Etter hvert som hendelser med høy risiko i helsesektoren øker, må organisasjoner lære å håndtere informasjonssikkerhet, databeskyttelse og AI-risiko som en sammenhengende styringsutfordring. Hvordan kan dette gjøres?

Av Kate O'Flaherty

14. desember 2025 ble DXS International – som tilbyr helseinformasjon og klinisk beslutningsstøtte for omtrent 10 % av alle NHS-henvisninger i England – utsatt for et datainnbrudd som påvirket kontorserverne deres.

I en innlevering I henhold til London Stock Exchange hevdet DXS International at innbruddet ble «umiddelbart begrenset» av en felles innsats fra deres interne IT-sikkerhetsteam i nært samarbeid med NHS England. Men kort tid etterpå ble DevMan-ransomware-gruppen hevdet å ha stjålet 300 GB med data, inkludert interne budsjetter og økonomiske filer.

Selv om hendelsen i seg selv hadde minimal innvirkning og selskapets kliniske tjenester i frontlinjen forble i drift, er det et godt eksempel på hvordan tredjepartsrisiko kan spre seg gjennom forsyningskjeden.

Ettersom hendelser som denne øker, må helseorganisasjoner lære å håndtere informasjonssikkerhet, databeskyttelse og AI-risiko som en sammenhengende styringsutfordring. Hvordan kan dette gjøres?

Et stort problem

Fordi DXS Internationals tjenester forble oppe og gikk, er det lett å avfeie sikkerhetsbruddet som uproblematisk. Men selv om kliniske tjenester i frontlinjen forble oppe, kan andre problemer dukke opp senere, sier Skip Sorrels, felt-CTO-CISO hos Claroty. «Når du kompromitterer den administrative ryggraden i helsetjenester, skaper du langsiktige risikoer som identitetstyveri, phishing-kampanjer og erosjon av pasienttillit.»

Sorrels påpeker at «operativ» ikke betyr «sikker»: «Angriperne retter seg bevisst mot de mykere administrative systemene fordi de vet at disse leverandørene ofte mangler samme sikkerhetsmessige krav som den kliniske infrastrukturen de støtter.»

Kevin Curran, seniormedlem i IEEE og professor i cybersikkerhet ved Ulster University, er enig i denne vurderingen. «Stjålne data kan misbrukes og påvirke pasienters personvern i årevis.»

Han beskriver hvordan økonomiske konsekvenser, inkludert etterforskningskostnader, advokathonorarer og mulige bøter, kan belaste ressurser som allerede er under press i offentlige helsetjenester. «Dessuten belyser det systemiske problemer i digital helseinfrastruktur, noe som fører til bredere gransking av hvordan sammenkoblede teknologier håndterer sensitiv informasjon.»

Tredjepartsrisikoer

Britisk helsevesen har kontinuerlig styrket cyberinnsatsen siden WannaCry ransomware-angrep rammet NHS i 2017. Regulatorer legger stadig større fokus på forsyningskjeder og erkjenner at sårbarheter hos leverandører av administrerte tjenester eller kritiske leverandører kan ha vidtrekkende konsekvenser, sier Katharina Sommer, konsernsjef for offentlige anliggender i NCC Group.

Tredjeparts- og forsyningskjederisikoer representerer «en av de mest presserende sikkerhetsutfordringene innen helsevesenet», ettersom sektoren i økende grad er avhengig av eksterne leverandører for viktige tjenester, sier Curran.

«Angrep på programvareforsyningskjeden er svært farlige og stadig mer utbredte fordi de utnytter den sammenkoblede naturen til moderne programvareutvikling», forteller Curran. IO«Disse angrepene retter seg mot sårbarheter i avhengigheter, byggeprosesser eller tredjepartskomponenter, og lar ofte angripere kompromittere flere selskaper gjennom ett enkelt feilpunkt.»

Utover den umiddelbare effekten, kan problemer forårsakes av mindre organisasjoner med «stort systemisk fotavtrykk, men begrenset sikkerhetsmodenhet», sier Tracey Hannan-Jones, konsulentdirektør for informasjonssikkerhet og GRC og gruppe-DPO hos UBDS Digital.

For å gjøre vondt verre står helsesektoren overfor en utfordring med synlighet, ifølge Claroty's Sorrels. «De fleste helseorganisasjoner sliter med å virkelig forstå sikkerhetssituasjonen til tredjeparts- og fjerdepartsleverandørene sine. Du kan ikke outsource en tjeneste og tro at du har outsourcet risikoen.»

Regulatoriske forventninger

I tillegg til sikkerhet i forsyningskjeden, krever reguleringer i økende grad at kritiske tjenester som helsevesen må ta ekstra skritt for å styrke motstandskraften. Når brudd skjer, forventes det at de som opererer i sektoren beskytter data og overholder strenge rapporteringskrav.

DXS International-bruddet gir innsikt i de regulatoriske forventningene som gjelder helsedata i Storbritannia og EU, spesielt under Generell databeskyttelsesforskrift (GDPR) og samordnede britiske personvernlover. «Disse rammeverkene pålegger organisasjoner å behandle personopplysninger, inkludert helseopplysninger, sikre robuste sikkerhetstiltak og reagere transparent på hendelser», sier Curran fra Ulster University.

I dette tilfellet er DXS' «raske varsling» til Information Commissioner's Office (ICO) og politimyndigheter i samsvar med GDPR artikkel 33, som krever rapportering av brudd innen 72 timer dersom det er en risiko for enkeltpersoners rettigheter og friheter, sier Curran.

På samme måte gjelder britiske krav i henhold til Databeskyttelsesloven 2018 vektlegge ansvarlighet, og tvinge enheter til å dokumentere og redusere risikoer knyttet til datahåndtering, sier Curran. «ICOs løpende vurdering av hendelsen gjenspeiler hvordan regulatorer gransker ikke bare selve bruddet, men også tilstrekkeligheten av responstiltak, inkludert inneslutnings- og etterforskningsprotokoller», forteller han. IO.

Regulatorer krever i økende grad bevis på proaktiv risikostyring fordi reaktive tilnærminger har vist seg å være utilstrekkelige mot utviklende trusler – noe som fremgår av det økende antallet cyberhendelser i helsevesenet, ifølge Curran.

Sammenkoblede risikoer

Dette kommer på et tidspunkt hvor cyber-, personvern- og AI-risikoer blir uatskillelige i helsemiljøer på grunn av tilkoblede systemer, datadeling og automatisering. Samtidig omformer AI-drevne verktøy risikoprofiler.

DXS International-hendelsen er et eksempel på denne konvergensen, der en leverandørs sikkerhetsbrudd «potensielt kan eksponere integrerte nettverk som håndterer pasientdata, og blande trusler mot nettsikkerhet med bekymringer om personvern», sier Curran.

Datadeling på tvers av økosystemer – mellom leverandører, leverandører og til og med grenseoverskridende enheter – undergraver tradisjonelle grenser ytterligere, påpeker han. «Under rammeverk som NHS’ Helse- og sosialomsorgsnettverk, informasjon flyter dynamisk. Denne sammenkoblingen kan føre til en cyberhendelse som kaskaderer ned til brudd på personvernet, som for eksempel utilsiktet avsløring av sensitive helsejournaler.»

Med denne risikoen i tankene «fremmer det betydelige blindsoner» å behandle cyber-, personvern- og AI-risikoer i siloer innenfor helsemiljøer, sier Curran.

I stedet må bedrifter ha en helhetlig tilnærming til risikostyring. Dette krever bruk av integrerte rammeverk som samler informasjonssikkerhet, databeskyttelse og AI-styring for å støtte robusthet, tillit og langsiktig samsvar.

For eksempel må organisasjoner betrakte AI-agenter og mennesker som «en kombinert arbeidsstyrke som samhandler med programvare og infrastruktur», sier Javvad Malik, ledende CISO-rådgiver hos KnowBe4. «For å oppnå dette trenger vi tydelig ansvarlighet, leverandørgaranti og tilsyn som bringer data, mennesker og AI sammen for å støtte tillit og robusthet.»

Rammeverk som Nasjonalt senter for cybersikkerhet Rammeverk for cybervurdering, ISO 27001 og NIST Rammeverk for cybersikkerhet «tilby praktiske verktøy for å integrere kontroller, retningslinjer og risikomålinger», sier NCC Groups Sommer. «Dette hjelper organisasjoner med å bygge tillit, demonstrere samsvar og håndtere cyberrisiko på en sammenhengende og forsvarlig måte.»

Curran ved Ulster University anbefaler å etablere «tverrfaglige team» bestående av eksperter fra cybersikkerhet, personvern og AI for å samarbeide om risikovurderinger, og sikre at trusler evalueres gjennom «et mangesidig perspektiv».

Robust, pålitelig og fremtidsrettet

Helseorganisasjoner og leverandørene de er avhengige av må arbeide for å bygge mer robuste, pålitelige og fremtidsrettede risikostyringspraksiser.

For å vinne må organisasjoner bevege seg mot en enhetlig tilnærming til risiko, sier Ivan Milenkovic, visepresident for risikoteknologi EMEA hos Qualys. «I stedet for å finne opp hjulet på nytt, integrerer de beste teamene etablerte internasjonale standarder for sikkerhet, personvern og den nye grensen innen AI-administrasjon i én motor.»

Sentralt i dette er å integrere risikostyring i organisasjonskulturen gjennom enhetlige retningslinjer som pålegger «regelmessige, integrerte revisjoner», råder Curran fra Ulster University.

I mellomtiden bør du implementere en modell for delt ansvar med leverandørene dine, sier Clarotys Sorrels. «Ikke behandle leverandørkontrakter som noe man «setter og glemmer». Krev kontinuerlig åpenhet, bevis på sikkerhetstesting og bevis på at de oppfyller grunnleggende standarder.»