Forskere ved Simula Research Laboratory har undersøkt hvordan styrer i 33 helseforetak arbeider med digital sikkerhet. Studien bygger på svar fra 103 styremedlemmer og 594 styreprotokoller.

Mye orientering, lite handling

Tre av fire styresaker om digital sikkerhet var orienteringer eller statusrapporter. Bare 23 prosent var registrert som beslutningssaker. Også blant disse handlet mange om å godkjenne eller ta administrasjonens informasjon til orientering.

Samtidig svarte 92 prosent av styremedlemmene at de i noen grad sørger for at sikkerhetsstrategien passer med virksomhetens mål og samfunnsoppdrag.

– Datasikkerhet blir i økende grad regnet som et styreansvar, men det er gjort lite forskning på hvordan styret faktisk følger opp dette ansvaret, sier Jostein Jensen, divisjonsdirektør for cybersikkerhet ved Simula Research Laboratory i en pressemelding.

Forskerne etterlyser kritiske spørsmål

Bare 6,8 prosent av styremedlemmene oppga at digital sikkerhet blir diskutert på hvert styremøte. Nesten halvparten svarte at temaet tas opp én gang i året.

Forskerne fant at styrene oftere engasjerer seg aktivt når de får en revisjonsrapport, en konkret trusselvurdering eller må håndtere en sikkerhetshendelse.

– Uten jevnlige oppfølginger og kritiske spørsmål risikerer styrets arbeid med datasikkerhet å bli en papirøvelse, sier Jensen.