Hvor trygg er du egentlig på sykehuset?

Når enkelte systemer er fra 80-tallet.

Girl telemark skiing snow slope in mountains

Del

Det er en helt fantastisk påskedag i Jotunheimen. Sola strekker sine varme armer så langt den klarer og fyller hele sin skyfrie hjemmebane med deilig vær. På toppen av Lauvnostind står Erlend med klam rygg og røde kinn og hviler seg på stavene mens han skuer utover Hurrunganes praktfullhet. I sitt stille sinn tenker han på cyberangrepet han ble utsatt for i februar og priser seg lykkelig for at det gikk så bra som det gikk. Etter en rask matbit og en god klunk vann setter Erlend utfor den desidert bratteste veien ned fra fjellet. Med lite selvinnsikt i eget ferdighetsnivå går han så saftig på trynet at ambulansehelikopteret står for resten av nedstigningen. Det tar tid før Erlend kommer til hektene og først når han ligger i sykehussengen kvikner han til. Lukten og synet av det sterile gjør at han umiddelbart får en rolig følelse – nå er han heldigvis i trygge hender.

Men hvor trygg er han egentlig?

Vis mer

Helsesektoren er mer sårbar for cyberangrep enn noensinne fordi digitaliseringen går raskere enn IT-avdelingene klarer å omstille seg. Men hva er egentlig grunnen til at helsesektoren ligger så langt bak på IT-sikkerhet? Løsningsarkitekt i Cisco, Jorleif Aagaard, svarer:

– Mye av det som er i helsesektoren er gammel arv fra den gang fylkene hadde ansvar for sykehusene. Etter at helsereformen kom i 2001 ble inndelingen regionbasert, men det er fremdeles mange forskjellige infrastrukturer. Vi kjenner til at det enkelte steder eksisterer 3-4 generasjoner datarom og at det andre steder knapt finnes 2 helseforetak (sykehus) som har lik nettverkinfrastruktur, sier han.

Aagaard peker blant annet på at det norske helsevesenet benytter tusenvis av applikasjoner og programvarer, mange bestående av gammel kode som stammer helt tilbake til 80-tallet. Dette er applikasjoner og kode som ikke uten videre er i stand til å beskyttes med tradisjonelle virkemidler. En ting er svakheter i operativsystemene som driver applikasjonene, slik som WannaCry, verdens største cyberangrep som i 2017 satte deler av det engelske helsevesenet ut av spill.

– Det man kanskje heller ikke tenker på er at applikasjonene i seg selv er utsatte fordi de er så gamle at de ikke vedlikeholdes og oppdateres lenger. Hvis man ikke kjenner sårbarhetene en gang, hvordan skal man da beskytte seg, spør Aagaard retorisk.

Applikasjonene lever stort sett i datasenteret og i stor grad uten innsyn i hvordan den enkelte applikasjon kommuniserer med andre applikasjoner, tjenester, enheter og sluttbrukere. I forbindelse med integrasjonsprosjekter utføres ofte en kartlegging av applikasjonsarkitekturen – en manuell jobb som kan ta flere uker og måneder. Med Cisco Tetration får man en «tidsmaskin» i datasenteret, som i sanntid viser detaljert hva som skjer, hva som har skjedd og sikrer det som skjer.

Hacker infusjonspumpen

Løsningsarkitekt i Cisco, Jorleif Aagaard.

Med digitaliseringen blir også Internet of Things (IoT) i større grad en realitet, og ingen har flere «things» enn helsesektoren. Aagaard mener dette byr på store, sikkerhetsmessige utfordringer.

– Det som primært er den store bekymringen nå er angrepsflaten det medisintekniske utstyret utgjør. Den siste tiden er det dokumentert sikkerhetsangrep via infusjonspumper og det Amerikanske FDA har trukket en pacemaker fra markedet etter at den ble hacket. Hvordan sikrer du det? Dette er enheter som du ikke kan installere for eksempel antivirus på. Du klarer ikke å sikre de operativsystemene som ligger inni der fordi de er så enkle, sier han.

Mange sykehus har laget individuelle nettverk for det medisintekniske utstyret, og det åpner for muligheten til å bruke nettverket som en slags sikkerhets-sensor.

– Flere av helseregionene bruker delvis vår infrastruktur som plattform og med den er det mulig å finne ut hva som faktisk er koblet til nettverket. Det vi typisk ser er at hos et større helseforetak med eksempelvis 10-20000 ansatte, så er det tilsvarende antall PC’er i bruk. Gjør man en profilering av nettverket i et slikt helseforetak, så ser vi anslagsvis 5-6 ganger så mange andre typer enheter og utstyr tilkoblet, enn det er PC’er, sier Aagaard.

– Når vi først har innsikt i hva som er tilkoblet, så kan vi faktisk også bruke nettverket til å beskytte medisinteknisk utstyr og andre IoT enheter, sier han.

Et annet aspekt med det raskt økende antallet medisinteknisk utstyr er at produsentene leverer med sine skytjenester. I disse skytjenestene ligger funksjoner for bl.a. vedlikehold, men også informasjon knyttet til pasient i forbindelse med undersøkelser, tester og prøvetaking. Dette kalles «shadow IT».

– Jeg var selv til synsundersøkelse på et større sykehus og der ble mitt navn, personnummer og type undersøkelse lagt inn før min undersøkelse startet. Jeg bemerket dette og ble fortalt at de egentlig ikke visste hvorfor men at de trodde det var for at bilder og tester kunne knyttes til meg. Men da jeg fikk se resultatene, så jeg at de da var inne på en nettside som lå hos produsenten av utstyret, forteller Aagaard

Helseforetakene kan enkelt skaffe seg oversikt over hvor mye udokumenterte skytjenester som finnes i virksomheten, ved å bruke Cisco Umbrella Cloud Services Report.

Video: Slik foregår et IoT-angrep.

Det må skje en totalforandring og Cisco kan bidra

Ved bruk av banebrytende teknologi er Cisco en av Norges fremste aktører hva gjelder IT-sikkerhet. I forhold til sikkerhetsutfordringene helsesektoren står ovenfor er budskapet klart:

– Snu IT-avdelingen på hodet, det har vi gjort.

Aagaard forteller at Cisco har transformert sin egen IT-avdeling der teknologien ikke lenger er delt opp i forskjellige sektorer innad i bedriften, men heller en samlet tjeneste.

– I stedet for å ha for eksempel applikasjon, nettverk, sikkerhet, servere og lagring organisert som fag-siloer, organiseres alt ut fra tjenester. Dette mener vi alle organisasjoner i helsesektoren også bør gjøre, og det kan vårt transformasjonsprogram hjelpe til med. Da blir det blant annet lettere å bruke infrastrukturen for å få innsyn i hva som skjer, og få beskjed om normalavvik, sier Aagaard.

Cisco har også et eget samhandlingssystem, som er sertifisert opp mot GDPR. Cisco samarbeider med Apple mot helsesektoren, og gjennom Cisco funksjoner integrert i Apple iOS operativsystemet og mobile device management, sikres kommunikasjonen.

– Til syvende og sist handler det om å dele informasjon i stedet for å utveksle informasjon. Det er slik Cisco kan hjelpe helsesektoren å gå digitaliseringen i møte så sikkert som mulig.

PS: Erlend hadde bare en kraftig hjernerystelse og trengte heldigvis ikke drypp.