Um programa inédito da AHA e da Joint Commission muda a avaliação da resiliência cibernética para a continuidade clínica e a segurança do paciente.
Uma interrupção cibernética de 30 dias é o novo critério de planejamento para hospitais. Para este propósito, Associação Hospitalar Americana e A Comissão Conjunta em 4 de maio, foi lançado o programa Cyber Resilience Readiness (CRR). A iniciativa voluntária ajuda os hospitais a avaliar a sua preparação para perturbações relacionadas com a cibersegurança que duram tanto tempo ou mais. Além disso, o programa avalia as operações clínicas e o impacto na segurança do paciente, juntamente com a recuperação técnica de TI. O programa aborda cenários que vão desde ataques diretos de ransomware a uma organização até interrupções de Internet em todo o país e eventos cibernéticos direcionados a fornecedores terceirizados de missão crítica. Lições de ransomware reais e incidentes cibernéticos em hospitais de todo o país informaram o projeto. Especificamente, o objetivo é ajudar as organizações a passar da consciencialização para a preparação e da preparação para a resiliência.
O que o programa avalia
O CRR está estruturado como um quadro de avaliação. Ele avalia quatro dimensões da prontidão organizacional. Especificamente, estas dimensões incluem a manutenção de cuidados seguros aos pacientes durante interrupções cibernéticas e a coordenação de respostas clínicas, operacionais e de gestão durante estadias prolongadas. O programa também avalia a preparação da equipe durante incidentes cibernéticos significativos e identifica riscos relacionados à continuidade clínica. A estrutura foi desenvolvida em conjunto pela Comissão Conjunta, a AHA e organizações de saúde parceiras. A participação é voluntária e estruturada para apoiar hospitais em vários estágios de maturidade de resiliência cibernética.
É importante ressaltar que o CRR ajuda as organizações a compreender sua posição; o trabalho de preparação real continua sendo responsabilidade do hospital. Após a avaliação, uma análise especializada fornece recomendações sobre como abordar as vulnerabilidades identificadas. Os participantes obtêm informações sobre os riscos à segurança do paciente durante incidentes cibernéticos e informações para orientar a preparação para futuras certificações. O programa complementa as abordagens tradicionais de cibersegurança, enfatizando a continuidade dos negócios e a segurança dos pacientes como medidas essenciais de preparação.
Lançamento faseado no verão de 2026
O programa está sendo implementado em etapas. O CRR é construído como um programa modular, com quatro componentes que organizações de saúde de qualquer tamanho podem adotar de forma independente ou em conjunto, conforme necessário. Os hospitais podem concluir a autoavaliação gratuita de prontidão para resiliência cibernética em aproximadamente 35 a 45 minutos. Além disso, uma revisão por pares de US$ 2.000 está agora disponível com um relatório personalizado da Joint Commission e de especialistas da AHA. Após a revisão especializada, as organizações podem passar para os próximos estágios quando os componentes estiverem disponíveis. Dois componentes adicionais chegarão no verão de 2026: serviços opcionais de consultoria e educação para abordar as lacunas identificadas e certificação completa de preparação para resiliência cibernética.
Na maioria das organizações, o CIO, o diretor de resposta a incidentes, o diretor de riscos e o diretor de conformidade podem concluir a autoavaliação. No entanto, organizações maiores ou mais complexas podem trazer representantes de engenharia biomédica, instalações, segurança de TI, gestão clínica e aconselhamento jurídico. Deve-se notar que a conclusão da autoavaliação por si só não faz avançar a organização no programa. A ferramenta é informativa, apoiando a compreensão interna da prontidão.
Leve embora
- Uma janela de interrupção cibernética de mais de 30 dias é agora uma referência reivindicada para o planejamento de resiliência cibernética hospitalar.
- O programa CRR é diagnóstico; os hospitais encontram lacunas e recebem encaminhamentos, mas realizam eles próprios a remediação.
- Autoavaliação gratuita e avaliação especializada de US$ 2.000 disponíveis agora; serviços de consultoria e certificação completa chegam no verão de 2026.
- A avaliação abrange a continuidade clínica e a segurança do paciente, juntamente com medidas tradicionais de recuperação de TI.
- As principais equipes de autoavaliação normalmente incluem o CIO, os líderes de resposta a incidentes, de gerenciamento de riscos e de conformidade.
- Organizações maiores ou mais complexas podem adicionar engenharia biomédica, instalações, segurança de TI, gestão clínica e representantes legais.
À medida que os ransomware e os incidentes cibernéticos de terceiros continuam a perturbar as operações hospitalares, o CRR sinaliza uma mudança na forma como a preparação será avaliada. Em particular, a avaliação depende agora de cuidados clínicos que podem continuar quando os sistemas não estiverem disponíveis.
