Kyberturvallisuuden merkitys terveydenhuollossa kasvaa
Terveysteknologian digitalisoituminen ja tekoälyn nopea kehitys tuovat alalle uusia mahdollisuuksia, mutta samalla kyberturvallisuuden merkitys kasvaa. Terveysteknologia ry ja Kyberala ry kokosivat alan yrityksiä ja asiantuntijoita keskustelemaan terveysteknologian kyberturvallisuudesta, tekoälystä, sääntelystä ja muuttuvasta uhkaympäristöstä.
Sosiaali- ja terveysministeriön ohjelmajohtaja Päivi Sillanaukee muistutti tilaisuuden avauspuheenvuorossaan, että terveydenhuollossa kyberhäiriö ei ole vain tietotekninen ongelma. Se voi vaikuttaa esimerkiksi diagnostiikkaan, lääkitykseen, etäpalveluihin ja viime kädessä potilasturvallisuuteen. Yhden hoitoketjun taustalla voi olla lääkinnällisiä laitteita, ohjelmistoja, pilvipalveluita, potilastietojärjestelmiä ja tekoälyä sekä useita eri toimittajia. Tavoitteena onkin varmistaa turvallisen hoidon jatkuminen myös häiriötilanteissa.
Sillanaukee haastoi tilaisuuden paneelikeskustelua pohtimaan, miten turvallisuus voi olla innovaatioiden mahdollistaja, ei niiden este.
Seuraavaksi johtava asiantuntija Nelli Karhu Terveysteknologia ry:stä ja toimitusjohtaja Peter Sund Kyberala ry:stä kertoivat terveysteknologian kyberturvaan liittyvästä sääntelystä.
Karhun mukaan terveysteknologiayrityksen sääntely-ympäristö on hyvin monikerroksinen. Terveysteknologiaa koskevien EU-säädösten, kuten Medical Devices Regulation (MDR) ja In Vitro Diagnostics Regulation (IVDR), lisäksi kyberturvallisuuteen liittyviä vaatimuksia tulee muun muassa EU:n tekoälyasetuksesta (AIA), European Health Data Spaces (EHDS) -sääntelystä, Verkkoturvallisuusdirektiivistä (NIS2) ja Kyberkestävyysasetuksesta (CRA) sekä niihin liittyvistä kansallisesta lainsäädännöstä.
– Kyberturvallisuus on huomioitava lääkinnällisen laitteen koko elinkaaren ajan. Se kytkeytyy niin tuotekehitykseen, riskienhallintaan ja käyttöympäristöön kuin markkinoille saattamisen jälkeiseen seurantaan. MDR ja IVDR edellyttävät, että huomion otetaan myös yleisesti tunnustettu viimeisin kehitys (state of the art) kyberturvallisuusominaisuuksien suhteen, Karhu painotti.
Sund kertoi, että tärkeimmät EU-säädökset kohdistuvat sääntelykokonaisuuden eri osiin: MDR ja IVDR itse laitteeseen, NIS2 organisaatioon, AIA tekoälyjärjestelmään ja CRA digitaalisiin tuotteisiin ja niiden komponentteihin.
– Vaikka CRA ei tällä hetkellä lähtökohtaisesti koske lääkinnällisiä laitteita, se voi koskea niiden ohjelmistoja, taustajärjestelmiä ja toimitusketjun komponentteja. Lisäksi CRA tarjoaa käyttökelpoisia yleisiä oikeusohjeita siihen, mitä korkean tason kyberturvallisuusominaisuudet digitaalisissa tuotteissa voivat tarkoittaa. Siksi säädöksen vaikutukset ulottuvat käytännössä myös terveysteknologiayrityksiin, Sund totesi.
Tekoäly ei toimi kuten ihminen
Tilaisuuden keynote-puheenvuorossa Reversecin Antti Laatikainen tarkasteli tekoälyn suhdetta turvallisuuteen.
Laatikainen korosti, että tekoälyagentteihin suhtaudutaan helposti ihmisten tavoin, vaikka vakuuttavasti argumentoiva tekoäly ei välttämättä ole luotettava. Siksi turvallisuuden pitäisi perustua järjestelmän arkkitehtuuriin, agentin toimintamahdollisuuksien rajaamiseen ja käytönaikaiseen valvontaan eikä oletukseen tekoälyn hyvistä aikomuksista. Turvallisuudessa on siksi tarkasteltava sitä, mitä agentti pystyy tekemään ja mihin sillä on pääsy – ei vain sitä, mitä sen odotetaan tekevän.
Lue koko juttu Terveysteknologia ry:n sivuilta >>
Lisätietoja
