Gelre ziekenhuizen (Apeldoorn, Zutphen) is drie weken lang doelwit geweest van een groot aantal pogingen om vanuit verschillende landen in te breken in de ICT-omgeving. Gelre heeft de inbraakpogingen in een vroeg stadium gesignaleerd, waardoor snel kon worden gereageerd, zo laat de ziekenhuisorganisatie weten. Helaas is uit onderzoek gebleken dat desondanks onbevoegden toegang hebben kunnen krijgen tot één mailbox van een medewerker.
Vanuit dit account zijn geen gegevens verzonden of gedownload, aldus Gelre. Het is niet met zekerheid uit te sluiten dat de hacker mailberichten met persoonsgegevens heeft ingezien, maar de kans op een datalek is echter klein. ‘Hoewel afweermechanismen goed hebben gewerkt, heeft Gelre inmiddels verdere maatregelen getroffen om herhaling te voorkomen. Tevens is een melding gedaan bij de Autoriteit Persoonsgegevens.’
De Raad van Bestuur van Gelre ziekenhuizen laat in een reactie weten het incident ten zeerste te betreuren. Gelre werkt naar eigen zeggen met gerenommeerde beveiligingssoftware en doet er alles aan om situaties als deze te voorkomen. Vanuit ‘beveiligingsoptiek’ wil het ziekenhuis geen details geven over hoe het gelukt is om bij de getroffen mailbox binnen te komen. De medewerker in kwestie heeft een medisch ondersteunende functie.
Zorg kent regelmatig datalek
Datalekken vinden relatief vaak plaats in de gezondheidszorg, zo bleek eerder dit jaar uit het meerjarige overzicht van het CBS over het ICT‐gebruik van bedrijven in de Cybersecuritymonitor 2020. In 2019 meldde 6 procent van de organisaties uit de zorgsector een ‘dataonthullingsincident’ met een interne oorzaak, aldus de CBS-studie. Bij één procent van zorgorganisaties werd een onthulling veroorzaakt door een aanval van buitenaf. Met name op het eerste gebied steekt de zorgsector met kop en schouders boven andere sectoren uit.
Een datalek heeft meestal één van twee oorzaken: onzorgvuldigheid binnen de organisatie of een externe hack. Eerder deze maand was er sprake van een datalek bij het Radboudumc (Nijmegen). Als gevolg van een ICT-fout kwamen gegevens van personeelsleden tijdelijk online te staan. Ook gebeurt het regelmatig dat gegevens letterlijk op straat komen te liggen. Zo raakte een medewerker van het Flevo ziekenhuis vorig jaar een USB-stick kwijt waarop hij tegen de regels in patiëntgegevens op gezet had.
ICT&health publiceert online en in het blad regelmatig artikelen van de hand van Z-Cert. Dit is hét expertisecentrum op het gebied van cybersecurity in de zorg en speelt een belangrijke rol in het cyberweerbaar maken van de zorgsector. Z-CERT heeft specifieke kennis van medische technologie en vormt met haar deelnemers een netwerk om gezamenlijk digitale dreigingen als ransomware, phishing, datalekken of hacken aan te pakken. In editie vier van ICT&health (27 augustus) kunt u een artikel vinden over het leren managen van kwetsbaarheden in digitale omgevingen.
