Grunnleggende IKT-infrastruktur i helseforetakene

Det er uholdbart at det stadig oppstår situasjoner hvor helseopplysninger fryktes å være på avveie og hvor disse kan falle hendene på fremmede makter.

27.04.2018 av Informasjonsavdelinga
Sist oppdatert: 17.01.2024

Høringsnotat fra Fagforbundet til høring i Dokument 8:197 S (2017-2018) Representantforslag om å be regjeringen definere grunnleggende IKT-infrastruktur i helseforetakene inn under sikkerhetsloven .

Last ned høringsnotatet om grunnleggende IKT-inrastruktur og sikkerhet i helseforetakene

Innledning

Fagforbundet støtter de tre forslagene som er fremmet i representantforslag 197 S (2017- 2018). Vi mener det vil være klokt av regjeringen å trekke konsekvensene av sikkerhetsbruddene i Helse Sør-Øst de sist årene. Ved å definere IKT-infrastrukturen i helseforetakene som skjermingsverdig, vil nye alvorlige brudd på datasikkerheten kunne forhindres. Det er uholdbart at det stadig oppstår situasjoner hvor helseopplysninger fryktes å være på avveie og hvor disse kan falle hendene på fremmede makter.

For det første tydeliggjør slike brudd på informasjonssikkerheten at IKT-systemene i helseforetakene utgjør en betydelig beredskapsrisiko. For å oppfylle sikkerhetslovens formål om å «å trygge Norges suverenitet, territorielle integritet og demokratiske styreform og andre nasjonale sikkerhetsinteresser», bør disse IKT-systemene skjermes jf. lov av 6. mars 2018 om nasjonal sikkerhet (sikkerhetsloven) § 1-1.

For det andre er slike brudd på informasjonssikkerhet i strid med grunnleggende hensyn til personvern og dermed også retten til privatliv for rikets borgere. Vi minner om at retten til privatliv er grunnlovsfestet i Grunnloven § 102, hvor statens myndigheter er forpliktet til å «sikre et vern om den personlige integritet». I tillegg er retten til privatliv vernet under Den europeiske menneskerettighetskonvensjon artikkel 8. Videre bidrar vedtakelsen av «Forordning om beskyttelse av individer ved behandling av personopplysninger og om fri flyt av slike opplysninger» (personvernforordningen) til styrket personvern innenfor EU/EØS-området.

For det tredje rammer brudd på informasjonssikkerheten tillitten til helsevesenet ved at pasienter ikke lenger kan føle seg trygge på at den informasjonen de oppgir til helsepersonell blir behandlet fortrolig.

Til forslag nummer 1: Stortinget ber regjeringen definere IKT-infrastrukturen i helseforetakene inn under krav i sikkerhetsloven om skjermingsverdig informasjon.

Skjermingsverdige informasjonssystemer er behandlet i den nye sikkerhetsloven kapittel 6. § 6-1 første ledd gir to alternative vilkår for at et informasjonssystem skal anses som skjermingsverdig. Vi mener begge vilkårene er oppfylte når det gjelder skjerming av IKT-systemer i helseforetakene og vi ber regjeringen bruke sin myndighet til å ivareta skjerming jf. sikkerhetsloven § 6-1 annet ledd.

Første alternative vilkår er at systemet behandler «skjermingsverdig informasjon» jf. § 5-1. Ordlyden i bestemmelsen fremhever at informasjonen er skjermingsverdig dersom det kan «skade nasjonale sikkerhetsinteresser» at informasjonen blir «kjent for uvedkommende, går tapt, blir endret eller blir utilgjengelig.» Nasjonale sikkerhetsinteresser er videre definert i lovens § 1-5 nr.1, hvor «forsvar, sikkerhet og beredskap» er nevnt i bokstav b).

Forarbeidene til bestemmelsen (prop. 153 L (2016-2017) punkt 19.5) fremhever at begrepet «skjermingsverdig informasjon» utvides sammenlignet med tidligere sikkerhetslov. I motsetning til tidligere lov, da det utelukkende var konfidensialitetsbehov

som skulle vurderes, skal nå også integritets- og tilgjengelighetsbehov inngå som kriterier i verdivurderingen av informasjonen. I proposisjonen nevnes under punkt 10.5.1 offentlige saksbehandlingssystemer, militære kampsystemer, kontorstøttesystemer og industrielle kontroll- og styringssystemer som eksempler.

Det kan få alvorlig konsekvenser når pasientinformasjon om norske borgere, herunder sentrale myndighetspersoner, kommer på avveie. For utenlandsk etterretning vil dette være av stor interesse og kan gi grunnlag for målrettede operasjoner både mot grupper av personer og mot enkeltpersoner. Videre kan sletting eller endring av slik informasjon lamme helseforetakenes evne til å ivareta befolkning i en krisesituasjon. Med tanke på at begrepet «skjermingsverdig informasjon» utvides i sammenligning med tidligere sikkerhetslov, medfører dette at IKT-systemer i helseforetakene behandler slik informasjon.

Annet alternativ er at systemet i seg selv har avgjørende betydning for «grunnleggende nasjonale funksjoner» jf. § 6-1. I forarbeidende uttales det under punkt 19.6 i proposisjonen: «Skjermingsverdige systemer kan defineres (…) ved å fastslå at systemet har en særlig viktig rolle i virksomhetens leveranse av sine kritiske tjenester.»

Under kriser og i krig er velfungerende helsesystemer avgjørende. Dersom systemer for journal og beslutningsstøtte blir slått ut av en fremmed makt, vil dette få alvorlige konsekvenser for operativ klinisk beredskap. Vi mener derfor at journalsystemer og systemer for beslutningstøtte i helseforetakene utgjør «kritiske tjenester». Sikkerhetsbruddet i Sykehuspartner 8. januar 2018, hvor noen til fordel for fremmed stat samlet inn opplysninger, viser også at informasjonen har en strategisk viktig funksjon også i fredstid.

Til forslag nummer 2: Stortinget ber regjeringen sikre at informasjon knyttet til nasjonale sikkerhetsinteresser blir driftet og lagret i Norge.

Hensynet til nasjonal sikkerhet innebærer etter vårt syn at informasjon knyttet til nasjonale sikkerhetsinteresser blir driftet og lagret i Norge. Kapittel 6 i sikkerhetsloven regulerer mange sider av driften av informasjonssystemet og det virker som om loven selv bygger på det prinsippet at slike informasjonssystemer ikke skal driftes fra utlandet. Dette skyldes flere forhold. Den reelle kontrollen over slike informasjonssystemer vil være betraktelig mindre dersom de ligger i utlandet. Den fysiske tilgjengeligheten til systemet vil være vanskelig å kontrollere. Videre vil informasjonen måtte sendes gjennom et eget nett, dersom ikke en fremmed makt skal kunne fange opp informasjonen via samtrafikkpunkter.

Til forslag nummer 3: Stortinget ber regjeringen sikre at outsourcing av utvikling og drift av kritiske nasjonale IKT-tjenester og system i helsesektoren avsluttes og at nye avtaler ikke kan inngås.

Dette er en naturlig konsekvens av de to foregående forslagene. Det er viktig at episoder med lekkasje av pasientopplysninger og inntrengning av fremmede aktører forhindres med umiddelbar virkning. Når opplysninger først er på avveie fører dette til uopprettelig skade, da informasjonen kan mangfoldiggjøres og ikke fanges inn igjen.