De zorgsector is kwetsbaar voor cyberaanvallen als gevolg van ketenafhankelijkheid op ICT-gebied. Met name ziekenhuizen zijn afhankelijk van tientallen, soms wel 100 verschillende leveranciers. Dat stelt stichting Z-Cert. De aanbieder van cybersecurity voor de zorgsector verwijst hierbij naar een artikel van Het Financieel Dagblad over ketenafhankelijkheid uit begin maart. Verder maakt Z-Cert bekend dat er verkennende gesprekken lopen over collectieve aansluiting van de jeugdzorg in 2021.
Z-Cert schreef eerder dit jaar in zijn CyberSecurity Dreigingsbeeld Zorg 2020 over het risico dat een digitaal incident bij een veel gebruikte leverancier, sectorbrede impact kan hebben. ‘Er zijn meerdere voorbeelden uit het buitenland bekend waarbij leveranciers van EPD’s geraakt werden en een groot aantal zorginstellingen gedurende langere tijd niet bij hun patiëntdata konden. Ook in Nederland zijn er serviceproviders die EPD-diensten verlenen aan een groot aantal zorginstellingen. Z-CERT beoordeelt deze ketenafhankelijkheid voor de zorgsector als een risico.’
Ketenafhankelijkheid
In de zorgsector speelt ketenafhankelijkheid ook nog op een ander niveau, bijvoorbeeld dat van onderzoeksdata, zo benadrukt de stichting. Data van lopende klinische onderzoeken staat meestal niet bij ziekenhuizen zelf maar bij externe dienstverleners die gespecialiseerd zijn hierin. Een cyberincident bij zo’n leverancier leidt tot veel ellende bij een reeks zorginstellingen en in het ergste geval tot datalekken.
In oktober vorig jaar werd eResearchTechnology; wereldwijd actief met klinische diensten, geraakt door een ransomware-aanval. Deze aanval verstoorde niet alleen de processen van ERT zelf maar ook dat van haar klanten: QVIA, dat AstraZeneca’s Covid vaccin testte en Bristol Myers Squibb, een medicijnfabrikant.
Lang niet bij alle ketenincidenten vinden datalekken plaats maar de kans erop groeit, mede omdat steeds meer patiëntendata bij externe partijen (zoals aanbieders van cloudgebaseerde informatiesystemen) staat. Volgens het onlangs verschenen rapport van de Autoriteit Persoonsgegevens (AP) kwamen de meeste datalekken in 2020 opnieuw voor rekening van de sector gezondheidszorg en welzijn (30%).
Niet blindelings vertrouwen
Z-Cert benadrukt het belang dat zorginstellingen hun leveranciers niet blindelings vertrouwen maar eisen stellen aan informatiebeveiliging. Zo zou de leverancier periodiek moeten aantonen dat het informatiebeveiliging op orde heeft, voldoet aan de geldende wet- en regelgeving en, wanneer van toepassing, in het bezit is van certificeringen zoals de NEN 7510. Ook zouden leveranciers periodiek pentests en vulnerability scans moeten uitvoeren als zij persoonsgegevens van zorginstellingen verwerken. Deze afspraken moeten de partijen vastleggen in een verwerkersovereenkomst.
Z-CERT adviseert haar deelnemers om de IT-omgeving in te richten volgens het ‘zero trust’ principe (NCSC UK, 2019) . Hierbij houd je er van tevoren rekening mee dat je leverancier gehackt is en ontwerp je je processen en IT-omgeving zodanig dat een aanvaller snel opgemerkt zal worden en weinig schade aan kan richten
Uitbreiding Z-Cert
Het afgelopen jaar groeide Z-CERT zowel in aantal deelnemers als in aantal collega’s, zo laat de stichting weten. Het vaste team is uitgebreid met medewerkers die specifieke kennis meebrengen op het gebied van GGZ en Jeugdzorg. De tweede helft van 2020 zijn ruim 60 ggz-instellingen aangesloten via een collectieve deelname van de Nederlandse ggz. Verder groeide ook het aantal aansluitingen op het ZorgDetectieNetwerk. Eerder sloten 46 ziekenhuizen zich rechtstreeks aan bij het ZDN. In 2020 hebben we nog eens 27 zorgorganisaties toegevoegd aan het netwerk via zeven grote securitypartijen waarmee de organisaties samenwerken.
In 2020 kreeg Z-CERT positief nieuws van de Rijksoverheid over de structurele financiële bijdrage in de vorm van een projectsubsidie. Hiermee is Z-CERT in staat om verder invulling te geven aan haar missie om de zorgsector weerbaar(der) te maken tegen cyberdreigingen. Ook in 2021 zal Z-CERT verder groeien. Zo lopen er verkennende gesprekken met Jeugdzorg Nederland over een collectieve aansluiting in de loop van dit jaar.
