Capítulo 11 — Resposta a incidentes em sistemas prediais hospitalares
Mapa da aula
Aula 11 publicada. Mapa, exemplo, EX051.
flowchart TD
N0["11.1 Planejar antes"]
N1["11.2 Detectar e avaliar"]
N2["11.3 Conter"]
N3["11.4 Evidências e recuperação"]
N4["11.5 Comunicação"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX051"]
Desenho lógico
flowchart LR
N0["11.1 Planejar antes"]
N1["11.2 Detectar e avaliar"]
N2["11.3 Conter"]
N3["11.4 Evidências e recuperação"]
N4["11.5 Comunicação"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX051"]
[11.1 Planejar antes]
|
v
[11.2 Detectar e avaliar]
|
v
[11.3 Conter]
|
v
[11.4 Evidências e recuperação]
|
v
[11.5 Comunicação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX051]
Objetivos de aprendizagem
Você vai (1) adaptar os passos da resposta a incidentes aos sistemas prediais; (2) decidir quando isolar o BMS; e (3) coordenar com as equipes clínicas, de manutenção e de TI.
11.1 Planejar antes
O NIST SP 800-82r3 enfatiza a preparação da resposta a incidentes de TO junto com a equipe de operação. Num hospital, isso significa que a manutenção, os gestores clínicos de plantão, a equipe de segurança de TI e os empreiteiros combinam de antemão: quem lidera, qual é o recurso manual de cada sistema e como alcançar os empreiteiros à noite.
Escreva o acordo como um plano curto, com números de telefone, o recurso alternativo de cada sistema crítico e quem pode ordenar o isolamento. Exercite-o pelo menos uma vez com a manutenção e um empreiteiro, talvez num fim de semana tranquilo. O primeiro incidente é a hora errada de descobrir que o empreiteiro do chiller não tem contato noturno.
11.2 Detectar e avaliar
Um alarme, um valor de referência fora da janela ou uma nota de resgate na BMS-WS iniciam o processo. A primeira pergunta é clínica: alguma área está insegura agora? O gestor de plantão e a manutenção decidem as medidas de proteção imediatas — remanejar uma lista de cirurgias, passar para os alarmes de oxigênio em cilindros monitorados pela equipe.
Só depois que o quadro clínico estiver claro começa a avaliação de segurança: o que foi afetado, como começou e se está se espalhando. No Millbrook, a primeira ligação na noite do resgate foi para a manutenção, que confirmou que os centros cirúrgicos estavam vazios e as enfermarias normais antes de a equipe de redes agir.
11.3 Conter
Se não for possível confiar no BMS, os controladores normalmente conseguem rodar as suas últimas agendas programadas sem o servidor. Isolar a zona do BMS no seu firewall impede novos comandos remotos, enquanto os equipamentos continuam funcionando localmente. A equipe de manutenção faz rondas nas casas de máquinas e confere à mão os valores críticos.
Antes de isolar, verifique como cada controlador crítico se comporta sem o servidor, porque alguns recaem em padrões que diferem da operação normal. No Millbrook, os condutos foram bloqueados às 22:55 e os controladores continuaram com as suas agendas, enquanto os engenheiros da manutenção faziam rondas de hora em hora. Anote a hora de cada passo de contenção para o registro do incidente.
11.4 Evidências e recuperação
Preserve os registros e as imagens antes de reconstruir; restaure a BMS-WS e o servidor a partir de cópias verificadas; confira cada ponto crítico com as leituras locais; reconecte os condutos um de cada vez.
Combine de antemão onde as evidências serão guardadas e quem vai coletá-las, para que a reconstrução não atrase. No Millbrook, o líder do incidente mandou copiar a imagem de disco da BMS-WS e o trecho do registro do firewall das 22:00 às 23:00 para o repositório de evidências antes de a reconstrução começar. Guarde as evidências até que o líder do incidente decida que já não são necessárias. Registre cada passo e o seu horário.
11.5 Comunicação
O líder do incidente informa a direção do hospital, que decide sobre a notificação externa. Os analistas não contatam a imprensa nem os reguladores por conta própria.
Os analistas apoiam o líder do incidente fornecendo fatos claros, com horários e fontes. Devem evitar mensagens informais a colegas ou empreiteiros que possam espalhar informações imprecisas. Se um regulador ou um jornalista contatar diretamente um analista, encaminhe o pedido ao líder do incidente sem comentários. Guarde uma cópia de cada atualização enviada, com o seu horário, para que o registro do incidente mostre o que foi dito e quando.
Exemplo resolvido (Millbrook sintético)
Às 22:40, a BMS-WS mostra uma mensagem de resgate. A manutenção confirma que os centros cirúrgicos estão vazios e as enfermarias normais. A equipe de redes bloqueia os condutos da zona do BMS às 22:55; os controladores continuam com as suas agendas. Os engenheiros da manutenção fazem rondas de hora em hora. Na manhã seguinte, a BMS-WS é reconstruída a partir de uma imagem verificada, o servidor é verificado e os condutos são restaurados até as 14:00, depois da verificação dos pontos.
Caso sintético — Millbrook. O incidente é inventado.
Erros e limites
Alguns controladores falham para padrões seguros que diferem da operação normal; conheça-os antes de isolar. O monitoramento por rondas não pode durar indefinidamente; planeje a escala de pessoal.
Exercícios
- EX051 — Primeira pergunta. Qual é a primeira pergunta depois que a BMS-WS mostra uma mensagem de resgate, e quem a responde? Rubrica: 3 = alguma área clínica está insegura; gestor de plantão/manutenção; 2 = só a pergunta; 1 = pergunta de TI; 0 = nenhum.
- EX052 — Por que o isolamento é aceitável. Explique por que bloquear os condutos da zona do BMS não parou a ventilação. Rubrica: 3 = os controladores rodam as agendas locais sem o servidor; 2 = parcial; 1 = parou sim; 0 = nenhum.
- EX053 — Monitoramento manual. O que substitui o monitoramento do BMS enquanto ele está isolado? Rubrica: 3 = rondas da manutenção lendo valores locais, verificações de alarmes pela equipe; 2 = parcial; 1 = vago; 0 = nenhum.
- EX054 — Reconectar. Descreva como os condutos são restaurados depois da recuperação. Rubrica: 3 = um de cada vez, com verificação dos pontos em relação às leituras locais; 2 = parcial; 1 = todos de uma vez; 0 = nenhum.
- EX055 — Padrões seguros. Por que Aisha precisa conhecer o comportamento de falha segura dos controladores antes de recomendar o isolamento? Rubrica: 3 = alguns padrões mudam a operação (por exemplo, ventiladores desligados/no máximo), podendo afetar pacientes; 2 = parcial; 1 = não precisa; 0 = nenhum.
Síntese
A segurança clínica lidera, o controle local sustenta os equipamentos, o isolamento detém o dano remoto e as evidências vêm antes da recuperação.
Continue estudando — capítulo 11 de 12
← Capítulo 10 · Índice de capítulos do curso · Capítulo 12 →
Siga para a próxima lição escrita.