En studie utført av forskere ved Simula Research Laboratorv viser at styrene i helseforetak ofte bare orienteres om digital sikkerhet uten å stille kritiske spørsmål. Som IT-arkitekt mener jeg konsekvensen rammer deg direkte – uten tilgang til journalen og midt i en vakt.

Jeg har rådgitt norske virksomheter om digitale systemer i mange år, og jeg tenker sjelden på styrerommet når jeg hører om et dataangrep. Jeg tenker på deg, ved sengen, uten tilgang til journalen.

Riksrevisjonen har testet dette i praksis. De prøvde å bryte seg inn i sykehussystemer i to av fire helseregioner – og lyktes, ifølge rapporten fra november 2024. De fikk tilgang til pasientopplysninger og kunne i praksis ha stanset systemer som brukes hver dag på vakt. Vurderingen var «kritikkverdig». Det overrasker meg ikke.

Styrene får ikke vite hvor sårbare de er

Etter min mening er ikke problemet at styremedlemmene ikke bryr seg. Problemet er at de får høre at alt stort sett er i orden, uten å få vite om noen faktisk har prøvd å bryte seg inn. Jeg lurer på hvorfor så få sykehus tester seg selv på denne måten jevnlig, i stedet for å vente på at noen andre gjør det for dem. Kanskje det handler om tid og penger. Kanskje ingen har bedt om det før nå. Jeg vet ikke sikkert.

I bank og forsikring er kravene strengere: Styret må jevnlig få vite hvor sårbare de faktisk er, ikke bare en gang i året, ifølge de nye EU-reglene for digital sikkerhet i finansnæringen. En ny lov om digital sikkerhet er også på vei i Norge, og der kan ledere bli personlig ansvarlige hvis de ikke følger opp godt nok. Min erfaring fra andre bransjer er at et slikt personlig ansvar endrer hvilke spørsmål som blir stilt, nesten over natten.

Styrene må stille konkrete spørsmål

Styret i et helseforetak trenger ikke å forstå teknikken. Men det må vite om sykehuset faktisk oppdager et dataangrep når det skjer.

Landets sikkerhetsmyndighet peker i sin risikovurdering på at sektorer som er kritiske for liv og grunnleggende samfunnsfunksjoner, har økt digital eksponering. Det bør etter min mening være første spørsmål i hver eneste styresak om sikkerhet og ikke et vedlegg lengst bak.

Jeg foreslår at helseforetakene, sammen med innkjøpsselskapet sitt og departementet, blir enige om noen få enkle spørsmål som skal stilles i hver styresak: Når testet vi sist om vi oppdager et ekte angrep, hvor mange av systemene våre er oppdatert, og hva skjedde sist gang vi øvde på ordentlig? Det er ikke en kritikk av det enkelte styret. Det er et forslag om å spørre om noe som faktisk sier noe. 

Jeg er usikker på om noe slikt lar seg innføre uten en ny lov som tvinger det frem, og det spørsmålet fortjener et bedre svar enn mitt. Men hvis vi venter til loven tvinger oss dit, har vi brukt tiden på øvelser på papir mens du fortsatt står uten tilgang til journalen den dagen det skjer.