Zorginstellingen zoals ziekenhuizen en ggz-organisaties kunnen voortaan gebruik maken van de diensten van zorg-CERT, een Computer Emergency Respons Team van zes specialisten dat nauw samenwerkt met het Nationaal Cyber Security Center (NCSC). Het gaat om een helpdesk die overkoepelende diensten biedt waar afzonderlijke zorginstellingen geen capaciteit voor hebben. De oprichting ervan werd overigens al in 2016 aangekondigd.
Op 24 en 25 januari vindt in Nieuwspoort Den Haag de eerste cybersecurity conferentie voor de zorg plaats: 'Cybersecurity & Healthcare'. Dit is tevens het podium voor de officiële opening van
Z-CERT, in het bijzijn van minister Hugo de Jonge van Volksgezondheid, Welzijn en Sport. Tijdens het event worden er trends en ontwikkelingen gepresenteerd en worden er actuele cases gedeeld.
Zorgsector onder cybervuur
Al jaren blijken ICT-systemen en websites van zorginstellingen kwetsbaar voor datalekken, onder meer door cyberaanvallen. Zo heeft de sector gezondheid en welzijn volgens de Autoriteit Persoonsgegevens de meeste meldingen van datalekken gedaan sinds begin 2016 de meldplicht datalekken ging gelden, bijna 30 procent van het totaal. Het aantal meldingen van datalekken is gestaag gestegen, van ruim duizend in het eerste kwartaal van 2016 tot 2600 in het derde kwartaal van 2017.
Verder komen er regelmatig
onderzoeken naar voren waaruit blijkt dat websites van onder meer ziekenhuizen en huisartsen onvoldoende beveiligd zijn (HTTPS), waardoor persoonlijke gegevens die worden ingevuld eenvoudig door derde partijen te lezen zijn. Ook zijn zorginstellingen in toenemende mate het doelwit van ransomware-aanvallen.
Volgens directeur Nienke van den Berg van zorg-CERT lijkt de zorg inderdaad een steeds interessanter doelwit voor cybercriminelen,
zo stelt ze tegenover de NOS. Er zijn veel persoonlijke en vertrouwelijke gegevens te halen. "Zorginstellingen kunnen bijvoorbeeld last hebben van datalekken waarbij gevoelige patiëntgegevens worden gelekt of getroffen worden door aanvallen van buitenaf waardoor bijvoorbeeld apparatuur niet meer gebruikt kan worden."
‘Doekje voor bloeden’
De helpdesk heeft een startsubsidie gekregen van het ministerie van VWS. Op termijn is het de bedoeling dat de deelnemende instellingen de desk gaan betalen. Momenteel maken er al 36 zorginstellingen gebruik van de diensten van Z-Cert, waaronder alle academische ziekenhuizen. De NOS citeert beveiligingsonderzoeker Sijmen Ruwhof die het initiatief toejuicht. "Ik zie dat ziekenhuizen op het gebied van IT-beheer nog veel moeten doen. De zes medewerkers van de zorg-CERT zijn een doekje voor het bloeden, maar het is natuurlijk een goede ontwikkeling."
Over Z-Cert
Z-CERT is een Computer Emergency Response Team (CERT), specifiek gericht op zorginstellingen. Z-CERT biedt zorginstellingen specifieke en gespecialiseerde diensten om de weerbaarheid ten aanzien van cybersecurity te vergroten, en ondersteunt op het moment dat een zorginstelling door een incident wordt getroffen. Z-CERT beschikt over diepgaande kennis over medische applicaties, medische netwerken en medische apparatuur.
Op dit moment kunnen ziekenhuizen (UMC, STZ, algemeen en categoraal) en GGZ instellingen zich als deelnemer aanmelden. Op een later moment worden ook diensten aan andere zorgverleners aangeboden. Z-CERT werkt nauw samen met andere CERT's, zoals het Nationaal Cyber Security Centrum (NCSC) en de Informatiebeveiligingsdienst voor de gemeenten. Z-CERT is een stichting en heeft geen winstoogmerk.
Lange aanloop
Het heeft nog bijna twee jaar geduurd voordat het geplande Z-Cert er is gekomen. Al in mei 2016 werd de oprichting van een branche-eigen Computer Emergency Response Team (CERT) aangekondigd, een initiatief destijds van de Nederlandse Vereniging van Ziekenhuizen (NVZ), Nederlandse Federatie van Universitair Medische Centra (NFU), GGZ Nederland en het Nationaal Cyber Security Centrum (NCSC).
Het Z-CERT moest er voor zorgen dat vitale systemen in geval van een aanval zo veel mogelijk blijven functioneren, teneinde de veiligheid en continuïteit van de zorg binnen getroffen ziekenhuizen te garanderen. Dat stelde toenmalig minister Schippers van VWS destijds naar aanleiding van ransomware-aanvallen op Amerikaanse ziekenhuizen. Het Nationaal Cyber Security Centrum (NCSC) had volgens Schippers signalen gekregen dat ook in Nederland, ziekenhuizen, evenals andere sectoren, geconfronteerd worden met aanvallen met ransomware.
Om de kennisuitwisseling rond cybersecurity te bevorderen, zette het NCSC in 2016 samen met de zorgsector een Information Sharing and Analysis Centre (ISAC) voor de zorg op. Dit ISAC was een publiek-private sectoraal samenwerkingsverband, waarbinnen op tactisch niveau deelnemers van verschillende ziekenhuizen onderling incident-informatie uitwisselen en ervaringen delen over cybersecurity en kwetsbaarheden in de sector.
