرز في الاستعداد.

وقال ريجي: “بدون نقطة المساءلة هذه، يمكن أن تستمر جميع اللجان طوال اليوم، وسيكون من الصعب الحصول على نتائج فعالة”. وأضاف أن أولوية القيادة تأتي أولاً، لأنه حتى الموظفين المتفانين نادراً ما يقومون بإجراء تغييرات دون موافقة من الأعلى.

وقد عزز فالدرز هذه النقطة بنموذج مستعار من إدارة الكوارث. أثناء الإعصار أو حدث الإصابات الجماعية، يقود قائد الحادث الاستجابة في إطار الهياكل القائمة مثل HICS وFEMA. ومن ناحية أخرى، لم تتمتع المرونة السيبرانية بهذا الوضوح. وشدد أيضًا على أن الدور يحتاج إلى توسيع نطاقه. يجب أن تعمل في مستشفى إقليمي صغير وبنظام بحجم بروفيدنس.

قال فالدرز: “أنت بحاجة إلى مدير تنفيذي مسؤول، وهو النقطة الوحيدة في القمة، التي تستخدم موارد متعددة التخصصات في جميع أنحاء المنظمة، بما في ذلك جانب خطة الرعاية الصحية، وليس فقط جانب المستشفى”. “عليك أن تتبعه، والأهم من ذلك، عليك أن تمارسه.”

ما وراء التدقيق السيبراني

يقدم برنامج جاهزية المرونة السيبرانية بالفعل تقييمًا ذاتيًا عامًا، يليه إصدار الشهادات والخدمات الاستشارية. كان والدرز صريحًا فيما يتعلق بنطاقه وحدوده. وبشكل ملموس، لا يحل البرنامج محل التدقيق السيبراني، الذي يتم دمجه في أحد المجالات العديدة. وبدلاً من ذلك، يركز العمل الحقيقي على الاستمرارية السريرية على مستوى من التفاصيل لم تحدده العديد من المنظمات من قبل.

وقال فالدرز إن عمق الدفاع وما إذا كان سيتم دفع فدية قد يمثل 10 بالمائة من الصورة. أما نسبة الـ 90 بالمائة المتبقية فتتم مباشرة من خلال رعاية المرضى. على سبيل المثال، هذا يعني أنه يتم تقديم الطلبات الورقية في كل نوبة عمل وأن هناك مدربين لم يعد لديهم الوقت. ويعني ذلك أيضًا نشر طاقم الأشعة عندما تنقطع أجهزة القراءة عن بعد، والعودة إلى السماعات الطبية عندما تفشل أجهزة مراقبة الجنين. وأضاف ريجي أنه حتى أنظمة الدعم تتطلب الاهتمام. وأشار إلى نظام التدفئة والتهوية وتكييف الهواء (HVAC) المتصل بالشبكة، والذي يحافظ على الرطوبة ودرجة الحرارة والضغط الإيجابي الذي تحتاجه غرفة العمليات.

بالنسبة للقادة غير التقنيين، طرح ريجي ثلاثة أسئلة تبدو بسيطة ولكن يصعب الإجابة عليها. ما الذي سينجح مع فقدان الاتصال، وما الذي سينجح، وما الذي لن ينجح، وما هي الخطة لمواصلة الرعاية الآمنة؟ وفي الوقت نفسه، أضاف والدرز سؤالاً رابعاً حول التوقيت: متى يجب عليك إنشاء مركز قيادة وجلب الأشخاص المناسبين؟

توريد المصعد

وقال فالدرز إن أكبر عائق أمام الاستعداد هو إتاحة الممارسة والأدوات التي يتطلبها النضج. يتلقى الممرضون الجدد ما يقرب من أسبوعين من التدريب على السجلات الصحية الإلكترونية عند الوصول، ويتلقى الأطباء الجدد ما يقرب من أسبوع واحد. ومع ذلك، لا أحد تقريبًا يتعلم كيفية تقديم الرعاية بدون التكنولوجيا. وتعني هذه الفجوة أن الفرق بحاجة إلى إعادة التدريب على الطلبات الورقية وطلبات المختبرات اليدوية. تم تصميم البرنامج الجديد لدعم هذا الرفع.

وقال ريجي إن إقامة علاقات إنفاذ القانون قبل وقوع الحادث أمر مهم أيضًا. وحث القادة على معرفة اتصالاتهم في مكتب التحقيقات الفيدرالي، والخدمة السرية، وCISA، وHHS قبل حدوث الأزمة. وأوضح أيضًا أن وكالات التحقيق لا تعمل كجهات رقابية. وهذا الفصل، في الواقع، يحمي التعاون بين الضحايا، وقد ساعد جمعية القلب الأمريكية على إشراك الشركاء الفيدراليين في تمارين الطاولة.

خذها بعيدا

• قم بتسمية أحد المسؤولين التنفيذيين المسؤولين عن المرونة السيبرانية واطلب من هذا الشخص تقديم تقرير عن التقدم المحرز إلى لجنة مجلس الإدارة.
• اعتبر الاستمرارية السريرية واستمرارية الأعمال بمثابة نفس المهمة
• خطط للانقطاع لمدة 30 يومًا، وهو المتوسط ​​القائم على البيانات للهجمات عالية التأثير، وقم بإنشاء قوائم مرجعية للإجراءات الفورية التي يمكن للموظفين تنفيذها تحت الإكراه.
• قم بتخطيط كل التبعيات المتعلقة بالشبكة، بما في ذلك الأنظمة الداعمة مثل HVAC، وقم بتوثيق ما ينجح، وما يفشل، والخطة لكل منها.
• تأكد من وجود الرئيس التنفيذي بشكل آمن في التدريبات المكتبية، حيث يتبع ذلك الحضور والمشاركة عندما يعتبر الرئيس التنفيذي الاستعداد أولوية.
• قم ببناء علاقات مع مكتب التحقيقات الفيدرالي والخدمة السرية وCISA وHHS قبل وقوع أي حادث.
• إعادة تدريب الموظفين السريريين على سير العمل الورقي، حيث نادراً ما يغطي التدريب الرسمي الرعاية الخالية من التكنولوجيا.

واختتم كلا الزعيمين بملاحظة الاستعداد في مواجهة الخوف. وأشار والدرز إلى النظام الذي تمارسه بالفعل المجالات ذات الموثوقية العالية. وقال: “اعرف أفعالك الفورية، ومارسها، وخطط لكل شيء آخر، ثم استجب لها بشكل مشروط عند الضرورة”.

مقالات ذات صلة