Kvantsäkra hälsodata kräver förberedelser redan nu
Morgondagens kraftfulla kvantdatorer kommer att göra dagens krypteringslösningar otillräckliga. Därför medverkar Inera i ett Vinnovafinansierat projekt som ska hjälpa vårdsektorn att förbereda övergången till kvantsäkra it-system och skydda känslig information även mot framtida hot.
Digitala tjänster i hälso- och sjukvården bygger på att information kan delas säkert mellan många aktörer. Hälsodata behöver skyddas oavsett om de används i vården eller för exempelvis forskning, utveckling och uppföljning. Men utvecklingen av kvantdatorer innebär att stora delar av de säkerhetslösningar som används i dag på sikt kan bli sårbara.
– Inom ett antal år kommer nya kraftfulla kvantdatorer kunna knäcka de krypteringsalgoritmer som vi idag använder för att skydda våra hälsodata. Innan utvecklingen har nått ett läge där det kan vara för sent att agera behöver alla aktörer byta till kvantsäkra krypteringsmetoder, säger Fredrik Rosenberg, informationssäkerhetschef på Inera.
Projektet Framtidens ekosystem för kvantsäkra hälsodata, som leds av RISE och finansieras av Vinnova, syftar till att förbereda hälso- och sjukvårdens aktörer på kommande säkerhetshot kopplade till kvantdatorer. Inera medverkar i arbetet som bland annat handlar om att förstå vilka tekniska, organisatoriska och praktiska förutsättningar som krävs när system som hanterar hälsodata ska migreras till kvantsäkra lösningar.
Övergången behöver börja i tid
För verksamheter med höga säkerhetskrav är tidsperspektivet centralt. Nationellt cybersäkerhetscenter vid Försvarets radioanstalt (FRA) rekommenderar att övergången till kvantsäker kryptografi sker stegvis och strukturerat i enlighet med internationella överenskommelser och EU-direktiv. För särskilt känslig information, som behöver vara skyddad under lång tid, har EU pekat ut slutet av 2030 som tidsgräns för när övergången behöver vara klar.
– Det innebär att förberedelserna inte kan vänta tills kvantdatorerna är ett omedelbart hot, säger Fredrik Rosenberg och förklarar att det organisationer kan göra redan nu är att skaffa sig överblick över vilka kryptografiska lösningar som används, vilka system som berörs och vilka som är känsligast:
– Det här är ett omfattande arbete. Hälsodata hör till den information som bör skyddas på lång sikt, och därför behöver vi ligga steget före i säkerhetsarbetet.
Inera bidrar med kunskap om det digitala ekosystemet
I Vinnovaprojektet ska deltagarna arbeta med konkreta typfall och testa olika lösningar för hur system som hanterar hälsodata kan migreras till kvantsäkra alternativ. Det kan handla om verktyg för inventering, metoder för att identifiera vilka delar av ett system som berörs, eller praktiska tester av olika krypteringsmetoder.
Som central aktör i det nationella informationsutbytet inom vård och omsorg bidrar Inera med insikter om hur många olika system, organisationer och behov hänger ihop i praktiken.
– Inera ingår i två arbetsgrupper, en som handlar om att skydda data i journalsystem och en med fokus på infrastruktur och kommunikation. I båda dessa grupper kommer vår kunskap om hur det digitala ekosystemet fungerar väl till pass, bland annat genom att vi har lång erfarenhet av egen systemutveckling och hanterar en stor del av hälsodatautbytet som sker mellan landets regioner, säger Fredrik Rosenberg.
Ingen vill vänta tio sekunder för att logga in i ett system
En avgörande framtidsfråga är att säkerheten måste kunna stärkas utan att de digitala tjänsterna blir svårare att använda. När komplexiteten ökar kan svarstider påverkas. Därför behöver kvantsäkra lösningar tas fram utan att skapa nya hinder för användare eller verksamheter.
– Ingen vill vänta tio sekunder för att logga in i ett system. Det gäller att kunna införa framtidssäkra krypteringsmetoder med acceptabla svarstider, poängterar Fredrik Rosenberg.
Stöd för regioner och kommuner
Resultaten från projektet ska spridas brett till aktörer som hanterar hälsodata. För regioner och kommuner kan det bli ett stöd i det egna förberedelsearbetet och bidra till bättre överblick, tydligare kravställning och mer samordnade vägval när befintliga system och nya digitala tjänster ska anpassas till framtida säkerhetskrav.
– Projektet planerar att löpande informera om resultaten. Det är en viktig del av syftet, att så många aktörer som möjligt får nytta av arbetet och kan använda erfarenheterna i sin egen kvantsäkring, säger Fredrik Rosenberg.