Cybersecurity voor jouw zorginstelling: gehackt? Dit moet je doen

De zorgsector staat onder digitale druk. Terwijl je zich richt op de zorg voor patiënten, loert er een andere dreiging: cybercriminaliteit. Wist u dat zorginstellingen het hoogste aantal meldingen en incidenten rapporteren? Hackers zijn voortdurend op zoek naar kwetsbaarheden in uw ICT-systemen. Als ze een kans zien, grijpen ze die zonder aarzelen. Het maakt niet uit hoe groot uw organisatie is of hoeveel er te halen valt, de dreiging is altijd aanwezig.

Hackers hebben het dus steeds vaker gemunt op zorginstellingen, en niet zonder reden. Jouw systemen bevatten gevoelige medische gegevens die op het dark web veel geld waard zijn.

Maar wat doet u als het misgaat? Wat als uw zorginstelling gehackt wordt door ransomware of slachtoffer wordt van een datalek? In dit artikel leest je:

• Waarom zorginstellingen een doelwit zijn
  
• Hoe je een cyberaanval herkent
  
• Wat je direct moet doen bij een hack
  
• Wie je moet informeren
  
• Hoe je zich beter kunt voorbereiden

Waarom zijn zorginstellingen een aantrekkelijk doelwit voor hackers?

Zorginstellingen verwerken dagelijks enorme hoeveelheden persoonlijke en medische gegevens, informatie die veel waard is op de zwarte markt.

Een medisch dossier levert hackers tot wel €500 per stuk op, blijkt uit Amerikaans onderzoek. Terwijl een creditcardnummer vaak minder dan een dollar waard is.

Een ander verdienmodel voor hackers bestaat uit het gijzelen van jouw data en uw ICT-systemen. Ze gebruiken daarvoor ransomware, een type malware waarmee ze computersystemen infecteren en bestanden versleutelen. Met als gevolg dat je geen toegang meer heeft tot jouw eigen systemen en data. Vervolgens eisen de hackers losgeld in ruil voor het vrijgeven van de bestanden.

Daarnaast is er in de zorg vaak sprake van:

• Verouderde software en systemen
  
• Verbonden medische apparatuur zonder beveiliging
  
• Onvoldoende bewustzijn bij personeel
  
• Onveilige wachtwoorden of BYOD-beleid

Het is niet de vraag of we gehackt worden, maar wanneer. Dat zegt 92% van de zorginstellingen. Toch heeft maar de helft een plan om te zorgen voor de continuïteit van kritische toepassingen binnen de organisatie. Dat blijkt uit onderzoek van SoftwareOne onder 30 grote zorginstellingen in Nederland.

Kortom: een kwetsbaar en winstgevend doelwit.

Hoe herkent je een cyberaanval?

Het herkennen van een hack kan lastig zijn, vooral als aanvallers proberen onopgemerkt te blijven. Soms zijn hackers al langere tijd actief achter de schermen en zorgen ze er bijvoorbeeld voor dat uw back ups niet meer volledig zijn. Pas later slaan ze daadwerkelijk toe, versleutelen ze uw bestanden en maken zij zich bekend om losgeld te eisen.

Op dat moment is het overduidelijk wat er aan de hand is. Maar hoe kunt u al eerder herkennen dat u met een cyberaanval te maken heeft?

Dit zijn 10 tekenen die op het werk van hackers kunnen wijzen:

1. Ongebruikelijke account activiteiten:
   Onverwachte inlogpogingen, vooral van onbekende IP-adressen of op ongebruikelijke tijden.
2. Vertraagde of instabiele systemen:
   Computers of systemen die plotseling traag worden of regelmatig vastlopen.
3. Onbekende software:
   De aanwezigheid van nieuwe programma’s die uw organisatie zelf niet heeft geïnstalleerd.
4. Veranderingen in bestanden:
   Bestanden die opeens verdwenen, aangepast of verplaatst zijn. Of de aanwezigheid van onbekende bestanden.
5. Ongewone netwerkactiviteiten:
   Een plotselinge toename van netwerkverkeer, vooral naar onbekende externe IP-adressen, kan een teken zijn van datadiefstal of communicatie met een command-and-control server.
6. Nieuwe accounts:
   Nieuwe accounts die zijn aangemaakt of wachtwoorden die zijn gewijzigd, waar de gebruiker niets van afweet.
7. Ongebruikelijke e-mail activiteiten:
   Verzending van ongebruikelijke e-mails vanuit interne accounts, vaak met phishing links of bijlagen.
8. Toename van firewall of antivirus alerts:
   Een stijging van het aantal waarschuwingen van uw antivirussoftware kan een indicatie zijn van een poging tot inbraak of lopende aanval.
9. Veranderingen in configuratie of logbestanden:
   Onverklaarbare wijzigingen in systeemconfiguraties of logbestanden kunnen erop wijzen dat aanvallers sporen proberen te verbergen.
10. Medewerkersmeldingen:
    Medewerkers die meldingen maken van verdachte activiteiten, zoals vreemde e-mails, afwijkingen in systemen, of ongewone verzoeken.

Voorbeeld uit de praktijk: zorginstelling gehackt

Op een vrijdagmorgen wordt Attent, een instelling voor ouderenzorg in Arnhem, gehackt door een ransomwaregroep. Na de hack zijn de interne systemen, de mail en het telefoonsysteem niet meer toegankelijk. De cybercriminelen laten de organisatie weten dat ze privacygevoelige gegevens openbaar hebben gemaakt. Ze eisen geld om de overige gestolen informatie niet te publiceren.

De instelling schakelt hulp in van specialisten. Uiteindelijk is de organisatie weer bereikbaar en is het systeem weer toegankelijk. In de tussentijd heeft de organisatie mensen waarvan de gegevens gestolen zijn geïnformeerd. Ook doen ze aangifte bij de politie en een melding bij de Autoriteit Persoonsgegevens en de Inspectie Gezondheidszorg en Jeugd. Over de vraag of er losgeld is betaald doet de instelling geen uitspraken.

 Wat te doen als uw zorginstelling is gehackt?

Snel en doordacht handelen kan schade beperken. Volg dit stappenplan bij een cyberaanval:

1.  Isoleer getroffen systemen

Koppel direct geïnfecteerde apparaten los van het netwerk (zowel fysiek als digitaal). Zet ze niet uit, zo blijven digitale sporen bewaard voor onderzoek.

2.  Waarschuw interne IT of uw ICT-partner

Laat direct een cybersecurityspecialist meekijken. Zij analyseren de situatie, beperken verdere schade en begeleiden herstelacties.

3.  Informeer intern

Breng bestuur, management, FG (Functionaris Gegevensbescherming) en alle medewerkers op de hoogte. Heldere communicatie is cruciaal.

4.  Stel een communicatieplan op

Bereid heldere communicatie voor naar patiënten, betrokkenen, media en toezichthouders. Transparantie voorkomt reputatieschade.

‍

Wie moet je informeren nadat je gehackt bent?

Een goede communicatie is belangrijk voor het vertrouwen van patiënten en medewerkers en kan de schade zoveel mogelijk beperken. Daarnaast bent je wettelijk verplicht om bepaalde meldingen te doen. Waar moet je allemaal aan denken?

1. Interne meldingen
   Zorg ervoor dat het management en het bestuur volledig op de hoogte zijn van de hack en de voortgang van de incidentrespons. Vergeet ook de Functionaris Gegevensbescherming niet. Breng daarnaast alle medewerkers op de hoogte van de situatie, de genomen maatregelen en hun rol in de nasleep van de hack.
2. Informeren van patiënten en betrokken personen
   Het is belangrijk om zo snel mogelijk patiënten en andere betrokkenen te informeren. Geef uitleg over welke gegevens zijn gelekt, de mogelijke gevolgen en de genomen maatregelen.
3. Melding aan de Autoriteit Persoonsgegevens
   Vaak is er sprake van een datalek. Deze moet je binnen 72 uur melden aan de Autoriteit Persoonsgegevens. Deze verplichting valt onder de AVG.
4. Melding bij het NCSC
   De Wet beveiliging netwerk- en informatiesystemen (Wbni) kent een meldplicht bij het NCSC voor ernstige digitale veiligheidsincidenten die de samenleving kunnen ontwrichten. Of hiervan sprake is kunt je opzoeken in de factsheet Meldplicht bij het NCSC.
5. Melding aan toezichthoudende instanties
   Afhankelijk van de specifieke regelgeving waar jouw organisatie mee te maken heeft, kan het noodzakelijk zijn om de hack te melden aan andere toezichthoudende instanties, zoals de Inspectie Gezondheidszorg en Jeugd.
6. Aangifte bij de politie
   In geval van een ernstige hack, vooral bij cybercriminaliteit zoals ransomware of diefstal van gegevens, moet je de hack melden aan de politie voor verder onderzoek en juridische stappen.
7. Melding aan uw verzekeringsmaatschappij
   Als uw zorginstelling een cyberverzekering heeft, moet je de hack melden aan de verzekeringsmaatschappij om aanspraak te maken op dekking en ondersteuning bij incidentrespons.

Bereid jouw organisatie voor met een Incident Response Plan

Er moet veel gebeuren nadat je een cyberaanval heeft ontdekt. Enerzijds is het van belang om kalm te blijven, anderzijds moet er snel gehandeld worden. In alle hectiek is het makkelijk om iets of iemand te vergeten. Daarom is het goed om een plan klaar te hebben liggen. Vaak wordt dit een Incident Response Plan genoemd. Hierin staat wie waarvoor verantwoordelijk is en welke stappen er gevolgd moeten worden. Wat staat erin?

• Wie heeft welke rol bij een incident?
  
• Hoe wordt de communicatie ingericht?
  
• Welke systemen zijn kritiek?
  
• Wat zijn de contactgegevens van hulpverleners en toezichthouders?
  
• Welke stappen volgen bij specifieke scenario's?

‍

Jouw cyber beveiliging op orde (en houden)

De impact van een cyberaanval is groot en de herstelkosten zijn vaak hoog. Uiteindelijk is voorkomen altijd beter dan genezen. Daarom staat bij Gflex de veiligheid van jouw onze ervaring in de zorg begrijpen we met welke uitdagingen u te maken heeft. We kunnen u helpen de juiste cybersecurity maatregelen te nemen. Zo heeft u het in de basis goed voor elkaar. Bovendien kunnen wij op afstand uw ICT monitoren en kwetsbaarheden signaleren.  

Hoe kwetsbaar is jouw ICT? Vraag de gratis veiligheidsscan aan.