Terveysteknologian kyberturvallisuus korostuu nopeasti muuttuvassa digitaalisessa toimintaympäristössä
Terveysteknologian digitalisoituminen ja tekoälyn nopea kehitys tuovat alalle uusia mahdollisuuksia, mutta samalla kyberturvallisuuden merkitys kasvaa. Terveysteknologia ry ja Kyberala ry kokosivat elokuun lopulla alan yrityksiä ja asiantuntijoita keskustelemaan terveysteknologian kyberturvallisuudesta, tekoälystä, sääntelystä ja muuttuvasta uhkaympäristöstä.
Sosiaali- ja terveysministeriön ohjelmajohtaja Päivi Sillanaukee muistutti tilaisuuden avauspuheenvuorossaan, että terveydenhuollossa kyberhäiriö ei ole vain tietotekninen ongelma. Se voi vaikuttaa esimerkiksi diagnostiikkaan, lääkitykseen, etäpalveluihin ja viime kädessä potilasturvallisuuteen. Yhden hoitoketjun taustalla voi olla lääkinnällisiä laitteita, ohjelmistoja, pilvipalveluita, potilastietojärjestelmiä ja tekoälyä sekä useita eri toimittajia. Tavoitteena onkin varmistaa turvallisen hoidon jatkuminen myös häiriötilanteissa.
Sillanaukee haastoi tilaisuuden paneelikeskustelua pohtimaan, miten turvallisuus voi olla innovaatioiden mahdollistaja, ei niiden este.
Seuraavaksi johtava asiantuntija Nelli Karhu Terveysteknologia ry:stä ja toimitusjohtaja Peter Sund Kyberala ry:stä kertoivat terveysteknologian kyberturvaan liittyvästä sääntelystä.
Karhun mukaan terveysteknologiayrityksen sääntely-ympäristö on hyvin monikerroksinen. Terveysteknologiaa koskevien EU-säädösten, kuten Medical Devices Regulation (MDR) ja In Vitro Diagnostics Regulation (IVDR), lisäksi kyberturvallisuuteen liittyviä vaatimuksia tulee muun muassa EU:n tekoälyasetuksesta (AIA), European Health Data Spaces (EHDS) -sääntelystä, Verkkoturvallisuusdirektiivistä (NIS2) ja Kyberkestävyysasetuksesta (CRA) sekä niihin liittyvistä kansallisesta lainsäädännöstä.
– Kyberturvallisuus on huomioitava lääkinnällisen laitteen koko elinkaaren ajan. Se kytkeytyy niin tuotekehitykseen, riskienhallintaan ja käyttöympäristöön kuin markkinoille saattamisen jälkeiseen seurantaan. MDR ja IVDR edellyttävät, että huomion otetaan myös yleisesti tunnustettu viimeisin kehitys (state of the art) kyberturvallisuusominaisuuksien suhteen, Karhu painotti.
Sund kertoi, että tärkeimmät EU-säädökset kohdistuvat sääntelykokonaisuuden eri osiin: MDR ja IVDR itse laitteeseen, NIS2 organisaatioon, AIA tekoälyjärjestelmään ja CRA digitaalisiin tuotteisiin ja niiden komponentteihin.
– Vaikka CRA ei tällä hetkellä lähtökohtaisesti koske lääkinnällisiä laitteita, se voi koskea niiden ohjelmistoja, taustajärjestelmiä ja toimitusketjun komponentteja. Lisäksi CRA tarjoaa käyttökelpoisia yleisiä oikeusohjeita siihen, mitä korkean tason kyberturvallisuusominaisuudet digitaalisissa tuotteissa voivat tarkoittaa. Siksi säädöksen vaikutukset ulottuvat käytännössä myös terveysteknologiayrityksiin, Sund totesi.
Tekoäly ei toimi kuten ihminen
Tilaisuuden keynote-puheenvuorossa Reversecin Antti Laatikainen tarkasteli tekoälyn suhdetta turvallisuuteen.
Laatikainen korosti, että tekoälyagentteihin suhtaudutaan helposti ihmisten tavoin, vaikka vakuuttavasti argumentoiva tekoäly ei välttämättä ole luotettava. Siksi turvallisuuden pitäisi perustua järjestelmän arkkitehtuuriin, agentin toimintamahdollisuuksien rajaamiseen ja käytönaikaiseen valvontaan eikä oletukseen tekoälyn hyvistä aikomuksista. Turvallisuudessa on siksi tarkasteltava sitä, mitä agentti pystyy tekemään ja mihin sillä on pääsy – ei vain sitä, mitä sen odotetaan tekevän.
Tilaisuuden paneelikeskustelun moderoi Kirsi Korhonen Korsi Key Oy:stä. Keskusteluun osallistuivat Henry Haverinen Cyberismo Oy:stä, Marjo Johansson Aiforia Technologies Oyj:stä, Jyrki Nivala Insta Advance Oy:stä ja Mika Tuomainen Bittium Biosignals Oy:stä.
Paneelissa nousi esiin, että kyberturvallisuus on jo mukana elimellisenä osana terveysteknologiatuotteissa. Sääntely on hyvä lähtökohta ja yrityksen kannattaa aloittaa standardeista, mutta enemmänkin pitää tehdä; oma ympäristö ja uhat pitää tuntea sekä kartoittaa erilaisia hyökkäysmahdollisuuksia. Toimitusketju on tärkeä: alihankkijoiden on osoitettava, miten kyberturvallisuus on hoidettu, sillä uhat kehittyvät nopeasti. Ei myöskään ole yhtä tapaa tehdä asioita, koska kaikki tuotteet ovat erilaisia.
Kyberresilienssi on kaikkien vastuulla
Goforen Musa Jallow korosti niin ikään puheenvuorossaan, että lääkinnällisten laitteiden kyberturvallisuusvaatimusten lisääntyessä yritysten kannattaa rakentaa toimintansa kansainvälisesti tunnistettujen standardien ja viitekehysten varaan. Näin samoilla toimintamalleilla voidaan vastata erilaisiin vaatimuksiin globaaleilla markkinoilla.
Bird & Birdin Tobias Bräutigam ja Lennart Schüssler kävivät läpi EU:n Digital Omnibus -lainsäädännön muutosehdotusta, jolla pyritään yksinkertaistamaan yrityksiin kohdistuvaa digitaalista sääntelyä. Samalla he muistuttivat, ettei yritysten kannata pysäyttää esimerkiksi tekoälyasetukseen sopeutumista, sillä sen keskeiset velvoitteet säilyvät.
DNV Cyberin Antti Tolvanen muistutti puheenvuorossaan, että tekoäly kasvattaa kyberhyökkäysten nopeutta, laatua ja mittakaavaa, mikä voi lyhentää hyökkäysten havaitsemiseen ja niihin reagoimiseen käytettävissä olevan ajan viikoista tunteihin. Tolvanen korosti, että sääntelystä huolimatta vastuu kyberresilienssistä kuuluu kaikille.
Lisätietoja
