Sykehus-OT utover medisinsk utstyr

Sykehus er ogsa avhengige av OT-systemer som ikke er medisinsk utstyr, men like kritiske: HVAC (ventilasjon og luftbehandling for operasjonssaler og isolasjonsrom), heissystemer, strom og UPS-systemer, adgangskontroll og overvakingssystemer, og medikamentlagersystemer (PYXIS og lignende automatiserte dispensere). Kompromittering av HVAC pa et sykehus kan pavirke luftkvalitet i operasjonssaler og storre isolasjonsrom, med direkte helsekonsekvenser. (CISA, 2025)

[PERSONAL EXPERIENCE] I OT-vurderinger av norske sykehus er de to hyppigst avdekkede problemene: (1) Medisinsk utstyr pa samme nettverkssegment som kontorsystemer, uten segmentering, og (2) Leverandortilgang til medisinsk utstyr via internett-eksponerte fjerntilgangssystemer uten MFA. Begge problemene er teknisk enkle a adressere, men krever et prosjekt for a gjennomfore systematisk pa et stort sykehus.

WannaCry, NHS og lærdommene for norsk helsevesen

WannaCry-angrepet i mai 2017 rammet National Health Service (NHS) i Storbritannia med katastrofale konsekvenser: 19 000 legeavtaler kansellert, ambulanser omdirigert, og totale kostnader anslatt til 92 millioner pund (NHS England, 2018). Angrepet utnyttet EternalBlue-sarbarheten i Windows SMB, en sarbarhet som hadde en patch tilgjengelig to maneder for angrepet, men som ikke var installert pa tusenvis av NHS-systemer.

Laerdommene for norsk helsevesen er konkrete: patch-management er kritisk, selv for systemer det er vanskelig a patche. Nettverkssegmentering som hindrer lateral bevegelse av ransomware er essensielt. Offline backup-systemer som kan brukes til gjenoppretting uten a betale losepengesummen er nodvendige. Norske helseforetak har etter WannaCry investert mer i disse tiltakene, men NSM-rapporten fra 2024 viser at det fortsatt er gap.

Norsk regulering: NSM, Helsedirektoratet og Digitalsikkerhetsloven

Norsk helsevesen er regulert fra bade et datasikkerhets- og et pasienttrygghetserspektiv. Digitalsikkerhetsloven (NIS2) definerer helsesektor som kritisk og stiller krav om risikostyring, hendelsesrapportering og sikkerhetstiltak. Normen (Normen for informasjonssikkerhet og personvern i helse- og omsorgssektoren) er den sektorspasserte standarden som bade stiller krav til medisinsk utstyr og helsesektor-OT. (Helsedirektoratet, 2025)

Normen er obligatorisk for alle virksomheter i norsk helsevesen og refererer til IEC 62443 og ISO 27001 som relevante standarder. Den stiller eksplisitte krav om risikovurdering av medisinsk utstyr, nettverkssegmentering og leverandorstyring. NSM publiserer ogsa spesifikke veiledninger for helsesektor-cybersikkerhet.

Praktiske OT-sikkerhetstiltak for sykehus

For norske sykehus og helseforetak anbefaler vi folgende prioriterte OT-sikkerhetstiltak:

1. Medisinsk utstyrsregister: Kartlegg alle tilkoblede medisinske enheter med OS-versjon, patchstatus og nettverkssegment
2. Nettverkssegmentering: Medisinsk utstyr skal i egne VLAN-segmenter, ikke pa kontor- eller gjestenettet
3. Patch-management: Etabler prosess for medisinsk utstyrpatching i samarbeid med leverandorer; for upatchbart utstyr, bruk kompenserende tiltak
4. Leverandortilgang: All fjerntilgang til medisinsk utstyr skal gjennom kontrollert jump-server med MFA og sesjonsopptak
5. Offline backup: Kritiske systemkonfigurasjoner og pasientdata-systemer ma ha offline backup for gjenoppretting etter ransomware
6. HVAC-sikkerhet: Bygningsautomatisering og HVAC-systemer skal segmenteres fra kliniske nettverk

Ofte stilte spørsmål

Hva er IOMT og hvorfor er det en OT-sikkerhetsrisiko?

IOMT (Internet of Medical Things) er samlebegrepet for internett-tilkoblede medisinske enheter. Disse inkluderer alt fra infusjonspumper og pasientmonitorer til wearables og implantater. IOMT-enheter er de facto OT, med de tilhorende OT-sikkerhetsutfordringene: lang levetid, begrenset patchmulighet og spesialiserte protokoller. 53% av IOMT-enheter har kjente sarbarheter (Claroty, 2024).

Kan medisinsk utstyr som insulinpumper hackes?

Ja, i teorien og i dokumenterte tilfeller under forskning. Sikkerhetsforskere har demonstrert fjernkontroll av insulinpumper via tradslose protokoller. FDA og Medtronic har hatt tilbakekallinger av implanterte enheter pa grunn av cybersarbarheter. I praksis er slike angrep svart komplekse og krever fysisk naerhet, men risikoen er reell og tas pa alvor av regulatorer. (FDA, 2025)

Hva er Normen og er den obligatorisk?

Normen er et sett med krav til informasjonssikkerhet og personvern i helse- og omsorgssektoren, utviklet av Helsedirektoratet i samarbeid med sektoren. Den er obligatorisk for alle virksomheter som er databehandlere for helsedata, inkludert sykehus, fastleger, apoteker og leverandorer av helsesystemer. (Helsedirektoratet, 2025)

Hva gjor vi om medisinsk utstyr ikke kan patches?

For medisinsk utstyr som ikke kan patches anbefales kompenserende tiltak: nettverksisolasjon (plasser enheten i eget VLAN uten internettilgang), overvak nettverkskommunikasjon for anomalier, deaktiver unodvendige nettverkstjenester pa enheten, og eskaler til leverandor med krav om patcheplan. Vurder ogsa om enheten kan erstattes med nyere modell med bedre sikkerhetsstotte. (FDA Guidance on Medical Device Cybersecurity, 2023)

Konklusjon

OT-sikkerhet i helsesektoren er et sporsmal om pasienttrygghet, ikke bare datavern. Norske sykehus har tatt vesentlige skritt etter WannaCry og pafolgende hendelser, men NSM-rapporten fra 2024 viser at gap gjenstår. Medisinsk utstyrs natur som OT, med lang levetid og begrenset patchmulighet, gjor nettverkssegmentering til det viktigste enkletiltaket.

Normen, Digitalsikkerhetsloven og sykehusenes eget ansvars for pasienttrygghet gir et klart mandat for OT-sikkerhetsinvesteringer. Det avgjorende er at medisinsk utstyr og sykehus-OT behandles med samme seriositeter som klinisk utstyr, fordi det i praksis er det.