Informasjonssikkerhetskultur i spesialisthelsetjenesten - En sosio-teknisk casestudie av Akershus universitetssykehus
Master thesis
Permanent lenke
https://hdl.handle.net/11250/3079060Utgivelsesdato
2023Metadata
Vis full innførselSamlinger
Sammendrag
Økt digitalisering har gjort det mulig å levere helsetjenester av god kvalitet. Bruk av teknologi har imidlertid dannet grobunn for sikkerhetsrelaterte utfordringer og det observeres en drastisk økning i antall cyberangrep rettet mot norske sykehus. Forskning viser at helsepersonell ikke har tilstrekkelige kunnskaper i informasjonssikkerhet og at denne sårbarheten stadig utnyttes av trussel aktører under cyberangrep. Behovet for sikkerhetsrelatert kompetanseheving er derfor stort. Det viser seg imidlertid at dette arbeidet er utfordrende da helsepersonell ofte prioriterer pasientsikkerhet fremfor opplæring i informasjonssikkerhet.
I dette masterprosjektet presenteres det derfor et nytt opplæringskonsept som potensielt kan bidra til å rette fokuset mot informasjonssikkerhet i en hektisk hverdag. Konseptet kombinerer aspekter i informasjonssikkerhet og pasientsikkerhet i et opplæringsforløp for å sikre at det gis hyppigere opplæring sammenlignet med i dag. Masteroppgaven besvarer forskningsspørsmålet: "Hvilke forutsetninger bør oppfylles for at norske sykehus kan inkludere informasjonssikkerhet som en del av opplæringen i pasientsikkerhet?». En omfattende litteraturstudie ble gjennomført for å undersøke om det finnes tilsvarende forskning på feltet. Sykehussystemet er svært komplekst og for å tilrettelegge for en ny arbeidsmetode kreves det et samarbeid mellom ulike organisatoriske nivåer før metoden kan testes i praksis. I den forbindelse ble det utført en casestudie av Akershus Universitetssykehus der en rekke kvalitative intervjuer av nøkkelpersonell på strategisk, taktisk og operativt nivå ble gjennomført. Det ble undersøkt om opplæringskonseptet er anvendbart i praksis basert på deres erfaringer og motivasjon for kompetanseheving. Deretter ble en sosio-teknisk analyse av innhentet data gjennomført for å danne et beslutningsgrunnlag for om konseptet er anvendbart i praksis og hvilke forutsetninger som må oppfylles for å realisere dette arbeidet.
Resultatene fra undersøkelsen viser at majoriteten mener konseptet er nyttig og at helsepersonell har motivasjon til å delta på et slikt opplæringsprogram. Det fremkommer likevel utfordringer ved den eksisterende sikkerhetskulturen som kan ha en innvirkning på gjennomførelsen av dette arbeidet. Resultatene fra undersøkelsen kan på nåværende tidspunkt ikke generaliseres da det er behov for ytterligere forskning. Studien danner imidlertid et solid grunnlag for videre arbeid med mulighet for å teste konseptet i praksis. Digitization has made it possible to deliver healthcare services of good quality. The use of technology has led to security related challenges and there is a drastic increase in the number of cyber attacks directed at Norwegian hospitals. Research shows that healthcare personnel lack knowledge about information security and that this vulnerability is constantly exploited by threat actors during cyber attacks. The need for security awareness and training programs is therefore significant. However, this work has been challenging to conduct in practice as healthcare personnel often prioritize patient safety over training in information security.
This master’s thesis present a new training concept that potentially could contribute to increase the focus towards information security. The concept combines aspects of information security and patient safety in one training program to ensure more frequent training. The master's thesis will therefor answer the research question "Which preconditions should be satisfied for Norwegian hospitals to include information security as a part of patient safety education?". An extensive literature study was performed to map similar research in the field. The healthcare organizations are complex and there is a need for cooperation between different organizational levels before new methods can be tested in practice. Therefore, a case study of Akershus University Hospital was conducted and qualitative interviews of key personnel at strategic, tactical, and operational level were carried out. The aim was to map whether the training concept is applicable in practice based on their experiences and motivation for improving their skills in information security. A socio-technical analysis of the collected data was then performed to form a decision-making basis for whether the concept is applicable in practice and the preconditions for realizing this work.
The results shows that the majority believe the concept is applicable and that healthcare personnel are motivated to participate in such a training program. However, some challenges arise from the existing safety culture which may impact the implementation of this concept. The results of this study cannot be generalized as there is a need for further research. However, the study forms a solid basis for further work with the possibility of testing the concept in practice.