Voisiko tekoäly hakkeroida Suomen terveydenhuoltoa?
– Globaalissa digitaalisessa toimintaympäristössä riskejä ei voida koskaan poistaa kokonaan, sanoo Husin tietohallintojohtaja Harri Karjalainen.
OpenAI:n kehittämä tekoälyagentti tunkeutui kesäkuussa Australian julkisen terveydenhuoltojärjestelmän Medicaren portaaliin. Kysyimme Husin tietohallintojohtaja Harri Karjalaiselta ja tietoturvavastaava Henry Davidssonilta Pirkanmaan hyvinvointialueelta, voisiko vastaavaa tapahtua Suomessa.
Mitä tietoa teillä on Australian tapauksesta?
– Julkisuudessa olleiden tietojen perusteella Australian tapauksessa tekoälyagentin oli tarkoitus etsiä kustannuksiin liittyvää tietoa, mutta se ajautuikin kaivamaan tietoa väärästä paikasta. Kyseessä ei ollut vihamielinen hyökkäys, eikä potilastieto tiettävästi vaarantunut. Tapaus kuitenkin osoitti, että kaikki ei ollut kunnossa, ja agentti löysi ihmistä nopeammin tietoturva-aukot. Kyse saattoi olla siitä, että heillä oli käytössä vanhentuneita tietojärjestelmiä, kertoo Karjalainen.
Voisiko vastaavaa tapahtua Suomessa?
– Globaalissa digitaalisessa toimintaympäristössä riskejä ei voida koskaan poistaa kokonaan, minkä vuoksi tietoturvaa kehitetään jatkuvasti. Käytämme useita teknisiä valvonta- ja suojausratkaisuja sekä automaatiota, joiden avulla poikkeamia voidaan havaita ja käsitellä nopeasti, sanoo Karjalainen.
– Ei ole syytä uskoa, että kaikki Suomessa käytössä olevat järjestelmät ovat haavoittumattomia, jatkaa Davidsson.
Miten vastaavaan murtoon on varauduttu?
– Vakavien häiriö- ja poikkeamatilanteiden varalle on ennalta määritellyt toimintamallit, ja teemme tiivistä yhteistyötä viranomaisten kanssa. Keskeistä on havaita poikkeamat mahdollisimman nopeasti, minkä vuoksi Husin digitaalisia palveluita ja rajapintoja valvotaan ympärivuorokautisesti. Potilasturvallisuus on toimintamme lähtökohta, kertoo Karjalainen.
– Australian kaltaisia tapauksia voidaan välttää pitämällä ohjelmistot ajan tasalla ja kouluttamalla henkilöstöä. Pirkanmaalla on tiukat tietoturvakontrollit järjestelmille ja niihin kaikkiin tehdään tietoturva-arviointeja. Tietoturvayksikössämme on myös ympärivuorikautinen valvonta, jatkaa Davidsson.
Minkälaisia uhkia tietojärjestelmiin kohdistuu?
– Tietojärjestelmiin kohdistuu jatkuvasti erilaisia tapahtumia ja uhkia, mutta valtaosa niistä havaitaan ja torjutaan osana normaalia tietoturvavalvontaa. Kyberuhkien toimintaympäristö muuttuu jatkuvasti, minkä vuoksi myös reagointinopeuden on parannuttava. Aikaisemmin joidenkin haavoittuvuuksien korjaamiseen saattoi olla jopa kuukausia aikaa, mutta nykyisin kriittisiin havaintoihin on pystyttävä reagoimaan hyvin nopeasti, usein jopa saman vuorokauden aikana, sanoo Karjalainen.
– Pirhaan suoraan kohdistuneita onnistuneita tekoälyhyökkäyksiä ei ole ollut, mutta elokuun lopulla Pihlajalinnan palvelimeen, jolla säilöttiin Pirhan rekisterinpidon alaista tietoa, kohdistui tekoälyavusteinen hyökkäys. Murtautuja sai haltuunsa asiakkaiden henkilötunnuksia ilman nimitietoja sekä heidän omaistensa puhelinnumeroja. Haltuun saaduista tiedoista ei ole yhdistettävissä potilaiden nimiä henkilötunnuksiin eikä organisaatioihin. Myöskään asukkaiden potilas- tai asiakastietoja ei joutunut vääriin käsiin, jatkaa Davidsson.
– Käytämme tekoälyä apuna parantamaan suojausta tekoälyä vastaan, koska se on siihen tehokkain työkalu. Toisaalta tehtävämme on myös estää tekoälytyökaluja, jotka eivät ole organisaation sallimia. Tämä kaikki vaatii henkilökunnalta asiantuntemusta ja kouluttautumista, sanoo Davidsson.
