Bent Høie (Høyre), 2018-01-30:
Det er nødvendig for helsetjenesten at befolkningen har tillit til vår håndtering av pasientopplysninger. Når svakheter avdekkes, er det viktig å møte dette med en åpen debatt. Jeg vil derfor takke for muligheten til å redegjøre for IKT-saken i Helse Sør-Øst. Jeg vil videre ta opp spørsmålet om tilgang til pasientopplysninger og informasjonssikkerhet i spesialisthelsetjenesten mer generelt, dette som en oppfølging av spørsmål til skriftlig besvarelse fra representanten Wilkinson. Jeg finner det også naturlig å gå inn på de siste ukers hendelser knyttet til dataangrepet mot servere i Helse Sør-Øst. I Norge er det bred enighet om at befolkningen skal ha tilgang til offentlig finansierte helsetjenester med høy kvalitet. Den overordnede oppgaven for regjeringen er å sikre et bærekraftig velferdssamfunn. Vi må utvikle en bærekraftig helsetjeneste hvor bruk av teknologi gjør det mulig for helsepersonell å arbeide effektivt, levere helsetjenester på nye måter, behandle pasienter hjemme og gjøre pasienten til en aktiv partner. Da må vi ta i bruk de fremste metoder og teknologi i verden, og også forholde oss til at mye av teknologiutviklingen skjer i andre land enn i Norge. En moderne helsetjeneste er avhengig av private leverandører av IKT-løsninger og medisinsk-teknisk utstyr. Dette stiller særlige krav til arbeidet med informasjonssikkerhet og personvern, og dette har høy prioritet. Informasjonssikkerhet dreier seg også om å håndtere risiko og sette i verk tiltak slik at pasientopplysninger sikres på en tilfredsstillende måte. Dette krever et kontinuerlig og systematisk arbeid. Regelverket på dette området angir i begrenset grad konkrete krav eller valg av sikkerhetsnivå for de tekniske løsningene. Hvilket sikkerhetsnivå som er nødvendig, skal vurderes opp mot opplysningenes tilgjengelighet, integritet og konfidensialitet. Med tilgjengelighet menes at opplysningene skal være tilgjengelige når det er et legitimt behov for det. Integritet handler om å sikre at data er komplette og korrekte. Med konfidensialitet menes at helseopplysningene skal være sikret mot at uvedkommende får kjennskap til dem. Godt personvern krever at alle de tre nevnte hensynene tilgjengelighet, integritet og konfidensialitet ivaretas. Det stiller ikke bare høye krav til valg av tekniske løsninger. Det stiller også høye krav til styring, ledelse og organisering. I pasientbehandlingen kan rask tilgang til riktig informasjon være kritisk. Manglende tilgang til oppdaterte og korrekte pasientopplysninger kan føre til feilbehandling og skade på pasienten. Korrekte og oppdaterte opplysninger må være tilgjengelige for rett person til rett tid. Personvernlovgivningen skal sikre at disse opplysningene blir brukt på riktig måte. I helse- og omsorgstjenesten er det lagt stor vekt på konfidensialitetsaspektet. Dette må ses i sammenheng med taushetsplikten som gjelder for helsepersonell. I diskusjonen om informasjonssikkerhet har det å hindre uautorisert bruk og at uvedkommende får tilgang til pasientopplysninger, kanskje fått størst oppmerksomhet. Jeg kommer senere tilbake til IKT-moderniseringen i Helse Sør-Øst. På bakgrunn av saken ga jeg i juni 2017 Direktoratet for e-helse i oppdrag å utvikle en god og felles forståelse om hva som skal til for å ha en trygg og riktig bruk av både nasjonale og internasjonale leverandører. Et stort antall aktører var involvert i arbeidet: sentrale kompetansemiljøer, pasientorganisasjoner, fagorganisasjoner, tillitsvalgte, brukerorganisasjoner og IKT-næringen. Det ble også innhentet erfaringer fra andre samfunnsaktører, slik som Finanstilsynet, Telenor og Statoil. Direktoratet for e-helse leverte rapporten til departementet 30. november 2017. Rapporten er ikke en kontroll- eller tilsynsrapport, men et normativt grunnlag for videre utvikling. Dette er i tråd med den rollen direktoratet er gitt. Rapporten bekrefter at helse- og omsorgssektoren er helt avhengig av private leverandører, både nasjonale og internasjonale, innen IKT-området. Ansatte hos disse leverandørene vil i arbeidet kunne få tjenestemessig nødvendig tilgang til pasientinformasjon. Det må alltid foretas en helhetlig risikovurdering av alle tjenester som inneholder pasientinformasjon. Dette er spesielt viktig ved bruk av eksterne leverandører. Direktoratet for e-helse mener at helse- og omsorgssektoren generelt må ha en relativt lav aksept for risiko. Jeg vil nå konsentrere meg om to hovedtema i rapporten. For det første: Er det tjenester som ikke bør overlates til eksterne leverandører? Og for det andre: Hvilke tiltak bør iverksettes for å ivareta informasjonssikkerheten ved bruk av eksterne leverandører? Direktoratet for e-helse mener det ikke er grunnlag for å konkludere med at noen typer tjenester aldri kan overlates til eksterne leverandører. Det trenger altså ikke å være et motsetningsforhold mellom informasjonssikkerhet og tjenesteutsetting. Det må imidlertid alltid foreligge nødvendige risikovurderinger og databehandleravtaler for å ivareta hensynet til informasjonssikkerheten. I gjeldende rett er det ikke forbud mot at norske virksomheter benytter nasjonale eller utenlandske IKT-leverandører fra EU/EØS-området. Ved bruk av IKT-leverandører utenfor EU/EØS-området er det særskilte krav som må oppfylles. I denne sammenheng vil jeg komme med noen ytterligere kommentarer. Tjenesteutsetting av IKT-oppgaver er vanlig i alle sektorer og i alle typer virksomheter. Kommunal- og moderniseringsdepartementet har tidligere gjennomført undersøkelser om organiseringen av IKT-drift i offentlig sektor. Disse viser en klar tendens i retning økt bruk av tjenesteutsetting. Eksterne IKT-leverandører kan sikre tilgang til oppdatert teknologi, bidra til at helse- og omsorgstjenesten får tilgang til nødvendig kompetanse, og derigjennom bidra til økt kvalitet på tjenestene. I Nasjonal sikkerhetsmyndighets rapport Helhetlig IKT-risikobilde 2017 framkommer det at tjenesteutsetting av IKT-tjenester til profesjonelle aktører kan gi bedre sikkerhet og mer stabile og tilgjengelige tjenester, og lavere og mer forutsigbare kostnader. Det kan også bidra til fokusering på virksomhetens kjernevirksomhet. Men samtidig kan utsetting føre til økt risiko dersom det gir redusert kontroll over den komplekse verdikjeden. Derfor er det viktig å ha grundige vurderinger i hvert enkelt tilfelle av om ekstern eller intern drift gir best sikkerhet. Lov om offentlige anskaffelser regulerer anskaffelser av varer og tjenester. Anskaffelsesreglene gjelder for tilbydere fra EØS-området. I tillegg gjelder reglene for virksomheter som er gitt rettigheter etter WTO-avtalen om offentlige innkjøp eller andre internasjonale avtaler som Norge er forpliktet av. En rekke land utenfor EØS-området er omfattet av slike avtaler. Det innebærer at det heller ikke nødvendigvis er mulig å avskjære tilbydere fra land utenfor EØS-området fra å delta i konkurransen. Jeg vil også minne om at mye av teknologiutviklingen på helseområdet skjer utenfor Europa. Oppdragsgivere skal stille krav til informasjonssikkerhet og innføre kontrollmekanismer som reduserer risiko til et akseptabelt nivå. Krav og kontroll må utformes på bakgrunn av en grundig risikovurdering av konkrete løsninger. Deretter må leverandørene sannsynliggjøre at de vil oppfylle sikkerhetskravene ved å beskrive tiltak i sine tilbud og framlegge sikkerhetsdokumentasjon. De regionale helseforetakene og helseforetakene må vurdere om kravene er oppfylt. Leverandører som ikke oppfyller kravene, kan ikke tildeles kontrakt. I denne vurderingen kan forholdene til leveranselandet tas i betraktning. Det er imidlertid svært begrenset anledning til å avvise tilbud med den begrunnelse at oppdragstaker er etablert i, eller vil levere tjenester fra, et annet EØS-land. Det er ifølge anskaffelsesreglene mulig hvis dette har betydning for rikets sikkerhet, og når det er nødvendig for å ivareta vesentlige sikkerhetsinteresser. Det skal mye til for at beskyttelse av pasientopplysninger utfordrer rikets sikkerhet, i hvert fall dersom det stilles krav til leverandørene og kontrollmekanismer basert på risikovurderinger. Da vil jeg gå over til tiltakene som foreslås i rapporten fra Direktoratet for e-helse. Dette er dels tiltak og forbedringer virksomheter i sektoren selv må gjøre, og dels tiltak som må følges opp sentralt. Når det gjelder tiltak som må gjennomføres i sektoren, trekkes god ledelsesforankring og styring fram. Ansvar og roller når det gjelder informasjonssikkerhet, må være klare, og det må finnes gode prosesser og rutiner for når utenforstående skal kunne trekkes inn i arbeidet med IKT-systemer og medisinsk-teknisk utstyr som inneholder pasientopplysninger. Helhetlig risikovurdering er et annet hovedpunkt. Når tjenester overlates til private leverandører, må det foretas en helhetlig risikovurdering slik at den totale risikoen kommer fram og rapporteres til ledelsen. Risikovurdering og tiltak må ta høyde for de begrensninger som ligger i de eksisterende tekniske løsningene. Det er viktig med både regelmessig oppfølging og nye risikovurderinger når det gjøres endringer i tjenesten eller i leveransestrukturen. Et tredje forhold som trekkes fram, er behov for kompetanse. Helsesektoren må ha tilstrekkelig kompetanse, kapasitet og struktur for å ivareta sitt ansvar for informasjonssikkerhet og personvern når private leverandører benyttes. Det er vesentlig at sikkerhetshensyn ivaretas i alle faser, fra planlegging av en anskaffelse til avslutning av kontrakten. Dette krever god bestillerkompetanse i virksomhetene. Rapporten peker også på forhold som må følges opp sentralt. Det første gjelder avklaring av databehandlingsansvar i forholdet mellom regionale helseforetak og helseforetak. Databehandlingsansvaret ligger i dag i det enkelte helseforetak. Dette kan skape uklarhet i styring og ansvar ved anskaffelser og innføring av regionale løsninger og ved løsninger på tvers av sektoren. Direktoratet for e-helse mener det må utredes om databehandlingsansvaret slik det er i dag, er forenlig med strategier for etablering av fellesløsninger i helse- og omsorgssektoren. Videre anbefales en oppdatering av Norm for informasjonssikkerhet i helse- og omsorgssektoren. Dette omfatter bl.a. rutiner for helhetlig risikostyring, nasjonal standard for tilgangsstyring og standardiserte databehandlingsavtaler. Sektoren arbeider allerede godt for å oppdatere normen i tråd med dette. Dette arbeidet ledes i dag av Direktoratet for e-helse. Jeg har i foretaksmøte i de regionale helseforetakene 16. januar bedt de regionale helseforetakene om å legge anbefalingene i rapporten til grunn i det videre arbeidet med informasjonssikkerhet. Når det gjelder spørsmålet om databehandlingsansvar, er det påbegynt et utredningsarbeid. Det tas sikte på at dette vil bli sendt på ordinær høring i løpet av denne våren. Kontroll- og konstitusjonskomiteen stilte i brev av 9. mai og 6. juni 2017 viktige spørsmål om IKT-saken i Helse Sør-Øst. Disse ble besvart av meg i brev av 15. mai, 1. juni og 13. juni. Komiteen var bl.a. opptatt av hvem som hadde hatt urettmessig tilgang til informasjon, og hvorvidt informasjonen om norske pasienter kunne ha kommet på avveier. Det framgår av min korrespondanse med kontroll- og konstitusjonskomiteen hvilke tiltak jeg har tatt initiativ til i denne saken. Komiteen har på bakgrunn av mine orienteringer avsluttet saken. Jeg har i forbindelse med denne redegjørelsen bedt alle de regionale helseforetakene om å utarbeide oversikter over de tilganger som er gitt til eksterne leverandører. Oversiktene viser hvor i verden personell hos eksterne leverandører har tilgang til personopplysninger. De regionale helseforetakene og Norsk Helsenett SF i tett dialog med NSM/NorCERT har vurdert det slik at disse listene ikke bør offentliggjøres av hensyn til den økte risikoen det medfører. Det er en omfattende bruk av eksterne leverandører når det gjelder både IKT-løsninger og medisinsk-teknisk utstyr. Regionene benytter relativt like tekniske løsninger i sin tilgangsstyring og -kontroll. Det er gjerne etablert portalløsninger hvor leverandørene kan gis tidsbegrensede tilganger/fjernaksess når det gjelder service, support, oppdateringer mv. Jeg vil trekke fram Helse Vest som et eksempel. Denne regionen har avtaler med 129 private leverandører for å bidra til forvaltning, overvåkning og feilretting av hundrevis av ulike IKT-løsninger og medisinsk-tekniske systemer. Av de 129 leverandørene til Helse Vest har 51 av leverandørene tilgang til løsninger som inneholder sensitive personopplysninger. Dette innebærer imidlertid ikke at alle disse har tilgang til pasientjournaler. Det er ofte avgrensede, fragmenterte dataelementer som det er krevende å knytte til identifiserbare pasienter og undersøkelser. Potensielt kan disse 129 private leverandørene ha til sammen opptil 467 autentiserte medarbeidere som ved behov kan gis tilgang til Helse Vest sine systemer. Majoriteten av leverandørene i Helse Vest gis tidsbegrenset tilgang via kryptert VPN for å utføre avtalte oppgaver. VPN er et virtuelt privat nettverk, en datateknikk som anvendes for å skape sikre «punkt-til-punkt»-forbindelser gjennom internett. Noen få sentrale leverandører kan gis kontinuerlig kryptert VPN-tilgang for overvåkning og oppfølging av sine løsninger over tid eller for avtalte prosjektperioder. Helse Vest har under etablering løsninger for kontinuerlig loggføring av krypterte VPN-tilganger, både tidsbegrensede og kontinuerlige. Slik samhandling må håndteres på en systematisk måte. Disse tallene kan oppfattes som høye – kanskje også skremmende høye. Vi må imidlertid ta inn over oss at dette er normalsituasjonen både i den norske spesialisthelsetjeneste og i andre land med tilsvarende avansert spesialisthelsetjeneste som vi har i Norge. Det er behov for private leverandører hvor noen har avgrenset tilgang for drift, service, support og oppdatering av systemene og medisinsk-teknisk utstyr. Det er imidlertid avgjørende at det foretas risikovurderinger hvor sikker informasjonshåndtering settes først og ivaretas gjennom databehandleravtaler med de aktuelle leverandørene. Dette regimet er beskrevet i Direktoratet for e-helse sin nevnte rapport fra 2017. Jeg skal nå konsentrere meg om den konkrete IKT-saken i Helse Sør-Øst. Denne regionen har en lite ensartet IKT-infrastruktur, og deler av denne tilfredsstiller ikke moderne krav. Dette innebærer økt risiko for at uønskede hendelser kan gå ut over pasientsikkerheten. Det har derfor over flere år pågått et arbeid for å samle og konsolidere IKT-infrastrukturen i helseforetaket. Dette arbeidet ledes av Helse Sør-Øst sin felles tjenesteleverandør, Sykehuspartner. Fusjonen mellom Helse Sør og Helse Øst i 2007 økte kompleksiteten i arbeidet med å utvikle felles regionale IKT-løsninger og infrastruktur. Fusjonen medførte ifølge Helse Sør-Øst at man bl.a. som følge av lov om offentlige anskaffelser på enkelte områder måtte starte på nytt med å utvikle enhetlige IKT-løsninger og infrastruktur. Sykehuspartner drifter i dag en infrastruktur som har mer enn 40 datasentre, over 10 000 servere og en portefølje på i størrelsesorden 3 000 applikasjoner. Antall applikasjoner er dels et resultat av ulike teknologiske valg, bl.a. som følge av ulik historie i de to tidligere regionene. I denne situasjonen er det vanskelig og dyrt å etablere regionale tjenester i Helse Sør-Øst. Det er høye kostnader forbundet med å oppdatere og modernisere IKT-infrastrukturen. Generelt kreves en betydelig ressursinnsats for å sikre trygg og stabil drift og tilfredsstillende kvalitet på tjenestene, noe som er avgjørende for informasjonssikkerheten. Med bakgrunn i de nevnte utfordringene startet Helse Sør-Øst høsten 2013 en foranalyse av alternative tilnærminger til modernisering av IKT-infrastrukturen. Arbeidet med infrastrukturmoderniseringen ble ledet av Helse Sør-Øst RHF i nært samarbeid med Sykehuspartner. Flere helseforetak i regionen har også deltatt. Alle helseforetakene var godt orientert om arbeidet gjennom det såkalte Fornyingsstyret. Her deltok alle de administrerende direktørene i helseforetakene i regionen, konserntillitsvalgte og brukerrepresentanter. I 2014 ble det konkludert med at det var ønskelig å iverksette en prosess med sikte på å inngå partnerskap med en ekstern leverandør for å modernisere og drifte IKT-infrastrukturen. Styret ble orientert om dette i styremøte i oktober 2014. Styret har etter dette ved flere anledninger blitt orientert om innretning og status i arbeidet. Styret besluttet i styremøte i september 2016 at infrastrukturmoderniseringen skulle skje i samarbeid med en ekstern leverandør. Styret besluttet også at kontrakt med den mest fordelaktige leverandøren skulle inngås av Sykehuspartner. Hewlett Packard Enterprise, forkortet HPE, ble valgt som leverandør, og Sykehuspartner inngikk kontrakt den 14. oktober 2016. Høsten 2016 iverksatte Sykehuspartner et eget program for modernisering av IKT-infrastrukturen. Man planla opprinnelig for en overføring av driftsansvaret og ansatte fra Sykehuspartner til HPE 1. mai 2017. Den opprinnelige kontrakten ble våren 2017 overført fra HPE til Enterprise Services Norge AS, som er en del av konsernet DXC Technology. Sistnevnte er resultatet av en fusjon mellom CSC og HPE, der den aktuelle delen av HPE inngår. Fram mot virksomhetsoverdragelsen 1. mai 2017 ble det stilt flere spørsmål knyttet til tilgangsstyring og informasjonssikkerhet. Jeg fikk også flere spørsmål fra Stortinget knyttet til dette. Jeg oppfattet at det var motstridende opplysninger mellom det som framkom i media, og den informasjonen jeg mottok fra Helse Sør-Øst, og ba derfor om en grundig redegjørelse fra Helse Sør-Øst. Administrerende direktør i Helse Sør-Øst RHF besluttet å iverksette en ekstern gjennomgang av moderniseringsprogrammet i regi av foretakets revisor, PwC. Basert på bl.a. en foreløpig rapport fra PwC ble det i styremøte 24. mai 2017 besluttet å stille moderniseringsprogrammet i bero. Det ble i mai og juni 2017 foretatt endringer i den administrative ledelsen i Sykehuspartner og Helse Sør-Øst, og hele styret i Sykehuspartner ble byttet ut. PwC la fram den endelige rapporten 22. juni 2017. Denne bekreftet svikt i de forberedelsene som ble gjort for å overføre drift til den private leverandøren. PwCs eksterne gjennomgang viste at det hadde vært svikt både i tilgangsstyringen og i risikovurderingene. Samtidig slo den eksterne gjennomgangen fast at det var lite sannsynlig at de aktuelle tilgangene faktisk hadde blitt benyttet til å hente ut sensitive pasientopplysninger. Et viktig forhold å feste seg ved var at PwC i sin gjennomgang bekreftet behovet for en modernisering av IKT-infrastrukturen. PwCs undersøkelser viste at personer med tilknytning til ekstern leverandør hadde hatt utvidede administratorrettigheter som innebar mulighet for tilgang til pasientopplysninger. PwC har i sin endelige rapport verifisert at alle disse tilgangene er stengt. PwCs undersøkelser har ikke avdekket misbruk eller forsøk på misbruk av tilgang til pasientopplysninger. PwC påviste i sin gjennomgang at det har manglet databehandleravtaler i enkelte ledd, dvs. mellom Enterprise Services Norge AS og deres underleverandører. Videre viste PwC-rapporten at system for gjennomføring av risikovurderinger ikke fungerte som en effektiv kontrollmekanisme. Uklare kriterier for risikoaksept førte til uklarhet med hensyn til hvem som kunne akseptere hvilke risikoer. Dette kan ha ført til at relevante risikoer ikke ble løftet opp i organisasjonen. I tillegg viste rapporten at sentrale risikoer knyttet til informasjonssikkerhet i kontrakten ikke var tilstrekkelig vurdert. Det ble også påvist svakheter ved organiseringen og styringen av programmet. Datatilsynet engasjerte seg også tidlig i IKT-saken i Helse Sør-Øst. De sendte den 26. mai 2017 brev til alle helseforetakene i Helse Sør-Øst. Som databehandlingsansvarlige ble helseforetakene bedt om å redegjøre bl.a. for hvilke risikovurderinger som lå til grunn for beslutningen om å tjenesteutsette ansvaret for IKT-drift og leveranse av IKT-infrastruktur i regionen. Helseforetakene ble bedt om å oversende en oversikt over hvor mange eksterne leverandører som hadde tilgang til sykehusenes informasjonssystem, videre hvilke land leverandørene har tilgang fra, hvilke typer tilganger leverandørene har til hvilke systemer og til hvilke personopplysninger, samt formålet med de gitte tilgangene. Datatilsynet har gitt et foreløpig varsel til helseforetakene om vedtak om overtredelsesgebyr for brudd på personopplysningsforskriften, personopplysningsloven og pasientjournalloven. Det foreligger ennå ikke et endelig vedtak. De avvikene og kritikkverdige forholdene som er omtalt i Datatilsynets forhåndsvarsel, er i all hovedsak knyttet til manglende risikovurderinger, manglende ledelsesforankring og mangelfullt system for å sikre at helseforetakene blir satt i stand til å ta sitt lovpålagte ansvar som databehandlingsansvarlige. De forhold som framkommer av Datatilsynets brev, er i tråd med de funn PwC tidligere har gjort i sine gjennomganger. Det er alminnelig enighet om at det er begått feil i håndteringen av tjenesteutsettingen i Helse Sør-Øst. Verken helseforetakene i Helse Sør-Øst eller det regionale helseforetaket gjorde godt nok forarbeid eller gode nok risikovurderinger. Mitt inntrykk er at det er gjort en rekke risikovurderinger i dette arbeidet, men at disse ikke har vært tilstrekkelige eller gjennomført på alle områder. Det er viktig at alle risikovurderinger dokumenteres, og at det sikres forankring hos ledelsen. Arbeidet med å modernisere infrastrukturen i Helse Sør-Øst har vist seg å være svært krevende. Administrerende direktør i Helse Sør-Øst har derfor besluttet å etablere informasjonssikkerhet som et eget ansvarsområde i foretaksledelsen. Helse Sør-Øst har iverksatt tiltak for å forsterke sine risiko- og sårbarhetsanalyser. Videre er det regionale helseforetaket i samarbeid med helseforetakene i regionen i gang med å se på hvordan risikovurderinger og ledelsesforankring generelt kan settes bedre i system i regionen. Som Datatilsynet påpeker, bør det bl.a. etableres rutiner som ivaretar helseforetakenes autonomi ved felles beslutninger. I styremøtet til Helse Sør-Øst den 28. juni 2017 ba styret administrerende direktør om å gå i dialog med Sykehuspartner for å sikre gjennomføring av prosjekter og aktiviteter som er viktige for å bedre informasjonssikkerheten, og sørge for sikker og stabil drift. Styret understreket også at terminering av avtalen skulle utredes videre, og at det måtte startes et arbeid med å utrede hvordan en modernisering av IKT-infrastruktur kunne gjennomføres i regi av Sykehuspartner, dersom avtalen termineres. Styret forutsatte bred involvering og medvirkning av de ansatte og tillitsvalgte. Helse Sør-Øst utreder nå to alternativer for gjennomføring av moderniseringsarbeidet. God kontroll med informasjonssikkerhet og personvern er helt avgjørende premisser i arbeidet. Grunnlaget for vurderingene er lov og forskrift, Direktoratet for e-helse sine anbefalinger samt policyer og sikkerhetsarkitektur i Helse Sør-Øst. Det planlegges nå for risikovurdering av tjenesteutsetting, nåværende IKT-infrastruktur og alternative modeller. Videre planlegges det for en egen konsekvensvurdering av personvernet. Helseforetakene skal gjøre selvstendige vurderinger av restrisiko og konsekvensvurdering av personvernet. Det vil være dialog med Datatilsynet i forbindelse med dette arbeidet. Når programmet med modernisering av IKT-infrastrukturen ble stilt i bero, innebar dette betydelige forsinkelser og ekstra kostnader. Jeg mener likevel at det var en helt nødvendig beslutning. Sykehuspartner inngikk ved nyttår en avtale med DXC om oppgjør for kostnader fra oktober 2016 og fram til programmet ble stilt i bero, samt leasing- og lisensavtaler ut 2017. Kostnadene summerer seg til nær 280 mill. kr. Det er derfor for tidlig å si noe om reelle økonomiske tap, da en vil ha nytte av deler av det som er utviklet. Hvor mye som kan gjenbrukes, avhenger bl.a. av om DXC fortsatt vil ha en rolle i det videre arbeidet. Riksrevisjonen har tidligere påvist avvik bl.a. når det gjelder tilgangsstyring for helsepersonell i alle regioner. Helseregionene arbeider nå med å lukke de påviste avvikene. Sykehuspartner arbeider med en rekke tiltak knyttet til infrastrukturen. Hoveddelen av tiltakene er nødvendige og ønskelige for regionen, uavhengig av alternativ for modernisering av IKT-infrastruktur, og er en del av den generelle styrkingen av arbeidet med informasjonssikkerheten i regionen. Dette gjelder bl.a. arbeidet med å styrke tilgangsstyringen. Videre innføres det løsning for sporing og logging av tilganger til infrastrukturen. Fagmiljøene innen informasjonssikkerhet styrkes, og i budsjettet er det satt av ressurser til det videre arbeidet med informasjonssikkerhet. Det er igangsatt aktiviteter i regionen knyttet til styrking av informasjonssikkerhet også utover det arbeidet som pågår i Sykehuspartner. Det arbeides med forberedelser for å ivareta nye krav som følger av EUs personvernforordning i regionen. Ellers vil Helse Sør-Øst innføre en løsning for mønstergjenkjenning knyttet til helsepersonells tilgang til elektronisk pasientjournal gjennom systemet DIPS. Mønstergjenkjenning innebærer at det gjennomføres en automatisert statistisk analyse av alle oppslag i pasientjournalene med utgangspunkt i vanlige bruksmønstre. Gjennom denne systematiske gjennomgangen av loggene vil det avdekkes om det er oppslag i pasientjournalene som avviker fra vanlige oppslagsmønstre. Oppslag som avviker fra det normale, kontrolleres og følges opp manuelt. Jeg har tidligere nevnt at risikovurderinger skal knyttes til tre elementer: tilgjengelighet, integritet og konfidensialitet. Selv om feil er avdekket, mener jeg det også er viktig å minne om at det ikke er noe som tyder på at opplysninger har kommet på avveier, at opplysninger har vært utilgjengelig for dem som skal yte helsehjelp, eller at opplysninger har blitt endret eller misbrukt. Som kjent har Helse Sør-Øst blitt utsatt for et omfattende hackerangrep fra en avansert og profesjonell aktør. Saken er politianmeldt og er under etterforskning. Så langt er det ingen tegn til at det har gått ut over pasientbehandlingen, pasientsikkerheten, eller at pasientinformasjon er på avveier, men det siste kan ikke utelukkes. Mandag 8. januar ble Sykehuspartner varslet av Norsk Helsenett om at det pågikk unormal aktivitet mot datasystemer i helseregionen Helse Sør-Øst. Norsk Helsenett har gjennom sin HelseCERT ansvaret for overvåkning av trafikken i det norske helsenettet. I denne saken har HelseCERT tett samarbeid med NorCERT i Nasjonal sikkerhetsmyndighet, NSM. Lørdag 13. januar avdekket undersøkelsene ny informasjon som tilsa at angrepet var mer alvorlig enn tidligere antatt. Derfor ble Helsedirektoratet gitt ansvar for koordinering av beredskapsarbeidet på vegne av Helse- og omsorgsdepartementet, i tråd med Nasjonal helseberedskapsplan. Datainnbruddet ble søndag 14. januar politianmeldt av Sykehuspartner, og formell etterforskning ble innledet av PST. PST skal bl.a. avdekke om det kan innhentes opplysninger til fordel for en fremmed stat, og avdekke eventuelle konsekvenser av dette. Dette er et komplekst og sammensatt angrep, som det vil ta tid å få oversikt over. Alle tilgjengelige og relevante ressurser er satt sammen for å bistå Helse Sør-Øst. Arbeidet koordineres gjennom Felles Cyberkoordineringssenter, FCKS, som består av NSM, PST, Etterretningstjenesten og Kripos. Det jobbes for fullt med å skaffe oversikt, begrense skader og gjenopprette normaltilstand. Helse Sør-Øst har i sin oppfølging lagt vekt på å samarbeide og dele informasjon med de andre helseregionene. Av hensyn til etterforskningen er det begrenset hvor mye jeg kan si om innholdet i det pågående arbeidet. Jeg vil imidlertid understreke at det er et tett og godt samarbeid mellom helse- og justissektoren i denne saken. Arbeidet med IKT-moderniseringen i Helse Sør-Øst og diskusjonen rundt tilgangsstyring og informasjonssikkerhet har skapt utrygghet. Denne utryggheten må vi ta ned, bl.a. gjennom å være tydelige på kravene til tilgangskontroll. Jeg har derfor stilt krav i foretaksmøtet i de regionale helseforetakene om å følge opp anbefalingene i rapporten fra Direktoratet for e-helse. Vi må også være ærlige på hvilke tilganger det er nødvendig å gi. Jeg mener det er viktig at de regionale helseforetakene nå har utarbeidet oversikt over utenlandske leverandører som har tilgang til norske pasientopplysninger i spesialisthelsetjenesten. En klar forutsetning for å gi slike tilganger er at lovreglene følges. Dette gjelder både reglene i personopplysningsloven og de særlige reglene om behandling av helseopplysninger. Disse reglene i lovverket skal sikre at grunnleggende personvernhensyn blir ivaretatt. Viktige forhold som trekkes fram fra Direktoratet for e-helse, er behovet for tilstrekkelige risikovurderinger, god og reell ledelsesforankring og styring samt tilstrekkelig kompetanse. Ledelsen i helseforetakene, inkludert styret, må ha tilstrekkelig kompetanse for å kunne utøve reell styring og kontroll også på dette området. Jeg har derfor i foretaksmøtet 16. januar i år styrket styret i Helse Sør-Øst med kompetanse innen IKT og informasjonssikkerhet. I offentlig sektor har vi generelt et behov for å arbeide med forebyggende informasjonssikkerhet. Som ledd i dette arbeidet er Direktoratet for forvaltning og IKT, Difi, utpekt som statsforvaltningens kompetansemiljø for informasjonssikkerhet og sikkerhet i IKT-anskaffelser. Formålet med arbeidet er å legge til rette for en helhetlig tilnærming til informasjonssikkerhet i forvaltningen. I tillegg er NSM tillagt en kompetanse og veiledningsfunksjon på informasjonssikkerhetsområdet utover sikkerhetslovens virkeområde. NSM peker på at digitaliseringen av samfunnet hele tiden skaper nye verdier og utviklingsmuligheter. Men den digitale, nasjonale sårbarhetsflaten utvides, og risikoen øker. Gjennom flere år har NSM sett en jevn økning av antall målrettede cyberangrep mot norske interesser, både offentlige og private. Disse angrepene utgjør en trussel mot våre verdier. Mange virksomheter beskytter seg ikke godt nok. Nøkkelen til å skape motstandsdyktige systemer innen forebyggende sikkerhet ligger i styring og styrking av sikkerhetsarbeidet. Helsesektoren har tatt initiativ til et tettere samarbeid med NSM på dette området for å sikre kunnskap og systematikk i forebyggende sikkerhetsarbeid. Regjeringen har også høsten 2017 oppnevnt et IKT-sikkerhetsutvalg, som skal utrede rettslig regulering på IKT-sikkerhetsområdet og organisering av ansvar. Som jeg har sagt tidligere, må vi ta i bruk de fremste metoder og teknologier i verden for å sikre befolkningen en helsetjeneste av høy kvalitet. En moderne helsetjeneste er avhengig av eksterne leverandører på IKT-området. Det innebærer at det må stilles krav til informasjonssikkerhet og personvern i avtaler med disse. Bare slik vil en oppnå befolkningens tillit, noe som er en forutsetning for å lykkes med digitaliseringen i helse- og omsorgstjenesten.