Cybersecurity considerations in the procurement process of digital medical equipment at Norwegian hospitals

I Norge er helsetjenester ansett som kritisk infrastruktur, som dermed bør beskyttes for å sikre pasientbehandlingen. Norske helsetjenester benytter seg i økende grad av teknologi som en del av pasientbehandlingen og informasjonen fra digitalt medisinsk utstyr spiller ofte en viktig rolle i beslutningsprosesser hos helsepersonell. Samtidig er det en stadig økning i cyberkriminalitet; Nasjonal Sikkerhetsmyndighet (NSM) rapporterer at trusselaktører i økende grad utnytter sårbarheter uten å ta hensyn til hvilke konsekvenser det kan ha. Norske sykehus har til en viss grad vært skjermet fra denne typen aktivitet, men cyberkriminelles økende interesse for lettsolgte helseopplysninger har gjort dem til et attraktivt mål. Å sikre og beskytte helseopplysninger er det derfor en svært viktig del av cybersikkerhetsarbeidet som bør gjøres ved sykehusene. Et av de ulike områdene hvor cybersikkerhet bør hensyntas, er i innkjøpsprosessen av digitalt medisinsk utstyr. Når en ser på livssyklusen til utstyr, er det slik at innkjøpsprosessen kan bidra til å danne grunnlaget for å sikre utstyret senere i livssyklusen, ved å velge leverandører som leverer utstyr med tilstrekkelig innebygd sikkerhet. Med andre ord er det slik at riktig valg av leverandør og utstyr bidrar til å sikre infrastrukturen og dermed pasientsikkerheten og privatlivet til pasienter. For å undersøke tilstanden ved norske sykehus, er følgende problemstilling stilt: hvilke cybersikkerhetsvurderinger blir tatt i innkjøpsprosessen av digitalt medisinsk utstyr ved norske sykehus? Problemstillingen understøttes av tre forskningsspørsmål som undersøker hvilke cybersikkerhetsvurderinger som bør tas i innkjøpsprosessen av digitalt medisinsk utstyr i henhold til kjente rammeverk og beste praksiser, hvilke cybersikkerhetsvurderinger som tas i innkjøpsprosessen av digitalt medisinsk utstyr ved norske sykehus i dag, og hva som kan gjøres for å forbedre den eksisterende innkjøpsprosessen i innkjøpsprosessen av digitalt medisinsk utstyr. Oppgaven inkluderer en teoretisk del hvor funn fra Lysneutvalgets NOU-rapport og Riksrevisjonen presenteres, i tillegg til anbefalte cybersikkerhetsvurderinger fra kjente rammeverk. Masteroppgaven er basert på en kvalitativ forskningsmetode hvor data har blitt samlet inn gjennom en litteraturstudie og seks semistrukturerte intervjuer med representanter fra tre ulike helseregioner, i tillegg til ett uavhengig sykehus. Resultatet av undersøkelsene viser at det er en signifikant forskjell i modenheten i de ulike helseregionene, hvor enkelte av deltagerne informerer om at de har definerte prosesser, roller og ansvar som planlegger innkjøp, mens andre deltagere informerer om at de ikke blir involvert før utstyr er kjøpt inn, noe som tvinger dem til å iverksette tiltak for å sikre utstyr med manglende innebygd cybersikkerhet. Masteroppgaven konkluderer med at selv om alle informantene opplyser at de har forberedt cybersikkerhetsvurderinger og krav i innkjøpsprosessen, så erfarer enkelte av deltagerne at disse ikke hensyntas da cybersikkerhetskompetanse ekskluderes fra innkjøpsprosessen. Dette problemet ser ut til å stamme fra at norske helseregioner og sykehus er overlatt til å finne ut hvordan man kan bygge en solid innkjøpsprosess som tar hensyn til alle interessenter, i stedet for å få et foreslått rammeverk for å anskaffe utstyr som ivaretar cybersikkerhet gjennom dedikerte roller og ansvar. Det er derfor utarbeidet et løsningsforslag til en modell for anskaffelse av digitalt medisinsk utstyr