Falha na atualização de segurança causou interrupção nos cuidados de saúde em Singapura e obrigou a reagendar 4 000 consultas

Uma falha evitável em três agrupamentos de saúde

A falha de um prestador de serviços em concluir uma atualização de segurança obrigatória causou a interrupção de 13 de outubro nos sistemas públicos de saúde de Singapura, obrigando a reagendar cerca de 4 000 consultas de ambulatório e deixando alguns doentes à espera até duas horas. A interrupção durou cerca de nove horas e meia e afetou a NHG Health, o National University Health System e a SingHealth.

O ministro de Estado sénior da Saúde, Tan Kiat How, afirmou que a atualização dizia respeito a um serviço partilhado de Sistema de Nomes de Domínio, ou DNS. A agência nacional de tecnologia da saúde, Synapxe, tinha contratado um prestador de serviços para realizar o trabalho, mas este não foi concluído antes de uma alteração global programada. Tan classificou a falha como evitável e pediu desculpa por uma interrupção que, afirmou, não deveria ter acontecido.

A investigação também explicou por que motivo a infraestrutura de reserva não conseguiu resolver o problema. Os sistemas públicos de saúde de Singapura tinham dois centros de dados, mas ambos dependiam do mesmo serviço DNS e da mesma configuração de segurança. Transferir as operações de um centro para o outro teria mantido a falha subjacente.

Não foram comunicados incidentes de segurança dos doentes atribuíveis à interrupção. Os investigadores não encontraram indícios de ciberataque, acesso não autorizado, comprometimento ou perda de dados dos doentes. As consequências imediatas foram a perturbação dos serviços, tempos de espera mais longos e consultas que tiveram de ser reagendadas.

O que doentes e profissionais de saúde viveram

Entre os serviços afetados estiveram a marcação de consultas, o registo de visitantes, a dispensa de medicamentos e a faturação. Os problemas de conectividade variaram entre os três agrupamentos, pelo que a interrupção não teve o mesmo aspeto em todas as instituições.

Para os doentes, os efeitos foram além de um ecrã de computador que não carregava. Alguns esperaram mais tempo pelos serviços, enquanto outros viram as consultas de ambulatório ser transferidas para outra data ou hora. Foram reagendadas cerca de 4 000 consultas, embora esse número contabilize consultas e não todas as pessoas que enfrentaram inconvenientes durante a interrupção.

As instituições de saúde ativaram procedimentos de contingência, ou seja, as medidas utilizadas quando os sistemas informáticos habituais não estão disponíveis. Mobilizaram profissionais adicionais e mantiveram os cuidados essenciais através de processos manuais e de registos selecionados dos doentes, disponíveis num formato separado e apenas de leitura.

Os registos apenas de leitura permitem aos profissionais consultar informações sem as alterar através desse sistema. Deram aos médicos acesso a informações selecionadas dos doentes enquanto os serviços habituais estavam interrompidos. Os profissionais também tiveram de gerir o trabalho adicional criado por processos que normalmente são realizados por via eletrónica.

Como decorreu a interrupção

Segundo o relato da Synapxe sobre o incidente, este começou por volta das 7h10 de 13 de outubro. Os serviços começaram a ser restabelecidos gradualmente por volta das 15h00, e todos os serviços afetados estavam repostos às 16h37. O intervalo entre o início comunicado e o restabelecimento total foi de nove horas e 27 minutos, em linha com a descrição arredondada de uma interrupção com duração de nove horas e meia.

• 13 de outubro, cerca das 7h10: Um problema técnico que afetou a conectividade de rede começou a perturbar os serviços nos três agrupamentos públicos de saúde.
• 13 de outubro, cerca das 15h00: Os serviços afetados começaram a ser restabelecidos gradualmente.
• 13 de outubro, 16h37: Todos os serviços afetados tinham sido restabelecidos, segundo a Synapxe.
• 13 de outubro, cerca das 17h40: A Synapxe emitiu um novo comunicado a confirmar o restabelecimento.
• 3 de novembro: Os deputados deveriam questionar o Governo sobre a interrupção, o seu impacto nos doentes e a fiabilidade das medidas de reserva.

Inicialmente, a Synapxe descreveu o incidente como um problema técnico que afetava a conectividade de rede e afirmou não haver indícios de um incidente cibernético enquanto a investigação prosseguia. As conclusões posteriores identificaram a atualização de segurança em falta como causa e confirmaram que os dados dos doentes não tinham sido comprometidos nem perdidos.

Porque foi tão importante um único serviço DNS

Um serviço DNS ajuda os sistemas informáticos a localizar e a estabelecer ligação a aplicações. Funciona como uma lista telefónica: um sistema pergunta onde pode encontrar um serviço, e o DNS fornece as informações necessárias para lhe aceder. Quando essa lista partilhada deixa de funcionar corretamente, várias aplicações que, de resto, são independentes podem tornar-se difíceis ou impossíveis de aceder.

A atualização de segurança obrigatória aplicava-se ao DNS partilhado. Como o prestador de serviços não a concluiu antes da alteração global programada, uma dependência técnica utilizada em todo o sistema público de saúde tornou-se o ponto de falha.

Tan afirmou que a alteração era conhecida de antemão. A falha operacional central foi, por isso, não ter sido concluída a preparação obrigatória para uma alteração prevista. Acompanhar uma instrução é apenas parte do processo; também é necessário confirmar que o trabalho foi efetivamente concluído.

As medidas corretivas do Governo incluem um acompanhamento e uma verificação mais rigorosos das alterações técnicas críticas. Na prática, a organização responsável por um sistema precisa de dispor de um método fiável para confirmar que uma atualização obrigatória foi aplicada antes de entrar em vigor a alteração para a qual essa atualização é necessária.

Porque não bastaram dois centros de dados

Os sistemas públicos de saúde dispunham de infraestrutura de reserva, incluindo dois centros de dados. Estas estruturas permitem transferir serviços quando uma instalação específica ou parte da sua infraestrutura fica indisponível. Neste incidente, porém, ambos os centros dependiam do mesmo serviço DNS e da mesma configuração de segurança.

A mudança de instalações teria, por isso, conduzido os sistemas de volta ao mesmo problema por resolver. O segundo local oferecia outro espaço para executar os serviços, mas a dependência partilhada impediu-o de proporcionar uma via de recuperação eficaz para esta falha específica.

O Governo está a tratar das dependências partilhadas e a melhorar os mecanismos de recuperação no âmbito da resposta ao incidente. A questão prática é saber se um sistema de reserva consegue funcionar quando falha um serviço utilizado tanto pelos sistemas principais como pelos de reserva.

O deputado nomeado Haresh Singaraju pediu esclarecimentos sobre a existência de uma cópia de segurança independente, o prazo previsto para repor os serviços e se esse objetivo foi cumprido. A deputada Joan Pereira também perguntou por que motivo a infraestrutura de reserva não tinha evitado a interrupção e pediu dados sobre os doentes afetados.

A responsabilidade continua a ser da Synapxe

A Synapxe está a analisar as obrigações contratuais do prestador de serviços e tomará as medidas adequadas caso se confirme uma violação. Tan afirmou que a agência continua a ser responsável pela resiliência dos seus sistemas críticos, independentemente dos acordos de subcontratação.

A responsabilidade do prestador de serviços pela execução da atualização e a responsabilidade da Synapxe por manter a fiabilidade dos sistemas de saúde fazem ambas parte da resposta. Contratar outra organização para realizar trabalho técnico não retira à agência a responsabilidade de supervisionar os sistemas de que dependem hospitais, clínicas e doentes.

Não foram especificados a identidade do prestador, eventuais sanções contratuais nem um calendário para concluir as medidas corretivas. A deputada Cassandra Lee pediu uma atualização sobre a investigação e medidas para reduzir a probabilidade de uma nova interrupção.

A Synapxe nomeou um painel de peritos de organizações com perfis de engenharia semelhantes. A sua missão é analisar as conclusões da investigação e as medidas propostas, bem como identificar outras melhorias. O Ministério da Saúde supervisionará as ações corretivas e verificará a sua eficácia.

Diagnósticos mais rápidos fazem parte do plano de recuperação

Os sistemas de monitorização detetaram atividade anormal durante o incidente, mas foi necessário tempo para identificar o problema subjacente e restabelecer os serviços em segurança. Detetar que algo está errado e identificar exatamente o que tem de ser reparado são fases diferentes de uma resposta.

A Synapxe está a reforçar a monitorização e o diagnóstico de falhas para acelerar a recuperação. Num sistema que serve vários agrupamentos de saúde, o desafio inclui rastrear problemas nos serviços partilhados, em vez de analisar cada aplicação afetada isoladamente.

No comunicado emitido após o restabelecimento dos serviços, a Synapxe referiu a experiência dos doentes e visitantes e o trabalho realizado em conjunto com as instituições de saúde:

Durante a interrupção, os doentes e visitantes de algumas instituições públicas de saúde enfrentaram tempos de espera mais longos para determinados serviços.

"As nossas equipas trabalharam em estreita colaboração com os agrupamentos públicos de saúde para restabelecer os serviços afetados o mais rapidamente possível.

Os horários de restabelecimento mostram que a recuperação ocorreu por fases. Alguns serviços começaram a regressar por volta das 15h00, mais de uma hora e meia antes de todos os serviços afetados estarem novamente disponíveis. Os profissionais tiveram, por isso, de gerir um período em que as operações normais foram retomadas a ritmos diferentes.

Manter os cuidados quando os sistemas falham

As instituições de saúde mantiveram os cuidados essenciais através de mais profissionais, de registos selecionados apenas de leitura e de procedimentos manuais. Tan afirmou que não houve incidentes de segurança dos doentes atribuíveis à interrupção, apesar dos atrasos enfrentados pelos doentes e das milhares de consultas reagendadas.

O Governo tenciona reforçar os sistemas de contingência, a preparação dos profissionais e os exercícios regulares, incluindo a prática para interrupções parciais. Uma interrupção parcial pode deixar algumas aplicações disponíveis enquanto outras permanecem inacessíveis, obrigando os profissionais a decidir que processos podem continuar normalmente e quais precisam de uma alternativa.

A resposta tem agora três objetivos interligados: evitar que a situação se repita através de um melhor controlo das alterações técnicas, reduzir o alcance das falhas tratando das dependências partilhadas e manter os cuidados em funcionamento com uma preparação operacional mais sólida.

Para os doentes, o sucesso significaria menos consultas canceladas ou adiadas quando ocorre um problema técnico. Para os profissionais de saúde, significaria acesso fiável a informações essenciais e procedimentos viáveis durante uma interrupção. Tan afirmou que a tecnologia de saúde tem de se tornar mais fiável, garantindo ao mesmo tempo que os profissionais podem continuar a cuidar dos doentes em segurança quando os sistemas falham.

Pontos-chave

• A falta de uma atualização de segurança causou a interrupção de 13 de outubro nos três agrupamentos públicos de saúde de Singapura.
• Foram reagendadas cerca de 4 000 consultas de ambulatório, e alguns doentes esperaram até duas horas.
• Os serviços foram afetados a partir das 7h10, aproximadamente, e o restabelecimento total ocorreu às 16h37.
• Os dois centros de dados dependiam do mesmo serviço DNS e da mesma configuração de segurança, o que impediu uma transferência eficaz para a infraestrutura de reserva.
• Não foram comunicados incidentes de segurança dos doentes atribuíveis à interrupção, e os investigadores não encontraram indícios de ciberataque nem de perda de dados dos doentes.
• A Synapxe está a analisar as obrigações do prestador de serviços, enquanto o Ministério da Saúde supervisionará as medidas corretivas e verificará a sua eficácia.