Stel je voor: je laat een onderzoek doen in het ziekenhuis en vertrouwt erop dat jouw medische gegevens veilig zijn. Maar wat als die gegevens plotseling op straat komen te liggen? Dat gebeurde onlangs bij een laboratorium in Rijswijk, waar cybercriminelen toegang kregen tot de gevoelige data van bijna een half miljoen vrouwen die deelnamen aan het bevolkingsonderzoek baarmoederhalskanker.
Niet alleen namen en adressen werden buitgemaakt, maar ook burgerservicenummers en testuitslagen. Een nachtmerrie voor de betrokken patiënten, maar ook een harde wake-up call voor de hele zorgsector.
Cybersecurity, cruciaal in de zorg
De zorg werkt met de meest persoonlijke informatie die je je kunt voorstellen. Een datalek kan niet alleen leiden tot identiteitsfraude, maar ook tot psychologische schade of wantrouwen tegenover zorgverleners. Patiënten moeten er volledig op kunnen vertrouwen dat hun gegevens veilig zijn, anders kan de kwaliteit van de zorg in gevaar komen.
Daarnaast gaan gegevens continu heen en weer tussen huisartsen, ziekenhuizen, apothekers en laboratoria. Eén zwakke schakel kan de hele keten kwetsbaar maken.
Reden voor de Inspectie Gezondheidszorg en Jeugd (IGJ) van zorgaanbieders te verwachten dat ze aantoonbaar werk maken van informatiebeveiliging. De norm hiervoor is de NEN 7510. Hoe ziet goede cybersecurity voor de zorg er in de praktijk uit?
De technische basis van informatiebeveiliging
Goede beveiliging begint bij de techniek. Om de technische infrastructuur van een zorgorganisatie robuust te maken, zijn de volgende bouwblokken essentieel:
- Up‐to‐date systemen & snelle patching
Zorg dat besturingssystemen, applicaties, firewalls, routers, etc. regelmatig bijgewerkt worden. Kwetsbaarheden (in OS, software, third-party libraries) moeten zo snel mogelijk gepatcht worden om exploitatie via bekende zwaktes te voorkomen.
- Microsoft-producten & configuratie
Microsoft 365, Azure, Windows Server en andere producten van de Amerikaanse software-reus hebben allerlei beveiligingsmaatregelen ingebakken. Let er wel op dat de instellingen goed zijn geconfigureerd. Denk aan veilige standaardinstellingen, minimale benodigde permissies, gesegmenteerde toegang en gebruik van het principe van Zero Trust: niets vertrouwen, altijd verifiëren.
- Veilige, gesegmenteerde netwerken
Segmentatie vermindert risico’s: zelfs als een deel van het netwerk wordt gecompromitteerd, blijft de schade beperkt. Netwerkonderdelen die toegang geven tot zeer gevoelige data (bijvoorbeeld patiëntendossiers) moeten gescheiden zijn van minder kritieke gedeelten van het netwerk.
- Monitoring & logging
Je moet altijd weten wie wat doet en wanneer. Zorg dat activiteiten binnen systemen en netwerken worden bijgehouden en dat toegang tot gevoelige data inzichtelijk is. Richt je op snelle signalering van opvallende gebeurtenissen en stel meldingen in bij verdachte patronen. Controleer deze meldingen regelmatig, zodat je risico’s vroegtijdig kunt aanpakken.
- Back-ups en herstelplan
Bij ransomware, dataverlies of sabotage zijn goede, recente back-ups van cruciaal belang. Back-ups moeten gescheiden van productiesystemen beschikbaar zijn, in het beste geval offline en op een andere locatie. Test de back-ups regelmatig om zeker te weten dat je de bestanden ook echt kan herstellen.
- Data governance & beleid
Leg duidelijk vast wie verantwoordelijk is voor welke gegevens. Bepaal wie informatie mag inzien of delen en maak afspraken over wat wordt bewaard en wat veilig kan worden verwijderd. Zorg voor helder beleid rondom toegang en rechten, het classificeren van data en het beveiligen van informatie – zowel bij opslag als tijdens verzending.
De menselijke factor van informatiebeveiliging
Maar goede techniek alleen is niet voldoende. Het cliché dat mensen de zwakste schakel vormen, vinden we te kort door de bocht; de gewiekstheid van cybercriminelen is tegenwoordig zo groot dat zelfs IT-kenners in hun valstrikken trappen. Dat neemt niet weg dat de menselijke factor aandacht behoeft. Hieronder volgen de belangrijkste aspecten:
- Trainingen & bewustzijn
Zorg voor regelmatige trainingen voor alle medewerkers over onderwerpen als phishing, social engineering en veilig omgaan met gegevens. Oefen met praktijksituaties en maak duidelijk dat ook kleine handelingen – zoals een wachtwoord delen of het gebruik van openbare wifi – grote risico’s met zich mee kunnen brengen.
- Gebruik van sterke wachtwoorden & multi-factor authenticatie (MFA)
Dwing af dat medewerkers altijd sterke en unieke wachtwoorden gebruiken. Leg daarnaast een extra beveiligingslinie rond alle belangrijke systemen aan door middel van multifactor-authenticatie, bijvoorbeeld via sms, een app of een token.
- Gedragsregels voor fysieke beveiliging
Stimuleer medewerkers om hun computer altijd te vergrendelen zodra ze hun werkplek verlaten. Zorg dat alleen bevoegde collega’s toegang hebben tot servers en gevoelige apparatuur. Stel een bezoekersbeleid op en regel dat ook de fysieke toegang tot apparaten goed beveiligd is.
- Spelregels rond incidenten en escalaties
Alle medewerkers moeten weten wat ze moeten doen bij een vermoeden van phishing of een datalek: wie ze direct informeren en welke stappen daarna volgen. Oefen dit regelmatig met eenvoudige scenario’s.
- Cultuur
Maak van veiligheid een kernwaarde, niet iets dat ‘erbij komt’. Het management moet het goede voorbeeld geven. Zo mag een leidinggevende dus nooit ‘even snel’ om patiëntgegevens vragen via de mail of per WhatsApp.
NEN 7542: het volgende compliance-dossier
De komende jaren wordt de lat nóg hoger gelegd met de nieuwe norm NEN 7542. Deze richtlijn gaat specifiek over het veilig en betrouwbaar uitwisselen van medicatiegegevens. Voor zorginstellingen betekent dit dat processen en systemen moeten worden ingericht om aan strengere eisen voor authenticatie, logging en interoperabiliteit te voldoen. Dat vraagt om investeringen in zowel techniek als awareness, maar iedereen in de zorg zal het resultaat steunen. Het gaat uiteindelijk om het vertrouwen van patiënten dat je niet alleen alles doet om ze zo gezond mogelijk te maken, maar dat je ook zorg draagt voor hun persoonlijke gegevens.
Twijfel je of jouw zorgorganisatie voldoende beschermd is tegen phishing en andere vormen van cybercrime? Of weet je niet goed waar je moet beginnen met preventie? Plan dan een vrijblijvend gesprek met ons in. We kijken mee, brengen de risico’s in kaart en helpen je stap voor stap naar een veilige en weerbare organisatie.
