Thomas Steen Nielsen har brugt en stor del af sit arbejdsliv de seneste 11 år med at tilse datasikkerheden hos praktiserende læger. Han er datakonsulent hos KAP-S (Kvalitet I Almen Praksis) hos Region Sjælland og har ifølge eget estimat hen over 11 år foretaget mere end 850 besøg i praksis og derved lagt 4-5.000 timer ude i maskinrummet hos sjællandske praktiserende læger. Han oplever, at almen praksis har en stigende opmærksomhed på datasikkerhed, men at der er stykke vej til, at samtlige lægehuse opnår det anbefalede niveau.
”Det vigtigste og mest følsomme, som er på spil, er tilliden mellem patient og praksis. Alle borgere stoler på deres læge, og det er fundamentet for tillidsfulde konsultationer og god behandling. Hvis praksis fortsat skal beholde den unikke position og have borgernes tillid, så bør de fleste praksis have lidt ekstra fokus på hverdagens omgang med patienters følsomme informationer,” siger Thomas Steen Nielsen.
En af de mest sandsynlige konsekvenser af manglende datasikkerhed udmønter sig oftest i angreb fra såkaldt ransomware, der krypterer filer, så man ikke længere kan se indholdet. Denne type virale små stykker software kan lægge sig på computerne i et lægehus, så alle data bliver låst, og læger og andet personale ikke kan tilgå deres computere.
”Jeg kender til 60 tilfælde af dette bare i Region Sjælland de seneste tre år, og der kan være et skyggetal, da det måske ikke er alle klinikker, der fortæller om den slags episoder. Beklageligvis er det først her, at mange lægehuse finder ud af at deres backup (sikkerhedskopi, red.) ikke har fungeret, eller at der ikke tages backup af alt, hvad man troede i det pågældende lægehus” siger Thomas Steen Nielsen.
Et angreb fra ransomware kan medføre, at der går dage, inden man har sit journalsystem og øvrige IT oppe at køre igen, med aflyste konsultationer og tab af indtjening til følge – og det er næsten sikkert, tilføjer Thomas Steen Nielsen, at man vil have mistet nogle eller samtlige journaldata. Derudover er man også ifølge GDPR forpligtet til at skrive rundt til sine patienter, hvis et sådant brud på datasikkerheden har fundet sted. ”Det vil forårsage en kæmpe ridse i enhver kliniks troværdighed, og det skaber en Grand Canyon-agtig kløft af mistillid mellem patienterne og lægehuset,” siger Thomas Steen Nielsen.
For ham ligger grundudfordringen omkring datasikkerhed og almen praksis i, at praktiserende læger er blandt de 7.500 selvstændigt erhvervsdrivende i sundhedsvæsnet i Danmark – som alle behandler patienters omfattende og meget følsomme persondata, der vedrører eksempelvis journaler, FMK og forløbsplaner.
”Disse selvstændige erhvervsdrivende er dog så små organisationer, at de ikke har en dedikeret IT-afdeling som på et hospital, en kommune eller region, og så kan IT og cybersikkerhed nemt blive en udfordring.”
Thomas Steen Nielsen bruger ofte en analogi til en personbil:
”Jeg har selv en bil, som jeg udelukkende er interesseret i kan starte og fungerer, når jeg skal bruge den. Jeg forstår mig ikke på at reparere den og gider ikke selv, så naturligvis har jeg en aftale og struktur for at få den vedligeholdt, serviceret og repareret hos en fagperson. Men hvem servicerer vedligeholder, reparerer og syner praktiserende lægers pc’er i hverdagen?”
Følsomme dokumenter ligger nemt tilgængeligt på servere
Thomas Nielsen observerer gang på gang de samme generelle problemer, når han besøger praktiserende læger. Han understreger, at de samme problemer også findes hos andre aktører i sundhedsvæsnet og i andre typer organisationer og virksomheder.
Han forklarer, at han som IT-konsulent simpelthen forsøger at 'light-hacke' lægehuset, og han har altid succes med at dirke sig ind og opnå adgang til personhenførbare følsomme patientdata, som er placeret udenfor journalsystemet.
”Ofte er det lidt lige som en fysisk papirkurv, som enhver jo også kan kigge ned i. Jeg kigger bare efter indscannede dokumenter og ved, hvor den mappe ligger. Og de personfølsomme dokumenter er sjældent svære for mig at finde der. Her ligger mange slags dokumenter, der vedrører behandling, undersøgelser, henvisninger og diagnosticering af patienterne, og som alle med login til lægehuset kan tilgå. Et tilsvarende problem gør sig gældende med de mapper, der gemmer downloads,” siger Thomas Steen Nielsen.
Som del af sine konsulentbesøg viser Thomas Steen Nielsen typisk lægehusene, hvordan de kan ændre indstillingerne, således at denne type mapper ofte bliver automatisk tømt. ”Alt for mange lægehuse bruger blot fabriksindstillingerne, hvilket er et stort problem. Default-indstillingerne er lavet mere til individuelle, private brugere end til organisationer i sundhedsvæsnet,” siger han.
Logins er et andet udbredt IT-problem, som Thomas Steen Nielsen møder gang på gang:
”Det er stort problem mange steder, at alle har det samme Windows-login. Alt for mange får kendskab til dem, når der kommer uddannelseslæger og andet personale igennem på en klinik,” siger han.
Når alle har det samme login, medfører det risiko for øget sårbarhed, hvis blot en enkelt bruger af systemet tilgår nogle problematiske sider eller åbner en phishing-mail. Her bliver det ikke kun den enkelte medarbejder, men også hele lægehuset, der bliver eksponeret i højere grad, end hvis det foregik via et personligt login. Ydermere har mange lægehuse et problem med at slette en tidligere ansats data og login, når der kun et login til Windows, som alle bruger i hverdagen, tilføjer datakonsulenten.
Øget digitalisering og AI øger presset
Systemleverandører har ansvaret for journalsystemet og deres drift, men almen praksis har selv ansvaret for deres pc’er og hverdagens IT og cybersikkerhed, medmindre man har tilkøbt sig til, at andre varetager den opgave, forklarer Thomas Steen Nielsen. Disharmonien mellem systemleverandørernes leverance og lægernes forestilling om samme er dokumenteret i en PLO-rapport fra 2018, der dokumenterede en lang række problematiske praksisser i almen praksis, de fleste af dem i samme kategori som dem, Thomas Nielsen fortsat møder, når han udfører servicebesøg. En rapport fra 2020 omhandlede cyber- og informationssikkerhed blandt praktiserende speciallæger er nået til enslydende konklusioner.
”Fra speciallægen åbner sin klinik om morgenen, til klinikken aflåses og lukkes om aftenen, er der i alle sekvenser identificeret potentielt sårbare situationer,” lød det i konklusionen af denne rapport.
De ældre rapporter er lavet på tidspunkter, der har været præget af mindre digitalisering end i dag.
Hver fjerde konsultation er i dag digital. For 10 år siden var det hver tiende. Brugen af de digitale konsultationer er overordnet set ens på tværs af hele landet, skriver PLO. De noterer sig også, at Min Læge-appen vokser ”voldsomt” i popularitet.
”Kunstig intelligens vil også spille større og større rolle i vores løsninger. Det er en teknologi med uanede potentialer, som kan lette hverdagen for patienterne, de praktiserende læger og vores personale. I øjeblikket tester vi algoritmer, så systemerne automatisk kan journalføre laboratorieprøvesvar fra indbakken, og vi tænker måske ikke så meget over det i dagligdagen, men beslutningsstøtte er eksempelvis indbygget i vores medicin-moduler,” skriver PLO-formand Jørgen Skadborg i en PLO-orientering til sine medlemmer.
Thomas Steen Nielsen mener ikke, at udviklingen af AI og den stigende digitalisering kræver yderligere sikkerhedstiltag, end hvad der allerede er anbefalet.
”Men udviklingen lægger et større pres på, at lægehuse såvel som lignende aktører i sundhedsvæsnet opnår, hvad der er anbefalede sikkerhedstiltag,” siger Thomas Steen Nielsen.
En plakat i venteværelset minder om forpligtelsen
Han nævner ofte i sine besøg og foredrag en række konkrete tiltag, der kan nedbringe risikoen for ubehagelige IT-stormløb og spærrede adgange. Thomas Steen Nielsen ynder at kalde det ”informationshygiejne,” et begreb som også dækker over fysiske overvejelser om diskretion, indretning og tilpas lydisolering i den kliniske hverdag. Et sammenkog af tips, der går på datasikkerhed, er medtaget i denne artikels faktaboks. Derudover bør man som klinik indføre et fast, typisk årligt tilsyn fra en ekstern IT-konsulent, der kan tage temperaturen på klinikken og måske sætte ind med behandling, hvis der er sygdom i systemet.
De centrale budskaber fra Thomas Steen Nielsen findes også som en plakat, der er udarbejdet i samarbejde med PLO, og som man kan ophænge enten i frokoststuen eller i venteværelset, hvor patienterne kommer. ”Studier viser, at man som ansat retter ryggen og fokuserer ekstra på at efterleve rådene, hvis de hænger synligt for borgerne, da det forpligter lidt ekstra,” siger Thomas Steen Nielsen.
Han er bekendt med, at der muligvis vil komme efteruddannelse i datasikkerhed for klinikledere, som ønsker at få bedre forståelse for emner som data, firewalls og IT-sikkerhed.
PLO-formand Jørgen Skadborg minder i sin ajourføring omkring digitale landvindinger om det mere ”usynlige” arbejde i at ”stille krav til lægesystemerne om funktionalitet, ensartethed og sikkerhed, deltage i diverse former for koordinering og fora for it-udvikling i sundhedsvæsenet og holde medlemmerne ajour samt vejlede i anvendelsesmuligheder, sikkerhed og GDPR.”
-
