Кибербезопасность следует рассматривать как хроническое заболевание

Управление кибербезопасностью в системе здравоохранения меньше похоже на хирургическое вмешательство, а больше на лечение диабета. Такова операционная философия Кейт Дьюмлинг, вице-президент/директор по информационной безопасности компании Catholic Health, который он привнес в свой первый год руководства программой безопасности в интегрированной системе из шести больниц на Лонг-Айленде, штат Нью-Йорк. Это различие определяет все: от того, как он выстраивает стратегию, до того, как он общается с врачами и руководителями, у которых есть две свободные минуты в коридоре.

В компании Catholic Health, спонсируемой епархией Роквилл-центра, работает около 18 000 человек, и она ежегодно обслуживает сотни тысяч жителей Лонг-Айленда в больницах, врачебных кабинетах, центрах амбулаторной хирургии и медицинских услугах на дому.

“Кибербезопасность в здравоохранении — это долгосрочное состояние. Это не единичный эпизод оказания медицинской помощи”, — сказал Дьюмлинг. “Вы не победите ее с помощью одного или двух проектов. Вы управляете состоянием, управляете состоянием организации”.

Подкаст: Играть в новом окне | Скачать (Продолжительность: 41:38 — 38,1 МБ)

Подписаться: Apple Подкасты | Спотифай

Дорожная карта «Сначала слушание»

Придя в компанию Catholic Health примерно год назад, Дюмлинг обнаружил уже зрелую программу кибербезопасности, пользующуюся мощной поддержкой руководства, начиная от совета директоров и генерального директора и заканчивая непосредственным персоналом. Он благодарит команду, которая предшествовала ему, за создание этого фундамента. В его 90-дневном плане, основанном на предыдущих руководящих должностях и знаниях, полученных в ходе собеседований, упор делался на выслушивание, а не на немедленные действия. Цель заключалась в том, чтобы объединить отзывчивость с культурной осведомленностью, чтобы первый год был продуктивным и не мешал работе.

Прослушивание имело двойную цель. Помимо изучения культуры и выявления болевых точек, это привело к поддержке последующей дорожной карты. Клинические, технические и бизнес-лидеры увидели, что их отзывы отражены в стратегии, что побудило их более охотно ее поддержать. Сама дорожная карта выиграла время: руководители могли видеть, что и когда произойдет, даже если для достижения результатов потребовались месяцы. Быстрые победы были переплетены с долгосрочными инициативами, чтобы продемонстрировать оперативность, не жертвуя при этом стратегической глубиной.

Эта дорожная карта остается гибкой. Дуэмлинг строит свои планы, ожидая потрясений в результате экономического спада, нехватки рабочей силы и новых технологий. Стратегия кибербезопасности, которая не может подчиняться требованиям бизнеса, рискует стать центром затрат и препятствием — два ярлыка, которые подрывают доверие к любой программе безопасности, поскольку клинические лидеры сталкиваются с собственными ежедневными трудностями. Команда по кибербезопасности регулярно сообщает о ходе работы руководству бизнеса и клинической практики и корректирует приоритеты по мере изменения условий, рассматривая план как живой документ.

Использование ИИ изнутри наружу

Внедрение ИИ представляет собой именно тот вид перемен, который требует гибкости. Отказ от взаимодействия с ИИ окажет организации медвежью услугу, учитывая, что субъекты угроз, клинический персонал и пациенты уже используют инструменты ИИ. Команда по кибербезопасности компании Catholic Health работает над безопасным внедрением ИИ на предприятии, одновременно внедряя его в свои собственные операции.

Внутреннее использование выходит за рамки сводок встреч и отточенных электронных писем. Команда Дуемлинга интегрирует искусственный интеллект в сортировку инцидентов для диагностики и реагирования на события практически в реальном времени, использует его для экспресс-тестирования оценок безопасности и изучает весь стек технологий на предмет возможностей более быстрой работы с существующими ресурсами. Эта стратегия сокращает цикл запроса большего бюджета, большего количества персонала и большего количества инструментов, демонстрируя возврат инвестиций за счет операционной эффективности. Каждый доллар, сэкономленный службой безопасности, может быть передан медсестрам, врачам и специалистам по непосредственному уходу за пациентами.

«Как в гоночном автомобиле, если у вас есть ограждения и тормоза, вы обычно можете ехать быстрее, потому что можете избежать аварии», — сказал Дюмлинг. Построение такой дисциплины безопасности вокруг ИИ позволяет организации безопасно ускорить внедрение, а непосредственный опыт работы с этими инструментами командой кибербезопасности делает ее гораздо более эффективной в защите и обеспечении их использования на предприятии.

Заработок двух минут в коридоре

Эффективное привлечение врачей требует уважения их времени и знания аудитории. Некоторые врачи пишут сбоку Python; другие впервые сталкиваются с цифровыми рабочими процессами. Дьюмлинг соответствующим образом корректирует свои сообщения и настаивает на том, чтобы его команда делала то же самое. Ключевым моментом является сопротивление стереотипному представлению о технических возможностях врача. Многие из этих специалистов обладают множеством передовых компетенций, и их недооценка подрывает доверие к любой инициативе в области безопасности.

Общение протекает в обоих направлениях. Командам безопасности необходимо, чтобы клинические отделения доставляли им закупки новых технологий на ранних этапах процесса закупок, до подписания контрактов. Дуэмлинг обнаружил, что объяснение причин требований безопасности почти всегда устраняет сопротивление.

«Трудно объяснить ценность ремня безопасности, если вы просто говорите: «Просто сделайте это». Но когда вы садитесь и объясняете, почему ремень безопасности важен и чего он предотвращает, люди готовы его принять», — сказал он.

Его военный опыт определяет этот подход. Прежде чем заняться ИТ, Дюмлинг служил в армии США, где он понял, как каждая роль в крупной организации способствует выполнению миссии. Он применяет ту же модель лидерства-слуги в компании Catholic Health, где опыт пациента зависит от каждого взаимодействия, начиная с приема и заканчивая выпиской. Управление, по его мнению, означает прозрачность, измерение результатов и горизонтальное сотрудничество между отделами, чтобы кибербезопасность была интегрирована в организационную структуру наряду с качеством и физической безопасностью.

Для Дюмлинга оставаться на связи с клинической миссией требует неструктурированных округлений, чашечки кофе и сидения в вестибюле больницы, наблюдая за прибытием пациентов в лучшие и худшие дни их жизни, осознавая тяжесть того, что означает оказание медицинской помощи на практике. Это обоснование напоминает команде по кибербезопасности, что их работа защищает нечто большее, чем сеть. Когда программа безопасности работает хорошо, она почти невидима для людей, которых она защищает, и эта невидимость является признаком успеха.

Убери это

• Относитесь к стратегии кибербезопасности как к управлению хроническими заболеваниями с помощью долгосрочных планов ухода, которые могут меняться по мере изменения организационных потребностей.
• Используйте тур по прослушиванию, чтобы составить дорожную карту, отражающую вклад заинтересованных сторон, и завоевывая доверие до того, как серьезные изменения вступят в силу.
• Сначала внедрите ИИ в операции по кибербезопасности, чтобы накопить внутренний опыт и продемонстрировать окупаемость инвестиций, а затем расширять возможности в масштабах всего предприятия.
• Объясните причину каждого требования безопасности, чтобы заслужить клиническую поддержку и устранить сопротивление.
• Практикуйте неструктурированное округление в клинических помещениях, чтобы обеспечить связь службы безопасности с задачей по уходу за пациентами.
• Предоставьте лидерам варианты рисков и затрат на новые технологические инициативы, чтобы решения были обоснованными и общими.

По словам Дюмлинга, выполнение работы зависит от понимания того, что на самом деле защищает кибербезопасность. “По моему мнению, кибербезопасность на самом деле не связана с технологиями. Это управление рисками, которое защищает доверие пациентов и непрерывность операций, чтобы эта священная вещь – оказание медицинской помощи – могла продолжаться”.