Diefstal en datalek in digitale zorg

Bestuurderstafel

De basis om dat voor elkaar te krijgen is meer bewustwording van informatieveiligheid en de wil om te handelen, stelt Toma. ‘En die is er nog niet bij iedereen. Waar sommige zorginstellingen in ons land cybersecurity al hoog op de agenda hebben staan, is veiligheid bij andere organisaties helaas nog een sluitpost.’ ‘Bestuurders denken dat ze veilig zijn,’ aldus Hafkamp. ‘Als je nooit geconfronteerd bent geweest met een aanval ben je geneigd te denken dat de kans maar klein is. Maar er ligt een directe link met de veiligheid van de patiënt als bijvoorbeeld zijn medicijngegevens of zijn zorgbehandelingsdossier gehackt worden.’

‘Ook horen we vaak dat zorgorganisaties graag werken aan cybersecurity maar dat de capaciteit of middelen ontbreken,’ vult Toma aan. ‘Bovendien zie je niet altijd de oogst van je investeringen. Het moet echt op de bestuurderstafel komen. “Het is dus noodzakelijk dat zowel bestuurders maar ook de zorgprofessionals zich bewuster worden van hun eigen rol hierin. Dat er ook consequenties zitten aan hun eigen handelen. Als bijvoorbeeld een ziekenhuis wordt getroffen door een cyberaanval, dan moeten we niet alleen aandacht hebben voor de patiënt, maar ook bewust nadenken over hoe het staat met de veiligheid van de systemen en het gedrag van de medewerkers. Ook bestuurders en managers moeten stilstaan bij het eigen handelen.’

Netwerk Z-CERT helpt aangesloten zorgaanbieders met kennis en ondersteuning, zowel wanneer zich een incident voordoet als bij de preventie ervan. Daarnaast vormt het een actief netwerk om samen ransomware, phishing, datalekken of hacken aan te pakken. Door informatie snel uit te wisselen, kunnen incidenten worden voorkomen. Met een klein team van zeventien mensen werkt Z-CERT vanuit Amersfoort. Inmiddels zijn al 120 zorgaanbieders aangesloten, waaronder alle topklinische, academische ziekenhuizen, categorale instellingen, zoals revalidatiecentra en diagnostische centra, maar ook instellingen voor geestelijke gezondheidszorg (ggz) en een aantal care- en jeugdhulpinstellingen. Er is al debat geweest in de politiek om alle zorginstellingen in ons land te laten aansluiten. Daar zijn VWS en Z-CERT nu mee bezig.

Dreigingsinformatie

Momenteel werkt het team van analisten van Z-CERT aan de uitrol van een Zorgdetectienetwerk. In dat netwerk zijn de zorgsystemen aan elkaar gekoppeld, en wordt dreigingsinformatie gedeeld met de online omgeving van deze systemen. Inmiddels doen al vijftig ziekenhuizen mee. ‘Bijzonder is dat onze specialisten al op dag 1 een “hit” zagen bij één van de ziekenhuizen,’ vertelt Hafkamp. ‘Die zat in het hart van de organisatie. We konden het gelukkig meteen oplossen, maar het geeft wel aan dat we dit niet zomaar doen en dat het echt nodig is.’

‘Met het detectienetwerk willen we een soort schil vormen rond de aangesloten zorgsystemen, een soort collectief geheugen voor de digitale omgeving. Malafide IP-adressen en software worden dan herkend en geblokkeerd. Je kunt het zien als een beschermende ring rond de zorgaanbieders. Onze analisten werken hard aan het doel om eind dit jaar 80 tot 90 procent van onze deelnemers te hebben aangesloten.’

Matchen

Daarbij kan het kenniscentrum rekenen op ondersteuning van VWS. Toma: ‘We willen dat meer zorgorganisaties zich aansluiten, natuurlijk stapsgewijs en in samenwerking en overleg met het kenniscentrum zelf. Wij matchen de dienstverlening van Z-CERT met de behoefte uit het veld aan beveiliging van hun eHealth. Door middel van risicoanalyses brengen we in kaart waar de grootste risico’s liggen, in welke sectoren, zodat we inzichtelijk maken hoe we slimmere manieren van werken kunnen opzetten en aansluiten bij Z-CERT. We werken in het beleid met vier B’s: bewustwording, beveiliging, bewaken en blussen. Aan alle B’s hangen projecten en trajecten om zorgorganisaties te helpen met hun vraagstukken.’

Een daarvan is een pilot met het Nationaal Cyber Security Centrum (NCSC). Zorginstellingen kunnen zelf een security rating opvragen bij een wereldwijd opererend security rating bureau. Aan de hand van een twintigtal gegevens worden de volwassenheid en de kwaliteit van de security beoordeeld. ‘De score die eruit komt kunnen ze dan meenemen naar hun bestuurders. Het helpt meer inzichtelijk te maken hoe belangrijk investeringen zijn in veiligheid. Tot 1 augustus kunnen onze deelnemers gratis deze test doen.’

Jezelf hacken

Verder wil Hafkamp graag, net als in de financiële sector, dat zorgorganisaties zelf incidenten gaan ensceneren om de eigen veiligheid te testen. ‘Je gaat dus jezelf hacken. Dan pas weet je of je de boel op orde hebt. Dat doe je in een liveomgeving, wel met bepaalde voorzorgsmaatregelen natuurlijk. Ik zou dit graag willen adviseren aan bestuurders. We overwegen om dit als dienst op te zetten bij Z-CERT. We zien dat het in andere sectoren hartstikke goed werkt. Nu de zorg nog.’ ◼