Инцидент с потерей данных: порядок действий

Инцидент с потерей данных: порядок действий

Потеря данных в клинике — это и техническая, и организационная проблема. Первые часы решают, удастся ли восстановить информацию и объяснить, что произошло. Ниже — порядок действий без паники.

Зафиксировать

Запишите время обнаружения, что именно пропало, кто заметил и какие действия выполнялись перед этим. Не начинайте восстановление, не записав исходное состояние.

Остановить распространение

Отключите повреждённый узел от синхронизации, чтобы не перезаписать резервные копии. Это важнее скорости.

Оценить масштаб

Определите период и категории данных: записи, документы, результаты. От масштаба зависит выбор резервной копии.

Восстановление

Восстанавливайте на отдельный стенд, проверяйте целостность и только затем переносите в рабочую систему. Не работайте поверх повреждённых данных.

Информирование

Руководитель, ответственные за подразделения, при необходимости — пациенты и регулятор. Сообщение должно содержать факты, а не версии.

Разбор

Причина, хронология, что сработало и что нет. Без поиска виноватых: иначе следующие инциденты будут скрывать.

Профилактика

Проверка резервных копий, тестовое восстановление, ограничение прав, журналирование. Каждый пункт — с ответственным и сроком.

Границы

Восстановление данных не заменяет клиническую оценку ситуации. Решения о помощи принимают врачи.

Пример

После сбоя выяснилось, что резервные копии делались, но не проверялись: две из них были повреждены. Восстановили третью, а регламент дополнили ежемесячным тестом.

Итог

Инцидент разбирается по шагам: фиксация, остановка, восстановление на стенде, информирование, разбор и профилактика. Проверенная резервная копия важнее ежедневной отчётности.

Кто входит в группу реагирования

Руководитель, администратор системы, специалист по резервному копированию, представитель подразделения, где обнаружена потеря. У каждого — задача и заместитель. Список с телефонами должен быть доступен без входа в систему, которая может быть недоступна.

Обновляйте список раз в квартал.

Проводите учебный сбор раз в год.

Как вести хронологию

Записывайте события с точностью до минут: что заметили, что сделали, что получили. Хронология нужна для разбора и для объяснения руководству. Ведите её на бумаге или на отдельном устройстве, не зависящем от сбойной системы.

Не восстанавливайте по памяти после.

Назначьте человека, который только записывает.

Какие резервные копии проверять в первую очередь

Самую свежую, предыдущую и недельной давности: если повреждение произошло раньше, свежие копии могут содержать уже испорченные данные. Проверьте, что копии не перезаписываются в процессе восстановления. Отключите автоматическую синхронизацию.

Сверьте число записей.

Зафиксируйте, какая копия выбрана.

Как сообщать сотрудникам

Короткое сообщение: что произошло, что делать сейчас, куда обращаться. Без технических деталей и обещаний сроков, которые не подтверждены. Повторяйте по мере появления фактов, а не слухов.

Назначьте одного говорящего.

Соберите вопросы сотрудников.

Как понять, что инцидент закрыт

Данные восстановлены и проверены на выборке, работа возобновлена, причины описаны, профилактические меры назначены с ответственными и сроками. Закрытие фиксируется документом, а не устным «всё работает».

Проверьте восстановление через неделю.

Сохраните хронологию.

Частые ошибки

Ошибка первая — сразу восстанавливать поверх рабочей системы. Вторая — не отключить синхронизацию и потерять копии. Третья — сообщать сотрудникам непроверенные версии. Четвёртая — искать виноватого вместо причины. Пятая — не проверять резервные копии до инцидента.

План на четыре недели

Неделя 1 — группа и список контактов. Неделя 2 — проверка копий и тестовое восстановление. Неделя 3 — хронология и шаблон сообщений. Неделя 4 — учебный разбор и план профилактики.

Коротко о главном

Инцидент разбирается по шагам: фиксация, остановка, восстановление на стенде, информирование, разбор и профилактика. Проверенная копия и заранее известные роли важнее скорости реакции.

Как сохранить доказательства

Не удаляйте журналы, не переустанавливайте систему до копирования следов. Снимок состояния и логи нужны для разбора и для объяснения причин. Работайте с копией, а не с единственным экземпляром.

Фиксируйте, кто и что изменил.

Храните доказательства отдельно.

Как оценить ущерб

Определите, какие данные потеряны безвозвратно, какие восстановлены частично, какие можно восстановить из бумажных источников. От этого зависит объём ручной работы. Не обещайте полного восстановления, пока не проверены копии.

Составьте список пробелов.

Назначьте план закрытия.

Как подготовиться заранее

Раз в квартал проводите учебное восстановление на копии: без тренировки порядок действий забывается. Проверьте, что контакты доступны, а инструкция лежит не только в системе. Отметьте время восстановления — оно покажет реальные возможности.

Записывайте результат.

Обновляйте инструкцию.

Итог по практике

Порядок важнее импровизации: зафиксировать, остановить, восстановить на стенде, сообщить, разобрать и закрыть профилактикой. Инцидент не заканчивается запуском системы.

Что проверить на следующий день

Работают ли отчёты, открываются ли документы, совпадает ли число записей за последнюю неделю. Эти три проверки выявляют последствия, которые не видны в первый час.

Кого предупредить первым

Руководителя и заведующего подразделением, где обнаружена потеря: им нужно перестроить работу на время восстановления.

Чек-лист

• Хронология ведётся с момента обнаружения.
• Синхронизация остановлена.
• Масштаб потери оценён.
• Восстановление выполнено на стенде.
• Сотрудники и руководство проинформированы.
• Причины разобраны без поиска виновных.
• Профилактические меры назначены со сроками.

Частые вопросы

Как часто проверять резервные копии?

Регулярно, с тестовым восстановлением: копия без проверки не считается копией.

Нужно ли сообщать пациентам?

Зависит от характера данных и требований; решение принимает руководство с юридической оценкой.

Что делать с журналами?

Сохранить: они помогут установить хронологию.