Det krævede ingen hacking. Kun et ganske almindeligt besøg.
På Glostrup Hospital kunne jeg fra venteværelset se en aktiv computerskærm med en anden patients navn, CPR-nummer og helbredsoplysninger. Oplysningerne på skærmen skiftede tre gange, mens jeg ventede. Døren forblev åben.
Hvad så jeg helt konkret?
På Herlev Hospital oplevede jeg blandt andet:
- Ulåste computere med åbne patientjournaler
- Fritstående urinprøver mærket med fuldt navn og CPR-nummer
- Håndskrevne noter med patienters navn og CPR-nummer efterladt i konsultationsrum
- Brugernavn og adgangskode skrevet direkte på udstyr
Det er mangel på basal informationssikkerhed — og det er i direkte modstrid med Region Hovedstadens egne retningslinjer.
Hænger det sammen med ransomware-angreb?
Hvidovre Hospital er blevet ramt af et hackerangreb. At et hospital rammes, overrasker mig desværre ikke. Hospitalerne er dybt afhængige af IT og behandler samtidig nogle af de mest følsomme oplysninger om dig og mig — og jeg frygter, at vi kommer til at se mere af det.
Mine observationer fortæller ikke, hvordan angriberne kom ind i det konkrete tilfælde. Men de bekræfter desværre, at informationssikkerheden ikke har fundet ind i hverdagen.
Hvad viser tallene?
På baggrund af aktindsigt har jeg fået oplyst følgende om Region Hovedstaden i 2024:
| Nøgletal 2024 | Antal |
|---|---|
| Registrerede brud på persondatasikkerheden | 140 |
| Anmeldt til Datatilsynet | 80 |
| Borgere, der blev underrettet | 669 |
Ved udgangen af 2024 var den gennemsnitlige gennemførelse af den årlige informationssikkerhedstræning samtidig kun cirka 65 procent i regionen.
Er det de ansattes skyld?
Nej. Det er ikke en kritik af det sundhedspersonale, der hver dag arbejder under stort pres, og som altid har givet mig og min familie en fantastisk behandling.
Det er en kritik af et system, der behandler de mest intime oplysninger om dig og mig, men som ikke konsekvent forstår at omsætte informationssikkerhed til arbejdsgange, der holder — også når hverdagen er travl.
Hvad kan andre organisationer lære?
Pointen rækker langt ud over hospitalerne. De fleste organisationer har politikker, der forbyder præcis det, jeg observerede. Forskellen på papir og praksis opstår, når sikkerheden ikke er designet ind i arbejdsgangene:
- Skærmlåsning skal være automatisk og kort — ikke afhængig af, at et travlt menneske husker det
- Fysisk sikkerhed er informationssikkerhed — synlighed fra venteværelser, gange og vinduer er en reel angrebsflade
- Awareness er ikke et årligt e-læringsmodul, men noget, der måles, følges op på og bakkes op af arbejdsgange, der kan lade sig gøre i praksis
- Måltal forpligter: 65 procents gennemførelse betyder, at mere end hver tredje medarbejder ikke har været igennem træningen
For hospitalernes IT beskytter ikke bare data — de bør beskytte os alle sammen.