「もっとやる」：今日の事業継続戦略がテーブルトップを超えなければならない理由

フランシスカン・ヘルス、テクノロジー担当副社長兼CTO、チャック・クリスチャン氏

かつて、サイバーセキュリティ インシデントは医療業界のリーダーたちを夜も眠れなくさせるものでした。しかし、最近の大規模な攻撃により、医療施設が数週間にわたってオフラインになったことを考えると、状況は一変しました。

フランシスカン・ヘルスの技術担当副社長兼CTOのチャック・クリスチャン氏は、最近のリーダーたちは「恐怖に怯えている」と語る。 パネル・ディスカッション「過去 5 年間で、いくつかの地域の医療システムが打撃を受けました。これは起こるかどうかの問題ではなく、いつ起こるかの問題だということを常に思い出しています。」

つまり、組織はサイバー防御だけでなく、事業継続計画の面でもさらに強固になる必要があるということです。

「長期間続く、信じられないほど混乱を招く出来事が数多く発生しています」と、患者ケアは言うまでもなく、インフラやサポート分野にも永続的な影響を及ぼしていると、講演者のキース・デュムリング氏（クリーブランド・クリニック、サイバーセキュリティ技術保護担当シニアディレクター）は、ザヒド・ラソーレ氏（ヘルスリンク・アドバイザーズ、シニアバイスプレジデント）とともに述べた。「この件への取り組み方を本当に強化する必要があることが再確認されました。」

もちろん、IT チームとセキュリティ チームは、サイバー イベントの壊滅的な影響についてすでに十分に認識しています。ラソーレ氏によると、課題は、投資の必要性を他の人、特に経営幹部に納得させることです。

「多くの場合、彼らは岩を丘の上に押し上げ、投資が必要だと事業部門を説得しようとしているように見えます」と彼は言いました。「システムが 30 日間ダウンした場合、私たちは事業部門と連携して、彼らが必要とするものを定義する必要があります。これは IT 主導の取り組みであってはなりません。」

クリスチャン氏も同意見で、テクノロジーとセキュリティに身を捧げていない人々にとって、「システムが失われた場合にビジネスをどう運営するかは最優先事項ではない」と指摘し、「私の仕事は、システムが可能な限り 100 パーセントの時間利用できるようにすることです」と語った。

「目を見張る」体験

しかし、そのためには、短期的なダウンタイムに重点を置くことが多かった従来のサイバーセキュリティの実践から脱却する必要があります。「30 日間ダウンした場合には、この方法は役に立ちません」とクリスチャン氏は言います。また、EHR だけに焦点を絞るのではなく、ERP、財務、サプライ チェーンなど、影響を受ける他のシステムも調べる必要があります。

「こうしたシステムなしでどのように事業を運営していくかを考え、十分に訓練して従業員が自分の役割を理解できるようにする必要があります」とクリスチャン氏は語った。組織が大規模災害訓練を実施するのと同じように、停電についても同様の訓練を行う必要がある。その結果は驚くべきものになる可能性があると同氏は指摘した。

キース・デュエムリング、クリーブランド・クリニック、サイバーセキュリティ技術保護担当シニアディレクター

実際、クリスチャンが、一部の医師がその特定のシナリオに対していかに準備ができていなかったかに気付いたのは、彼が以前勤めていた組織 (セント フランシス病院) でネットワーク スイッチが故障したときでした。「ER スタッフの誰も、システムなしでの生活を経験したことがありませんでした」と彼は回想します。「彼らは、患者を治療できないと感じていました。そこで私は言いました。『ちょっと待ってください。コンピューター システムが登場する何十年も前から、私たちはこれをやってきました。ランナーに検査室に注文を運ばせることができます。検査室は、自動化された機器で注文を処理し、機器のプリントアウトを緊急治療室に返すことができます』」

これは、「敵と交戦するまでは、すべての戦闘計画は成功する」という古い格言の典型的な例だとクリスチャン氏は指摘しました。また、事業継続計画に関しては、組織がさらに多くのことを行う必要があることをさらに裏付けるものでもあります。

デュエムリング氏もこれに同意し、「これは事業継続計画というほどのものではありません。これは、その下に存在する複数の側面を持つ事業継続戦略です」と述べた。「私たちは、これを最大限制御するための戦略が必要です。」

ベストプラクティス

会話の中で、パネリストたちは、大惨事に備えてチームを準備し、実際に大惨事が発生した場合でもケアを継続できるようにするために講じている措置について話し合いました。

• テーブルトップを超えて。 机上演習は非常に有益ですが、それだけでは十分ではないとラソーレ氏は言います。「机上演習は重要なツールの 1 つですが、万能ではありません。」チームは、さまざまなビジネスがダウンタイムを乗り切るために何が必要か、またクラウドベースのソリューション、ラボとのインターフェイス、紙への回帰など、考えられる代替手段は何かを把握し、文書化する必要があります。「実際のイベントで初めてそのようなことを経験するのは望ましくありません」と同氏は指摘します。「机上では解決できます。しかし、『適切な机上演習を行ったので責任が軽減されました』と言うだけでは十分ではありません。」
• ドリルダウンします。 だから何 は それで十分でしょうか? デュエムリング氏は、最前線のケア担当者が、長期間にわたって Epic なしで業務を維持する方法を実践する訓練を実施することを勧めました。「より高いレベルの安心感を得るためには、Teams や Zoom から会話を移し、実際のケアが提供される実際の領域に移す必要があります」と同氏は述べました。「これは、品質と患者の安全性に関して行っていることと同じです。」
• トレーニングを拡大します。 今日の電子化社会では直感に反するように思えるかもしれないが、医療従事者が医療記録を手書きする方法を知っておくことは重要だとラソーレ氏は言う。「これは学習とトレーニングのもう 1 つの側面です」と彼は指摘する。「ダウンタイムの手順に加えて、騒ぎが収まったときに医療システムが経済的に回復できるように、法的記録を取得する基本は何でしょうか?」 もちろん、患者のケアは最優先ですが、30 日間ダウンした場合の経済的影響も考慮する必要があります。「その影響を最小限に抑えるにはどうすればよいのでしょうか?」

デュエムリング氏もこれに同意し、二次、三次バックアップシステムが重要である一方で、「介護者が業務を継続できる知識と設備を備えていることを確認することも実践する必要がある」と付け加えた。

ザヒド・ラソーレ、ヘルスリンク・アドバイザーズ上級副社長

同氏はさらに、事業継続とは、すぐに解決できるものではないと続けた。「10 分で復旧できる技術に投資するのではなく、成熟したプロセスを確立することです。特に、直面する事態が訓練してきたものと異なる場合にはなおさらです」。目標は、「混乱した出来事を、自分たちが管理できるものに変える」ことだ。

「みんなの責任」

クリスチャン氏によると、それを実現するには、本当に「私たち」の状況になる必要がある。「事業継続はセキュリティと同じです」と彼は言う。「それは 1 人の人物や 1 つの部門に帰属するものではありません。全員の責任です。」その責任の一部は、組織全体のリーダーとの会話を促進することです。

たとえばフランシスカン・ヘルスでは、上級幹部会議のたびに「どのように準備し、回復力を高めるか」についての議論が行われると述べ、CFO を関与させることが特に重要だと指摘した。「彼らは数学を理解しています。私たちが毎日生み出す収益の額や、手術や患者層にサービスを提供するその他の重要な機会をキャンセルした場合にどれだけの費用がかかるかなどです。」

医療業界の財政難を考えると、収益の損失は誰もが対処したいものではありません。「人々は病気になることがあります」とクリスチャン氏は言います。したがって、「組織のすべてのリーダーは、システムなしで事業部門、部門、施設を運営し、患者のケアを継続する方法を理解する責任があります。」

このウェビナー「ランサムウェアに焦点を当てた壊滅的なダウンタイム計画における企業責任の再考（Healthlink Advisors提供）」のアーカイブをご覧になるには、 ここをクリック。