Falha em atualização de segurança causou interrupção nos serviços de saúde de Singapura e levou ao reagendamento de 4 mil consultas

Uma falha evitável em três clusters de saúde

A falha de uma empresa contratada em concluir uma atualização de segurança obrigatória causou a interrupção de 13 de outubro nos sistemas públicos de saúde de Singapura, forçando o reagendamento de cerca de 4 mil consultas ambulatoriais e deixando alguns pacientes à espera por até duas horas. A interrupção durou cerca de nove horas e meia e afetou a NHG Health, o National University Health System e a SingHealth.

O ministro sênior de Estado da Saúde, Tan Kiat How, disse que a atualização dizia respeito a um serviço compartilhado de Sistema de Nomes de Domínio, ou DNS. A agência nacional de tecnologia em saúde, Synapxe, havia contratado uma prestadora de serviços para realizar o trabalho, mas ele não foi concluído antes de uma mudança global programada. Tan classificou a falha como evitável e pediu desculpas pela interrupção, que, segundo ele, não deveria ter acontecido.

A investigação também explicou por que a infraestrutura de reserva não conseguiu resolver o problema. Os sistemas públicos de saúde de Singapura tinham dois centros de dados, mas ambos dependiam do mesmo serviço DNS e da mesma configuração de segurança. Transferir as operações de um centro para o outro teria mantido a falha subjacente.

Não foram relatados incidentes de segurança de pacientes atribuíveis à interrupção. Os investigadores não encontraram ataque cibernético, acesso não autorizado, comprometimento nem perda de dados de pacientes. As consequências imediatas foram serviços interrompidos, tempos de espera maiores e consultas que precisaram ser remarcadas.

O que pacientes e funcionários vivenciaram

Agendamentos de consultas, cadastro de visitantes, dispensação de medicamentos e cobrança estavam entre os serviços afetados. Os problemas de conectividade variaram entre os três clusters, por isso a interrupção não teve o mesmo impacto em todas as instituições.

Para os pacientes, os efeitos foram além de uma tela de computador que não carregava. Alguns esperaram mais pelos serviços, enquanto outros tiveram consultas ambulatoriais transferidas para outro horário. Cerca de 4 mil consultas foram remarcadas, embora esse número conte consultas, e não todas as pessoas que enfrentaram transtornos durante a interrupção.

As instituições de saúde ativaram procedimentos de contingência, usados quando os sistemas de computador habituais ficam indisponíveis. Elas mobilizaram funcionários adicionais e mantiveram os atendimentos essenciais com processos manuais e alguns registros de pacientes disponíveis em formato separado e somente para leitura.

Os registros somente para leitura permitem que os funcionários consultem informações sem alterá-las por meio daquele sistema. Eles deram aos profissionais de saúde acesso a informações selecionadas dos pacientes enquanto os serviços normais estavam interrompidos. Os funcionários também tiveram de lidar com o trabalho extra gerado por processos que normalmente são realizados eletronicamente.

Como a interrupção se desenrolou

O relato da Synapxe sobre o incidente situa o início por volta das 7h10 de 13 de outubro. Os serviços começaram a ser restabelecidos gradualmente por volta das 15h, e todos os serviços afetados haviam sido restaurados até as 16h37. O intervalo entre o início informado e a restauração completa foi de nove horas e 27 minutos, compatível com a descrição arredondada de uma interrupção de nove horas e meia.

• 13 de outubro, por volta das 7h10: Um problema técnico que afetou a conectividade da rede começou a interromper serviços nos três clusters públicos de saúde.
• 13 de outubro, por volta das 15h: Os serviços afetados começaram a ser restabelecidos gradualmente.
• 13 de outubro, 16h37: Todos os serviços afetados haviam sido restaurados, segundo a Synapxe.
• 13 de outubro, por volta das 17h40: A Synapxe divulgou uma nova nota confirmando a restauração.
• 3 de novembro: Parlamentares deveriam questionar o governo sobre a interrupção, seu impacto nos pacientes e a confiabilidade dos planos de contingência.

Inicialmente, a Synapxe descreveu um problema técnico que afetava a conectividade da rede e disse que não havia indícios de um incidente cibernético enquanto as investigações prosseguiam. As conclusões posteriores apontaram a atualização de segurança não realizada como causa e confirmaram que os dados dos pacientes não haviam sido comprometidos nem perdidos.

Por que um único serviço DNS foi tão importante

Um serviço DNS ajuda os sistemas de computador a localizar e se conectar a aplicativos. Ele funciona como uma lista telefônica: um sistema pergunta onde encontrar um serviço, e o DNS fornece as informações necessárias para acessá-lo. Quando esse diretório compartilhado deixa de funcionar corretamente, pode se tornar difícil ou impossível acessar vários aplicativos que, de outro modo, seriam independentes.

A atualização de segurança obrigatória se aplicava ao DNS compartilhado. Como a empresa contratada não a concluiu antes da mudança global programada, uma dependência técnica usada em todo o sistema público de saúde se tornou o ponto de falha.

Tan disse que a mudança era conhecida com antecedência. Portanto, a falha operacional central foi não concluir os preparativos obrigatórios para uma mudança prevista. Acompanhar uma solicitação é apenas parte do processo; também é necessário confirmar que o trabalho foi efetivamente concluído.

As medidas corretivas do governo incluem aprimorar o acompanhamento e a verificação de mudanças técnicas críticas. Na prática, a organização responsável por um sistema precisa ter uma forma confiável de confirmar que uma atualização obrigatória foi aplicada antes da entrada em vigor da mudança para a qual ela prepara o sistema.

Por que dois centros de dados não foram suficientes

Os sistemas públicos de saúde contavam com infraestrutura de reserva, incluindo dois centros de dados. Essas estruturas permitem transferir serviços quando uma instalação específica ou parte de sua infraestrutura fica indisponível. Neste incidente, porém, os dois centros dependiam do mesmo serviço DNS e da mesma configuração de segurança.

Assim, a transferência das instalações teria levado os sistemas de volta ao mesmo problema não resolvido. O segundo local oferecia outro espaço para executar os serviços, mas a dependência compartilhada impedia que ele servisse como uma rota eficaz de recuperação para essa falha específica.

O governo está tratando das dependências compartilhadas e aprimorando os planos de recuperação como parte de sua resposta. A questão prática é saber se uma estrutura de reserva consegue funcionar quando falha um serviço usado tanto pelos sistemas principais quanto pelos de contingência.

O parlamentar indicado Haresh Singaraju pediu esclarecimentos sobre a existência de uma estrutura de reserva independente, o prazo previsto para restaurar os serviços e se essa meta foi cumprida. A parlamentar Joan Pereira também perguntou por que a infraestrutura de reserva não evitou a interrupção e pediu dados sobre os pacientes afetados.

A Synapxe continua responsável

A Synapxe está analisando as obrigações contratuais da prestadora de serviços e tomará as medidas cabíveis caso seja constatada uma violação. Tan disse que a agência continua responsável pela resiliência de seus sistemas críticos, independentemente dos acordos de terceirização.

A obrigação da empresa contratada de realizar a atualização e a responsabilidade da Synapxe de manter a confiabilidade dos sistemas de saúde fazem parte da resposta. Contratar outra organização para realizar o trabalho técnico não isenta a agência da responsabilidade de supervisionar sistemas dos quais hospitais, clínicas e pacientes dependem.

O nome da prestadora de serviços, eventuais penalidades contratuais e um cronograma para concluir as medidas corretivas não foram informados. A parlamentar Cassandra Lee pediu uma atualização sobre a investigação e medidas para reduzir a probabilidade de outra interrupção.

A Synapxe nomeou um painel de especialistas de organizações com perfis de engenharia semelhantes. A tarefa do grupo é analisar as conclusões da investigação e as soluções propostas, além de identificar outras melhorias. O Ministério da Saúde supervisionará as medidas corretivas e verificará sua eficácia.

Diagnósticos mais rápidos fazem parte do plano de recuperação

O monitoramento detectou atividade anormal durante o incidente, mas identificar o problema subjacente e restaurar os serviços com segurança levou tempo. Detectar que algo está errado e identificar exatamente o que precisa ser consertado são etapas diferentes de uma resposta.

A Synapxe está aprimorando o monitoramento e o diagnóstico de falhas para acelerar a recuperação. Em um sistema que atende a vários clusters de saúde, o desafio inclui rastrear problemas em serviços compartilhados, em vez de analisar cada aplicativo afetado isoladamente.

Em sua nota após a restauração dos serviços, a Synapxe descreveu a experiência de pacientes e visitantes e o trabalho realizado em conjunto com as instituições de saúde:

Durante a interrupção, pacientes e visitantes de algumas instituições públicas de saúde enfrentaram tempos de espera maiores para determinados serviços.

"Nossas equipes trabalharam em estreita colaboração com os clusters públicos de saúde para restaurar os serviços afetados o mais rápido possível.

Os horários de restauração mostram que a recuperação ocorreu em etapas. Alguns serviços começaram a voltar por volta das 15h, mais de uma hora e meia antes de todos os serviços afetados serem restabelecidos. Assim, os funcionários tiveram de administrar um período em que as operações normais voltavam de forma desigual.

Manter os atendimentos quando os sistemas falham

As instituições de saúde mantiveram os atendimentos essenciais com funcionários adicionais, alguns registros somente para leitura e procedimentos manuais. Tan informou que não houve incidentes de segurança de pacientes atribuíveis à interrupção, embora pacientes tenham enfrentado atrasos e milhares de consultas tenham sido remarcadas.

O governo planeja fortalecer os sistemas de contingência, preparar melhor os funcionários e realizar exercícios regulares, incluindo simulações de interrupções parciais. Uma interrupção parcial pode deixar alguns aplicativos disponíveis enquanto outros ficam inacessíveis, exigindo que os funcionários decidam quais processos podem continuar normalmente e quais precisam de uma alternativa.

A resposta tem agora três objetivos interligados: evitar que o problema se repita com um controle melhor das mudanças técnicas, limitar o alcance das falhas ao tratar das dependências compartilhadas e manter os atendimentos em funcionamento com uma preparação operacional mais sólida.

Para os pacientes, o sucesso significaria menos consultas canceladas ou adiadas quando ocorresse um problema técnico. Para os profissionais de saúde, significaria acesso confiável às informações essenciais e procedimentos viáveis durante uma interrupção. Tan disse que a tecnologia em saúde precisa se tornar mais confiável, garantindo ao mesmo tempo que os funcionários possam continuar cuidando dos pacientes com segurança quando os sistemas falharem.

Principais pontos

• Uma atualização de segurança não realizada causou a interrupção de 13 de outubro nos três clusters públicos de saúde de Singapura.
• Cerca de 4 mil consultas ambulatoriais foram remarcadas, e alguns pacientes esperaram até duas horas.
• Os serviços foram interrompidos por volta das 7h10 e totalmente restabelecidos até as 16h37.
• Os dois centros de dados dependiam do mesmo serviço DNS e da mesma configuração de segurança, o que impediu uma transferência eficaz para a infraestrutura de reserva.
• Não foram relatados incidentes de segurança de pacientes atribuíveis à interrupção, e os investigadores não encontraram ataque cibernético nem perda de dados de pacientes.
• A Synapxe está analisando as obrigações da empresa contratada, enquanto o Ministério da Saúde supervisionará as medidas corretivas e verificará sua eficácia.