Bente Stein Mathisen (Høyre), 2021-05-11:
Jeg vil takke saksordføreren for et veldig godt samarbeid i en svært omfattende sak. Jeg er altså delsaksordfører for undersøkelsen som omhandler informasjonssikkerhet i helseforetakene, og Riksrevisjonens undersøkelse gjelder for året 2019 og omfatter bl.a. svikt i informasjonssikkerheten i helseforetakene. Og det er alvorlig, det som avdekkes. Eksterne aktører har kunnet bryte seg inn i interne systemer uten å bli hindret og uten gode nok systemer til å oppdage angrepene. Helseforetakenes forebygging av dataangrep får kraftig kritikk av Riksrevisjonen. Undersøkelsen avslører vesentlige sårbarheter i de fire helseregionenes IKT-infrastruktur. Det er simulerte dataangrep som ga tilgang til store mengder sensitive pasientopplysninger. I alle regionene er det vesentlige svakheter i grunnleggende tekniske sikkerhetstiltak som skal forebygge og oppdage dataangrep, det er uklare ansvarsforhold og uklar oppgavefordeling i helseregionene som vanskeliggjør forbedringsarbeidet, og atferden blant helse- og IKT-personell svekker IKT-sikkerheten. Et dataangrep kan få store konsekvenser for pasientbehandlingen, og det kan true pasientsikkerheten. Riksrevisjonen bruker sitt sterkeste begrep, «svært alvorlig», når de omtaler funnene som gjelder IKT-sikkerhet i helseforetakene. Riksrevisjonen mener helseregionenes arbeid med å forebygge og oppdage dataangrep ikke er i henhold til krav i lov og forskrift. Videre mener Riksrevisjonen det er sterkt kritikkverdig at de påviste svakhetene i styringen av området ikke står i samsvar med den betydning IKT har for sykehusdriften. Pasienter og innbyggere skal ha tillit til at opplysninger ikke kommer på avveie, og at uvedkommende ikke får tilgang. Helsepersonell som trenger informasjon, må ha tilgang raskt og enkelt, og de må være sikre på at opplysningene er korrekte, oppdaterte og fullstendige. Derfor er det så viktig at IKT-sikkerhet er på agendaen kontinuerlig i helsevesenet. Alle prosedyrer gjøres nå mer og mer digitalt. Det krever gode sikkerhetssystemer og en sikkerhetskultur som favner alle som jobber i helseforetakene. Med ca. 200 000 ansatte som har ulike tilganger til IKT-systemene, så må sikkerhetsarbeidet og sikkerhetskulturen være en viktig del av ledelsens oppmerksomhet og innsats over tid. Informasjonssikkerhetsarbeidet er i kontinuerlig endring. Derfor er det behov for jevnlig og oppdatert påfyll. Riksrevisjonens overordnede kritikk er at de regionale helseforetakene ikke har fulgt opp sikkerhetsarbeidet godt nok, og at departementets oppfølging også kan sies å ha vært for passiv. Komiteen holdt en lukket høring i behandlingen av denne saken. Bakgrunnen var at deler av undersøkelsen er gradert BEGRENSET etter sikkerhetsloven. Det var ønskelig å få en utdypende informasjon om svakheter i IKT-systemet, som er under utbedring, uten at dette skulle blottlegges for alle og for utenforstående. I høringen møtte relevante aktører fra flere nivåer i spesialisthelsetjenesten: IKT-leverandører, HelseCERT, Direktoratet for e-helse og helse- og omsorgsminister Bent Høie. Med de alvorlige merknadene som fremkom i Riksrevisjonens rapport, ble jeg faktisk ganske beroliget i den lukkede høringen, for alle aktørene som var på høringen, ga uttrykk for at de tok rapporten på aller høyeste alvor, og at IKT-sikkerhet i helsevesenet er høyt på agendaen. Svakhetene som ble avdekket i rapporten, var både kjente og ukjente, og de fleste er utbedret etter at undersøkelsen ble gjort. Resten er under utbedring, og det jobbes kontinuerlig med å forebygge og avdekke IKT-angrep. Som flere sa: Dette er et arbeid som aldri tar slutt. Angrepene utenfra blir mer og mer utspekulerte og avanserte. Derfor er det viktig å være i forkant og ha på plass riktig kompetanse og sørge for gode systemer, slik at angrep avdekkes og stoppes. Det er godt å se at Riksrevisjonens funn blir tatt på stort alvor av statsråden og av helseforetakene. Statsråden påpeker i sine kommentarer at det er behov for å styrke spesialisthelsetjenestens samarbeid med Direktoratet for e-helse og Norsk Helsenett SF, og han vil følge opp dette arbeidet i eierlinjen. Alle aktørene er samstemte i at rapporten er et viktig dokument og et godt grunnlag for forbedringsarbeid, som hele tiden må være på dagsordenen, og det er godt å høre.