Sykehusenes IT-sikkerhet er fortsatt for svak, viser nye inntrengingstester

Riksrevisjonen har på nytt gjennomført simulerte dataangrep mot sykehusenes IT-systemer. Som sist fikk den høy grad av kontroll over viktige systemer og betydelige mengder pasientopplysninger. Vurderingen er «kritikkverdig».

Bakgrunn

I 2020 la Riksrevisjonen fram en rapport som avdekket vesentlige svakheter i IT-sikkerheten på norske sykehus. Simulerte dataangrep ga stor grad av kontroll over IT-systemene i tre av fire helseregioner, og tilgang til store mengder sensitive helseopplysninger i alle regionene. Funnene var så alvorlige at de ga Riksrevisjonens sterkeste kritikk. I oppfølgingsundersøkelsen er det gjennomført nye dataangrep ved to av landets fire helseregioner.

Hva som er bedre, og hva som ikke er det

Riksrevisjonen konstaterer at det er satt i gang mange tiltak, både av departementet, de regionale helseforetakene og helseforetakene. Tiltakene har bidratt til og vil bidra til å styrke informasjonssikkerheten. Likevel er det fortsatt svakheter, og det er krevende å få etablert en god sikkerhetskultur. Inntrengingstestene ga, som i forrige undersøkelse, høy grad av kontroll over viktige IKT-systemer og betydelige mengder pasientopplysninger.

Hvorfor det er alvorlig

Dataangrep kan få store konsekvenser for spesialisthelsetjenestens evne til å utføre sine primæroppgaver, og kan også ha betydning for pasientsikkerheten. Derfor mener Riksrevisjonen at det er kritikkverdig at det fortsatt er vesentlige svakheter i informasjonssikkerheten.

Videre oppfølging

Deler av rapporten er sladdet etter offentleglova § 24 tredje ledd. Riksrevisjonen vil følge forbedringsarbeidet og følge opp saken på nytt innen tre år. Oppfølgingen står i Dokument 3:2 (2024–2025).

Kilde: Riksrevisjonen: Oppfølgingsundersøkelse: Helseforetakenes forebygging av angrep mot sine IKT-systemer, offentliggjort 27. november 2024. Dette er et automatisk generert sammendrag med egne ord, og det kan inneholde feil. Les rapporten hos Riksrevisjonen for det fullstendige og autoritative innholdet.