Elektroniniai receptai, pacientų sveikatos istorijos, laboratorinių tyrimų rezultatai ir medicininių duomenų mainai tarp gydymo įstaigų tapo neatsiejama sveikatos priežiūros dalimi. Tačiau kaip užtikrinti, kad ši sistema būtų atspari kibernetinėms grėsmėms? Mykolo Romerio universiteto (MRU) vadybos krypties mokslininkė Lina Lelešienė disertacijoje nagrinėjo, kaip sujungti technologinius, organizacinius ir strateginius sprendimus, kad e. sveikatos sistemos kibernetinis saugumas būtų valdomas nuosekliai. Pokalbyje ji pasakoja, kokias valdymo spragas išryškino ekspertų įžvalgos, kaip veikia jos sukurtas keturių lygmenų modelis ir ką sveikatos priežiūros organizacijos galėtų keisti jau dabar. Disertacijos vadovas – prof. dr. Tadas Limba.
prof. dr. T.Limba ir dr. L. Lelešienė
– Kokią e. sveikatos kibernetinio saugumo problemą nagrinėjote ir kodėl svarbu ją spręsti?
– Šiuolaikinėje visuomenėje sveikatos priežiūros paslaugos tampa vis labiau priklausomos nuo skaitmeninių technologijų. Elektroniniai receptai, pacientų sveikatos istorijos, registracija pas gydytojus, laboratorinių tyrimų rezultatai ir medicininių duomenų mainai tarp gydymo įstaigų šiandien yra neatsiejama sveikatos priežiūros sistemos dalis. Tačiau kartu su skaitmenizacijos teikiamomis galimybėmis didėja ir priklausomybė nuo informacinių sistemų patikimumo bei jų kibernetinio saugumo. Savo disertacijoje nagrinėjau vieną aktualiausių šiuolaikinės e. sveikatos sistemos iššūkių – kaip užtikrinti veiksmingą kibernetinio saugumo valdymą, kai skirtingos sveikatos priežiūros įstaigos, informacinės sistemos, technologijos ir atsakingos institucijos turi veikti kaip viena tarpusavyje susijusi sistema.
Ši problema aktuali ne tik informacinių technologijų specialistams ar sveikatos priežiūros įstaigų vadovams, bet ir kiekvienam pacientui. Pavyzdžiui, įsivaizduokime situaciją, kai dėl kibernetinės atakos sutrinka ligoninės informacinės sistemos veikla. Gydytojas negali laiku susipažinti su paciento tyrimų rezultatais, sutrinka elektroninių receptų išrašymas arba tampa neprieinama svarbi medicininė informacija. Tokiu atveju kibernetinis incidentas tampa ne vien technologine problema – jis gali tiesiogiai paveikti sveikatos priežiūros paslaugų prieinamumą, jų kokybę ir pacientų saugą. Tyrimo aktualumą lemia tai, kad tradiciškai kibernetinis saugumas organizacijose dažnai suprantamas kaip techninių priemonių visuma: ugniasienės, antivirusinės programos, prieigos kontrolė ar duomenų šifravimas. Nors šios priemonės būtinos, vien jų nepakanka. Net ir pažangiausios technologijos negali užtikrinti veiksmingo saugumo, jeigu organizacijoje nėra aiškiai paskirstytos atsakomybės, sistemingai nevertinamos rizikos, nepakankamai bendradarbiauja skirtingi padaliniai arba nėra pasirengta veikti kibernetinio incidento metu. Be to, e. sveikatos sistema pasižymi sudėtinga tarpusavio priklausomybe: vienos informacinės sistemos pažeidimas gali turėti pasekmių kitoms sistemoms ir paslaugoms. Todėl atskirų organizacijų pastangų ne visuomet pakanka – būtinas suderintas, visos sistemos lygmeniu taikomas kibernetinio saugumo valdymas.
Pagrindinė disertacijoje nagrinėta mokslinė problema – kaip sukurti tokį kibernetinio saugumo valdymo modelį, kuris sujungtų technologinius, organizacinius, procesinius ir strateginius sprendimus bei sudarytų prielaidas didinti e. sveikatos sistemos atsparumą kibernetinėms grėsmėms. Mano požiūriu, visuomenei svarbu suprasti, kad e. sveikatos kibernetinis saugumas reiškia ne tik mūsų asmens duomenų apsaugą. Tai taip pat yra gydymo paslaugų tęstinumo, sveikatos sistemos patikimumo ir pacientų saugos užtikrinimo klausimas.
– Kokias svarbiausias kibernetinio saugumo valdymo problemas atskleidė Jūsų tyrimas?
– Atliktas tyrimas atskleidė tris esminius rezultatus, kurie leidžia iš naujo pažvelgti į kibernetinio saugumo valdymą sveikatos sektoriuje.
Pirmasis rezultatas – svarbiausios kibernetinio saugumo valdymo problemos yra ne vien technologinio, bet ir organizacinio bei vadybinio pobūdžio. Tyrimas parodė, kad e. sveikatos organizacijose kibernetinio saugumo valdymo trūkumai dažnai susiję su nepakankamai aiškiu atsakomybių paskirstymu, fragmentišku rizikų vertinimu, ribotu vadovybės įsitraukimu ir nepakankamu skirtingų valdymo lygmenų bendradarbiavimu. Tai ypač reikšminga išvada, nes įprastai kibernetinio saugumo stiprinimas siejamas su naujų technologijų įsigijimu ar techninės infrastruktūros modernizavimu. Tačiau tyrimo rezultatai leidžia teigti, kad investicijos į technologijas ne visada duoda laukiamą rezultatą, jeigu jos nėra integruotos į nuoseklią organizacijos valdymo sistemą.
Antrasis rezultatas – veiksmingam kibernetiniam saugumui būtina keturių valdymo lygmenų integracija. Disertacijoje suformuotas ir, remiantis empirinio tyrimo rezultatais, patikslintas kibernetinio saugumo valdymo modelis, integruojantis strateginį, taktinį, operacinį ir technologinį valdymo lygmenis. Strateginiu lygmeniu priimami esminiai sprendimai dėl saugumo prioritetų, rizikų ir finansinių išteklių. Taktiniu lygmeniu organizuojamas šių sprendimų įgyvendinimas ir padalinių veiklos koordinavimas. Operaciniu lygmeniu vykdomi kasdieniai saugumo procesai ir reaguojama į incidentus, o technologiniu lygmeniu įgyvendinamos konkrečios informacinių sistemų ir duomenų apsaugos priemonės. Svarbiausia tai, kad šie lygmenys negali veikti izoliuotai. Pavyzdžiui, jeigu organizacijos vadovybė nustato kibernetinio saugumo prioritetus, tačiau jie neperkeliami į kasdienius procesus ir technologinius sprendimus, realus saugumo lygis gali išlikti nepakankamas.
Trečiasis rezultatas – sukurtas modelis gali būti taikomas kaip praktinė priemonė organizacijų kibernetinio saugumo valdymo brandai vertinti ir tobulinti. Vienas svarbiausių disertacijos rezultatų yra ne tik patikslintas teorinis kibernetinio saugumo valdymo modelis, bet ir parengta jo pagrindu grindžiama brandos vertinimo metodika bei vertinimo matrica. Šios priemonės sudaro galimybę sistemingai įvertinti, kurios kibernetinio saugumo valdymo sritys organizacijoje yra pakankamai išplėtotos, kuriose egzistuoja spragų ir kokiems pokyčiams reikėtų teikti pirmenybę.
Tyrimas buvo grindžiamas mokslinės literatūros, tarptautinių standartų, teisės aktų ir kibernetinių incidentų analize bei kokybiniu empiriniu tyrimu, kuriame dalyvavo devyni kibernetinio saugumo ir e. sveikatos sistemų valdymo sričių ekspertai. Jų įžvalgos buvo analizuojamos taikant teminę analizę, o ekspertų vertinimų suderinamumas vertintas naudojant Kendall konkordacijos koeficientą W. Gauti rezultatai parodė aukštą ekspertų vertinimų suderinamumą tyrimo imties ribose. Jeigu reikėtų išskirti vieną svarbiausią žinią visuomenei, ji būtų tokia: kibernetinis saugumas prasideda ne nuo technologijų, o nuo atsakingo ir nuoseklaus valdymo. Technologijos yra būtinos, tačiau jų veiksmingumas priklauso nuo to, kaip organizacija geba priimti sprendimus, paskirstyti atsakomybes, bendradarbiauti ir mokytis iš patirties.
– Kam Jūsų tyrimo rezultatai gali būti naudingi ir ką rekomenduojate keisti?
– Disertacijos rezultatai pirmiausia aktualūs sveikatos priežiūros įstaigų vadovams, kibernetinio saugumo ir informacinių technologijų specialistams, e. sveikatos informacinių sistemų valdytojams bei sveikatos politiką formuojančioms ir įgyvendinančioms institucijoms. Tačiau tyrimo praktinė reikšmė yra platesnė – siūlomi kibernetinio saugumo valdymo principai gali būti aktualūs ir kitoms viešojo sektoriaus organizacijoms, kurių veikla priklauso nuo sudėtingų informacinių sistemų bei jautrių duomenų tvarkymo. Remdamasi tyrimo rezultatais, išskirčiau tris prioritetines rekomendacijas.
Pirma – kibernetinį saugumą integruoti į strateginį organizacijų valdymą. Sveikatos priežiūros įstaigų vadovybė turėtų aktyviai dalyvauti formuojant kibernetinio saugumo politiką, nustatant rizikų valdymo prioritetus ir planuojant reikalingus išteklius. Kibernetinis saugumas neturėtų būti suprantamas tik kaip informacinių technologijų padalinio atsakomybė. Jis turi tapti bendros organizacijos valdymo sistemos dalimi, tiesiogiai susieta su veiklos tęstinumu, teikiamų paslaugų kokybe ir pacientų sauga. Praktikoje tai reikštų aiškų atsakomybių paskirstymą, reguliarias vadovybės vykdomas saugumo būklės peržiūras ir rizikomis grindžiamų sprendimų priėmimą.
Antra – stiprinti tarpinstitucinį bendradarbiavimą ir pasirengimą kibernetiniams incidentams. E. sveikatos sistemoje dalyvauja daug skirtingų organizacijų, todėl būtina užtikrinti, kad jos ne tik individualiai rūpintųsi savo informacinių sistemų saugumu, bet ir turėtų suderintus bendradarbiavimo mechanizmus. Rekomenduoju aiškiai nustatyti keitimosi informacija apie grėsmes principus, bendras incidentų eskalavimo procedūras, atsakingus kontaktinius asmenis ir organizuoti reguliarias kibernetinio saugumo pratybas. Pavyzdžiui, įvykus incidentui, svarbu ne tik kuo greičiau pašalinti techninį sutrikimą, bet ir užtikrinti, kad visos susijusios institucijos žinotų savo atsakomybes, galėtų koordinuoti veiksmus ir užtikrintų kritinių sveikatos priežiūros paslaugų tęstinumą.
Trečia – reguliariai vertinti kibernetinio saugumo valdymo brandą ir investicijas planuoti pagal realias rizikas. Tyrimo metu parengtas modelis ir brandos vertinimo metodika gali būti naudojami periodiniam organizacijų kibernetinio saugumo valdymo vertinimui. Toks vertinimas padėtų nustatyti ne tik techninius trūkumus, bet ir organizacines problemas: neaiškias atsakomybes, nepakankamą darbuotojų pasirengimą, nesuderintas procedūras ar nepakankamą incidentų valdymo veiksmingumą. Remiantis vertinimo rezultatais, organizacijos galėtų racionaliau paskirstyti finansinius ir žmogiškuosius išteklius, pirmiausia stiprindamos tas sritis, kurios kelia didžiausią riziką pacientų duomenims ir sveikatos priežiūros paslaugų tęstinumui. Svarbu pabrėžti, kad kibernetinio saugumo brandą reikėtų vertinti ne pagal įsigytų technologijų skaičių, o pagal organizacijos gebėjimą sistemingai valdyti rizikas, užkirsti kelią incidentams, tinkamai į juos reaguoti ir atkurti sutrikusias paslaugas.
– Kas galėtų pasikeisti, jei sveikatos priežiūros organizacijos vadovautųsi Jūsų tyrimo išvadomis?
– Pagrindinė disertacijos praktinė vertė – galimybė pereiti nuo fragmentiško, dažnai į atskirų problemų sprendimą orientuoto kibernetinio saugumo valdymo prie integruotos, rizikomis grindžiamos ir nuolat tobulinamos valdymo sistemos. Praktinę tokio pokyčio reikšmę galima iliustruoti konkrečiu pavyzdžiu. Įsivaizduokime ligoninę, kurioje įvyksta kibernetinis incidentas ir tampa neprieinama dalis pacientų medicininių įrašų. Jeigu įstaigoje kibernetinis saugumas valdomas fragmentiškai, informacinių technologijų specialistai pirmiausia mėgina pašalinti techninį sutrikimą, tačiau gali kilti neaiškumų, kas atsakingas už sprendimą pereiti prie alternatyvių darbo procesų, kaip turi būti informuojami sveikatos priežiūros specialistai, kokia tvarka atkuriami duomenys ir kas koordinuoja veiksmus su kitomis institucijomis. Taikant mano disertacijoje siūlomą kibernetinio saugumo valdymo modelį, tokiai situacijai organizacija būtų pasirengusi sistemiškiau. Dar iki incidento būtų nustatytos atsakomybės, įvertintos kritinių paslaugų rizikos, parengti reagavimo ir veiklos atkūrimo planai, numatyti informacijos perdavimo mechanizmai ir organizuotos praktinės pratybos. Tokiu atveju incidento metu kiekvienas valdymo lygmuo turėtų aiškiai apibrėžtą vaidmenį. Technologiniai specialistai spręstų technines problemas, už veiklos organizavimą atsakingi darbuotojai koordinuotų paslaugų tęstinumą, o vadovybė priimtų strateginius sprendimus dėl išteklių ir veiklos prioritetų. Tai sudarytų prielaidas mažinti reagavimo neapibrėžtumą, gerinti skirtingų padalinių koordinavimą ir sparčiau atkurti sutrikusias paslaugas.
Svarbu pažymėti, kad disertacijoje sukurtas modelis buvo patikslintas ir įvertintas ekspertiniu požiūriu, tačiau jo ilgalaikis poveikis konkrečiose sveikatos priežiūros organizacijose dar turėtų būti vertinamas praktinio diegimo metu. Todėl šiuo etapu būtų netikslu teigti, kad modelio taikymas jau sumažino incidentų skaičių ar sutrumpino paslaugų atkūrimo laiką. Vis dėlto atlikto tyrimo rezultatai suteikia pagrindą tikėtis, kad nuoseklus modelio taikymas padėtų aiškiau paskirstyti atsakomybes, veiksmingiau planuoti saugumo priemones, gerinti organizacijų pasirengimą incidentams ir kryptingai didinti kibernetinio saugumo valdymo brandą. Mano vertinimu, vienas svarbiausių siektinų pokyčių yra perėjimas nuo reaktyvaus požiūrio, kai saugumo problemos sprendžiamos joms jau įvykus, prie prevencinio ir rizikomis grindžiamo valdymo, kuriame saugumo klausimai įtraukiami nuo pat informacinių sistemų projektavimo ir organizacinių sprendimų priėmimo pradžios.
Galutinis tokio pokyčio tikslas – ne vien saugesnės informacinės sistemos, bet ir patikimesnės, atsparesnės bei pacientų poreikius geriau užtikrinančios sveikatos priežiūros paslaugos. Esu įsitikinusi, kad technologinė pažanga sveikatos sektoriuje turi būti neatsiejama nuo atsakingo jos valdymo. Kuo labiau sveikatos priežiūra tampa skaitmeninė, tuo svarbiau užtikrinti, kad technologiniai sprendimai būtų ne tik inovatyvūs ir patogūs, bet ir saugūs, patikimi bei atsparūs kibernetinėms grėsmėms.
Interviu rengė MRU mokslo komunikatorė Laura Stankūnė
Nuotraukos: Nojus Jasiūnas